一家做物流调度的公司手上有全国几十万货车的实时位置数据，老板觉得这就是普通的业务数据，直到同行提醒「这数据一旦泄露，别人能推演国家的货运命脉」——一类数据算不算重要数据，谁说了算，说错了谁担责——做数据分类分级保护之前，先要把这套识别机制弄明白。网络数据安全管理条例2024年9月24日公布、2025年1月1日施行，第5条确立分类分级保护总原则，第29条把重要数据的识别、申报、告知机制落到操作层面。很多企业搜「数据分类分级怎么做」「重要数据怎么识别」「没被认定为重要数据要不要管」，这篇就把这套机制讲透，帮企业既不自我加压过头，也不心存侥幸漏网。
先看这三个要点
- 分级标准写在第5条：按数据在经济社会发展中的重要程度，以及遭篡改、破坏、泄露或非法获取、非法利用后的危害程度，对网络数据实行分类分级保护——危害程度越高，义务越重。
- 重要数据以目录为准：第29条第一款规定国家数据安全工作协调机制统筹制定重要数据目录，各地区、各部门确定本地区本行业的具体目录，列入目录的重点保护。
- 识别申报企业动手、确认国家拍板：第29条第二款要求网络数据处理者按国家规定识别、申报重要数据，确认权在相关地区、部门，确认后会告知或公开发布。
一、条文原文
- 第五条 国家根据网络数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对网络数据实行分类分级保护。
- 第二十九条 国家数据安全工作协调机制统筹协调有关部门制定重要数据目录，加强对重要数据的保护。各地区、各部门应当按照数据分类分级保护制度，确定本地区、本部门以及相关行业、领域的重要数据具体目录，对列入目录的网络数据进行重点保护。
- 网络数据处理者应当按照国家有关规定识别、申报重要数据。对确认为重要数据的，相关地区、部门应当及时向网络数据处理者告知或者公开发布。网络数据处理者应当履行网络数据安全保护责任。
- 国家鼓励网络数据处理者使用数据标签标识等技术和产品，提高重要数据安全管理水平。
- 第六十二条（节选） （四）重要数据，是指特定领域、特定群体、特定区域或者达到一定精度和规模，一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能直接危害国家安全、经济运行、社会稳定、公共健康和安全的数据。
二、识别要件对照
| 要件·维度 | 条文依据 | 判断要点 |
|---|---|---|
| 数据定义 | 第六十二条第四项 | 特定领域、群体、区域或达到一定精度和规模的数据 |
| 危害标准 | 第六十二条第四项 | 一旦出事可能直接危害国家安全、经济运行、社会稳定、公共健康和安全 |
| 识别义务 | 第二十九条第二款 | 企业按国家有关规定识别、申报，不能躺平等通知 |
| 确认机制 | 第二十九条第二款 | 确认为重要数据的，部门告知或公开发布，企业按告知履行保护责任 |
| 目录定位 | 第二十九条第一款 | 各地区各部门定具体目录，先查目录再自查，别凭感觉定级 |
三、一套机制，三层逻辑
第一层：分类分级是总纲，不是口号。数据安全法第21条确立分类分级保护制度时只给了原则，条例第5条把它接住并具体化：一个维度看数据本身多重要，一个维度看出事后危害多大，两个维度交叉决定保护强度。实操中企业可以把数据按业务条线分类（用户数据、业务数据、日志数据、合作方数据），再按危害程度分级（一般、较重要、可能涉重要数据），分级结果直接对应不同的技术措施和管理要求。分级本身不求精确到学术水准，但求每个类别都有对应的责任人和措施，出事时说得清楚谁在管。
第二层：重要数据的定义给了一个「直奔危害」的标尺。第62条第四项的定义有三个关键词：特定领域、特定群体、特定区域或者达到一定精度和规模——这是量与质的双重门槛；可能直接危害国家安全、经济运行、社会稳定、公共健康和安全——这是危害的层级门槛。注意「直接」二字：一般企业经营数据泄露造成的是商业损失，够不上这个层级；但导航地图厂商的精准位置轨迹、基因检测机构的全员基因数据、覆盖某省全量用电明细的数据，都可能在「直接危害」射程内。开头说的物流调度数据，数十万货车实时轨迹聚合起来足以反映区域经济运行状态，就处在灰色地带，正因如此才需要走识别申报程序拿一个权威结论。
