企业合规团队最关心的一句话是：这条没做到，最多罚多少？网络数据安全管理条例罚款实行分档计算，2025年1月1日施行后，答案是按违反的义务条款分档计算——轻则警告改正，重则1000万元罚款加停业整顿，直接负责的主管人员还要个人掏钱。条例第55条到第58条把罚则按义务分组排了四个梯度，第59条留了从轻减轻的出口，第58条再把没有专门罚则的义务接回上位法。很多企业搜「违反网络数据安全管理条例罚多少」「数据条例最高罚多少」「主管人员会被罚吗」，这篇把罚则梯度排成对照表，讲清衔接规则和裁量空间。
先看这三个要点
- 四档罚款对应四组义务：第55条管一般义务（最高100万），第56条管国家安全审查（最高1000万），第57条管重要数据义务（最高200万），第58条兜底接回上位法——违反哪条义务，进哪一档。
- 双罚制贯穿全档：每档罚单位的同时都罚「直接负责的主管人员和其他直接责任人员」，轻档1万到10万，重档最高100万——负责人挂名不履职，罚款落到个人。
- 改正越早代价越小：第55条等多档都设计成先责令改正、警告、没收违法所得，拒不改正或情节严重才升级罚款和停业，第59条还给了主动消除危害后果的从轻减轻通道。
一、条文原文
- 第五十五条 违反本条例第十二条、第十六条至第二十条、第二十二条、第四十条第一款和第二款、第四十一条、第四十二条规定的，由网信、电信、公安等主管部门依据各自职责责令改正，给予警告，没收违法所得；拒不改正或者情节严重的，处100万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员可以处1万元以上10万元以下罚款。
- 第五十六条 违反本条例第十三条规定的……拒不改正或者情节严重的，处100万元以上1000万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处10万元以上100万元以下罚款。
- 第五十七条 违反本条例第二十九条第二款、第三十条第二款和第三款、第三十一条、第三十二条规定的……拒不改正或者造成大量数据泄露等严重后果的，处50万元以上200万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处5万元以上20万元以下罚款。
- 第五十八条 违反本条例其他有关规定的，由有关主管部门依照《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》等法律的有关规定追究法律责任。
二、罚则要件对照
| 要件·档位 | 条文依据 | 覆盖义务与罚款上限 |
|---|---|---|
| 一般义务档 | 第五十五条 | 委托处理、服务提供方义务、自动化采集、AI训练、投诉渠道、同意规则、平台第三方、推荐关闭等，单位最高100万，个人1万到10万 |
| 国家安全审查档 | 第五十六条 | 影响国家安全未申报审查（第13条），单位最高1000万，个人10万到100万 |
| 重要数据档 | 第五十七条 | 重要数据识别申报、负责人机构、对外提供前评估、变动报告，单位最高200万，个人5万到20万 |
| 上位法衔接档 | 第五十八条 | 条例未设专门罚则的义务，按网安法、数安法、个保法处罚 |
| 从轻减轻 | 第五十九条 | 主动消除减轻危害、轻微及时改正、初次违法轻微，从轻减轻或不予处罚 |
| 民事刑事衔接 | 第六十一条 | 造成损害依法承担民事责任，治安违法给治安处罚，构成犯罪追刑责 |
三、四档梯度怎么落
第一档（第55条）：日常合规的主战场。进这一档的义务清单要记牢：第12条委托处理没签合同、记录不满3年；第16条服务国家机关时擅自访问留存数据；第18条爬虫干扰他人服务；第19条AI训练数据疏于管理；第20条没有投诉举报渠道；第22条超范围收集、强制授权；第40条平台没管第三方；第41条商店没做核验；第42条推荐没有关闭键。这些是几乎所有企业的日常动作，也是执法频率预期最高的区域。处罚结构是三段递进：先责令改正加警告加没收违法所得，拒不改正或情节严重才进入100万以下罚款加业务限制，主管人员同步1万到10万。
