2025年3月，公安部网安局连续印发《关于进一步做好网络安全等级保护有关工作的函》（公网安〔2025〕1001号）和《关于对网络安全等级保护有关工作事项进一步说明的函》（公网安〔2025〕1846号），标志着等保2.0制度进入"动态防护、数据与系统并重"的新阶段。根据《中华人民共和国网络安全法》第二十一条规定，国家实行网络安全等级保护制度，未按规定完成等保测评的企业最高可处500万元罚款或暂停相关业务。面对2025版测评模板、重大风险隐患整改、数据摸底调查等一系列新要求，企业如何高效合规？深圳市华南腾飞科技有限公司（以下简称"华南腾飞"）作为深信服金牌代理、华为授权经销商，深耕网络安全14年，服务500+政企客户，本文将为您系统梳理2026年等保2.0三级认证的最新要求与实战路径。

等保三级概述：为什么2026年必须重视？

等保2.0是什么？

网络安全等级保护制度（Multi-Level Protection Scheme, MLPS）是我国网络安全领域的基本制度。2019年5月，等保2.0标准体系正式发布（GB/T 22239-2019），相比等保1.0有三大根本性变化：

变化维度	等保1.0	等保2.0
覆盖范围	仅信息系统	网络、信息系统、云平台、物联网、工控、大数据、移动互联
法律地位	制度要求	《网络安全法》明确规定，具有法律强制力
技术要求	基本要求	通用要求 + 安全扩展要求（云计算、移动互联等）

等保三级的定位

等保三级（监督保护级）适用于会对国家安全、社会秩序和公共利益造成严重损害，或对公民、法人和其他组织的合法权益造成特别严重损害的重要业务信息系统。典型场景包括：

• 金融行业的核心交易系统、支付系统
• 医疗行业的HIS系统、区域医疗信息平台
• 教育行业的大型教务系统、考试系统
• 政务服务类平台、社保税务系统
• 拥有海量用户数据的电商平台、SaaS服务

2025-2026年五大关键政策变化

根据公安部公网安〔2025〕1001号、1846号文件，等保制度出现以下重大调整：

变化一：等保备案进入"动态管理"时代。 所有二级及以上系统需在2025年11月30日前按照2025版模板重新填报备案信息。《备案证明》有效期统一为3年，完成测评后自动延长1年。

变化二：数据安全与等保深度融合。 二级以上系统需填报《数据摸底调查表》，按GB/T 43697-2024《数据安全技术 数据分类分级规则》进行分类分级上报，数据资产进入强制监管阶段。

变化三：测评结论从"打分制"变为"三级判定"。 废除原有的百分制评分，改为"符合/基本符合/不符合"三级结论体系：

测评结论	判定条件
符合	符合率 > 90% 且无重大风险隐患
基本符合	符合率 60%-90%，或符合率≥90%但存在重大风险隐患
不符合	符合率 < 60%

变化四：引入"重大风险隐患"概念。 以"重大风险隐患整改"取代"分数达标"，强调实战化整改。重大风险隐患需在30日内完成整改，整改方案需经第三方验证闭环。

变化五：行业监管联动加强。 金融、医疗、教育、电力等行业主管部门越来越多地将等保合规作为行业准入和年度审查前置条件。第三级（含）以上系统需每年提交年度保护工作方案。

关键指标一览

指标项	等保三级要求
测评周期	每年至少1次
渗透测试	每年至少1次
应急演练	每半年至少1次（覆盖数据泄露、勒索软件场景）
备案有效期	3年（完成测评自动延长1年）
重大隐患整改期限	30日内
数据分类分级	按GB/T 43697-2024执行
重要数据异地备份	同城≥30公里，跨省市≥100公里
最高罚款	500万元或暂停业务

等保三级核心方案：技术+管理双管齐下

技术防护方案

等保三级的技术要求覆盖五大层面：安全物理环境、安全通信网络、安全区域边界、安全计算环境和安全管理中心。华南腾飞在实际项目中总结出以下核心配置清单：

（1）边界防护方案

安全域	推荐产品	核心功能	预算参考
互联网边界	下一代防火墙（NGFW）	访问控制、入侵防御、威胁情报	3-8万元/台
Web应用	WAF（Web应用防火墙）	SQL注入/XSS防护、CC攻击防护	2-6万元/套
运维入口	堡垒机	运维审计、权限管控、操作录屏	2-5万元/套
终端防护	EDR终端检测响应平台	病毒查杀、行为分析、威胁狩猎	50-200元/终端/年

