2026年2月，北京快手科技有限公司因未履行网络安全保护义务被罚1.191亿元。6月，上海携程因违法出境个人信息被罚1000万元。7月，重庆一家企业因为没对敏感个人信息做去标识化处理，被罚5万。罚款从5万到1.19亿，差了上千倍，但都属于同一个大类——数据合规违法。
从2026年1月1日新修改的《网络安全法》施行开始，数据合规就不再是”做不做”的问题，而是”不做会罚多少钱”的问题。但很多企业老板的困惑是：我知道要做，但到底要做哪几项？标准是什么？找谁做？
说句实在的，2026年企业数据合规的强制门槛就是三项：个人信息保护审计、数据安全等保认证、商用密码应用安全性评估（简称密评）。这三项不是可选的，是你的业务涉及对应场景就必须做的。一项一项说清楚。
第一项：个人信息保护审计
个人信息保护审计（简称个保审计）的依据是《个人信息保护法》第五十四条：个人信息处理者应当定期对其个人信息处理活动进行合规审计。注意”定期”两个字——不是做一次就行，是要持续做。
哪些企业必须做？只要你在处理个人信息——收集用户手机号、存储客户身份信息、分析消费者行为数据——就属于个人信息处理者。说直白点，但凡你有用户数据库的企业，基本都跑不掉。处理100万人以上个人信息的企业，属于重点监管对象，审计要求更严格。
个保审计查什么？核查你的个人信息处理活动是否合法合规：有没有明示告知用户、有没有取得同意、数据收集有没有超范围、存储期限合不合规、有没有做去标识化处理、个人信息出境有没有做安全评估。审计不是走过场，2026年重庆那家被罚的企业就是因为在去标识化处理这个环节出了问题。
怎么做？可以自行审计，也可以委托专业机构。涉及大规模个人信息的，建议找专业第三方机构来做，审计报告的公信力更强。北京这边网信办的执法力度是出了名的，自查不充分被查出来的案例不少。
第二项：数据安全等保认证
等级保护测评（简称等保）是老制度了，但2026年有了新变化。公安部2026年6月1日生效的GA/T2380-2026《信息安全技术 网络安全等级保护 数据安全基本要求》，把数据安全从等保里的一个子项独立出来，单独打分。
这个变化有多大？以前你网络、主机、防火墙过关就能通过等保，现在数据安全这一项不达标，整个等保直接驳回。33项重大风险点，触发任何一项就是一票否决。等于说数据安全成了等保的硬门槛。
哪些系统需要过等保？按照《网络安全法》要求，所有网络运营者都需要履行网络安全保护义务。但具体定级有差异：一般企业官网可能定一级或二级，处理用户数据的业务系统至少二级，涉及大量敏感信息的系统可能要过三级。金融机构、政务系统、医疗系统基本都要过三级。
等保测评要找有资质的机构做。机构需要持有《网络安全等级测评与检测评估机构服务认证证书》。2026年政府采购公告里，很多项目明确要求这一资质。北京等保测评机构不少，但良莠不齐，选的时候注意看资质是否在有效期内。
第三项：商用密码应用安全性评估
密评，全称商用密码应用安全性评估，依据是《密码法》和《商用密码管理条例》。很多人对密评很陌生，觉得这是军工、银行的专利。但2026年的趋势很明显——密评覆盖面在快速扩大。
哪些系统需要做密评？关键信息基础设施、政务信息系统、金融信息系统是强制要求。但从2026年各地政府采购公告来看，很多非涉密的政务系统、公共资源交易中心系统、公积金信息系统也在同时采购等保和密评服务。山东省公共资源交易中心2026年度采购预算近90万，四川省教育信息化数据中心预算126万，都是等保加密评一起做。
密评要找有国家密码管理局颁发的《商用密码检测机构资质证书》的机构来做，且业务范围必须包含”商用密码应用安全性评估”。不是随便一个安全公司就能做的，资质门槛卡得很死。
密评查什么？核心是看你系统里有没有用国密算法（SM2/SM3/SM4），用得对不对。你用了RSA加密？不行，关键信息基础设施系统必须上国密。你的数据传输用HTTPS但没用国密SSL？不达标。很多企业的系统从设计阶段就没考虑国密，密评不通过后要大改，成本很高。
三项怎么一起做最省
这三项评估虽然各有侧重，但存在大量交叉。等保测评中关于数据分类分级、访问控制、安全审计的要求，跟个保审计里的去标识化、权限管理高度重叠。密评里的密码应用要求，跟等保里的数据保密性要求也有关联。
聪明的做法是打包做。找一家同时具备等保测评资质和密评资质的机构，一次性完成现场测评，减少多次迎检的成本。很多政府采购项目已经这么做了——等保和密评打在一个标里，服务期6个月到一年。企业自己也可以参照这个思路，提前规划好三评估的时间线，避免重复投入。
另一个省钱思路是，从系统设计阶段就考虑合规要求。国密算法从一开始就集成进去，比事后改造省十倍的钱。数据分类分级从一开始就做，比等保临检前突击整理省不知道多少工时。北京这边有企业在系统上线前就找专业团队做了合规规划，后面等保、密评一次性通过，省了大量整改时间和成本。
数据合规这件事，2026年的信号已经很明确了：不做，罚款从5万到上亿；做了，成本从几万到几十万。算算账就知道该怎么选。北京这边如果有企业不确定自己涉及哪几项评估、该怎么做的，可以先找个懂行的人摸个底，搞清楚范围再动手，比盲目上项目省钱多了。
需要相关服务？联系我们免费咨询
九五星球企服提供公司注册、代理记账、商标注册、财税咨询、高新申报、网站开发等一站式企业服务。可以先免费咨询看看，觉得合适再合作，不推销。
免费小工具推荐：
联系方式：
- 电话/微信：18910232032
- 扫码添加专业经营合规顾问，免费咨询 ↓