第二档（第56条）：最高危的单一条款。第13条要求影响或可能影响国家安全的处理活动做国家安全审查，这一条顶格1000万——条例里最重的罚款档。什么动作可能触发：涉及重要数据的大额交易、被外资收购的数据密集型企业重组、敏感行业的深度数据合作。企业拿不准是否影响国家安全的，参照第13条的申报程序提前问，别赌概率——这一档没有「先改正再观察」的缓冲，起步就是警告加10万到100万罚款。
第三档（第57条）：重要数据处理者的专属风险。覆盖四项义务：第29条第二款识别申报、第30条第二三款机构职责与人员审查、第31条对外提供前评估、第32条变动报告。梯度设计比第一档多了一层：拒不改正或造成大量数据泄露等严重后果的，罚到50万到200万。注意「造成大量数据泄露」这个加重点——重要数据处理者出了泄露事故，罚款直接跳档，这就是第6786篇讲的应急处置为什么必须做扎实：预防每花一分钱，都在对冲这一档的风险。
衔接档（第58条）：条例不重复造轮子。条例没设专门罚则的义务（如第11条的事件报告与通知、第27条合规审计、第33条年度报告），按上位法追责：个保法对超范围处理最高5000万或上年度营业额百分之五，网安法、数安法各有梯度。实务含义是：别以为条例某条没写罚款就不用管——上位法的罚款往往更重，条例只是把义务细化，罚则退回原法。
裁量空间在第59条和第52条。主动消除减轻危害后果、轻微及时改正、初次违法轻微并及时改正，依行政处罚法从轻减轻或不予处罚——出事后的快速处置、主动报告、配合调查（第11条报案义务的履行）都是裁量要素。第52条还要求主管部门避免重复检查、评估结果互认，企业做完个保合规审计和重要数据风险评估的材料，可以在不同检查中重复使用，合规投入有复利。
这条规则的边界
- 各档的执法主体不同。第55条、第57条是网信、电信、公安按职责分工，第56条加入国家安全机关——收到哪个部门的处罚告知，就按其职责范围对应答辩，程序权利别错过。
- 「拒不改正」需要先有改正机会。除第56条起步即重罚外，多数条款先给责令改正，整改到位的一般停在警告档；收到责令改正通知后的整改速度与留痕，直接决定最终档位。
- 单位责任与个人责任并行不抵消。对企业从轻处理不影响对直接责任人员的处罚，反过来也一样；合规体系完整的证明材料（预案、培训记录、审计报告）既保护企业也保护个人。
- 第61条的民事刑事是独立轨道。行政处罚了不代表民事免责（用户照样索赔），也不排除刑事追责（侵犯公民个人信息罪等），三轨并行时优先处理刑事风险。
四、常见疑问快答
我们是小公司，被警告后改正了，还会有记录吗？**
责令改正和警告是正式行政行为，会留档；但及时改正且无危害后果的，按第59条可以不予罚款，后续若因再次违法进入裁量，主动改正的历史记录仍是争取从轻的材料。别把警告当不痛不痒——同一条款再犯，「初次违法」的从轻通道就关了。
合规负责人会被个人罚款吗？**
罚的是「直接负责的主管人员和其他直接责任人员」——挂名但不履职的负责人恰恰最容易被认定。自保方式是履职留痕：制度审批、培训记录、风险报告的邮件和时间戳，证明自己尽了责。
条例罚款和个保法罚款会重复罚吗？**
不会一事再罚。条例设了专门罚则的按条例罚；没设的按第58条回到个保法等上位法，二者是衔接不是叠加。同一行为同时触犯条例多个条款的，按一个行为择重处理，但不同违法行为分别处罚。
五、实操建议
- 把义务清单翻译成罚款风险表：按第55、56、57条各自覆盖的条款，给公司每项业务标注适用档位和上限，合规优先级一目了然；
- 收到责令改正通知72小时内出方案：整改措施、责任人、完成时限书面化并回传主管部门，把事件钉死在警告档；
- 用足第59条和第52条：出事主动消除危害、留存审计与评估报告复用材料，合规投入争取最大裁量优惠；
- 负责人做履职留痕：季度安全会议纪要、年度风险评估的签批记录、对下整改的督办邮件，个人责任用文档对冲。
站内《企业没做数据安全保护，会有什么处罚》讲了数据安全法侧的处罚框架，可与条例罚则对照建立全景；《网站被黑、数据泄露，公司要罚多少钱：2026年新网络安全法的四档罚款》讲了网安法梯度，三法罚则合看更完整。
相关阅读
一句话总结：条例罚则按义务分四档——日常合规最高100万、国家安全审查最高1000万、重要数据违规最高200万、其余回上位法追责，双罚制下个人也要掏钱，改正越早、留痕越全，代价越小。
以上内容为一般性法律知识介绍，不构成正式法律意见。具体处罚应对请结合案件事实，咨询执业律师后处理。