（2）数据安全方案

安全域	推荐产品	核心功能	预算参考
数据传输	SSL/TLS加密网关	数据传输加密、双向认证	1-3万元
数据存储	数据库审计系统	SQL审计、异常行为告警	2-5万元/套
数据备份	异地灾备系统	定时备份、数据恢复验证	3-10万元
数据分类	数据分类分级工具	自动发现、敏感数据识别	1-3万元

（3）安全管理中心方案

功能	推荐方案	预算参考
日志集中	SIEM/日志审计系统	2-8万元
态势感知	安全态势感知平台	5-15万元
漏洞管理	漏洞扫描系统	1-3万元/年
安全编排	SOAR平台（可选）	5-20万元

管理制度方案

等保管理要求占测评项的40%以上，华南腾飞总结"七分管理，三分技术"原则：

必须建立的制度体系：

• 网络安全管理总策略
• 安全管理制度（人员管理、系统管理、介质管理、设备管理）
• 操作规程（日常运维、变更管理、应急响应）
• 安全培训制度（新员工、在职、专项培训）
• 应急预案（含数据泄露、勒索软件、DDoS场景）

必须设立的岗位：

• 网络安全负责人（CISO）
• 系统管理员
• 网络管理员
• 安全管理员（与系统管理员职责分离）
• 安全审计员

方案对比：自建 vs 托管 vs 混合

对比维度	自建方案	安全托管服务（MSSP）	混合方案
初始投资	20-50万元	5-15万元/年	15-30万元
年运维成本	5-10万元（含人力）	托管费已含	3-5万元
技术门槛	需专业安全团队（3-5人）	服务商提供	需1-2人对接
合规保障	自主负责	服务商协助	双方协作
灵活性	完全自主	受服务商限制	平衡兼顾
适用场景	大型企业、金融核心	中小企业、IT人力不足	中型企业
过等保周期	3-6个月	1-2个月	2-3个月
持续合规	需自行维护	服务商持续监控	部分外包

华南腾飞推荐： 对于中小企业而言，选择混合方案——核心安全设备自建 + 安全托管服务补充，性价比最高。对于IT人力紧张的企业，安全托管服务（MSSP）可实现"合规即服务"，大幅缩短过等保周期。

实施步骤：从零到通过等保三级

五步走流程

第一步：定级（1-2周）

• 组织内部专家或聘请外部咨询机构，依据《信息安全技术 网络安全等级保护定级指南》评估系统重要程度
• 编写《定级报告》，组织专家评审（三级系统必须专家评审）
• 报主管部门审核批准

第二步：备案（1-2周）

• 系统上线运行后30日内，到属地市级以上公安机关网安部门办理备案
• 提交材料：2025版定级报告、备案表、《数据摸底调查表》、专家评审意见
• 审核通过后获得《网络安全等级保护备案证明》

第三步：差距分析与建设整改（4-8周）

• 聘请等保测评机构进行预评估/差距分析
• 依据差距分析报告制定整改方案
• 优先处理"重大风险隐患"（30日内必须完成）
• 从技术和管理两个维度进行建设整改

第四步：等级测评（2-3周）

• 选择具有等保测评资质的第三方机构
• 使用2025版《网络安全等级测评报告模板》进行全面测评
• 测评结论需达到"符合"或"基本符合"

第五步：持续运维（长期）

• 每年至少进行一次等保复测
• 每半年开展一次应急演练
• 每年12月31日前提交年度保护工作方案（三级及以上强制要求）
• 建立常态化安全运营机制

避坑指南

常见陷阱	后果	规避方法
"买设备=过等保"	测评不通过	等保是"三分技术七分管理"，制度流程同样重要
测评前临时部署	被判定为"表面合规"	安全产品需常态化运行，测评机构会检查历史日志
忽视数据摸底	备案不通过	二级以上系统必须填报《数据摸底调查表》
未做差距分析直接测评	整改返工、费用翻倍	先预评估找差距，针对性整改再正式测评
忽视应急演练	管理项扣分	每半年至少一次实战化演练，留存记录
未及时更新备案	备案失效	系统重大变更需及时更新备案信息

