《数据安全法》实施 5 年：企业从"被动合规"走向"数据驱动"

五年政策演进：关键节点回顾

三个阶段的跨越

阶段一：被动合规——"有制度就算完成"

典型特征是准备一套制度文件应付检查，数据在哪里、有多少、谁在用并不清楚。这个阶段的企业在监管问询或安全事件面前基本无法自证。

阶段二：主动治理——"分类分级 + 责任到人"

企业开始做数据资产盘点与分类分级，明确数据 Owner，建立重要数据清单与安全负责人制度，开始留存可查的过程记录。这个阶段的标志是能拿出一份说得清的年度数据安全报告。

阶段三：数据驱动——"安全能力成为业务准入条件"

数据安全能力不再只是合规成本，而是参与数据要素流通、对外合作、投融资尽职调查时的门槛条件。企业能用成熟度等级、量化指标说明自己的能力水平，例如通过 DSMM 评估明确自身所处的成熟度等级，并据此制定改进路线。

重要数据处理的硬性要求

《网络数据安全管理条例》把重要数据处理者的责任写得比较具体，这几条建议逐条对照检查：

• 明确网络数据安全负责人和网络数据安全管理机构；负责人应具备专业知识与管理经历，由管理层成员担任，并有权直接向主管部门报告；
• 制定实施安全管理制度、操作规程与应急预案，定期开展风险监测、风险评估、应急演练与教育培训；
• 提供、委托处理、共同处理重要数据前，应进行风险评估；
• 每年对其网络数据处理活动开展年度风险评估，并向省级以上有关主管部门报送评估报告；
• 因合并、分立、解散、破产等可能影响重要数据安全的，应采取措施并向省级以上有关主管部门报告处置方案；
• 处理 1000 万人以上个人信息的网络数据处理者，还需遵守针对重要数据处理者的相关规定。

另外，数据分类分级的结论是这一切的前提——连"哪些是重要数据"都没识别出来，后续的评估与报告无从谈起。对未被相关部门、地区告知或公开发布为重要数据的，也不需要作为重要数据申报数据出境安全评估。

给企业的一个务实建议

把数据合规当成年度例行工作，而不是一次性项目。建议每年做三件事：

1. 一次资产盘点：更新数据资产清单、分类分级结论和重要数据识别结果；
2. 一次风险评估：覆盖重要数据处理活动、跨境传输、委托处理与共享；
3. 一次能力对标：用 DSMM 等成熟度模型给自身打分，形成下一年度的改进清单。

三件事做完，不仅能应对监管问询，也能在对外合作和投标时拿出有说服力的能力证明。

结语

五年来，数据合规的规则已经相当完整，剩下的差距主要在企业内部：有没有人负责、有没有记录、能不能量化。把这三件事补齐，合规就从负担变成了能力。