《能源行业数据安全管理办法》2026 年 7 月施行：四级数据分级清单与合规时间表
国家能源局印发的《能源行业数据安全管理办法》（以下简称"办法"）将于 2026 年 7 月 1 日起正式施行。这是继金融、汽车、医疗后又一行业性数据安全监管制度落地。
办法适用于电力、煤炭、石油、天然气、新能源等能源行业的数据处理活动，全国范围内能源企业的合规倒计时已不足 2 个月。
一、办法的法律定位
办法属于 DSL（《数据安全法》）框架下的行业实施细则，与以下法规协同：
- 上位：《数据安全法》《网络安全法》《关键信息基础设施安全保护条例》
- 平行：金融、汽车、医疗、电信等行业管理办法
- 配套：国家能源局相关技术规范（陆续配套发布中）
重要原则：办法不取代上位法义务，而是在上位法基础上叠加行业要求。
二、能源数据四级分级
办法明确将能源数据分为四级：
| 级别 | 定义 | 典型示例 |
|---|---|---|
| 核心数据 | 关系能源安全保障、国家安全的数据 | 全国能源生产调度数据、战略储备数据、核电运行核心参数 |
| 重要数据 | 关系能源供应稳定、行业安全的数据 | 跨省骨干输电网运行数据、油气管网监控数据、电网调度模型 |
| 一般敏感数据 | 影响企业运营或局部供应的数据 | 单一发电厂运行数据、零售客户用电数据、加油站交易数据 |
| 一般数据 | 公开 / 普通运营数据 | 公开统计、内部行政 |
分级方法论：办法附件给出了 27 类典型能源数据的判定示例，企业应据此自行盘点，并报省级能源主管部门备案。
三、四类核心义务
1. 数据分类分级与备案（办法 § 9-12）
- 2026-09-30 前完成自身数据资产分类分级
- 2026-12-31 前向省级能源主管部门提交分级目录
- 分级目录每年更新一次，重大业务变更触发临时更新
2. 核心数据 / 重要数据加强保护（§ 14-18）
- 存储位置：核心数据原则上不得出境，重要数据出境须经国家安全评估
- 访问控制：核心数据访问须双人复核，全程留痕
- 传输加密：核心数据传输须使用国密算法（SM2/SM3/SM4）
- 离线介质：核心数据离线介质须有独立的物理保管制度
3. 数据安全负责人（§ 19）
- 处理核心数据 / 重要数据的能源企业必须设立数据安全负责人
- 数据安全负责人直接向最高管理层报告，不得兼任 IT 部门负责人（独立性要求）
- 主要职责：分级备案、年度风险评估、监管沟通
4. 风险监测与应急响应（§ 21-25）
- 重要数据 / 核心数据处理者每年开展数据安全风险评估
- 数据安全事件分级响应：
- 一般事件：72 小时内向省级能源主管部门报告
- 较大事件：24 小时内报告
- 重大 / 特别重大事件：1 小时内报告
四、与等保 / CIIO 体系的衔接
能源企业普遍已落地等保 2.0 与 CIIO 保护体系。新办法的衔接逻辑：
| 体系 | 关注点 | 衔接方式 |
|---|---|---|
| 等保 2.0 | 网络系统的安全等级 | 系统层防护，办法继承之 |
| CIIO 保护条例 | 关键信息基础设施运营者义务 | 多数能源企业已是 CIIO，办法叠加数据维度义务 |
| 能源数据办法 | 数据本身的分级与流转 | 新增维度：数据分级、数据出境、数据安全负责人 |
实务建议：以"系统 + 数据"双维度构建合规矩阵。系统按等保等级、数据按办法等级，两者关联映射。
五、合规时间表
2026-05 ─┬─ 现状评估、组织架构设计、预算申报
│
2026-06 ─┼─ 数据资产盘点启动、试点单位部署分级标签
│
2026-07-01 ─【办法正式施行】─
│
2026-07~09 ─┼─ 完成全集团数据分类分级、建立分级清单
│
2026-09-30 ─┼─ 分级目录定稿
│
2026-10~12 ─┼─ 配置技术控制（加密、访问控制、监测）、招聘 / 任命数据安全负责人
│
2026-12-31 ─【向能源主管部门备案目录】─
│
2027-Q1 ─┼─ 首次年度风险评估
│
2027 全年 ─┴─ 持续运营、应急响应演练、监管检查应对
关键风险节点：
- 7 月 1 日施行后即可能被监管抽查，企业应在 7 月前完成至少"分级框架 + 治理结构"
- 12 月 31 日备案为强制时点，逾期或目录质量差将影响监管评级
六、子行业差异化要求
电力行业
- 电网调度数据通常构成核心数据 / 重要数据
- 与国调中心、省调中心的数据交互必须在国家电网专网内
- 智能电表数据涉及大量用户用电信息，按一般敏感数据处理
油气行业
- 上游勘探数据、地质数据多为重要数据
- 长输管网监控数据通常构成核心数据
- 加油 / 加气零售数据涉及个人信息，须同时满足 PIPL
煤炭与新能源
- 煤矿安全生产数据涉及人身安全，按一般敏感及以上
- 新能源（风电、光伏、储能）的核心数据集中在调度协同、储能配比模型
七、跨境合规重点
能源企业的跨境业务（一带一路项目、海外油气区块、跨国电网互联）涉及大量数据跨境流动。在新办法下：
- 核心数据原则上不得出境
- 重要数据出境须经安全评估（PIPL § 38 + DSL + 本办法三重审查）
- 一般敏感数据出境按 PIPL 路径处理
- 与海外合作方签署 DPA / 数据共享协议时，必须包含中国合规反向约束条款
结语
《能源行业数据安全管理办法》将能源企业的数据安全合规从"参照通用法规"推向"行业专属义务"。它不是 DSL 的简单复刻，而是对能源行业特殊性（关键基础设施、国家安全、跨境业务）的精准回应。
2 个月时间紧迫，能源企业应立即启动现状评估，避免 7 月施行后被动应对。
DataAigis 与多家能源央企、地方电力公司合作落地数据安全管理体系，可针对子行业出具差异化合规方案。
