监管场景与官方文件¶

本页用于承接金融监管官方文件、网络安全等级保护和信息科技风险管理场景。

银行信息科技风险治理¶

银行信息科技风险可从战略、操作、技术、合规、数据、外包、业务连续性和信息安全等维度识别。风险分类用于建立覆盖面，不意味着风险彼此独立；例如外包服务中断可能同时造成技术、合规和业务连续性风险。

三道防线¶

第一道防线：业务和技术部门，负责日常经营活动中的风险识别、控制和承担。
第二道防线：风险管理、合规等职能部门，制定方法并监督、指导风险管理。
第三道防线：内部审计，独立评价前两道防线及治理机制的有效性。

治理中应明确风险责任、报告升级路径、控制执行与独立监督，避免风险管理职责仅停留在制度文本。

来源：专业课速记/07_银行信息科技风险管理.md

补充：官方法规、标准与适用边界（官方链接；统一核验日期：2026-10-25）

《中华人民共和国数据安全法》，发布机构：中国人大常委会，中国人大网，官方链接：https://www.npc.gov.cn/c2/c30834/202106/t20210610_311888.html 。核验日期：2026-10-25。适用边界：境内开展数据处理活动及其安全监管；境外处理如损害中国国家安全、公共利益或公民/组织合法权益也可能被追责。可据此理解数据定义、分类分级保护、风险评估、事件处置和重要数据出境框架；具体目录和行业要求仍需另行核验。
《中华人民共和国个人信息保护法》，发布机构：中国人大常委会，中国人大网，官方链接：https://www.npc.gov.cn/npc/c2/c30834/202108/t20210820_313088.html 。核验日期：2026-10-25。适用边界：境内处理自然人个人信息，以及境外向境内个人提供产品/服务、分析评估境内个人行为等情形；涉及敏感个人信息、委托/共享、影响评估、合规审计和跨境提供时要叠加特别规则，不能只看“取得同意”。
《中华人民共和国网络安全法》（根据2025年10月28日决定修正，自2026-01-01施行），发布机构：全国人大常委会，中国网信网，官方链接：https://www.cac.gov.cn/2025-12/29/c_1768735112911946.htm 。核验日期：2026-10-25。适用边界：境内建设、运营、维护和使用网络及网络安全监督管理；网络运营者、关键信息基础设施运营者等主体义务不同。采用修正后文本；考试遇到旧资料须先核对版本。
《网络数据安全管理条例》（国务院令第790号，自2025-01-01施行），发布机构：国务院，中国政府网，官方链接：https://www.gov.cn/zhengce/content/202409/content_6977766.htm?ddtab=true 。核验日期：2026-10-25。适用边界：境内网络数据处理及其监督管理，并延伸覆盖特定境外个人信息处理；涉及网络数据安全防护、个人信息、重要数据、生成式人工智能训练数据和出境衔接，具体行业规则可能进一步细化。
《关键信息基础设施安全保护条例》（国务院令第745号，自2021-09-01施行），发布机构：国务院，中国政府网，官方链接：https://www.gov.cn/zhengce/content/2021-08/17/content_5631671.htm?eqid=948fa71b000ef34100000003646317a1 。核验日期：2026-10-25。适用边界：公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业领域中，经保护工作部门组织认定的关键信息基础设施；不能仅因“属于能源/金融行业”就自行断言某系统已被认定。
《数据出境安全评估办法》（国家互联网信息办公室令第11号，自2022-09-01施行），发布机构：国家互联网信息办公室，中国网信网，官方链接：https://www.cac.gov.cn/2022-07/07/c_1658811536396503.htm 。核验日期：2026-10-25。适用边界：向境外提供境内运营中收集和产生的重要数据、个人信息的安全评估；门槛和豁免还应结合后发布的《促进和规范数据跨境流动规定》。不要直接套用本办法旧的评估有效期结论，而应以现行衔接规则核验。
