等保定级是整件事的起点，定错了后面全歪。定高一级，测评项多出几十条、整改投入翻倍、监督检查频次也跟着上去；定低一级，测评机构进场就会卡住，公安备案审核退回，上线时间往后推一两个月。最常见的两种误判：内部 OA 定成三级，收集十万级个人信息的平台定成二级。
一、定级只看两个要素
依据 GB/T 22240-2020《网络安全等级保护定级指南》，等级由“受侵害的客体”和“侵害程度”交叉确定，与服务器数量、预算多少无关。
| 受侵害客体 | 一般损害 | 严重损害 | 特别严重损害 |
|---|---|---|---|
| 公民、法人和其他组织的合法权益 | 一级 | 二级 | 二级 |
| 社会秩序、公共利益 | 二级 | 三级 | 三级 |
| 国家安全 | 三级 | 四级 | 五级 |
二、5类最容易定错的系统
| 系统情形 | 常见误定 | 正确处理 |
|---|---|---|
| 仅员工使用的内部 OA、进销存 | 三级 | 二级，可下调 |
| 收集 10 万以上公民手机号、住址 | 二级 | 三级 |
| 医疗、教育、政务对外服务平台 | 二级 | 三级 |
| 只服务本地几十家门店的订货系统 | 三级 | 二级 |
| 已停用但备案仍挂着 | 不处理 | 30 日内办撤销 |
三、定级复核与变更4步
- 自查：按上表核一遍客体与侵害程度，写清用户规模、数据字段、是否对外服务，形成定级报告。
- 评审：二级由单位内部组织评审；三级需不少于 3 名专家评审（网络安全与行业业务各占一半），并报行业主管部门审核。
- 变更备案：定级变更后 30 日内到属地公安网安部门办理，提交定级报告、专家意见、变更说明、系统拓扑图。
- 重新测评：等级上调必须重新测评；下调需书面说明理由，由测评机构确认无高风险项后方可执行。
四、时长与费用
- 变更备案：材料齐全 10 到 20 个工作日办结，公安部门不收费。
- 重新测评：二级 20 到 40 天，三级 45 到 90 天。
- 测评费用：二级 3 到 8 万，三级 10 到 25 万（含测评与整改投入）。
- 二级原则上每两年测评一次（部分省份要求每年一次），三级每年至少一次。
五、3个常见误区
- 级别定得越高越安全：级别高意味着测评项更多、整改投入更大、检查更频繁，多花的钱买不到对应的风险收敛。
- 定级一次管终身：用户量翻倍、新增敏感数据字段、业务从内部转为对外，都要重新定级。
- 系统下线就不用管：停用后 30 日内要办撤销备案，否则检查时仍按在册系统追责。
