南通企业等保备案流程：2026 新规、材料与费用
等保不是“要不要做”的问题：网站、小程序、APP 全在管辖范围内，2026 年新法与数据安全新标准把整张时间表前移了。
先给结论：等保不是“要不要做”，而是“算不算、什么时候做”
2026 年等保从合规话题变成了时间表上的硬节点：
- **1 月 1 日**新修订《网络安全法》施行，罚款上限提至 1000 万元，“大量数据泄露”单列为违法情形
- **6 月 1 日**等保数据安全四项新标准落地，数据安全成为独立计分的控制域
- **南通市公安局已明确**：网站、小程序、APP、业务系统、云平台、数据库全在管辖范围内
顺序是：判断系统算不算 → 定级 → 备案 → 测评与整改。 一级不需备案，二级及以上都要到公安机关网安部门备案。
2026 年的变化，决定了整张时间表
| 变化 | 生效时间 | 实际影响 |
|---|---|---|
| 新修订《网络安全法》 | 2026-01-01 | 罚款上限提至 1000 万元，AI 安全首次入法 |
| GA/T 2380—2026 数据安全基本要求 | 2026-06-01 | 数据安全独立成域，逐级增强，单独计分 |
| GA/T 2394/2395—2026 测评要求与过程指南 | 2026-07-01 | 统一全国判定尺度，从“查系统”转向“查数据” |
最狠的是一票否决：GA/T 2394—2026 明确 33 项重大风险项，查出任一即判“不符合”。三级及以上还要求重要数据与敏感个人信息用国密算法传输存储。
第一步：定级——你的系统是几级
| 等级 | 典型对象 | 测评周期 | 定级方式 |
|---|---|---|---|
| 二级（指导保护） | 一般企业官网、内部管理系统、中小企业业务平台 | 两年一次 | 可自行定级 |
| 三级（监督保护） | 政务、金融、大型电商、关键信息基础设施 | 每年至少一次 | 须 3 名以上专家评审 |
定级看受侵害的客体与侵害程度。波及大量用户数据或金融交易、支撑政务服务的通常是三级。定高了多花几十万，定低了留隐患。
第二步：备案材料（2025 版清单）
- 《网络安全等级保护备案表》（2025 版，一式两份）
- 《网络安全等级保护定级报告》（2025 版）
- 《专家评审意见》（三级必备）
- 《数据摸底调查表》（换证新增项）
- 离线填报工具导出的加密数据包（**已加密，切勿二次加密**）；涉云场景另附云平台备案证明
公安机关办理备案或换证**不收取任何费用**，花钱的是后面的测评与整改。已运行的二级以上系统应在定级确定后 30 日内备案，新建系统则在投运后 30 日内办。
换证：很多企业卡在这里
2025 年前已备案的二级及以上系统，无论级别是否变更、有无到期，都要按 2025 版模板重新填报，换发新证。
| 事项 | 首次办理 | 动态更新（换证） |
|---|---|---|
| 备案表 + 定级报告 | 需要（2025 版） | 需要（2025 版） |
| 原备案证明 | — | 收回后换新证 |
| 数据摸底调查表 | 需要 | 需要 |
| 专家评审意见 | 三级需要 | 级别变更时重审 |
备案证明有效期三年，完成测评后自动延长一年，期满前三个月可申请延期。
时间表与费用：市场常见区间供参考
| 阶段 | 参考耗时 | 费用项 | 二级 | 三级 |
|---|---|---|---|---|
| 定级与备案 | 2—4 周 | 等级测评费 | 3—6 万元 | 6—12 万元 |
| 差距分析 | 1—2 周 | 整改实施费 | 5—15 万元 | 10—50 万元 |
| 整改建设 | 4—8 周 | 安全设备采购 | 10—30 万元 | 30—100 万元以上 |
