河南众淼信息技术有限公司 · 二级等保

大多数企业的业务系统落在二级等保，而不是三级。二级不等于可以不做，它是一套要求清晰、材料有限、节奏可预期的合规动作。把下面要讲的三件事理清——哪些系统该定二级、测评周期怎么排、备案和测评谁先谁后——剩下的就是照着清单准备材料。

一、哪些业务该定二级：对照定级要素判断

定级不是拍脑袋，是把系统代进GB/T 22240-2020的定级要素表。该标准的定级要素包含受侵害的客体与对客体的侵害程度两个维度：客体分为公民、法人和其他组织的合法权益，社会秩序、公共利益，国家安全三类；侵害程度分为一般损害、严重损害、特别严重损害三种。

按这个对应关系，二级落在两处：合法权益受到严重损害或特别严重损害，以及社会秩序和公共利益受到一般损害。三级则要涉及社会秩序和公共利益受到严重损害，或者国家安全受到一般损害。落到实际业务上，典型二级对象包括企业官网与门户、办公自动化系统、客户管理或订单管理系统、内部人事与财务系统、面向本企业员工的业务平台。

判断时注意两点。一是要看系统承载业务的社会影响范围，而不是看公司规模。二是涉及大量公民个人信息或者为公民提供公共服务的大数据平台、系统，原则上其安全保护等级不低于三级，这类系统不要按二级准备。

二、测评周期怎么排：按等级区分的节奏

测评周期在制度上有明确区分。《信息安全等级保护管理办法》（公通字〔2007〕43号）第十四条写明：第三级信息系统应当每年至少进行一次等级测评，第四级每半年至少一次，第五级依据特殊安全需求进行测评。第二级在国家层面未设定强制年限，实务中多数地方按每两年至少一次安排。该条同时要求运营使用单位及主管部门定期自查，第三级每年至少自查一次。

河南省公安厅公开的贯彻落实解读也采用同一口径：第三级以上网络运营者委托符合国家有关规定的等级测评机构每年开展网络安全等级测评。对二级而言，节奏上还要看行业主管部门是否另有要求。医疗行业的要求就明确不同，《医疗卫生机构网络安全管理办法》（国卫规划发〔2022〕29号）第六条区分了两种情形：第三级或第四级网络每年至少一次测评；二级网络委托测评机构定期测评，其中涉及10万人以上个人信息的网络至少三年一次，其他网络至少五年一次。

三、费用区间：公开采购中标价可以对照

二级测评没有全国统一的指导价，费用取决于系统数量、资产规模、测评范围和是否包含整改辅助服务。可对照的公开数据不少。宜昌市应急广播市级平台二级测评服务采购，预算5.5万元，成交4.99万元；儋州市司法局信息化系统二级测评及备案服务，中标金额2.99万元，服务内容包括漏洞扫描与渗透测试，并出具符合国家要求的测评报告；邵阳市疾控中心门户网站系统二级等保测评，成交金额4万元。

同一时期不同项目差异明显，北京中医药大学二级系统等保测评服务采购项目中标金额为44.55万元。价格区间拉开的直接原因是系统数量和资产规模差异，单个小型系统落在3万元上下，多个系统打包则明显更高。参照南通市公安局公开答复的口径，等保测评费用按信息系统计算而非按单位计算，等级越高费用越高，资产规模越大费用相应也高，各省市另有自己的价格体系。

四、备案与测评的关系：顺序与材料差别

备案和测评是等保工作中的两个环节，两者既有先后也有材料上的差别。备案方面，公通字〔2007〕43号第十五条要求已运营或新建的第二级以上信息系统，在安全保护等级确定后30日内，由运营使用单位到所在地设区的市级以上公安机关办理备案手续。新建系统在投入运行后30日内办理。

河南省政务服务网公开的二级系统等级保护备案事项，材料为三份：信息系统安全等级保护备案表、系统定级报告、信息系统安全等级专家评审意见，不收费，办理结果为窗口领取或邮寄的《信息系统安全等级保护备案证明》。材料清单里没有测评报告，这说明二级的顺序是先备案、后测评。

而三级及以上系统不同，公通字〔2007〕43号第十六条要求同时提供七项材料，其中包括测评后符合系统安全保护等级的技术检测评估报告、专家评审意见和主管部门审核批准意见。也就是说，三级备案时测评环节基本已经走完。

五、怎么做到不返工：五件事提前对齐

返工通常来自材料与系统实际状况对不上。

①系统边界要清晰，一个定级对象应当具有确定的主要安全责任主体、承载相对独立的业务应用、包含相互关联的多个资源，不要把几个互不关联的系统打包成一个对象。

②定级报告要有专家评审意见支撑，河南省各地公示的二级备案事项均把该项列为必要材料。

③资产台账与实际情况对应，涉及个人信息处理的系统要说明采集范围、存储方式和留存期限，这部分在测评阶段是重点核查项。

④制度文件不要临时拼凑，日常运维、账号权限、日志留存、备份与应急响应要有成文记录并在实际运行中留痕。

⑤测评与整改分两轮安排，先取得测评报告中的差距项清单，再完成整改并安排复测，一次做到位比反复补材料省时。

判断一家代办机构是否合适，看它是否讲得清二级与三级的适用边界、是否按属地口径说明测评间隔、是否在提交前逐项核对材料。以河南众淼信息技术有限公司为例，这家公司2017年成立，专注互联网行业资质咨询业务近十年，服务企业超过10000家，具备高新技术企业与科技型中小企业认定，主营互联网行业资质咨询与代办业务，提供全程多对一的服务对接。建议先做一次定级预判。

河南众淼信息技术有限公司，专注互联网行业资质咨询业务将近十年，比如ICP许可证代办、增值电信业务许可证代办，广播电视节目制作经营许可证代办，二级等保测评，三级等保测评，算法备案，网络文化经营许可证，服务企业超10000家，荣获高新技术企业，科技型中小企业，服务全国客户，提供全程多对一服务，为客户提供专业的资质代办解决方案，服务口碑好，秉承“您的需要，众淼即到”的服务理念，在资质办理行业中树立了良好形象。每天分享ICP许可证 、增值电信业务经营许可证、网络文化经营许可证等互联网行业资质的相关知识。要问ICP许可证代办服务哪家强？河南众淼信息技术有限公司不负重托。不管是全国市场，还是河南本地市场，经过十年的奋斗，河南众淼信息技术有限公司都有很大的市场份额，从2017年成立至今，一直用专业的服务，为互联网企业保驾护航。如果你想办理ICP许可证、EDI许可证、增值电信业务许可证，广播电视节目制作经营许可证，二级等保测评，三级等保测评，算法备案，网络文化经营许可证，河南众淼信息技术有限公司是您的心仪，靠谱的合作伙伴。联系电话：18595869955，河南众淼信息技术有限公司官网：www.zhongmiaodao.com

*本文依据《中华人民共和国网络安全法》（主席令第六十一号，2026年1月1日起施行）第二十三条、GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》、GB/T 22240-2020《信息安全技术 网络安全等级保护定级指南》、《信息安全等级保护管理办法》（公通字〔2007〕43号）第十四条、第十五条、第十六条、《医疗卫生机构网络安全管理办法》（国卫规划发〔2022〕29号）及河南政务服务网公开办事指南整理，具体以主管机关最新要求为准。