公司数据库里既有客户手机号，又有行业统计数据，还有生产系统的运行数据，老板问一句「这些数据要不要分级」，IT 负责人翻遍内部文件也说不出个标准——很多人搜「数据分类分级保护制度」，卡住的正是这一步：不知道分级的依据在哪部法、谁说了算。数据安全法第二十一条就是那个总开关：国家建制度、协调机制出重要数据目录、各地区各部门定具体目录，企业按目录对号入座再落保护措施。2026 年写的这篇，把这一条拆成三个层次讲透，帮你判断自己手里的数据归哪一档、接下来该做什么。
先看这三个要点
- 分级的两个尺度：一看数据在经济社会发展中的重要程度，二看一旦遭到篡改、破坏、泄露或者非法获取、非法利用造成的危害程度——两个尺度同时看，不是只看其中一个。
- 核心数据是最高档：关系国家安全、国民经济命脉、重要民生、重大公共利益的数据属于国家核心数据，实行更加严格的管理制度，碰这一档的底线罚款直接到一千万。
- 目录不是企业自己编：重要数据目录由国家数据安全工作协调机制统筹协调有关部门制定，各地区、各部门确定本地区、本行业的具体目录，企业对照目录做重点保护。
一、条文原文
- 《中华人民共和国数据安全法》第二十一条
- 国家建立数据分类分级保护制度，根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护。国家数据安全工作协调机制统筹协调有关部门制定重要数据目录，加强对重要数据的保护。
- 关系国家安全、国民经济命脉、重要民生、重大公共利益等数据属于国家核心数据，实行更加严格的管理制度。
- 各地区、各部门应当按照数据分类分级保护制度，确定本地区、本部门以及相关行业、领域的重要数据具体目录，对列入目录的数据进行重点保护。
二、三个层次怎么分
第一层：分类。「分类」解决的是数据是什么的问题——客户数据、经营数据、研发数据、生产运行数据，按业务属性归类。这一层主要是企业内部管理动作，方便后续定岗定责。
第二层：分级。「分级」解决的是数据多敏感的问题。条文给了两个判断尺度，缺一不可：一是在经济社会发展中的重要程度，二是出事之后的危害程度。一份企业内部通讯录，重要程度一般；但如果它是某个关键行业全国调度系统的运维人员清单，泄露之后可能被人利用去攻击系统，危害维度就上来了。
第三层：核心数据与重要数据。核心数据是写进法律的最高档，四个关键词——国家安全、国民经济命脉、重要民生、重大公共利益。重要数据则是介于一般数据与核心数据之间的档位，由目录圈定。三者关系可以记成：一般数据 → 重要数据（进目录）→ 核心数据（最严管理）。
| 要件 | 条文表述 | 企业判断要点 |
|---|---|---|
| 重要程度尺度 | 数据在经济社会发展中的重要程度 | 行业覆盖面、不可替代性、是否支撑关键业务 |
| 危害程度尺度 | 遭到篡改、破坏、泄露或非法获取、非法利用的危害 | 模拟最坏情形：数据全泄了，对国家安全、公共利益、个人组织权益的冲击 |
| 核心数据四要素 | 国家安全、国民经济命脉、重要民生、重大公共利益 | 普通企业日常经营数据很少触及，涉关键基础设施、能源、金融调度的要重点评估 |
| 目录归属 | 重要数据目录＋各地区各部门具体目录 | 跟踪本行业主管部门发布的目录文件，进了目录就必须重点保护 |
| 制度衔接 | 分类分级是后续义务的地基 | 第二十七条管理制度、第三十条风险评估，都以分级结果为前提 |
三、企业落地：四步走
第一步，盘点资产。把散落在各部门系统、云盘、备份里的数据摸一遍底，画一张数据地图。盘不清家底，分级就是纸上谈兵。
第二步，按尺度初评。拿条文两个尺度做内部评审：业务侧评重要程度，安全侧评危害程度。两轮评完，把明显高风险的挑出来。
第三步，对照目录校准。金融、工业、交通、卫生健康等行业主管部门陆续发布本行业重要数据目录或识别指南，企业必须以行业目录为准，不能只凭自己的感觉——自评说「不重要」而行业目录里有的，照样按重要数据管理。
第四步，挂上保护措施。分级的落点是保护：一般数据按常规安全管理，重要数据要明确数据安全负责人和管理机构（第二十七条第二款）、定期风险评估并报送（第三十条），核心数据则按最严格制度管理，涉及出境、交易、共享的动作都要走更严的路径。
四、常见问题快答
问：分类和分级是一回事吗？ 不是。分类解决「数据是什么」，按业务属性归堆——客户类、经营类、研发类、运维类，归类是为了定责任部门；分级解决「数据多敏感」，按条文的两个尺度划档。先分类再分级，两步都做，只做其中一步都算没建起制度。
问：没进重要数据目录的数据，是不是就不用管了？ 不是。目录圈定的是「重点保护」对象，一般数据照样要履行第二十七条的制度、培训、技术措施义务和第二十九条的风险处置义务。分级体系的意义是让保护强度与数据级别匹配，不是给低级别数据发豁免证。
