向中国据点信息安全负责人确认时，常会听到「等级保护已经取得」。那么，取得是何时？覆盖哪些系统？取得后是否有系统增改？对2026年2月施行的新技术标准，是否已做好再评估准备？
若无法立刻回答，说明应对可能比预想更陈旧。等级保护并非取得一次即可结束，需随系统变化与监管修订持续管理。
等级保护是怎样的制度
等级保护制度是对在中国境内运营信息系统的所有经营者实施的安全等级认定。按系统重要程度分为1～5级，须落实各级技术与管理安全措施，并向公安机关备案、接受定期第三方测评。
在中国境内拥有服务器或系统的日资企业，原则上不分行业与规模均适用。含内部业务、会计、人事等系统。「规模小」「制造业」等理由不能豁免。
2026年修订带来的变化
2026年2月1日，公安部施行等级保护相关6项新技术标准，新增云计算、边缘计算、大数据处理、5G接入、IPv6、区块链等6个领域。业务中使用时需追加评估应对。
修订亦将 AI 安全评估列为正式要求，须建立 AI 模型安全评估机制；使用 AI 工具或机器学习模型的企业，其运营将纳入评估。
评估视角也在变化：以往偏重合规要件是否满足，如今更重视持续风险评估、漏洞管理、事件响应体制等实际运营状况。
申请与更新中的实务课题
现状难把握
启动应对需先盘点中国境内运营系统。部门分散引入、总部不掌握云服务使用等情况很常见。现状未理清，就无法划定范围与撰写申请。
材料与手续需要专业知识
向公安机关备案及向第三方测评机构申请，需中文材料与符合监管要求的自评报告。等级判定与测评项规定细致，解读与落地需专业知识，仅靠内部 IT 往往难以闭环。
取得后持续管理易薄弱
等级保护需定期再评估与更新。初取数年未更新、负责人调动未交接等情况并不少见。系统增改时需重审范围，日常业务中也易被忽视。
云服务责任边界未理清
建于中国境内云服务上的业务系统亦属等级保护对象。需明确云厂商与使用方各自责任范围后再接受测评。「云由厂商管理故非本公司责任」的认识，测评时可能被指出问题。
NRI 北京的支援
NRI 北京可从系统盘点、等级判定、公安机关备案与第三方测评申请，到确认是否符合2026年新技术标准，提供一贯支援。
对已取得等级保护的企业，可从确认现有认证是否满足最新监管要求开始，并协助与日本总部协调。「想确认现状但不知从何入手」亦可咨询。