一个做SaaS的创业公司，用户数据几百万条，公安网安部门上门检查，发现他们连网络安全等级保护备案都没做过，系统日志三个月一删，员工账号离职后没回收。老板说我们就是个小公司，没人查吧？我（文道全）告诉他，等保不是大公司的专利，是法定底线。
等保是什么
网络安全等级保护，简称等保，是《网络安全法》第二十一条明确的制度。国家对网络实行分级保护，网络运营者要按等级履行安全保护义务，逐级开展定级、备案、建设整改、等级测评、监督检查。
等保2.0从2019年实施以来，覆盖传统信息系统、云计算、移动互联、物联网、工业控制系统。一般企业官网、办公系统定二级；处理大量个人信息、金融、医疗、能源、交通关键系统定三级；三级系统每年要做一次等级测评。
不做有什么后果
《网络安全法》第六十一条，网络运营者不履行第二十一条、第二十七条规定的网络安全保护义务的，由有关主管部门责令改正，给予警告，可以处一万元以上五万元以下罚款；拒不改正或者导致危害网络安全等后果的，处五万元以上五十万元以下罚款，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。
《网络数据安全管理条例》2024年10月施行后，第九条明确网络数据处理者应当依照法律法规和国家标准强制性要求，在网络安全等级保护基础上加强网络数据安全防护，采取加密、备份、访问控制、安全认证等技术措施。违反的，最高可处五十万元罚款，对直接负责的主管人员处五万元以上二十万元以下，还可责令暂停业务、停业整顿、吊销许可证。
企业合规该做什么
文道全律师团队梳理下来，中小企业等保合规就六件事。
一是定级。把官网、业务系统、APP、小程序列出来，找有资质的测评机构初定等级。二是备案。二级以上系统到属地公安网安部门备案，拿备案证明。三是整改。按等保要求补防火墙、入侵检测、日志审计、权限管理、数据加密。四是测评。三级系统每年测评，二级系统建议两年一次。五是制度。写清楚账号管理、应急响应、数据备份、外包开发安全。六是培训。员工别用弱密码、别乱插U盘、别把生产数据带家。
出事之后
一旦发生数据泄露、系统被入侵，第一时间应急响应、留存日志、向网安部门报告，别删日志、别瞒报。主动报告、及时补救，是从轻或减轻处罚的情节。瞒报、删日志、对外不通知用户，行政处罚和刑事责任都会加重。
文道全律师提醒，等保不是形式主义，它是企业在数据泄露、黑客攻击、监管检查面前的免责证据。老板别把这块全甩给技术负责人，行政罚款和个人罚款是两张罚单。
常见问题
问：所有企业都要做等保吗？
网络运营者均需履行安全保护义务，二级以上系统需定级备案。
问：等保三级多久测一次？
三级系统每年开展一次等级测评。
问：不做等保会罚多少？
拒不改正可处五万以上五十万以下，主管人员处一万以上十万以下。
问：APP需要等保备案吗？
处理大量个人信息的APP、小程序需纳入等保范围。
问：数据泄露了要上报吗？
应立即启动应急响应，按规定向主管部门报告并告知用户。
问：等保测评机构怎么选？
选择经国家认证认可的等级测评机构，签订服务合同。
免责声明：本文内容仅供一般性参考，不构成正式法律意见。如遇具体法律问题，请咨询本所专业律师（咨询电话：18511835733）。