《个人信息出境认证办法》（国家互联网信息办公室、国家市场监督管理总局令第20号，自2026-01-01施行），发布机构：国家互联网信息办公室、国家市场监督管理总局，中国网信网，官方链接：https://www.cac.gov.cn/2025-10/17/c_1762449728720008.htm 。核验日期：2026-10-25。适用边界：这是个人信息保护法规定出境路径之一，适用于符合现行认证规则的个人信息处理活动；不替代触发强制数据出境安全评估时应履行的评估义务，具体数量门槛和适用情形以现行网信办规则为准。
《数据出境安全管理政策法规问答（2026年9月）》，发布机构：国家互联网信息办公室，中国网信网，官方链接：https://www.cac.gov.cn/2026-09/11/c_1790876549989064.htm 。核验日期：2026-10-25。适用边界：用于解释现行数据出境评估、认证路径衔接；问答不是法律法规本身，不能替代对上位法、行政法规、规章和个案事实的核对。问答明确不得以数量拆分方式把依法应申报安全评估的个人信息改走认证路径。
《促进和规范数据跨境流动规定》（国家互联网信息办公室令第16号，自公布之日起施行），发布机构：国家互联网信息办公室，中国网信网，官方链接：https://www.cac.gov.cn/2024-03/22/c_1712776611775634.htm 。核验日期：2026-10-25。适用边界：对数据出境安全评估、个人信息标准合同和认证制度作调整，并列举部分免予申报/免予相关路径的情形；不包含重要数据的豁免表述不能扩展解释为所有数据均免监管，个人信息处理者仍要履行告知、单独同意和影响评估等义务。
《个人信息保护合规审计管理办法》（国家互联网信息办公室令第18号，自2025-05-01施行），发布机构：国家互联网信息办公室，中国网信网，官方链接：https://www.cac.gov.cn/2025-02/14/c_1741233507681519.htm 。核验日期：2026-10-25。适用边界：境内开展个人信息保护合规审计；处理超过1000万人个人信息者至少每两年开展一次，监管部门还可在较大风险或较大规模事件等情形要求专业机构审计。不得把合规审计等同于安全评估或等级测评。
《国家网络安全事件报告管理办法》（自2025-11-01施行），发布机构：国家互联网信息办公室，中国网信网，官方链接：https://www.cac.gov.cn/2025-09/15/c_1759583017717009.htm 。核验日期：2026-10-25。适用边界：境内建设、运营网络或通过网络提供服务的网络运营者；较大以上事件按主体和是否涉及关键信息基础设施适用不同报告时限，行业另有专门规定的还要同时遵守。
《中华人民共和国密码法》，发布机构：全国人民代表大会常务委员会，国家密码管理局，官方链接：https://www.oscca.gov.cn/sca/c100236/2019-10/28/content_1057345.shtml 。核验日期：2026-10-25。适用边界：密码分类管理、商用密码和关键信息基础设施商用密码应用等；涉及国家秘密的核心/普通密码与商用密码边界不同，不能把一般加密产品直接等同于合规商用密码应用。
GB/T 43697-2024《数据安全技术数据分类分级规则》，发布机构：国家标准委/全国网络安全标准化技术委员会，全国标准信息公共服务平台，官方链接：https://std.samr.gov.cn/gb/search/gbDetailed?id=14156507D2210337E06397BE0A0AE656 。核验日期：2026-10-25。核验状态：现行、推荐性国家标准，发布日期2024-03-15，实施日期2024-10-01。适用边界：提供通用分类分级方法参考，不替代法律、行政法规、重要数据目录或行业标准。
GB/T 22239-2019《信息安全技术网络安全等级保护基本要求》，发布机构：国家标准委/全国网络安全标准化技术委员会，全国标准信息公共服务平台，官方链接：https://std.samr.gov.cn/gb/search/gbDetailed?id=88F4E6DA63434198E05397BE0A0ADE2D 。核验日期：2026-10-25。核验状态：现行、推荐性国家标准，实施日期2019-12-01，2025-05-30复审结论为继续有效。适用边界：等级保护基本要求的标准化参考；具体定级、备案、测评和行业扩展要求需结合网络安全法、主管部门及适用标准，不得把“推荐性”写成单独的行政处罚依据。

