数据安全法规定了哪些数据安全制度

很多企业不是不想合规，而是拿到《数据安全法》之后不知道它到底立了几套制度、哪套落到自己头上。分类分级、风险评估、出境管理、监测预警、事件上报这些词都见过，但谁先谁后、交付什么、什么时候不用做，往往说不清。这篇把制度逐项拆开，给判断口径和落地动作，也标出不适用的边界。

很多企业不是不想合规，而是拿到《数据安全法》之后不知道它到底立了几套制度、哪套落到自己头上。分类分级、风险评估、出境管理、监测预警、事件上报这些词都在文件里见过，但谁先谁后、要交付什么、什么情况下不用做，往往说不清。本文把制度逐项拆开，给你判断口径和落地动作，同时标出不适用的边界。

先说结论：这部法律立的是一组并行的制度，不是一串孤立的义务。你要做的第一件事不是照着条文建制度，而是先圈出「适用集合」——哪些制度落在你身上、哪些只需要写一句不适用的说明。圈错了，后面的投入都是浪费。

先看清制度清单，别把它当成一份义务清单

《数据安全法》确立的制度可以归成几类并行体系，各自对应不同主体和触发条件。它们不是层层递进的关系，而是叠加关系：一家企业可能同时落在分类分级和风险评估里，却完全不涉及出境。先把适用集合圈出来，再谈建设。

• 先圈适用集合：是判断每一步要不要做的前提，而不是形式开头；
• 制度之间是叠加不是替代：做了分类分级不等于评估可以跳过；
• 不适用也要留结论：一句「本次不涉及出境」比空白更经得起追问；
• 涉及重要数据、大量个人信息、对外提供这三类情形时，适用制度会明显变多；
• 纯内部使用、不对外提供、也不涉及重要数据的边缘数据，很多制度只需留一句结论。

分类分级：制度的底座，做不实后面都悬空

分类分级要交付的核心不是一份漂亮的方法论，而是一份数据目录加级别标注：有哪些数据、归谁管、算什么级别、依据是什么，落到表单里。分级一般看影响面而不是数据量大小，同一个字段在营销库和身份库里级别可以不同，要按用途重新判一遍。

1. 列数据按系统而不是按部门列，列出每张表、每个接口的主要数据字段；验证方式是随便挑一个业务场景，能不能在目录里找到对应的数据项
2. 标级别对每个数据项写清楚级别和判断依据，依据要能落到「泄露后影响谁」，而不是拍脑袋；验证方式是让两个不同岗位的人按你的标准分别判一次，看结论是否一致
3. 定归属每个数据项写清业务负责人和技术负责人，缺一个都算没完成；验证方式是随机抽三项打电话问，能不能立刻找到人
4. 设复核点把新系统上线、新数据源接入列为触发复核的事件；验证方式是看最近一次新系统上线有没有留下复核记录

什么情况可以先粗做：业务线少于三条、数据种类有限的小团队，先出一版粗目录、标明已知缺口，比拖着不出强。但粗做不等于不做，缺哪块要写清楚，别把空白当成已经完成。到这里可以对一遍站内术语口径，避免同一个词在不同部门理解不同。

风险评估：定期体检，重点在报告留痕

风险评估要回答的是现状、缺口、整改项三件事，而不是给合规性打分。报告里不写整改结论就等于没做，因为后面监管问询时，看的是你有没有识别出问题并跟进，而不是报告多厚。

触发场景分两类：按周期做的例行评估，和上线前、并购后、重大变更后的专项评估。两类覆盖范围不同，例行评估看整体，专项评估盯变更带来的新增风险。评估结果要能对接后面的监测和应急，缺口项建议顺手标上责任人和复查时间，避免报告写完直接归档。

范围划定有争议时，先用排除法列出明确不在本次范围内的系统，写进报告说明。边界比广度更容易被追问，一份说清楚「为什么这几套系统不在范围内」的报告，比一份大而全但说不清边界的报告更稳。

出境管理：制度里最容易踩线的一环

出境路径不止一条，评估、标准合同、认证各有适用面，选哪条取决于数据类型、接收方和具体场景，不是谁流程短选谁。判断时容易忽略的一点是「访问无论」：境外团队远程连内网服务器，同样可能被算作出境场景，别只盯着文件传输。

