网络数据安全风险评估是每年还是每三年：先分重要数据、一般数据与行业规则

吕箐翎律师的受限判断是：《网络数据安全风险评估办法》将自2026年8月20日起施行；截至2026年8月16日尚未生效。办法施行后，并不是所有企业都统一“每年评一次”或者“每三年评一次”。只有先核清企业属于重要数据处理者还是一般数据处理者、处理的数据类别与重要数据识别事实，以及本行业、本领域是否另有规定，才有条件判断适用频次。对重要数据处理者，年度评估、重大变化时的及时评估，以及年度报告的编制、保存和按要求报送，是相互关联但前提不同的要求；对一般数据处理者，“至少每3年一次”是鼓励性规则。现有信息不足以判断任何具体企业的主体身份、数据身份或履行情况。

先把四层频次规则拆开

《网络数据安全风险评估办法》第五条和第六条至少需要分四层理解：

1. 重要数据处理者的年度义务：重要数据处理者应当每年度开展风险评估。这一规则的适用前提是主体确实属于重要数据处理者，不能从企业规模、业务体量或其他合规项目直接推出。
2. 重大变化时的及时评估：重要数据安全状态发生重大变化，且可能对数据安全造成不利影响时，应当及时对发生变化及其影响的部分开展风险评估。这不是等到下一年度再统一处理，也不是在没有重大变化及可能不利影响事实时自动触发。
3. 一般数据处理者的三年鼓励性规则：办法鼓励一般数据处理者至少每3年开展一次风险评估。“鼓励”不能改写成对所有一般数据处理者一律适用的强制三年周期。
4. 行业、领域另有规定的优先适用：有关主管部门对本行业、本领域风险评估工作另有规定的，从其规定。因此，即使已经初步区分数据类型，仍需继续查找对应主管部门和行业规则。

这四层规则不能相互替代。既有个人信息审计或者其他合规检查材料，可以作为了解数据处理活动的线索，但不能直接证明企业属于重要数据处理者，也不能单独决定本办法下的评估周期。

两个“三年”不是同一件事

办法中的“三年”至少涉及两个不同问题，不能混为一谈。

• 对一般数据处理者，至少每3年开展一次风险评估，是关于评估频次的鼓励性规则。
• 对重要数据处理者，年度风险评估报告至少保存3年，是关于报告保存期限的要求。

因此，“报告至少保存3年”不等于“每3年评估一次”，也不能用报告保存年限改变重要数据处理者的年度评估义务。

年度评估之后，报告还有单独要求

对于重要数据处理者，办法第十五条、第十六条把年度评估之后的报告事项进一步拆开：

• 年度风险评估报告应当依法按照有关主管部门规定编制；有关主管部门没有规定的，可以参照数据安全风险评估有关国家标准编制。
• 风险评估报告至少保存3年。
• 重要数据处理者应当在年度风险评估完成后的20个工作日内，按照有关主管部门要求向其报送风险评估报告；主管部门不明确的，向省级网信部门或者国家网信部门报送。

这些条文说明了编制、保存和报送的规则，但不能证明某一企业已经完成年度评估、已经形成合格报告或者已经完成报送。报送节点以年度评估完成为前提，具体判断前还要固定完成事实、报告版本、保存记录和报送记录。

下一步固定五组事实和材料

要判断一家企业究竟适用年度、及时评估还是三年鼓励性规则，建议先固定：

1. 实际开展的网络数据处理活动及其对应系统、业务和时间范围；
2. 所处理的数据类别、重要数据识别事实及相应原始材料；
3. 有关主管部门、所属行业或领域，以及现行行业规则；
4. 重要数据安全状态是否发生重大变化、变化内容及其可能影响的记录；
5. 年度评估完成事实、报告版本、保存记录和报送记录。

在这些材料闭合前，更稳妥的表达是：目前只能确认办法设置了不同主体、不同触发条件下的频次和报告规则，尚不能确认具体企业的主体身份、数据身份、应适用的完整规则或实际履行情况。把未知保留下来，才能避免把“每年”“每三年”或“保存三年”变成脱离前提的统一答案。