VI-5-02 分类分级的制度与方法边界（补充核验日期：2026-10-27）：分类是按业务属性、来源、用途或对象归组，分级是依据重要程度及受损危害确定差异化保护强度；企业内部“高敏”等标签不直接等于法定重要数据或国家核心数据。机制为盘点数据和处理场景→核对主管部门、地区及行业适用规则和重要数据目录/告知→按适用方法识别、评估、标记→匹配权限、加密、备份、审计等措施→用途、规模或规则变化时复核。典型场景是能源企业同时整理员工档案、客户服务数据和生产运行数据：分别判断个人信息规则及行业重要数据要求，不能因为同属能源企业就把三类数据全部认定为重要数据。边界是《数据安全法》第二十一条确立分类分级保护制度，GB/T 43697-2024则提供通用方法，不能把该推荐性标准的每项方法直接写成所有主体无条件适用的法定义务；也不能以“推荐性”为由免除法定保护责任。行业目录是否适用于某单位、某数据仍须核验，事实不足时保留“待核验”。《促进和规范数据跨境流动规定》第二条“不需要作为重要数据申报出境评估”的条件，仅限该申报判断，不是免除识别、申报和日常保护义务。官方依据：《数据安全法》第二十一、二十七条（https://www.npc.gov.cn/c2/c30834/202106/t20210610_311888.html）；《网络数据安全管理条例》第五、二十九条（https://www.gov.cn/zhengce/content/202409/content_6977766.htm）；GB/T 43697-2024官方目录（https://std.samr.gov.cn/gb/search/gbDetailed?id=14156507D2210337E06397BE0A0AE656）。

VI-5-03 法规标准的机制与交叉适用（补充核验日期：2026-10-27）：法律确立基本义务，行政法规细化制度，部门规章规定相应监管路径，标准提供技术和管理要求；官方问答仅为解释材料。机制不是“挑一部法规即合规”，而是先识别主体、数据、处理目的及境内外路径，再叠加一般安全、个人信息、重要数据、关基及行业要求，最后区分应履行的评估、认证、合同、审计和持续保护。标准效力依《标准化法》第二条区分：强制性标准必须执行，国家鼓励采用推荐性标准；不能仅凭推荐性标准编号推出行政处罚，具体法律责任还须核对法律法规规定的义务、构成条件和依据，也不能忽略适用规范对标准的引用要求。官方依据：《标准化法》第二条（https://www.npc.gov.cn/c2/c30834/201905/t20190521_278360.html）；《网络数据安全管理条例》第九条及第三十五至三十八条（https://www.gov.cn/zhengce/content/202409/content_6977766.htm）。

出境路径条件对照（用于跨境共享、境外云或境外远程运维场景；不是完整个案合规清单）：

判断环节	机制/条件	边界与后续动作
先辨别数据及例外	依《促进和规范数据跨境流动规定》第二至六条核对重要数据识别，以及不含个人信息/重要数据、境外收集后回传、合同履行、跨境人力资源管理、紧急保护、非关基少量非敏感个人信息和自贸区负面清单等适用条件	各项条件分别核对，不是“做国际贸易/人力资源管理就一律豁免”；第五条所称个人信息不包括重要数据，自贸区政策须核实适用区域和清单。还需结合《网络数据安全管理条例》第三十五、三十六条的其他法定条件判断，不以本表穷尽例外
需要安全评估	不适用相应例外时，关基运营者向境外提供个人信息或重要数据；非关基数据处理者向境外提供重要数据，或者自当年1月1日起累计向境外提供100万人以上个人信息（不含敏感个人信息）或1万人以上敏感个人信息，应经所在地省级网信部门向国家网信部门申报	这是出境累计口径，不是企业持有个人信息总量；达到任一适用条件不得改用认证/标准合同。申报前做出境风险自评估，依程序提交材料并取得评估结果；已通过的出境活动不得超出评估明确范围
标准合同或认证	不适用相应例外的非关基处理者，自当年1月1日起累计出境10万人以上、不满100万人个人信息（不含敏感个人信息），或者不满1万人敏感个人信息，依法订立标准合同或通过认证；认证办法第五条明确相关个人信息不包括重要数据	非关基、不满10万人非敏感个人信息的豁免不覆盖敏感个人信息；不能因敏感个人信息数量很少而自动免除路径义务。标准合同须生效后方可开展出境，生效起10个工作日内向所在地省级网信部门备案；认证向有资质的专业机构申请，不是政府安全评估，也不得拆分应评估的数据规避评估
各路径的共同保护义务	按法律、行政法规在相应处理活动开展前履行告知、单独同意、个人信息保护影响评估等适用义务，并持续控制境外接收方、再转移和安全风险	不是完成路径后才补做事前义务；免除某出境路径不等于免除个人信息保护和数据安全义务。同意、告知的例外须有适用依据，不把所有处理活动一律写成只能以同意为基础；安全评估、影响评估、认证、合规审计互不替代

