「我们规模小，应该不在范围内」——上一篇文章提到，越是这样认为的企业网站，越容易成为等级保护的对象。那么，如果在没有意识到自己属于保护对象的情况下，或者明知如此却放任不管、继续运营，实际上会以怎样的方式被发现，又会导致怎样的后果？一旦被发现，「不知道」「本来打算处理」都无济于事。
被发现的途径不只是「突击检查」
未落实等级保护的问题暴露出来，途径并不止一种。
・公安机关的专项行动：有时会在限定期间内集中开展检查。2025年开展了「护网—2025」专项工作，公安部也公布了行政执法典型案例
・事件发生后的调查：先发生信息泄露或系统遭受攻击，在调查过程中查明未落实等级保护。后文介绍的公开案例大多属于这一情形
・内部举报、社会举报
・来自客户或招标方的核查：在合同审查或招投标过程中，被问询网络安全措施的落实情况
此外，2025年11月1日起施行的《国家网络安全事件报告管理办法》明确了网络安全事件的报告程序。该办法第四条规定，网络运营者在发现或获知涉及本单位的网络安全事件时，应当进行研判定级，并规定了属于「较大」以上事件时的报告对象与时限。一般企业须向属地省级网信部门报告，最迟不得超过4小时。一旦造成一定规模的损害，企业没有「不报告」这个选项，自身的安全体制也会通过报告进入主管部门的视野。
「还没来检查，所以没问题」——这种想法本身就会导致忽视风险。
被发现后的基本流程
基本流程是：从现场检查、调查开始，确认存在的问题，责令限期改正，再在期限内确认整改情况。完成整改并不意味着一定能免于处罚，也有在被发现时即同时给予处罚并责令改正的案例。
罚则不只是「罚款」
2026年1月1日起施行的修订后《网络安全法》，将违反基于等级保护制度的安全保护义务（第二十三条）的罚则，按照危害程度重新划分为不同档次。规定罚则的是第六十一条。
该条规定的罚款标准如下：
・一般违法行为：首次处1万元以上5万元以下罚款。拒不改正或导致危害后果的，对企业处5万元以上50万元以下罚款，对直接负责的责任人员个人处1万元以上10万元以下罚款
・关键信息基础设施运营者违反该法规定的特别保护义务的：首次处5万元以上10万元以下罚款。拒不改正的，对企业处10万元以上100万元以下罚款，对个人处1万元以上10万元以下罚款
・造成大量数据泄露等严重后果的：对企业处50万元以上200万元以下罚款，对个人处5万元以上20万元以下罚款
・造成丧失主要功能等特别严重后果的：对企业处200万元以上1,000万元以下罚款，对个人处20万元以上100万元以下罚款
罚款以外的处罚，在《数据安全法》中也有规定。该法第二十七条要求，利用互联网等信息网络开展数据处理活动的，应当在网络安全等级保护制度的基础上履行数据安全保护义务。对于违反该义务、拒不改正或者造成大量数据泄露等严重后果的情形，第四十五条规定，除处50万元以上200万元以下罚款外，还可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照。也就是说，法条中已经设有直接关系到业务存续的处分。
此外，第七十二条规定，有该法规定的违法行为的，依照有关法律、行政法规的规定记入信用档案，并予以公示。一旦被公示，在此后的交易审查和招投标中都可能处于不利地位。
实际发生了什么——从公安部公布的2025年案例看
公安部公布了「护网—2025」专项工作的行政执法典型案例，其中多起案例指出了等级保护方面的落实不到位。
・江苏省苏州市吴江区的短信发送平台：未进行等级保护备案和测评，也未采取技术防护措施，结果被冒用发送诈骗短信27,000余条，被处以行政处罚并责令限期改正
・安徽省合肥市的电子商务企业：未制定网络安全管理制度，也未开展等级保护工作，导致旅客购票信息被大量非法获取，受到行政处罚并被责令改正
・贵州省的政务服务系统：未采取防护措施、未按规定留存日志、未及时处置漏洞等问题叠加，造成群众财产损失400余万元，系统的承建方、运维方受到行政处罚
此外，同批公布的案例中还包括：上海某服装品牌的中国公司未经数据出境安全评估，即向境外总部传输个人信息，且未取得用户的单独同意，因而受到行政处罚。这一案例说明，与日本总部之间日常的数据往来，在中国也可能成为监管对象。
首先应确认的要点
・本公司（中国据点）等级保护的备案、测评情况，以及所覆盖系统的范围
・取得后是否有系统新增、改造或迁移上云
・网络日志是否按法定期限留存
・万一被发现，是否具备能在限期改正期限内完成整改的内部体制
・发生「较大」以上网络安全事件时，是否已明确能在法定时限内向主管部门报告的流程和负责人
・是否掌握可能被追究个人责任的负责人和管理层
这些确认工作涉及信息分散、负责人调动、中文监管文件的解读等问题，仅靠企业内部资源往往难以覆盖。
NRI北京的支援
NRI北京可从确认贵司等级保护的落实情况开始，到必要的定级、技术措施的完善、向公安机关的申请与测评应对，乃至被发现后的整改，提供全程支持。如需与日本总部协调，我们也可协助，为整个流程提供一站式服务。
由熟悉中国等级保护制度的专家对接，可从确认现状、判断是否符合2026年新标准开始。即使处于「万一被发现，不知道该如何应对」的阶段，也欢迎咨询。
参考资料
・《中华人民共和国网络安全法》（2026年1月1日施行版）／中央网络安全和信息化委员会办公室
第二十三条（基于等级保护制度的安全保护义务、网络日志留存不少于六个月）、第六十一条（罚款标准）、第七十二条（记入信用档案并予以公示）
https://www.cac.gov.cn/2025-12/29/c_1768735112911946.htm
・《中华人民共和国数据安全法》（2021年9月1日施行）／全国人民代表大会
第二十七条（以网络安全等级保护制度为基础的数据安全保护义务）、第四十五条（罚款，暂停相关业务、停业整顿、吊销许可证）
https://wb.flk.npc.gov.cn/flfg/PDF/8a19eb7aaa1e463cb21ff7cc2bac99d1.pdf
・《国家网络安全事件报告管理办法》（2025年11月1日施行）／中央网络安全和信息化委员会办公室
第四条（「较大」以上事件的报告对象与时限）
https://www.cac.gov.cn/2025-09/15/c_1759583017717009.htm
・公安部公布“护网—2025”专项工作6起行政执法典型案例／中华人民共和国公安部（江苏省委网信办官网转载）
江苏省苏州市吴江区、安徽省合肥市、贵州省、上海市各案例
https://www.jswx.gov.cn/zhengce/zhifa/202509/t20250918_3571499.shtml