公司被主管部门告知手上的数据被确认为重要数据，或者用户规模冲过了1000万这条线——从这一刻起，企业的数据安全工作就不再是IT部门内部的事，重要数据处理者义务有一整套写进法规的额外清单：第30条的负责人和管理机构、第31条的对外提供前评估、第32条的变动报告、第33条的年度风险评估与报送。很多企业搜「重要数据处理者有哪些义务」「年度风险评估报告怎么写」「数据安全负责人要什么资格」，这篇按条例原文把四条义务逐项拆解，给一份能直接排期的合规清单。
先看这三个要点
- 负责人必须管理层成员担任：第30条要求明确数据安全负责人和管理机构，负责人要具备专业知识和管理工作经历，有权直接向主管部门报告——挂名在运维主管头上不合规。
- 对外提供重要数据先评估后签约：第31条规定提供、委托处理、共同处理重要数据前必须做风险评估，评估六项内容有明确的检查清单，法定职责义务情形除外。
- 年度报告每年必交：第33条要求每年对数据处理活动开展风险评估并向省级以上主管部门报送，报告七项内容，大型平台还要额外说明关键业务和供应链安全。
一、条文原文
- 第三十条 重要数据的处理者应当明确网络数据安全负责人和网络数据安全管理机构。网络数据安全管理机构应当履行下列网络数据安全保护责任：（一）制定实施网络数据安全管理制度、操作规程和网络数据安全事件应急预案；（二）定期组织开展网络数据安全风险监测、风险评估、应急演练、宣传教育培训等活动，及时处置网络数据安全风险和事件；（三）受理并处理网络数据安全投诉、举报。
- 网络数据安全负责人应当具备网络数据安全专业知识和相关管理工作经历，由网络数据处理者管理层成员担任，有权直接向有关主管部门报告网络数据安全情况。
- 第三十一条 重要数据的处理者提供、委托处理、共同处理重要数据前，应当进行风险评估，但是属于履行法定职责或者法定义务的除外。
- 第三十三条 重要数据的处理者应当每年度对其网络数据处理活动开展风险评估，并向省级以上有关主管部门报送风险评估报告。
二、义务要件对照
| 要件·维度 | 条文依据 | 法定动作 |
|---|---|---|
| 机构设置 | 第三十条第一款 | 明确数据安全负责人和管理机构，三职责写进制度：制度预案、监测演练、投诉处理 |
| 负责人资格 | 第三十条第二款 | 管理层成员，具备专业知识和管理工作经历，有直接报告权 |
| 背景审查 | 第三十条第三款 | 掌握特定种类规模重要数据的，负责人和关键岗位人员做安全背景审查 |
| 对外提供评估 | 第三十一条 | 提供、委托、共同处理前做风险评估，六项内容覆盖目的合法性到技术措施有效性 |
| 变动报告 | 第三十二条 | 合并分立解散破产可能影响数据安全的，向省级以上主管部门报告处置方案 |
| 年度报送 | 第三十三条 | 每年风险评估并向省级以上主管部门报送报告，七项内容不能缺 |
三、四条义务，逐条排期
第30条：先把人和架子搭起来。管理机构的三项职责本身就是一份组织建设清单：制度层面要有安全管理制度、操作规程、应急预案三套文件；运行层面要有风险监测、风险评估、应急演练、培训教育的常态化机制；接口层面要能受理和处理投诉举报。负责人的人选是执法检查的第一关注点——管理层成员任职意味着CEO、副总或同层级人物挂帅，纯技术骨干不够格；专业知识加管理工作经历是硬条件；「有权直接向主管部门报告」这一句实际保护企业：负责人直报风险不算越权、不算泄密，制度上要给这条通道留白。特定种类规模的重要数据还要做人员背景审查，第30条第三款允许申请公安机关、国家安全机关协助。
第31条：数据出门之前先过评估关。这一条堵的是重要数据外流的关节口：提供给合作方、委托第三方处理、两家共同处理，三件事都要先评估。六项评估内容翻译成商业语言就是：这事合法吗、必要吗；数据出去会坏在哪、坏了对国家社会和当事人多大影响；接盘的人靠谱吗；合同管得住他吗；技术措施挡得住风险吗；主管部门还要求查什么。评估报告要留档——它既是合规证据，也是出事时划清自身责任与接收方责任的依据。第12条要求向接收方提供重要数据的处理情况记录至少保存3年，两份材料合在一起构成完整证据链。履行法定职责或法定义务的除外情形很窄，比如配合司法调取，商业合作一律不在豁免之列。