官方依据：《促进和规范数据跨境流动规定》第二至十三条（https://www.cac.gov.cn/2024-03/22/c_1712776611775634.htm）；《数据出境安全评估办法》第五至十二条（https://www.cac.gov.cn/2022-07/07/c_1658811536396503.htm）；《个人信息出境标准合同办法》第五至八条（网信办令第13号，https://www.cac.gov.cn/2023-02/24/c_1678884830036813.htm）；《个人信息出境认证办法》第三、五至十条（网信办、市场监管总局令第20号，https://www.cac.gov.cn/2025-10/17/c_1762449728720008.htm）。2022年评估办法、2023年标准合同办法与2024年规定不一致处适用2024年规定，不能沿用旧的“自上年1月1日起”或持有总量门槛。现行评估结果有效期为3年，符合规定条件并获批准可延长3年，不自动续期；认证证书有效期同为3年但属不同制度，到期继续使用应提前6个月申请认证。实际出境是否成立、人数累计和例外适用、重要数据及关基身份均须有事实依据，不能凭本表替境外远程查询员工信息的个案下结论。

个人信息保护影响评估是对特定处理活动事前的合法性、必要性、权益影响和保护措施作评估；个人信息保护合规审计则是对处理活动是否遵守法律、行政法规进行审查评价。场景上，出境或委托处理前核对影响评估，日常处理及监管要求审计时核对合规审计。机制上前者依《个人信息保护法》第五十五、五十六条事前开展并至少保存评估报告及处理记录三年；后者定期自行或委托专业机构开展，处理超过1000万人个人信息的每两年至少一次，符合《个人信息保护合规审计管理办法》第五条的风险/事件条件时保护部门还可要求委托专业机构审计。该办法第十九条排除国家机关和法律法规授权的具有管理公共事务职能的组织，不能因清单中“境内”二字忽略主体例外；“超过1000万人”的审计频次线也不能混同条例第二十八条“1000万人以上”叠加特定义务的门槛。官方依据：《个人信息保护法》第十三、五十四至五十七条（https://www.npc.gov.cn/npc/c2/c30834/202108/t20210820_313088.html）；《个人信息保护合规审计管理办法》第二至五、十九条（网信办令第18号，https://www.cac.gov.cn/2025-02/14/c_1741233507681519.htm）。

VI-6-01 网络安全法规的主体义务与报告机制（补充核验日期：2026-10-27）：网络运营者是网络的所有者、管理者和网络服务提供者，网络数据处理者侧重网络数据处理活动，关基运营者则叠加经认定设施的专门责任；同一单位可能兼具多种身份。实施链为识别身份和适用规则→落实制度、责任人、防攻击、分类备份加密、监测日志和预案→发现风险/事件立即补救处置→研判级别及影响并按对应渠道报告、通知→及时补报→恢复、总结和整改。典型场景是勒索造成网络中断并可能泄露客户信息，此时网络事件报告和个人信息事件通知须分别判断、并行履行，不能只向一个部门报告就推定全部义务完成。

