直接答案：先别急着买“等保套餐”。新《网络安全法》已于 2026-01-01 施行，企业先判断自己是网络运营者、关键信息基础设施运营者还是个人信息处理者，再按“制度与负责人、日志与监测、个人信息、AI 客服、供应商合同、应急报告”六项做证据体检；不是所有违规都按最高档罚款，但旧官网的日志、表单和外包合同确实该补。
本文面向有企业官网、询盘表单、小程序、客户数据或 AI 客服的企业负责人、信息化/网安、市场运营、法务和采购，讨论怎么在 2026 年做一次网站与客户数据合规体检。资料截止 2026-10-30。本文是公开法规和项目方法整理，不是法律意见、等保测评结论或监管口径；具体角色认定、定级备案、处罚适用和数据跨境路径，以法律、主管部门和律师意见为准。
新法 2026-01-01 已施行，AI 入法但主要是“支持发展 + 安全监管”框架；网络运营者的制度、日志、备份、应急等原有义务仍在；罚款上限提高，但适用看角色、后果和情节，不是“一违规就一千万”。
新《网络安全法》2026 年到底改了什么？
2025-10-28 通过、2026-01-01 施行的修改，新增人工智能条款、衔接个人信息保护，并提高网络运营者和关键信息基础设施运营者的违法成本。
这次修改不是把整部法律重写，而是“小切口”修法：新增第三条明确网络安全工作的指导原则；新增第二十条，把人工智能基础研究、算法、训练数据、算力、伦理规范、风险监测和安全监管写入法律；把第四十条改为第四十二条，并在第二款明确网络运营者处理个人信息还要遵守《民法典》《个人信息保护法》等规定；同时调整法律责任条款，提高部分违法情形罚款，增加“关闭网站或者应用程序”等处罚选项。
| 时间 | 事件 | 对企业的作用 |
|---|---|---|
| 2016-11-07 | 第十二届全国人大常委会第二十四次会议通过《网络安全法》 | 2017-06-01 起施行，确立网络安全基础制度 |
| 2025-10-28 | 第十四届全国人大常委会第十八次会议通过修改决定 | 新增 AI、个人信息衔接和更严罚则 |
| 2025-10-29 | 中国政府网、国家网信办公布修改决定 | 可按官方文本核对条款，不用二手解读 |
| 2025-12-29 | 国家网信办重新公布修正后的《网络安全法》全文 | 条文序号已调整，引用时以新文本为准 |
| 2026-01-01 | 修改决定施行 | 企业应按新法做角色、日志、个人信息和供应商体检 |
| 2026-10-30 | 本文资料截止 | 法规更新、地方执法口径和等保要求需另行核对 |
时间线依据中国政府网和国家网信办公布的修改决定及修正后全文；具体适用以官方最新文本为准。
你的企业属于哪一类：网络运营者、CII 运营者还是个人信息处理者？
大多数企业官网运营者先落在“网络运营者”；只有被纳入关键信息基础设施范围的企业才叠加 CII 义务；处理个人信息还要同时看《个人信息保护法》。
“网络运营者”不是只指电信运营商。只要企业建设、运营网站、小程序、APP、客户系统，或者通过网络提供服务，就可能是网络运营者。关键信息基础设施运营者（CII 运营者）则要按国务院规定的范围和保护办法认定，不是企业自己按营收或行业“自封”。个人信息处理者则是另一个维度：只要处理询盘、简历、手机号、Cookie 标识、AI 客服对话等个人信息，就要同时满足《个人信息保护法》。三类角色可能重叠，不能只选一个。
| 角色 | 判断线索 | 主要义务 | 常见误判 |
|---|---|---|---|
| 网络运营者 | 建设/运营官网、小程序、APP、客服系统，或通过网络提供服务 | 网络安全等级保护、制度与负责人、技术措施、日志留存不少于六个月、数据分类/备份/加密、应急预案和事件报告 | “网站是外包的，责任就是建站方的” |
