2026年8月20日，由国家网信办、工信部、公安部三部门联合制定的《网络数据安全风险评估办法》正式施行。这份被视为数据安全领域里程碑式的部门规章，把很多企业还在观望的一件事，变成了必须执行的硬性动作：定期开展网络数据安全风险评估。业内普遍判断：继等级保护测评、商用密码应用安全性评估（密评）之后，数据安全风险评估正在成为第三个规模化合规市场。

新规讲了什么：三类要求，一个都躲不掉

《办法》的核心要求可以概括为三句话。第一，重要数据处理者每年至少开展一次风险评估——政务数据、大规模个人信息以及关乎国家安全、经济运行的关键行业数据，都在监管视野之内。第二，重要数据安全状态发生重大变化时，比如数据规模显著增长、处理目的变更、发生安全事件，必须及时开展专项评估。第三，一般数据处理者虽以鼓励为主，但《办法》也明确了“至少每三年评估一次”的导向信号。

评估以企业自评估为基本方式，但当监管部门发现较大风险隐患或发生数据安全事件时，可以要求企业委托通过认证的第三方评估机构开展评估。这意味着第三方评估市场的大门正式打开，评估、整改、咨询的服务链条随之成型。

为什么说这是“第三个规模化市场”

回顾安全合规产业二十年的发展，每一个规模化市场的诞生，都源于强制性的制度供给：等保测评撑起了一个百亿级市场，密评在金融、政务领域快速铺开。数据安全风险评估的想象空间同样清晰——范围上，从“信息系统”扩展到“数据本身”；频次上，从“一次性建设验收”变为“每年常态开展”；主体上，从安全行业扩展到全行业数据处理者。

对企业来说，这意味着一份新增的年度合规议程；对从业者来说，这指向一份明确的岗位能力清单：评估谁来牵头、流程怎么设计、风险怎么识别、报告怎么写、第三方机构怎么选，每一项都是实打实的专业能力，也是简历上越来越值钱的加分项。

企业行动清单：从盘点到常态化评估

面对新的评估周期，建议企业从四件事入手：一是数据盘点，摸清哪些数据可能构成重要数据，形成数据资产台账；二是流程搭建，参照《办法》要求建立“年度评估+专项评估”双机制；三是人员配置，明确数据安全治理的牵头岗位与责任分工；四是生态对接，提前了解通过认证的第三方评估机构名录。这四件事背后，指向的是同一类人才：既懂数据安全管理体系、又能设计安全技术体系的复合型人才——恰恰是目前市场上最稀缺的一类。

在数据安全人才培养上，中培IT学院的CISP-DSG国家注册数据安全治理专业人员认证值得关注。作为国内首个数据安全治理方向的国家级认证，课程覆盖信息安全知识、数据安全基础体系、数据安全技术体系、数据安全治理与保障体系四大知识类，由中国信息安全测评中心授权讲师授课，10月26-30日直播班正在报名。同时CDGA/CDGP数据治理认证11月广州班、数据治理、数据架构设计及数据标准化方法专题课9月成都班也在同步招生。咨询课程顾问，获取更多资料详情哦！