数据出境安全评估申报指南第二版哪个部门发布

你多半是在填申报材料、或者被法务问到「按哪个版本的指南准备」时卡住的：搜到的页面有的写网信办、有的写某个评估中心，还有的引用一份不知道第几版的旧文件。这篇不猜，只讲怎么确认发布主体、这份指南的效力和适用范围边界，以及确认之后企业该动哪几步。

你多半是在填申报材料、被法务追问「按哪个版本准备」的时候卡住的。搜一圈更乱：有的页面写网信办，有的写某个评估中心，还有的引用一份看不出第几版的旧文件。这篇不猜，只讲三件事：发布主体到底是谁、这份指南管到什么程度，以及确认之后你手上该动哪几步。

先说结论方向：判断发布主体不能靠搜索结果里的标题，而要看原文落款和发文单位；判断适用版本不能靠记忆，而要比对当前有效文本。下面按「确认主体 → 看效力范围 → 定版本 → 落地动作」的顺序拆开。

发布主体怎么确认：别从搜索结果里认

《数据出境安全评估申报指南》的发布方是国家互联网信息办公室，也就是常说的国家网信办，配套的评估办法同样出自这一条线。你之所以会在不同页面看到不同抬头，是因为评估的具体受理、技术支撑工作由下设的评估机构承担，承办机构的名字出现在材料受理环节，而不是发文主体。

申报指南是操作性配套文件，不是新设义务的法律。它把评估办法里的申报条件、材料清单、办理流程和文书模板讲细，真正产生义务的是数据出境相关法律和评估办法本身。所以你在内部写风险说明时，不能只引指南，要把上位依据一起写。

适用对象是触发安全评估申报门槛的境内数据处理者。具体门槛口径和豁免情形按当时有效的法规原文判断，别凭印象套。什么情况下不适用：没有触发申报门槛的，走标准合同、认证等其他路径即可；已经通过评估、只做小范围变更的，也不等于要把全流程重跑一遍。

路径怎么选这一层，可以到 /safety 看安全与合规分区的现行整理，再对照自己处理的数据类型、敏感程度和量级做判断。

新版通常在材料清单、字段填写、审核关注点和文书格式上做细化调整。具体改了哪几项不要凭记忆，直接拿两版正文做逐条比对，重点比材料目录、字段说明和承诺表述这三块。

实操原则很简单：手里正在准备的申报材料，一律以当前有效的版本要求为准。旧版材料可以当结构参考，但字段和承诺表述要重新核一遍。内部培训材料、模板库、供应商给的清单往往停留在旧版，这是交接时最容易出错的地方。生效时间点和过渡安排按官方通知执行，遇到过渡期要在提交说明里写清「按哪版提交」。

先把定性做完，再谈定量和备料。定性就是梳理业务里哪几条链路会把数据传输到境外，包括第三方模型接口、海外 SaaS、境外云区域、跨境客服与运维。这一步和 /data-boundary-audit 那篇讲的链路审计是同一件事，先看清链路，再谈要不要申报。

备料阶段容易漏的是承诺函和法律文件的签章，以及字段里那些「看起来填了其实不合口径」的描述。提交前让不参与填写的人过一遍，专门挑字段和签章，比自查两遍都有效。

数据出境安全评估申报指南第二版到底是哪个部门发布的？

是国家互联网信息办公室（国家网信办）这一条线发布的，通常与数据出境安全评估办法配套。你会看到评估机构、技术支撑单位的名字，那是承办和执行环节，不是发布主体。确认时看原文落款和发文单位，别按转载页面的标题下结论。

这份指南有法律效力吗，还是只算参考？

它属于申报操作层面的配套文件，把办法里的申报条件、材料清单和流程讲细，真正的义务来自数据出境安全评估办法及相关法律。所以「指南里没写」不等于「不用做」，判断是否需要申报还是要回到办法和法规原文，需要时以监管部门口径为准。

第二版出来以后，之前按第一版准备的材料还能用吗？

结构可以参考，字段和表述要按当前有效版本重核一遍。稳妥做法是把两版正文拉出来逐项比对，重点看材料清单、填写字段和承诺表述的变化，再统一更新内部模板，避免业务和法务各拿一版。