很多企业把等保当成“测评报告”：花钱做一份，往柜子里一放就完事。但《网络安全法》第21条写的是持续义务，不是一次性动作——不定级备案、不测评、日志留存不足6个月，都属于未履行法定义务。公安检查会对照第21条5项义务逐条核，发现缺口先下整改通知，拒不改正才罚款。真正被罚的，基本栽在“收到通知不改”这条上。
一、第21条到底要求做什么
《网络安全法》第21条要求网络运营者落实等级保护制度，具体5项义务：
- 定制度定人：有安全管理制度和操作规程，指定网络安全负责人
- 防攻击：部署防病毒、防入侵、防攻击等技术措施
- 留日志：监测记录网络运行状态与安全事件，网络日志留存不少于6个月
- 备份加密：数据分类、重要数据备份和加密
- 法律法规规定的其他义务
第25条另要求制定应急预案、及时处置漏洞并向主管部门报告。等保测评只是验证前4项是否落地，做完不等于免责。
二、处罚对照表
| 情形 | 法律依据 | 处罚标准 |
|---|---|---|
| 未履行等保义务，首次检查发现 | 网安法第59条第1款 | 责令改正+警告，一般不罚款 |
| 拒不改正，或导致危害网络安全后果 | 网安法第59条第1款 | 单位1万–10万元；直接负责主管人员5000–5万元 |
| 关键信息基础设施运营者拒不改正 | 网安法第59条第2款 | 单位10万–100万元；主管人员1万–10万元 |
| 未履行数据安全保护义务 | 数据安全法第45条 | 警告，可并处5万–50万元；造成大量数据泄露处50万–200万元，主管人员5万–20万元 |
罚款是“双罚”：单位与直接负责主管人员各罚一份。
三、被查处后的5步处理流程
- 签收文书：核对整改通知书上的整改项与期限，常见15–30天，复杂项可到90天
- 补定级备案：先确定系统等级，一般企业多为二级，涉及国计民生或大型平台多为三级；定级后10个工作日内到属地公安机关备案
- 建设整改：按 GB/T 22239-2019 补齐制度文档、访问控制、日志审计（含6个月留存）、数据备份加密等缺口
- 补测评：找有资质的测评机构出具报告，二级每2年一次、三级每年一次
- 提交销号：整改期内把整改说明、测评合同或报告交回公安机关申请复查
四、三个常见误区
- “拿到测评报告就完事”：报告只证明当次状态，第21条是持续义务；三级每年复测，日志要天天留够6个月
- “第一次肯定不罚”：首次确实多以警告+责令改正为主，但“拒不改正”直接触发罚款，与后果挂钩，最高可到100万元
- “系统上云就不用做”：云平台只负责自身那部分，制度、访问控制、日志留存等主体责任仍在运营方
