网络安全等级保护备案办理指南：定级、备案与测评流程

等保是什么：定级备案的适用范围

网络安全等级保护制度由《网络安全法》第21条确立：网络运营者应当按照网络安全等级保护制度的要求，履行安全保护义务。具体落地由《信息安全等级保护管理办法》等规范衔接，形成「自主定级 → 公安备案 → 等级测评 → 持续整改」的闭环。

等保分五个等级，绝大多数企业经营系统落在二级或三级：二级对应一般业务系统，三级对应承载大量个人信息、涉及公共利益或重要行业的关键系统。一级系统不要求备案，四级以上极少见。

先看硬门槛：「该定几级」是整个流程的第一道关口——定低了备案审核过不去，定高了测评成本翻倍。按数据规模与行业属性评估，拿不准时参考同行业惯例并与属地公安沟通。

准备顺序建议：先完成定级报告（等保备案的核心文件），再按定级结论整理安全制度与拓扑材料。定级报告写得有理有据，公安审核环节会顺畅很多。

时限提醒：「投入运行后30日内备案」是法定节点——先上线后补备案的惯性做法存在合规风险，尤其在新系统上线、业务扩张两个时点要主动对表。

等保备案的审查逻辑是「定级恰当 + 材料真实」，先把定级理由写扎实。

等保常与行业资质并行出现：增值电信平台涉 ICP许可证，涉个人信息出境的再评估数据合规要求——安全合规与业务资质一起规划更省事。

等级越高监管要求越严：二级系统需备案并按要求测评（部分行业每两年），三级系统每年开展一次等级测评（惯例口径），且安全防护要求（如双机冗余、区域边界防护）更严格。平台承载用户数据规模大或涉及重要行业的，通常定三级。

《网络安全法》第21条将等级保护义务法定化——未按规定履行安全保护义务的，公安机关可责令改正、警告，拒不改正或造成危害后果的可处罚款；对直接负责的主管人员也可处罚。

不是。等保备案是法定安全管理制度中的备案环节，不设「批准/不批准」，但定级是否恰当由公安机关审核把关，测评结果是否达标由测评机构出具结论——合规是持续义务，不是一次性拿证。

定级对象是信息系统整体——支撑小程序/APP的后端系统纳入定级范围，而不是每个前端单独定级。系统承载的用户数据越多、业务越关键，定级越倾向就高。

提交等保备案之前，先确认三件事：定级对象与等级是否恰当（定级报告有理有据），安全制度与拓扑材料是否与系统实际一致，系统上线时间与30日备案时限的先后关系是否合规。三项确认后，流程一次走通。

更多同源资质的条件与材料说明，可参考资质百科栏目。本文依据现行规定整理，具体要求与口径以公安机关网安部门及主管部门最新公告为准。