当前，数据作为新型生产要素，正深度融入经济社会各领域。随着《网络安全法》《数据安全法》《个人信息保护法》《网络数据安全管理条例》（合称＂三法一条例＂）的全面施行，识别数据资产、开展安全风险评估、保障数据处理活动安全，已成为数字经济发展不可逾越的基本要求。2026年6月18日，国家互联网信息办公室、工业和信息化部、公安部联合发布《网络数据安全风险评估办法》（自2026年8月20日起施行），进一步细化了重要数据处理者年度风险评估的具体程序与报送要求，数据安全风险评估的制度闭环日趋完善。

在标准层面，工业和信息化部先后发布了YD／T 3956－2024《电信领域数据安全风险评估规范》和YD／T 6415－2025《工业领域数据安全风险评估规范》。国家市场监督管理总局、国家标准化管理委员会也于近期正式发布GB／T 45577－2025《数据安全技术 数据安全风险评估方法》，标志着数据安全风险评估领域形成了＂国家通用标准＋行业具体规范＂的协同体系。如何科学配套使用这些标准，精准履行法定评估与报送义务，是电信和工业企业现阶段亟需厘清的合规命题。

一、法规强制与标准指引的衔接逻辑

＂三法一条例＂从不同维度设定了数据安全风险评估的强制性义务。《数据安全法》第三十条要求重要数据处理者定期开展风险评估；《个人信息保护法》第五十五条规定特定情形下须事前进行个人信息保护影响评估；《网络数据安全管理条例》第三十三条要求重要数据的处理者每年至少开展一次数据安全风险评估，并向所在地省级网信部门报送报告。《网络数据安全风险评估办法》则在此基础上，对评估周期、报告编制、报送时限与渠道等作出了统一规定，为各行业主管部门制定本行业评估细则提供了上位依据。

上述法规明确了＂必须做＂，但＂如何做、做到什么程度＂则需标准来承接。GB／T 45577－2025提供了适用于各类数据处理活动的基础性风险评估方法论，规定了评估准备、数据资产识别、威胁与脆弱性识别、风险分析与评价等通用流程。而工信领域的两项行标则将方法框架转换为可操作的行业语言，使企业既能满足法规义务，又兼顾行业监管和数据特性的特殊要求。

二、行标与国标的内在关联：互补而非替代

厘清两项行标与GB／T 45577－2025的关系，是配套使用的关键。三者并非层级高低或简单替代关系，而是在统一方法论指导下的场景化互补。下表从核心维度展示其关联与差异：

从上表可见，国标确立了风险评估的基础框架与通用方法，行标则在此基础上增加了行业特性的具体要素与风险样例。企业在实操中，应坚持＂国标为方法指引，行标为落地手册＂的原则。

三、工信企业配套使用标准的工作路径

对电信和工业企业而言，将标准体系有效嵌入管理体系，建议沿以下路径开展工作：

（一）基础对齐，建立资产清单。依据GB／T 43697－2024《数据安全技术 数据分类分级规则》确立的通用数据分类分级方法，结合行业重要数据识别指南——电信领域适用YD／T 3867－2024《电信领域重要数据识别指南》，工业领域适用YD／T 4981－2024《工业领域重要数据识别指南》——完成企业数据资产的全面梳理与分类分级。这是所有评估工作的输入项，也是衔接行标YD／T 3956或YD／T 6415中＂数据资产识别＂环节的前提。

（二）目录备案，履行法定程序。依据《工业和信息化领域数据安全管理办法（试行）》第十二条，工业和信息化领域数据处理者完成重要数据和核心数据的识别与清单编制后，应当将本单位重要数据和核心数据目录向本地区行业监管部门备案。备案内容包括数据来源、类别、级别、规模、载体、处理目的和方式、使用范围、责任主体、对外共享、跨境传输、安全保护措施等基本情况。目录备案是数据分类分级工作的法定延伸，也是后续开展数据安全风险评估的前置条件——未完成重要数据识别与备案，评估对象的范围即无法准确定义。备案内容发生重大变化后，应及时更新备案。

