在政企网络安全、数据安全合规工作中所有人都会绕不开六大核心制度等保、分保、关保、密评、数评、个审。绝大多数合规误区、重复测评、整改返工、监管处罚都源于一个核心问题分不清六大制度的适用边界、搞不懂彼此的层级关系。很多人常问涉密系统要不要做等保密评能不能用于涉密系统关保和等保是不是重复数评和个审有什么区别本文基于《网络安全法》《保守国家秘密法》《密码法》《数据安全法》《个人信息保护法》给出唯一正确的底层合规逻辑也是目前政企合规统一标准✅ 涉密信息系统只走【网络安全分级保护分保】不适用等保、关保、密评、数评、个审✅ 非涉密信息系统以【网络安全等级保护等保】为基础按需叠加关保、密评、数评、个审一、六大制度核心定位官方标准释义1. 网络安全分级保护分保—— 涉密系统唯一合规体系适用对象仅存储、处理、传输国家秘密秘密/机密/绝密的涉密信息系统、涉密内网、涉密终端。核心规则涉密系统合规闭环与另外五项制度完全隔离、互不兼容、互不交叉。关键易错点涉密系统使用核心密码、普通密码由保密、密码管理部门专项管控不使用商用密码涉密系统不做密评。监管单位国家保密局2. 网络安全等级保护等保—— 非涉密系统通用安全底线适用对象所有无国家秘密的信息系统包含政府外网、企业业务系统、APP 后台、办公系统、工业平台等。核心规则我国网络安全基础性、强制性底线制度是所有非涉密合规的前置底座分为 1-5 级政企主流为 2 级、3 级。监管单位公安机关网安部门3. 关键信息基础设施安全保护关保—— 非涉密重点系统高阶加码适用对象非涉密、一旦遭受破坏会危害国家安全、国计民生、公共利益的关键信息基础设施覆盖能源、金融、交通、通信、水利、公共服务等行业。核心规则叠加关系不替代等保。纳入关基名录的系统必须先达标三级等保再叠加关保专项高阶防护要求。监管单位网信部门统筹 各行业主管部门分管4. 商用密码应用安全性评估密评—— 非涉密密码专项合规适用对象采用商用密码SM2/SM4/SM9 等国密算法的非涉密系统强制范围三级等保系统、全部关基系统、非涉密政务重要系统。核心规则只评商用密码不评涉密密码校验密码选型、部署、运维、密钥管理合规性是等保、关保测评硬性打分项。监管单位国家密码管理局5. 数据安全风险评估数评—— 非涉密全域数据风险治理适用对象所有处理、存储、传输重要数据、核心业务数据的非涉密企事业单位。核心规则覆盖数据全生命周期排查泄露、篡改、滥用、出境风险属于通用数据安全合规底线。监管单位网信部门、行业主管部门6. 个人信息保护合规审计个审—— 个人信息专项合规审计适用对象所有收集、处理自然人个人信息手机号、身份证、人脸、位置等的非涉密主体。核心规则数评的细化专项专门聚焦个人信息权益合规是《个保法》核心强制要求。监管单位网信部门二、六大合规体系层级关联逻辑六大制度无交叉、无重叠、层级清晰核心合规逻辑严格遵循官方界定信息系统先划分为涉密/非涉密两大阵营涉密独立走分保体系非涉密以等保为核心底座延伸高阶防护与细化专项合规。系统合规分层逻辑图全部信息系统分为两大类涉密系统 / 非涉密系统一、涉密信息系统独立合规体系✅ 唯一合规要求网络安全分级保护分保❌ 完全不适用网络安全等级保护、关保、密评、数评、个审涉密系统使用核心密码、普通密码脱离商用密码与非涉密数据合规体系二、非涉密信息系统完整合规体系✅ 基础安全底座网络安全等级保护等保所有非涉密合规的前置必备条件✅ 重点系统高阶升级关键信息基础设施安全保护关保仅等保三级及以上核心关基系统叠加适用✅ 全维度细化专项合规商用密码应用安全性评估密评、数据安全风险评估数评、个人信息保护合规审计个审全方位补齐密码、数据、个人信息合规短板三、官方法定合规频次细则1. 网络安全等级保护等保法规依据公网安〔2020〕1960号、公网安〔2022〕1058号、《信息安全等级保护管理办法》法定频次二级系统按需抽检属地常规要求每 2 年测评一次三级系统每1年测评一次四级系统每半年测评自查系统架构、核心业务重大变更必须重新定级复测。备注公网安〔2020〕1960 号文件和公网安〔2022〕1058 号文件规定“第三级以上网络系统每年开展等级测评”。2. 网络安全分级保护分保法规依据《保守国家秘密法实施条例》、《涉密信息系统分级保护管理规范》法定频次上线必测、每年年度保密测评系统改造、涉密范围变更即时复测。3. 关键信息基础设施安全保护关保法规依据《关键信息基础设施安全保护条例》法定频次实行年度风险评估 全年动态合规每年完成自查、演练、台账闭环常态化接受行业督查。4. 密评商用密码应用安全性评估法规依据《商用密码应用安全性评估管理办法》国密局 3 号令法定频次三级等保、关基、重要政务系统每年至少 1 次密评密码体系变更即时复测。5. 数评数据安全风险评估法规依据《网络数据安全风险评估办法2026 施行》《网络数据安全管理条例》法定频次重要数据处理者应当每年度开展风险评估数据处理范围、安全状态重大变化即时专项评估一般数据鼓励每 3 年评估非强制。6. 个审个人信息保护合规审计法规依据《个人信息保护法》、《个人信息保护合规审计管理办法》法定频次处理 1000 万人以上个人信息主体每 2 年 1 次第三方审计常规主体常态化年度内审风险事件触发即时专项审计。四、政企落地场景指南直接照做不踩坑1. 涉密党政、军工、涉密央企涉密内网/涉密业务仅做分保不参与等保、密评、数评、个审外网、官网、非涉密业务正常落实等保 密评 数评 个审属关基叠加关保要求。2. 普通民营企业、互联网企业非涉密、非关基系统完成 2/3 级等保三级系统必做密评涉及个人信息落实个审涉及重要数据落实数评。3. 金融、能源、通信、交通等关基单位全套合规闭环三级等保为基础叠加关保、年度密评、年度数评、常态化个审材料互通复用降低重复测评成本。4. 纯涉密无外网单位仅落实分级保护保密测评无需开展任何非涉密合规工作。五、高频合规误区答疑Q1涉密系统能不能做等保、密评A不能。涉密系统归口保密体系只执行分保使用核心/普通密码完全不适用商用密码密评、不纳入等保监管。Q2做完等保还需要做密评、数评吗A需要。等保是系统基础安全密评是密码专项、数评是数据专项、个审是个人信息专项维度互不替代缺一不合规。Q3关保是否可以替代等保A不可以。关保是等保 3 级以上的高阶叠加要求必须先满足等保再满足关保。Q4数评和个审可以二选一吗A不可以。数评覆盖全部数据个审是个人信息细分专项涉及个人信息的企业需要两项全覆盖。六、总结六大合规制度的核心逻辑可总结为一分为二、以保为基、重点加码、专项补齐。一分为二涉密走分级保护非涉密走全套网安、密码、数据合规体系边界绝对割裂以保为基网络安全等级保护是非涉密系统所有合规的唯一底座重点加码关键信息基础设施在等保基础上叠加关保高阶防护专项补齐密评管密码安全、数评管全域数据风险、个审管个人信息合规全方位覆盖政企安全合规要求。