• 先分清是「提供」还是「可访问」：远程登录、接口调用、共享盘挂载都算在判断范围内；
• 再看接收方：接收方在境内还是境外、是否可能再转出，决定了后续路径选择；
• 不适用边界要写清：数据只在境内流转、接收方是完全境内主体且不涉及后续转出，一般可以不做出境动作，但要留书面判断依据；
• 有争议时向法务或专业机构确认，别用同行转述下结论；
• 具体口径与材料清单到站内对应分区逐条核对，别用二手材料当依据。

这里最容易犯的错是拿别人公司的做法直接套。行业不同、数据类型不同、接收方不同，结论可能完全相反。涉及具体数字和口径的，一律以站内页面和官方口径为准，不要凭记忆下判断。

监测预警与应急处置：制度里真正救火的部分

监测预警盯的是苗头：异常导出、批量查询、权限越界、接口调用量突增，指标要能落到人可以跟进的粒度。只装一套日志系统不叫监测，真正的标准是异常发生时有具体的人收到通知、并且知道下一步做什么。

1. 定指标选出三到五个能反映风险的指标，比如单位时间导出量、非工作时段访问、权限变更频率；验证方式是拿最近一个月的数据跑一遍，看能不能筛出值得看的事件
2. 定人每个指标对应到岗位，不要只写部门；验证方式是模拟触发一次，看通知多久到人、人是否知道怎么处理
3. 定流程把「发现—判断级别—控制—通知—复盘」固定下来，写清谁有权在半夜按下暂停键；验证方式是做一次桌面推演，看卡在哪一步
4. 定上报上报时限和内容要求以监管口径为准，报告写「已处理完毕」之前先确认是否已经过了该上报的时点；验证方式是查一次内部记录，看处置时间和上报时间能不能对上

不适用的情况：内部测试造成的短暂可恢复异常，仍要走内部记录，但不必按对外事件流程拉齐所有人。判断标准是数据有没有离开你的控制范围、有没有对外部主体造成实际影响，两者都没有就可以走简化流程，但记录不能省。

安全审查、投诉举报与监督配合：别忽视的后半段

安全审查针对的是特定主体和特定交易，普通企业多半不触发，但一旦触发，配合义务和材料准备量都不小。与其自行对号入座焦虑，不如先把基础材料备齐，触发时能快速响应。

安全审查

特定主体与特定交易的前置审查，是否触发取决于主体性质和交易场景，不是所有企业都要做

投诉举报渠道

要真实可用并留痕，能证明你处理过，渠道挂名不处理在检查时反而变成减分项

监督配合

面对检查先准备数据目录、最近一次评估报告、近半年的异常处置记录，基本能覆盖大部分问询

行业差异

不同行业的检查口径差异明显，跨行业套用别人的清单容易答非所问

面对监督检查，材料准备顺序建议是：先给数据目录让对方看到你清楚自己有什么，再给评估报告看到你识别过风险，最后给处置记录看到你实际动过手。三样齐了，大部分问询都能接住。缺哪样就补哪样，别用制度文本凑数。

落地顺序：从哪一步开始不吃力

建议顺序是：先出数据目录和级别标注，再定风险评估口径，然后补监测指标和应急流程，出境和安全审查按是否触发单独处理。这个顺序的道理在于，后面的每一步都要用到前面的产出，跳步做会反复返工。

小团队可以合并角色：一个人既管目录又管应急，但要写明这属于过渡安排，以及到什么规模必须拆开。判断标准不是人数，而是数据种类和对外暴露面，一旦出现批量对外提供或涉及重要数据，就该考虑分工。配套的自查动作可以参考站内自查类内容，把判断落到具体条目而不是笼统打分。

留证与复盘：制度跑起来之后靠什么证明

留证三件套：制度文本、执行记录、判断依据。三者里缺判断依据最容易被认定为「制度写了没执行」，因为别人看不到你当时为什么这么做。记录保留期限按行业和数据类型定，至少保证能覆盖一个完整的评估周期。

• 制度文本：写清楚谁负责、什么时候做、交付什么；
• 执行记录：做过的评估、处置、复核，留下时间和人；
• 判断依据：为什么某类数据不做出境、为什么某套系统不在评估范围；
• 复盘记录：触发条件、当时的判断、下次改哪一步，只写结论没用；
• 版本管理：制度改过几版、每版为什么改，比只留最新版更有说服力。

复盘要写清三件事：触发条件是什么、当时为什么这么判断、下次同类情况改哪一步。只写「已加强管理」等于没写。判断类内容都要标出不适用的边界，比如某条流程只适用于对外提供场景，内部流转不适用，这样别人接手时不会照着用错。