第32条：公司变动不能丢了数据。合并、分立、解散、破产这类资本运作，可能导致重要数据落到没有能力或没有资质的接收方手里。第32条要求提前采取措施保障数据安全，并向省级以上主管部门报告处置方案和接收方信息——把数据安全审查嵌进了交易流程，尽调清单里要加这一项。
第33条：年度报告是每年雷打不动的动作。七项内容里最容易被漏的是第三项（技术措施及有效性——要写明加密、备份、标签标识、访问控制、安全认证的实际运行情况和效果，不是抄制度文本）和第六项（数据出境情况——即使没有出境也要写明「本年度无出境情形」）。报告交的是管理情况不是数据内容本身，第33条第二款明确不含数据内容。大型网络平台（第62条定义：注册用户5000万以上或月活1000万以上）还要额外说明关键业务和供应链安全——供应链部分要求交代第三方服务商的数据访问情况，把外包风险也纳入报告视野。
第28条的规模触发线再强调一遍：处理1000万人以上个人信息的处理者，即便手上没有被认定的「重要数据」，也直接适用第30条、第32条——机构、负责人、变动报告先建起来；第31条、第33条仍以重要数据认定为前提。
这条规则的边界
- 义务主体是「重要数据的处理者」，不是所有企业。未被认定为重要数据、也未触发第28条千万线的中小企业，按一般规定章节的第9条底线义务管理即可，不必自建全套架构。
- 第31条的评估是对外提供前的一次性（或事项性）评估，与第33条的年度风险评估是两条线：前者针对具体交易，后者覆盖全年处理活动，不能互相替代。
- 年度报告报送给省级以上「有关主管部门」——按行业归属确定对口部门（金融、工信、交通等），主管部门不明的向数据安全工作协调机制报送，投错门不构成免责。
- 报告不等于免责。第33条第四款写明，存在可能危害国家安全的重要数据处理活动的，省级以上主管部门可以责令整改或停止处理——报送了报告但风险照旧的，执法机关照样出手。
四、常见疑问快答
数据安全负责人让CTO兼任行不行？**
CTO通常符合「管理层成员加专业知识」的条件，可以兼任；关键是三个到位——机构真的运转（三项职责有落地记录）、负责人真有直接报告权、出了事真能找到人。挂名但不履职，处罚时个人责任（第57条的直接责任人员罚款）会落到挂名人头上。
年度风险评估自己做还是必须请外部机构？**
第33条没有强制外部机构，自行评估合法有效；但内部人手不足或数据场景复杂时，委托专业机构做更稳妥。注意与个人信息合规审计（第27条）衔接，第52条明确重要数据风险评估与个保合规审计等内容重合的结果可以互相采信，避免重复花钱。
被责令整改或停止处理重要数据怎么办？**
第33条第四款要求按有关要求立即采取措施，此时的正确动作是：立刻启动整改、书面记录整改过程、主动向主管部门汇报进展。继续拖延会从第57条的罚款档位滑向更重处理，商业损失也会扩大。
五、实操建议
- 按收到认定通知的先后排三件事：一个月内定负责人和管理机构，三个月内补齐制度预案和演练记录，随后建立年度评估报送日历；
- 把第31条六项评估内容做成模板：每次对外提供重要数据直接套用填写，评估结论随合同归档，和第12条的3年留痕要求打通；
- 并购交易尽调加数据安全章节：标的涉及重要数据的，按第32条把报告义务、处置方案写进交易文件，别让数据成为交易后遗症；
- 报告内容按第33条七项做成台账：平时按项留痕，年底汇总成报告，避免年底突击编材料——突击材料在执法检查时经不起细问。
站内《什么情况必须做个人信息保护影响评估：五类场景与操作》讲了个人信息侧的评估机制，可与第31条的重要数据评估对照建立双轨评估；《网络数据安全管理条例实施，企业收集数据有什么新要求》给了条例整体框架，本篇是其中重要数据义务部分的展开。
相关阅读
一句话总结：被认定为重要数据或用户规模过千万，第30到33条就把负责人机构、对外提供前评估、变动报告、年度风险评估报送四套动作写成法定义务——这些动作既是义务清单，也是出事时证明企业已尽责的证据链。
以上内容为一般性法律知识介绍，不构成正式法律意见。具体合规架构请结合企业数据实态，咨询执业律师后处理。