《网络数据安全管理条例》落地一年观察：6 类企业的实操合规缺口

国务院《网络数据安全管理条例》（以下简称"条例"）自 2025 年 1 月 1 日起施行，至今近一年半。条例首次将《网络安全法》《数据安全法》《个人信息保护法》三法的实施要求落地为统一的行政法规，并明确了网络数据处理者的分级义务体系。

随着 2025 下半年以来公安、网信办、行业主管部门的联合检查渐次铺开，企业侧暴露的合规缺口呈现高度集中态势。本文按检查通报中出现频次排序，梳理 6 类实操缺口。

一、重要数据识别"做了等于没做"

条例第 19 条要求处理重要数据的处理者建立重要数据目录。但实操中，约 70% 的被检企业存在以下三类问题：

整改路径：

条例对"一般数据处理者"、"重要数据处理者"、"关键信息基础设施运营者"三类主体规定了差异化义务。约 40% 的企业出现自我定位错位：

错误定位	典型表现	风险
低估自身义务	处理大量个人信息的互联网企业未识别为"重要数据处理者"	未尽到年度风险评估、合规负责人配备等义务
高估自身义务	一般企业自我定位为 CIIO，承担不必要的过度合规成本	资源错配，关键义务反而落空
三层混用	集团下属子公司义务定位不清晰，制度文件相互引用矛盾	检查时无法说清义务边界

整改建议：

条例第 27 条要求重要数据处理者每年自行或委托开展数据安全风险评估，并向主管部门报送。检查中暴露的问题：

关键提示：2026 年起，金融、能源、电信等重点行业的主管部门已开始对评估报告进行实质性审查，而非形式收讫。报告质量直接影响监管评级。

条例落地的特殊性在于跨监管口径：网信办管个人信息出境、公安管网络数据安全、行业主管管行业数据。但企业内部往往：

组织建议：设立数据合规委员会，由 CDO 或法务总监牵头，IT 安全、业务代表、风控参与，每季度议事一次。重大事项（出境、共享、并购）必须经委员会决议。

条例第 13 条对个人信息向第三方提供作出明确要求，但企业常忽略非个人信息的数据共享（如运营数据、设备数据、聚合数据）也需要合同与安全评估。

常见漏洞：

整改要点：

条例第 30 条要求建立数据安全事件应急预案。实操中：

最低标准：每年至少 1 次完整桌面演练 + 关键岗位轮训。预案应明确事件 1 小时内通报至 CISO、4 小时内决策是否对外披露、24 小时内向主管部门报告的时点。

《网络数据安全管理条例》的核心不是新增义务，而是将《数据安全法》的原则性条文落地为可检查、可考评的具体要求。2026 年下半年起的常态化检查中，"形式合规"将不再被接受。企业应以条例为抓手，重新审视自身合规体系的实操性。

如需就贵司具体场景获取整改方案，可联系 DataAigis 团队进行差距分析。