案例分享：深圳某制造企业等保三级合规实战

项目背景

深圳某精密制造企业（年产值8亿元，员工1200人），核心ERP系统包含财务、供应链、生产管理等关键业务模块，承载客户信息、供应商数据及生产工艺等敏感数据。2025年初，该企业收到行业主管部门通知，要求ERP系统在2025年底前完成等保三级认证。

初始状况

深圳市华南腾飞科技有限公司安全团队入驻后进行了差距分析，发现以下问题：

• 网络边界仅有基础防火墙，无入侵检测和WAF防护
• 服务器未做双因素认证，运维人员直接使用root账号
• 数据库无审计功能，敏感数据未加密存储
• 安全管理制度缺失，无专职安全人员
• 数据备份仅本地备份，无异地灾备
• 无日志集中管理平台

整改方案与实施

整改项目	实施方案	费用（万元）	周期
边界安全加固	部署深信服NGAF下一代防火墙+WAF	8.5	1周
运维审计	部署堡垒机，实现双因素认证+权限分离	3.2	3天
数据库安全	部署数据库审计系统+数据加密	4.5	1周
终端防护	全量部署EDR终端安全管理系统	2.8	3天
安全管理中心	部署日志审计+态势感知平台	6.0	2周
异地灾备	建立同城灾备中心（距离≥30公里）	5.0	2周
制度体系建设	编制安全管理制度+应急预案+培训	1.5	2周
合计		31.5	约6周

测评结果

整改完成后，经深圳市某具有等保测评资质的第三方机构测评：

• 总体符合率：93.2%
• 重大风险隐患：0个
• 测评结论：符合

该企业在首次测评中即获"符合"结论，成为华南腾飞2025年度等保合规标杆项目之一。

FAQ：等保三级高频问题

Q1：等保三级测评的费用大概是多少？

答： 等保三级的总费用 = 测评费 + 整改费 + 年运维费。

• 测评费： 第三方测评机构收取，深圳地区约3-8万元/次（视系统规模和复杂度）
• 整改费： 取决于现有安全基础薄弱程度，一般10-30万元
• 年运维费： 安全产品续费+人力，约5-15万元/年

综合来看，中小企业从零到通过等保三级，总投入约20-50万元。深圳市华南腾飞科技有限公司可提供一站式等保合规服务，帮助客户合理规划预算，避免不必要的设备堆砌。

Q2：等保备案证明有效期3年，是不是3年内不需要再测评？

答： 不是。备案证明有效期3年，但等保三级系统每年至少需要进行一次等级测评。完成测评后，备案有效期自动延长1年。如果系统发生重大变更（如架构调整、等级变化），还需及时更新备案信息。2025年新规还要求三级及以上系统每年12月31日前提交年度保护工作方案。

Q3：2025版测评模板中的"重大风险隐患"怎么判定？

答： 依据《网络安全等级保护测评高风险判定实施指引》，重大风险隐患的判定遵循三个原则：

• 相关性原则： 基于等保测评中发现的、可能导致系统面临高风险的安全问题
• 严重性原则： 安全事件一旦发生后将造成严重后果（业务中断、数据泄露、获得管理权限等）
• 高发性原则： 在实际运行中由该问题导致安全事件的概率较大

重大风险隐患可能由一个高风险问题直接引发，也可能由多个高、中、低安全问题叠加引发。测评报告中的"重大风险隐患数量"按整改前数据填写，已整改的需标注（如"10（5个已整改）"）。

Q4：云上系统如何做等保？责任怎么划分？

答： 根据监管部门对"云租户+云平台"等保责任共担模型的界定：

• 云平台责任方： 物理环境安全、网络基础架构安全、虚拟化安全、云管理平台安全
• 云租户（企业）责任： 业务系统安全、应用安全、数据安全、运维管理、访问控制

企业应选择已通过等保测评的云平台作为合规底座（如腾讯云已通过等保三级），可继承平台的物理安全、网络安全等合规能力。华南腾飞可协助企业评估云环境下的等保责任边界，制定针对性的整改方案。

关于深圳市华南腾飞科技有限公司