| 现场测评 | 1—2 周 | 方案咨询 | 2—5 万元 | 3—8 万元 |
| 出具报告 | 1—2 周 | 合计参考 | 20—55 万元 | 51—178 万元 |
全程最快也要三个月，高峰期排期等待是常态——整改要早启动。需说明的是，江苏省级党政机关 2026 年度框架协议中单个二级项目限价不超 2.5 万元（含税）、三级不超 4.5 万元（含税），属政府采购口径，商业项目定价更高。硬件是最大变量：已有防火墙、堡垒机或跑在已过等保云平台上的可大幅压缩，从零做三级可能冲到 80—100 万元。
定制开发时就把等保做进去，比上线后返工划算
最省钱的时点不是测评前，是写需求文档的时候。等保很多能力属于架构问题，补设备解决不了：
- **身份鉴别**：三级要求口令加密码组合鉴别，管理员账号专人专用
- **日志留存**：一般系统不少于 6 个月；新规要求三级重要数据不低于 1 年、核心数据不低于 3 年
- **加密**：三级及以上的重要数据、敏感个人信息须国密算法传输加存储加密
- **数据生命周期**：收集、存储、加工、传输到销毁，每环节都要有管控点与留痕
- **备份**：异地加密备份，同机房多副本不算数，明文备份直接触一票否决
制度文件不需要华丽，但要能证明“有人做事、有事可查”——访问控制制度至少写清谁审批、谁开通、多久复核一次。测评员查的是执行记录，只有文档没有记录视同没建。
三个容易踩的坑
- **把 ICP 备案当成等保备案**：前者管网站能否上线，后者是法定安全保护义务
- **先备案后定级**：顺序反了会被要求重新审核
- **备案地选错**：注册地、运营地、安全管理机构所在地不一致时，以管理机构所在地为准
从哪里开始
顺序是：系统梳理 → 定级判断 → 差距分析 → 整改建设 → 测评与备案材料。真正能省大钱的是第三步之前——把等保能力写进需求和架构。
南通云畅长期做小程序、APP、网站、微信 H5、商城系统与定制软件开发，也承接企业级业务系统交付。开发阶段按等保 2.0 和 2026 年数据安全新标准做架构预留，比上线后整改更省。
常见问题
网站、小程序、APP 都要做等保备案吗？
都要评估。按《网络安全法》和主管部门口径，网站、小程序、APP、业务系统、物联网、云平台、数据库均在等保管辖范围内，不按形态豁免。定级为二级及以上的系统必须到公安机关网安部门办理备案，一级无需备案。需要提醒的是，ICP 备案与等保备案是两件事，前者解决网站能否合法上线，后者是法定的安全保护义务。
2025 年以前已经备案过了，还需要重新办理吗？
需要。凡 2025 年前取得旧版《信息系统安全等级保护备案证明》的二级及以上系统，无论系统等级是否变更、有无到期，均需按 2025 版备案表和定级报告重新编制填报，统一换发新证，并补充填报《数据摸底调查表》。原备案证明在换证时收回，涉云计算场景的还需提供云平台备案证明扫描件。
等保测评大概要花多少钱？二级和三级差多少？
测评环节的市场常见区间是二级 3—6 万元、三级 6—12 万元，一般含初次测评与一次复测；叠加整改实施费、安全设备采购和方案咨询后，二级整体大致 20—55 万元、三级 51—178 万元。设备采购是最大变量，已有防火墙、堡垒机、日志审计或部署在已过等保云平台的企业可大幅压缩这部分投入。江苏省级党政机关 2026 年度框架协议中单个二级项目限价不超过 2.5 万元（含税）、三级不超过 4.5 万元（含税），属政府采购口径，商业项目市场化定价通常更高。
本文由 南通云畅文化传媒有限公司（南通云畅传媒）整理发布。我们在江苏·南通提供小程序开发、软件开发、商城系统定制、网站建设与APP开发服务，如需针对您的项目做具体评估，欢迎联系我们或致电 1891-2222-000。