转发 | 工业和信息化部印发《工业和信息化领域数据安全风险评估实施细则（试行）》
内容提要
《工业和信息化领域数据安全风险评估实施细则（试行）》将于2024年6月1日正式施行，适用于中国境内工业和信息化领域重要数据和核心数据处理者的数据安全风险评估。评估内容包括数据处理目的、安全管理制度、技术防护能力、人员培训等。重要数据和核心数据处理者每年至少进行一次评估，评估报告需在评估完成后的10个工作日内报送给行业监管部门。第三方评估机构需满足专业化评估团队、完备的评估工作方案和技术评测工具等要求。工业和信息化部负责统一管理和指导评估工作，地方行业监管部门负责监督管理本地区的评估工作。违反细则将受到行政处罚。
延伸解读
评估内容与报告要求
《细则》要求重要数据和核心数据处理者重点评估数据处理目的、方式、范围的合法正当必要性，数据安全管理制度、组织架构、技术防护能力、人员培训，以及数据安全事件对国家安全和公共利益的影响等。评估报告需包含数据处理者基本情况、评估团队、数据种类数量、处理活动情况、评估环境、合规性评估、风险分析、结论及应对措施，并对结果负责。
评估周期与报送时限
重要数据和核心数据处理者每年至少开展一次数据安全风险评估，评估结果有效期为一年，自评估报告首次出具日期起算。评估完成后10个工作日内，需向本地区行业监管部门报送评估报告。地方行业监管部门需在每年12月25日前将本地区年度评估报告接收和审核情况报送工业和信息化部，工业和信息化部视情组织抽查审核。
第三方评估机构要求
数据处理者可自行或委托具有工业和信息化数据安全工作能力的第三方评估机构开展评估。第三方机构需建立至少包括组织管理、业务运营、技术保障、安全合规等人员的专业化评估团队，制定完备的评估工作方案，配备有效的技术评测工具，并严格遵守国家法律法规、保护国家机密。行业监管部门对第三方评估活动进行监督管理，对违规机构可约谈、通报，认证机构可暂停直至撤销其认证证书。
监管职责与违规后果
工业和信息化部统一管理、监督和指导全国数据安全风险评估工作，地方行业监管部门负责监督管理本地区工业、电信、无线电领域重要数据和核心数据处理者的评估工作。发现不符合规定的，应通知其依法改正。违反《细则》将面临行政处罚，构成犯罪的追究刑事责任；涉及军事、国家秘密信息等数据处理活动，按国家有关规定执行。
Q&A
《工业和信息化领域数据安全风险评估实施细则（试行）》的施行时间是什么时候？
该细则将于2024年6月1日正式施行。
哪些数据处理者需要进行数据安全风险评估？
适用于中国境内工业和信息化领域的重要数据和核心数据处理者。
数据安全风险评估的主要内容包括哪些方面？
评估内容包括数据处理目的、安全管理制度、技术防护能力、人员培训等。
重要数据和核心数据处理者需要多久进行一次评估？
每年至少进行一次评估。
评估报告需要在评估完成后多久报送给监管部门？
评估报告需在评估完成后的10个工作日内报送。
第三方评估机构需要满足哪些要求？
需满足专业化评估团队、完备的评估工作方案和技术评测工具等要求。