对象或触发条件	义务与流程	适用边界
一般网络运营者的日常保护	依现行《网络安全法》第二十三条落实制度和责任、防攻击、监测记录、数据分类及重要数据备份加密；按规定留存相关网络日志不少于六个月；第二十七条要求预案、风险处置及事件补救报告	六个月针对该条的相关网络日志，不是所有业务记录统一保存期限，也不表示期满必须删除；另有法定留存要求须同时核对
网络数据处理者发现产品/服务安全缺陷、漏洞	依《网络数据安全管理条例》第十条立即补救，按规定及时告知用户并向主管部门报告；涉及危害国家安全、公共利益的，还应在24小时内向有关主管部门报告	24小时有特定风险和对象条件，不是全部网络安全事件的统一时限；第十一条另要求事件应急处置、报告及对受危害利害关系人的通知
发现或获知涉及本单位的较大以上网络安全事件	依报告办法附件研判分级；涉及关基的第一时间报保护工作部门、公安机关，最迟1小时；属于中央和国家机关各部门及其直属单位的，及时报本部门网信工作机构，最迟2小时；其他网络运营者及时报属地省级网信部门，最迟4小时	从发现或获知后的研判报告执行，不能等调查完毕才报；行业另有专门规定还须同时报告，涉嫌违法犯罪及时向公安机关报案；涉密事件按有关部门规定执行。较大以下也不能推断为免除其他法律规定的报告义务
初报信息不足、后续进展及处置结束	规定时间内不能判明原因、影响或趋势时，可先报单位/系统情况及事件时间地点、类型级别、影响危害、措施效果等第七条第一、二项内容，其余及时补报；新重要情况/阶段性进展及时报告；处置结束后30日内形成总结报告按原渠道上报	最迟时限不是等待窗口，不得以保密、原因不明或待定责作为迟报理由；本表列运营者报告，不把主管部门收到报告后的上报时限混为运营者时限
发生或可能发生个人信息泄露、篡改、丢失	依《个人信息保护法》第五十七条立即补救，并通知保护部门和个人；通知包括信息种类、原因、可能危害、补救/减害措施及处理者联系方式	措施能有效避免危害时可不通知个人，但不等于免除部门通知；保护部门认为可能造成危害仍可要求通知个人，不以“未达到较大网络事件”免除本项义务

官方依据：现行《网络安全法》第二十三、二十七条（https://www.cac.gov.cn/2025-12/29/c_1768735112911946.htm）；《网络数据安全管理条例》第九至十二、三十、三十三条（https://www.gov.cn/zhengce/content/202409/content_6977766.htm）；《国家网络安全事件报告管理办法》第二、四、五、七、八、十二至十四条及附件（https://www.cac.gov.cn/2025-09/15/c_1759583017717009.htm）；《个人信息保护法》第五十七条（https://www.npc.gov.cn/npc/c2/c30834/202108/t20210820_313088.html）。重要数据处理者还应按条例明确负责人和管理机构，每年度开展风险评估并向省级以上有关主管部门报送报告，不把该年度义务扩展为所有一般网络运营者均相同的义务。本段仅归纳上述已核对条款，不穷尽全部网络安全法规；个案分级、行业报告口径、主体身份和特殊义务仍须核验。

监管场景过程链（重要数据/个人信息共享出境）：业务提出跨境协同→盘点数据字段、来源、数量、敏感程度和接收方→核验是否被告知/公布为重要数据、是否涉及关键信息基础设施及个人信息门槛→开展必要性、合法性、安全风险和个人信息保护影响评估→先核验现行豁免；不适用豁免且触发强制数据出境安全评估条件的，应申报安全评估，不得用标准合同或个人信息出境认证替代；仅符合相应条件时，才选择个人信息出境标准合同或认证路径→完成告知、单独同意、合同、权限、加密、日志和再转移约束→提交/备案并取得必要结果→持续监测境外接收方和目的范围→发生事件时补救、报告、通知并复盘。边界是“境外关联公司”“远程访问”“境内服务器”都不能单独决定是否出境，必须基于实际访问和适用规则核验。