问：重要数据目录去哪里查？ 看行业：金融、工业、交通、自然资源、卫生健康等行业主管部门陆续发布本领域重要数据目录或识别指南，地方数据条例也常带本地口径。企业先查直接监管行业的目录，再查注册地的地方规定，两头对照。
问：分级结果需要报监管部门吗？ 分两种：一般数据的分级结果主要是内部管理文件，自查备查即可；重要数据处理者按第三十条定期做风险评估并报送报告，报告里要写明处理的重要数据的种类、数量、处理情况、面临的风险及应对——那份报告本身就是分级结果的对外呈现。
问：数据在云上，分级责任是云厂商的吗？ 不是。数据处理活动的义务主体是开展活动的组织，云只是你选的存储与计算方式。选云厂商要把它作为你技术措施的一部分去评估，责任链的起点始终是自己。
五、分级与保护措施怎么对应
分级不落措施就是废纸。一般数据做常规安全管理：访问控制、定期备份、离职账号清理，成本可控。重要数据按第二十七条第二款、第三十条加码：明确数据安全负责人和管理机构、定期风险评估并报送、出境前先定性过闸、共享与交易环节逐一留痕。核心数据实行更加严格的管理制度——存储隔离、专人专岗、操作审计全量留存，涉及出境与对外提供的动作基本冻结在审批通道里。一张对应表挂在安全部门墙上：每一档数据、每一类措施、每一个责任人，检查时按图索骥，出事时按图追责，这张表就是分级制度活着的证明。
六、边界与误区
- 误区一：「分级是企业自己说了算」。分级保护是国家制度，目录由协调机制和行业主管部门划定，企业是执行者不是立法者。自评结果与目录冲突时，以目录为准。
- 误区二：「只有大厂才要分级」。第二十一条是普适制度，第二十七条的义务主体是「开展数据处理活动」的组织和个人。小企业数据少，可以做得简，但不能没有。
- 误区三：「核心数据离我很远，罚则不用看」。违反国家核心数据管理制度、危害国家主权安全和发展利益的，罚款区间是二百万元到一千万元，并可责令停业（第四十五条第二款）。对涉能源、金融、大型平台的企业，这不是纸面数字。
- 不适用情形：涉及国家秘密的数据走保密法体系（第五十三条），个人信息另按个人信息保护法处理——分类分级不取代这两套专门制度。
七、实操建议
- 把分级结果写进内部制度文件，明确每类数据的责任人、存储位置、访问权限，出事时才知道找谁；
- 订阅本行业主管部门发布的重要数据目录文件，目录更新后三十日内复核一次自家数据台账；
- 对接近「重要数据」边界的，宁可从严归档——按重要数据管理多做的是动作，漏管要挨的是第四十五条的罚单；
- 与等保体系打通：利用互联网开展数据处理的，第二十七条明确要求在网络安全等级保护制度基础上履责，两套评级可以共用一次摸底。
站内等级保护不是口号：网络运营者的五项等保义务、关键信息基础设施运营者，要多扛哪五件事、数据出境怎么合规：安全评估、标准合同、认证三条路怎么选对相关义务与路径有专文，可对照使用。
八、写给三个角色的分头提醒
给 IT 负责人：分级的技术落点是存储与访问控制——重要数据的库表要能从架构图上一眼认出，访问留痕可导出；分级台账与系统配置对不上，是内审最先暴露的问题。给法务：盯两头，一头是行业目录与地方规定的发布动态，目录一变，三十日内复核数据台账；另一头是合同，与供应商、合作方的数据条款要按分级结果定密级与责任，不能所有数据一份模板走天下。给管理层：分级是花钱的事，但账要算全——不做分级的成本藏在两个地方，一是出了事无法证明尽责、罚款跳档，二是业务扩展时数据底数不清、并购与融资尽调反复返工。把分级当作数据资产的清产核资，决策视角立刻不同。三个角色各拿各的清单、共用一套台账，分级制度才能真正转起来。
还有一个实务问题值得单独说：分级结果的有效期。数据不是静态的——业务扩张会让昨天的一般数据变成今天的重要数据，行业目录更新会让原本边缘的字段突然入册。建议给分级台账设「年度全量复核＋事件触发复核」双机制：每年固定做一次全量重新定级；发生数据泄露、行业目录更新、业务上线重大新场景时，只对受影响的数据包做增量复核。复核动作留记录，定级结论标注版本与日期。动态维护的分级台账，才是第二十一条「实行分类分级保护」这个持续状态的真实写照——制度写在那一年是文件，持续转起来才是保护。
一句话总结：数据分类分级是数据安全法的地基条款——先分类、再分级、对照目录定重要数据，核心数据踩不得；分级结果直接决定你要建什么制度、报什么报告、能不能出境。
以上内容为一般性法律知识介绍，不构成正式法律意见。具体数据资产如何定级、是否落入重要数据目录，请结合行业监管文件与企业实际情况，咨询执业律师后执行。