（三）选定标准，构建评估方案。电信企业适用YD／T 3956，工业企业适用YD／T 6415。在制定评估方案时，评估团队的构成、评估周期、风险评估模型的选择，应与GB／T 45577的基本准则保持一致，确保方法论的基础符合国家标准。

（四）差异化威胁建模，精准识别风险。利用行标给出的行业特色威胁库和脆弱性检查点，结合国标的分析方法，识别数据全生命周期风险。例如，工业企业在评估生产数据时，需重点分析指令注入导致的可用性丧失风险，这在行标中有明确指引，而国标则提供风险值计算的统一公式。

（五）成果复用，满足多重监管。一次严格的数据安全风险评估，其报告核心内容经整理可同时用于满足《网络数据安全管理条例》的定期报送要求、《网络数据安全风险评估办法》的报送规定、重要数据备案与安全评估、关键信息基础设施安全保护中数据安全部分的证据材料，以及工信部行业监管的专项检查。

四、成果报送与法定义务的衔接

准确理解不同监管口径的报送要求，是企业高效履行合规义务的关键。数据安全风险评估及报送义务直接源于《网络数据安全管理条例》（以下简称《网数条例》）和《网络数据安全风险评估办法》（以下简称《评估办法》），工信领域则在《工业和信息化领域数据安全管理办法（试行）》（以下简称《工信数安办法》）及《工业和信息化领域数据安全风险评估实施细则（试行）》（以下简称《工信数安评估细则》）中作出行业细化规定。

下面对《网数条例》《评估办法》与《工信数安评估细则》的报送要求进行对比：

基于上述关系，工信领域企业可探索构建 ＂一次评估、分类报送＂ 的工作模式：

评估执行阶段：统一依据适用的行业标准（YD／T 3956－2024或YD／T 6415－2025）开展风险评估，该过程与GB／T 45577－2025在方法论上保持一致，可参考国标附录E提供的评估报告模板规范报告格式。

成果制作阶段：以行业标准确定的评估报告规范为基础生成行业版报告；同时可根据《网络数据安全风险评估办法》第十五条要求，参照GB／T 45577－2025编制通用版风险评估报告。两版本均需确保风险结论一致。

报送执行阶段：将行业版报告按照《工业和信息化领域数据安全风险评估实施细则（试行）》第十条要求，在评估完成后10个工作日内报送至本地区行业监管部门；将通用版报告按照《网络数据安全风险评估办法》第十六条要求，向有关主管部门（即本地区行业监管部门）报送，由主管部门在10个工作日内通报同级网信部门。一次评估的核心成果可支撑多部门报送需求，避免重复投入。需注意《评估办法》规定的20个工作日为最长期限，而行业监管要求为10个工作日，企业应以10个工作日为实际执行时限，统筹安排评估与报送节奏。

五、结语

数据安全风险评估绝非一次性合规动作，而是持续的数据安全治理能力的验证。以GB／T 45577－2025为通用标尺，以YD／T 3956－2024和YD／T 6415－2025为行业指南，企业不仅能系统化履行法定评估与报送义务，更能精准识别与消控风险，真正实现数据开发利用与安全保障的平衡，为数据经济的长期健康发展筑牢底线。

服务支撑：标准贯标与评估机构能力认证

作为GB／T 45577－2025《数据安全技术 数据安全风险评估方法》的主要起草单位之一，中国电子技术标准化研究院（电子四院）面向企业提供标准贯标与风险评估技术支持服务，具体包括：

数据安全风险评估标准贯标服务：依据GB／T 45577－2025等国家标准，辅导企业建立评估体系，开展标准培训、差距分析与评估流程建设。

工信领域数据安全风险评估服务：依据YD／T 3956－2024、YD／T 6415－2025等行业标准，针对电信和工业企业开展全流程数据安全风险评估，出具符合监管报送要求的评估报告。

与此同时，北京赛西认证有限责任公司（赛西认证）作为第三方认证机构，面向从事工信领域数据安全风险评估的专业机构开展认证服务。通过对评估机构技术能力与过程规范性进行审核评价，促进评估服务质量的提升与结果的可信度。