概念对比：

对比	关键区别	易错边界
法律—行政法规—国家标准	法律由全国人大及其常委会制定；行政法规由国务院制定；国家标准提供技术/管理要求，强制性与推荐性效力不同	不把推荐性标准写成法律义务，不以标准替代具体法规适用判断
等级保护—关键信息基础设施保护	等级保护是网络安全基础制度；关键信息基础设施保护是对经认定的重要设施的重点保护	被定级不等于已认定为关键信息基础设施，二者可叠加
数据出境安全评估—个人信息保护合规审计	前者评估特定出境风险和路径；后者审查个人信息处理合规	审计通过不等于出境评估通过，出境评估也不等于整体合规审计完成

对无法从上述官方来源核验的具体条号、处罚条件、数量门槛或行业特殊规则，只保留一般原则并标记“待核验”，不作具体法律判断。

VI-6-07 数据安全与网络安全四维对比（复习框架，不是法规中的封闭分类）：

维度	数据安全	网络安全
目的与定义	《数据安全法》第三条将数据安全界定为采取必要措施，确保数据处于有效保护和合法利用状态，并具备保障持续安全状态的能力；重心是数据处理全程中的安全与合法利用。	现行《网络安全法》第七十八条将网络安全界定为采取必要措施防范对网络的攻击、侵入、干扰、破坏、非法使用及意外事故，使网络稳定可靠运行，并保障网络数据完整性、保密性、可用性的能力；重心是网络运行及网络数据安全能力。
机制与方法	依数据分类分级建立差异化保护，配合风险评估、监测预警、事件处置及数据处理全流程管理；重要数据处理者另有相应责任。	以网络安全等级保护为基础，采取管理和技术措施保障网络运行；网络运营者履行制度、责任、技术防护、监测记录和应急处置等义务，关键信息基础设施另行叠加重点保护要求。
典型场景	数据资产盘点与分类分级、重要数据识别和保护、数据共享/委托/传输/出境等处理活动的风险管理。	网络与信息系统建设运营、访问控制和漏洞防护、网络运行监测、业务连续性及网络安全事件响应；经认定的关键信息基础设施按相应重点保护制度执行。
残余风险	分级或目录识别不准确、超目的使用、越权访问、共享链条失控或出境后的保护不足，仍可能造成泄露、篡改、丢失或非法利用。	等级保护措施落实不足、配置/漏洞/供应链风险、攻击和故障导致服务中断等仍可能影响网络稳定运行及数据完整性、保密性、可用性；测评或制度建立不等于风险归零。

官方依据：《中华人民共和国数据安全法》第三条、第二十一至二十三条、第二十七至三十条（https://www.npc.gov.cn/c2/c30834/202106/t20210610_311888.html）；《中华人民共和国网络安全法》现行修正文本第二十三条、第三十三至四十条、第七十八条（https://www.cac.gov.cn/2025-12/29/c_1768735112911946.htm）。适用边界：两者保护对象和治理重点不同但有交叉，网络数据处理通常需要同时判断网络安全与数据安全要求；表中场景和残余风险为学习归纳，不替代个案定性或行业适用规则。

