网络安全保护义务不履行，罚多少？ 分四档：一般违法 1 万至 5 万元；拒不改正或者造成危害后果 5 万至 50 万元；造成大量数据泄露等严重后果 50 万至 200 万元；造成关键信息基础设施丧失主要功能 200 万至 1000 万元。2025 年 10 月 28 日修正、2026 年 1 月 1 日起施行的网络安全法，把这套阶梯写得比过去更清楚。
一、先看义务：五件事必须做到
法条依据
- 《中华人民共和国网络安全法》第二十三条国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改：
- （一）制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任；
- （二）采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施；
- （三）采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月；
- （四）采取数据分类、重要数据备份和加密等措施；
- （五）法律、行政法规规定的其他义务。
拆开看就是五条硬要求：
- 定制度、定人。内部安全管理制度和操作规程，明确网络安全负责人。
- 上技术措施。防病毒、防攻击、防侵入。
- 留日志，不少于六个月。这是最容易被查出问题的一项——很多单位根本不存日志，或者只存几天。
- 数据分类、备份、加密。
- 其他法定义务。
二、出了事还要会报
法条依据
- 《中华人民共和国网络安全法》第二十七条网络运营者应当制定网络安全事件应急预案，及时处置系统漏洞、计算机病毒、网络攻击、网络侵入等安全风险；在发生危害网络安全的事件时，立即启动应急预案，采取相应的补救措施，并按照规定向有关主管部门报告。
两个动作：发生危害网络安全的事件，立即启动应急预案并采取补救措施；按规定向主管部门报告。实践中被罚得最重的，往往不是"被黑"本身，而是被黑之后瞒着不报、拖了几天才说。
三、四档罚款，看清楚触发条件
法条依据
- 《中华人民共和国网络安全法》第六十一条网络运营者不履行本法第二十三条、第二十七条规定的网络安全保护义务的，由有关主管部门责令改正，给予警告，可以处一万元以上五万元以下罚款；拒不改正或者导致危害网络安全等后果的，处五万元以上五十万元以下罚款，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。
- 关键信息基础设施的运营者不履行本法第三十五条、第三十六条、第三十八条、第四十条规定的网络安全保护义务的，由有关主管部门责令改正，给予警告，可以处五万元以上十万元以下罚款；拒不改正或者导致危害网络安全等后果的，处十万元以上一百万元以下罚款，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。
- 有前两款行为，造成大量数据泄露、关键信息基础设施丧失局部功能等严重危害网络安全后果的，由有关主管部门处五十万元以上二百万元以下罚款，对直接负责的主管人员和其他直接责任人员处五万元以上二十万元以下罚款；造成关键信息基础设施丧失主要功能等特别严重危害网络安全后果的，处二百万元以上一千万元以下罚款，对直接负责的主管人员和其他直接责任人员处二十万元以上一百万元以下罚款。
把条文拆成阶梯：
| 情形 | 单位罚款 | 直接负责的主管人员 |
|---|---|---|
| 一般违法，责令改正 | 警告，可处 1 万至 5 万 | —— |
| 拒不改正，或导致危害网络安全等后果 | 5 万至 50 万 | 1 万至 10 万 |
| 造成大量数据泄露、关键信息基础设施丧失局部功能等严重后果 | 50 万至 200 万 | 5 万至 20 万 |
| 造成关键信息基础设施丧失主要功能等特别严重后果 | 200 万至 1000 万 | 20 万至 100 万 |
两条要点：
- 罚单位也罚人。直接负责的主管人员和其他直接责任人员，是单独的处罚对象。企业被罚，负责人个人也要掏钱，这在过去很多企业没意识到。
- 关键信息基础设施运营者门槛更高。同样的不作为，起点就是 5 万至 10 万元，拒不改正或者造成后果 10 万至 100 万元。
四、什么叫「大量数据泄露」
法律没有给数字，实务中看四个维度：数据条数、敏感程度（身份证号、生物识别、医疗健康、金融账户属高敏感）、影响人数与地域范围、是否可复原。用户量大的平台，一次拖库就可能被认定为"大量"。
数据泄露除了行政罚款，还可能面临用户的民事索赔，可参阅个人信息被平台泄露，可以索赔吗；如果泄露源头是内部人员倒卖，企业同样可能担责，参见个人信息被内部人员倒卖，企业要担责吗。
五、被查之后的三步应对
- 立刻补措施、补报告。整改越早，从"拒不改正"这一档掉下来的可能性越大。
- 申请听证。罚款数额较大、责令停业或吊销许可证的，属听证范围，具体怎么申请见行政处罚听证怎么申请。
- 评估复议或诉讼。对事实认定、法律适用有异议的，60 日内申请行政复议，6 个月内提起行政诉讼。
六、小公司也要管吗
要。条文用的是"网络运营者"，指网络的所有者、管理者和网络服务提供者。只要你有网站、有 App、有服务器、收集用户信息，就在范围内。
小公司最常见的三个漏洞：没有网络安全负责人（老板兼着，出事没人认）、日志不留或只留几天、系统漏洞长期不打补丁。这三项补起来成本很低，却是检查时最先被看的。
一句话总结： 网络安全法把义务写成五条硬要求，把罚款分成 1 万到 1000 万四档，单位和个人一起罚；被黑不可怕，瞒报和不整改才最贵。
以上内容为一般性法律知识分享，不构成正式法律意见；具体案件请结合证据情况咨询执业律师。