第三层：申报是动作，确认是权力，两头都要履责。第29条第二款的结构很清楚：企业按国家规定识别、申报——识别不能不做，做完了要主动申报；部门确认后及时告知或者公开发布——确认权不在企业手里。这个设计的妙处在于双向免责：企业申报了、部门没认的，企业按一般数据管理不算失职；部门认定了、企业装不知道的，「及时告知或公开发布」的机制让侥幸空间趋近于零。第37条还配了另一个方向的保障：企业按规定识别、申报，但未被告知或公开发布为重要数据的，不需要把它作为重要数据申报数据出境安全评估——申报行为本身不会把企业拖进更重的义务池。
第28条埋了一个数量触发器：处理1000万人以上个人信息的处理者，直接适用重要数据处理者的义务（第30条、第32条）。也就是说，不管你手上是什么数据，规模到了千万级用户，制度上就把你按重要数据处理者对待——这条对头部APP、连锁平台是必须记牢的红线。
这条规则的边界
- 没有列入目录、也没被认定的数据，不按重要数据管理。企业不必把所有数据都拔高到重要数据级别自我加压，按一般数据的第9条底线义务管理即可，过度定级反而拖垮小企业。
- 「可能直接危害」的判断以目录和权威认定为准。企业自己的评估是申报的起点，不是结论；拿不准的走申报程序，别自行宣布「我们是重要数据」然后自我加重义务，也别自行宣布「肯定不是」就放飞。
- 分类分级制度的具体标准由行业主管部门定。不同行业（金融、医疗、交通、工信）的分级细则不同，跨行业经营的企业要分别对照各自行业的目录，不能一套标准走天下。
- 第28条的数量线只触发第30条、第32条。千万级个人信息处理者适用的是数据安全负责人和转移报告义务，不是自动成为「重要数据处理者」的全部义务（如第31条的对外提供前评估、第33条的年度风险评估报告仍以确认为前提），义务边界要分清。
四、常见疑问快答
我们公司的数据量不大，要不要做分类分级？**
要，但可以做轻量版。第5条的分级原则对所有处理者适用，小企业把数据分成三四类、每类对应基本的安全措施（第9条的加密、备份、访问控制）就够了，不必套重要数据的全套重义务，关键是让每类数据有人负责、有措施对应。
行业重要数据目录还没公开发布，我先按什么执行？**
先按第62条第四项的定义做内部初筛，处于灰色地带的按第29条第二款准备申报材料；同时关注本行业主管部门发布的目录和识别指南，目录一落地立刻对照调整。条件符合的还可以直接向主管部门咨询确认。
被认定为重要数据后，最先要做的是哪几件事？**
按第30条设数据安全负责人和管理机构，按第31条给对外提供行为加风险评估前置，按第32条把合并分立解散破产时的数据处置方案纳入预案，按第33条建立年度风险评估和报送机制。这几条的详细动作可以看本站重要数据处理者义务专篇。
五、实操建议
- 先画数据地图再做分级：把公司数据按来源、字段、用途、存量列清单，没有底账的分级都是空中楼阁；
- 对照两把标尺初筛重要数据：用第62条第四项的领域精度规模要素和直接危害标准过一遍数据清单，疑似数据单独建档；
- 灰色数据走申报别拍脑袋：第29条第二款的申报程序是企业拿到权威定性的唯一正道，自行降级的风险远高于申报成本；
- 盯住两个数字：手上有1000万以上用户个人信息的，按第28条直接进入重要数据处理者的义务框架，负责人和机构设置先做起来。
站内《数据交易怎么走合规路径：交易所、授权运营与数据中介义务》讲了数据流通环节的合规框架，分类分级正是流通的前提功课；《企业没做数据安全保护，会有什么处罚》从罚则角度说明了不做分级防护的代价，两篇可对照看。
相关阅读
一句话总结：数据分类分级保护按第5条定原则、第62条第四项定标尺、第29条定程序——企业负责识别申报，国家负责认定，摸不准的走申报程序，手上有千万级用户信息的直接按第28条升级管理。
以上内容为一般性法律知识介绍，不构成正式法律意见。具体定级与申报方案请结合数据实态，咨询执业律师后处理。