「你们的系统过等保了吗？」——这是甲方采购、监管检查时的口头禅，它的法律依据就是网络安全法第二十三条。最近问「网络安全等级保护义务有哪些」的人不少，本文讲清规则：《中华人民共和国网络安全法》第二十三条，给所有网络运营者列了五项等保义务。

⁠​‌​‌​​‌​‌‌‌​‌​‌​‌‌​​‌‌‌‌‌​‌​​‌​‌​​​‌‌​‌​‌​‌​‌‌​​⁠

先看这几个要点

关键结论
  • ① 适用所有网络运营者：不做关基认定也要履行——等保是通用底座。
  • ② 制度与责任：制定内部安全管理制度和操作规程，确定网络安全负责人。
  • ③ 技术措施：防范计算机病毒和网络攻击、侵入。
  • ④ 日志六个月：监测记录网络运行状态、安全事件，日志按规定留存不少于六个月。
  • ⑤ 数据措施：数据分类、重要数据备份和加密。
  • ⑥ 不履行的处罚：第六十一条——警告，可罚一到五万；拒不改正或致危害后果罚五到五十万，主管人员另罚。

一、条文原文

法条依据
  • 《中华人民共和国网络安全法》第二十三条
  • 国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改：
  • （一）制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任；
  • （二）采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施；
  • （三）采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月；
  • （四）采取数据分类、重要数据备份和加密等措施；
  • （五）法律、行政法规规定的其他义务。

二、五项义务自查清单

要件·义务自查内容常见缺项
制度与负责人安全管理制度、操作规程、负责人任命制度抄模板不落地、负责人挂名
防护技术措施防病毒、防攻击、防侵入裸奔上线、无边界防护
监测记录＋日志留存记录运行状态与安全事件，留存≥6 个月日志只存 7 天、日志未覆盖关键系统
数据分类备份加密分类分级、重要数据备份与加密无分类标准、明文存储
其他法定义务兜底未跟踪新规

「网络日志不少于六个月」最常翻车：出安全事件后要回溯溯源，日志留存不足直接被认定未履行义务；监控覆盖面要包括登录、操作、告警等关键日志，且时间戳可靠。

等保定级与本条的关系：第二十三条是法定最低义务清单，不因系统定级为一二级而免除；定级备案、测评是等保制度的具体落地动作，两项并行。

三、给运营者的落地顺序

第一，任命网络安全负责人、发文明确责任。第二，对照等保要求做差距评估，补制度与操作规程。第三，部署防病毒、防火墙、入侵检测等基础防护。第四，把日志留存调整到六个月以上并验证覆盖。第五，建立数据分类清单，落实重要数据备份与加密。第六，留好全套执行证据——检查与处罚都看「做没做、有没有记录」。

测评与备案的节奏：系统定级后按规定备案，三级以上一般每年测评一次、二级按地方要求定期测评；测评报告既是监管检查的依据，也是发生安全事件时证明已经尽到义务的材料。

和关基义务的关系：等保是通用底座，被认定为关键信息基础设施后还要叠加专门机构、背景审查、容灾备份、应急演练等加码义务——先过等保，再看要不要按关基标准再上一档。

边界：这条用不上的情形

不适用本条的情形：非经营性、纯属个人自用的小型网络环境（无「网络运营者」属性）；涉密网络（按第七十九条另循保密法规）；军事网络（第八十条另行规定）。

一句话总结：等保义务是所有网络运营者的通用底线——制度有人管、攻击防得住、日志存满六个月、数据分类备份加密，五项缺一都可能被警告乃至罚款；出事之后的日志，就是你的免责或担责证据。

以上内容为一般性法律知识介绍，不构成正式法律意见。具体合规方案请结合系统定级与行业要求，咨询执业律师后落实。