2026年互联网企业数据安全风险评估制度.docxVIP

2026年互联网企业数据安全风险评估制度

为规范2026年及后续周期境内互联网企业数据安全风险评估工作，压实企业数据安全主体责任，防范数据泄露、滥用、篡改等安全风险，保障国家数据安全、公共利益及公民个人信息合法权益，依据《中华人民共和国网络安全法（2024修订）》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《生成式人工智能服务管理规定（2025修订）》《互联网企业数据安全合规指引（2026版）》等法律法规及规范性文件制定本制度，所有在中华人民共和国境内提供互联网服务的企业、境外企业在境内设立的运营主体均需严格遵照执行。

一、评估主体与权责划分

1.企业主体权责

互联网企业是数据安全风险评估的第一责任主体，法定代表人为本企业数据安全第一责任人。企业应当设立独立的数据安全管理部门，不得隶属于技术、运营等业务部门，直接向法定代表人汇报工作。用户规模超过1亿的互联网企业，专职数据安全从业人员占比不得低于员工总数的2%，其中取得国家网信部门核发的《数据安全评估师职业资格证书》的人员占比不得低于专职数据安全人员总数的30%；用户规模在100万至1亿之间的企业，专职数据安全从业人员不得少于5人，其中持证人员不少于2人。企业应当保障数据安全管理部门的独立决策权，不得要求数据安全人员为业务扩张降低安全标准，每年数据安全投入不得低于上一年度营业收入的1.5%。

2.监管部门权责

国家网