重要数据年度评估后，风险报告多久报？

企业刚完成年度网络数据安全风险评估，先别把“20个工作日”直接套进所有项目的日历。

首动作是固定两个事实：本项目主体是否属于重要数据处理者，以及年度风险评估具体哪一天完成。

先说规则：对于重要数据处理者，年度风险评估完成后的20个工作日内，应按照有关主管部门要求报送风险评估报告。

主管部门明确的，按其要求报送；主管部门不明确的，向省级网信部门或者国家网信部门报送。

所以，企业现在可以把“主体—完成日—主管部门—报送要求”放进同一张项目台账。先核对主体，再固定完成日，最后确认报送对象；主体尚未核实，不要只因为“做过评估”就写出一个确定截止日。

还要把三个结论分开：20个工作日是报告报送节点，不是评估结论通过；这条规则针对重要数据处理者，不是所有网络数据处理者的统一期限；相关评估机构通过认证属于鼓励事项，不能写成一律强制前置条件。

《网络数据安全风险评估办法》自2026年8月20日起施行。吕箐翎律师建议，先补齐台账中的四个字段，再按具体项目事实和主管部门要求生成报送日历。

国家互联网信息办公室《〈网络数据安全风险评估办法〉实施有关事项答记者问》（2026年8月20日）：https://www.cac.gov.cn/2026-08/20/c_1788889498173657.htm