VI-6-06 等级保护与关键信息基础设施保护的概念边界及流程：

网络安全等级保护（等保）是网络安全基础制度，面向网络运营者及其网络保护对象开展分等级保护和管理。学习时可将工作概括为识别保护对象→确定安全保护等级→按规定办理备案→依据适用标准落实安全建设整改→开展等级测评、发现问题并整改→持续运行管理并接受监督检查；这是工作环节概括，不表示安全建设须等备案后才开始，也不表示测评后无需持续整改。具体程序、备案范围、测评周期和行业要求应以现行法规、标准及主管部门要求为准，不以此概括替代正式流程。
关键信息基础设施（关基）保护针对经负责保护工作的部门依认定规则组织认定的重要网络设施、信息系统等。仅属于相关行业、系统重要或等保等级较高，不能据此自行断言已被认定为关基；认定结果由保护工作部门通知运营者。
二者是基础与重点保护的叠加关系，不是二选一：关基运营者在网络安全等级保护基础上落实关基专门保护要求；等保定级或测评本身不等于关基认定，也不单独证明已满足关基全部保护义务。
关基保护的工作链可概括为保护工作部门制定认定规则、组织认定并通知运营者→运营者在等保基础上落实重点保护措施→持续监测、检测和风险评估→发现问题整改、按规定报送并接受监督检查；发生较大变化且可能影响认定结果时，运营者应及时报告，由保护工作部门重新认定。该工作链不是取代法定职责的统一办事程序，安全保护措施仍须同步规划、建设、使用，不能等认定通知后才开始安全建设。具体措施包括设置专门安全管理机构等，不将关基专门义务扩展成对所有等保对象都相同的额外义务。
定级与认定的判断对象不同：等保围绕保护对象的重要性及受损危害确定保护等级，关基认定由保护工作部门结合关键核心业务重要程度、受损危害及跨行业关联影响制定规则并组织实施；不能自行设定“三级等保即关基”的转换门槛。保护工作部门认定规则报国务院公安部门备案，与运营者办理等保备案不是同一事项。官方依据：《关键信息基础设施安全保护条例》第九至十一条（https://www.gov.cn/zhengce/content/2021-08/17/content_5631671.htm）；等保工作环节参见下列公安部解读，个案等级与程序仍按现行适用规则核验。
关基运营者的持续义务包括建立保护制度和责任制、设置专门安全管理机构、开展关键人员安全背景审查、教育培训和应急演练；自行或委托网络安全服务机构每年至少开展一次网络安全检测和风险评估，及时整改并按保护工作部门要求报送情况。该年度检测评估不是一句“等保测评通过”可以替代；采购网络产品和服务可能影响国家安全的，须按规定通过安全审查，不能改写为所有采购均须审查。官方依据：现行《网络安全法》第三十六至四十条（https://www.cac.gov.cn/2025-12/29/c_1768735112911946.htm）；关基条例第十三至二十条。报告时并行核对本页VI-6-01的较大以上事件规则，不仅看条例中的重大事件/威胁表述。
场景与残余边界：能源企业新建生产控制系统，应先识别保护对象、业务依赖和受损危害，依适用规则开展等保定级及后续保护，并核对保护工作部门认定通知；收到关基认定通知则叠加专门机构、关键人员、年度检测评估和应急等义务。发生较大变化且可能影响认定结果时及时报告保护工作部门，由其自收到报告起3个月内完成重新认定（条例第十一条）；这不是允许运营者等待3个月再报告。尚无具体系统事实、现行行业认定规则和通知证据时，关基身份、等保等级、备案要求及测评周期均保留待核验，不以行业名称、标准元数据或一次测评作合规结论；外包测评、认定或整改完成后仍有配置、供应链和持续攻击风险。

官方依据：《中华人民共和国网络安全法》现行修正文本第二十三条、第三十三至四十条（https://www.cac.gov.cn/2025-12/29/c_1768735112911946.htm）；《关键信息基础设施安全保护条例》第六条、第八至十七条、第二十四至二十八条（国务院令第745号，https://www.gov.cn/zhengce/content/2021-08/17/content_5631671.htm）；公安部《贯彻落实网络安全等级保护制度和关键信息基础设施安全保护制度解读》（https://www.mps.gov.cn/n6557563/c7369120/content.html）。适用边界：公安部解读发布于2020年，仅用于理解基本概念和工作环节，其中旧法条号和制度表述不能直接作为现行依据；现行义务以修正后的网络安全法、关基保护条例及适用规定为准。涉及具体定级、备案、认定、周期和报告义务时需按系统事实及当前适用规则另行核验。以上两项补充及认证办法令号于2026-10-27核对官方来源，不表示已重新核验原有清单全部条目。