| CII 运营者 | 被纳入关键信息基础设施保护范围（公共通信、能源、交通、金融、公共服务、电子政务等重要行业和领域） | 叠加专门安全管理机构/负责人、背景审查、容灾备份、定期演练、采购安全审查与保密协议等义务 | 按营收、员工数或“行业重要”自行判断 |
| 个人信息处理者 | 收集询盘、简历、手机号、Cookie/统计标识、AI 客服对话等 | 告知/同意、最小必要、保存期限、权利响应、委托处理、跨境路径和安全措施 | “表单加一个勾选就万事大吉” |
| 网络产品/服务提供者 | 建站公司、SaaS、云服务、AI 客服/模型供应商 | 产品服务安全维护、漏洞告知/报告、收集信息明示同意、委托处理和安全事件配合 | 采购方只看价格和功能，不看安全责任 |
| 境外机构/个人 | 境外主体从事危害中国网络安全的活动 | 依法追责；造成严重后果可被冻结财产或采取其他必要制裁 | 把“服务器在境外”当成不受中国法约束 |
角色判断是编辑方法，不是法律认定；CII 范围、等保定级和个人信息跨境路径应按主管部门、行业规则和律师意见确认。
不同场景，先做哪一项？
展示型官网先补日志、表单和备份；有 AI 客服的再加供应商和对话数据；被认定为 CII 或涉及跨境数据的，再叠加专项审查。
合规体检最怕“一把抓”。下面按常见场景拆成五个起点，企业可以先做和自己最接近的一行，再逐步补全。这里没有“一套模板适合所有企业”，但有共同的证据逻辑：谁负责、数据在哪、谁能访问、出了事怎么报告。
| 场景 | 先做什么 | 需要留下的证据 |
|---|---|---|
| 只有展示型官网 + 询盘表单 | 确认网站负责人、日志留存、表单字段和隐私告知 | 制度/任命、日志后台截图、表单字段清单、隐私政策版本 |
| 官网由建站方托管/维护 | 补合同角色、日志归属、漏洞/事件通知、退出移交 | 合同/补充协议、工单记录、日志导出样例、删除/移交记录 |
| 使用云服务器/WAF/CDN | 核对日志默认留存、备份恢复、权限和加密 | 云控制台配置、备份恢复演练、权限清单、加密说明 |
| 使用 AI 客服/大模型 | 确认对话是否含个人信息、供应商是否训练、人工接管和删除路径 | 数据流图、供应商条款、脱敏/关闭训练设置、人工接管记录 |
| 被认定为 CII 或涉及跨境 | 按 CII/跨境专项要求做审查、评估和合同安排 | 认定/备案材料、安全审查、评估/合同、应急演练记录 |
场景拆分是编辑建议；是否属于 CII、是否触发跨境评估、是否要等保定级备案，按主管部门和律师意见确认。
官网、表单、日志：哪些旧配置最该先补？
先查五件事：谁负责、日志是否留够六个月、表单是否最小必要、备份加密是否可恢复、应急联系是否能用；这些比换一张“合规证书”更实在。
修正后的《网络安全法》第二十三条仍然要求网络运营者按网络安全等级保护制度履行安全保护义务，包括制定内部安全管理制度和操作规程、确定网络安全负责人、采取防范病毒/攻击/侵入的技术措施、监测记录网络运行状态和网络安全事件并按规定留存网络日志不少于六个月、采取数据分类/重要数据备份和加密等措施。第二十七条还要求制定网络安全事件应急预案，发生事件时立即启动、采取补救措施并按规定报告。很多企业官网的真实状态是：日志默认只留 7 天、备份和网站同一账号、表单收集了身份证和图纸、应急联系人还是离职员工。
| 检查项 | 法规落点 | 最低证据 | 常见坑 |
|---|---|---|---|
| 安全制度与负责人 | 第二十三条（一） | 制度文件、任命/职责、培训或会议记录 | 只在建站合同里写“乙方负责安全” |
| 技术措施 | 第二十三条（二） | WAF/补丁/权限/告警配置和处置记录 | 装了插件但从不更新，权限共用 |
| 日志与监测 | 第二十三条（三） | 日志开启、留存不少于六个月、时间同步、抽样查询 | 云默认 7/30 天，或只留访问日志 |
| 数据分类/备份/加密 | 第二十三条（四） | 数据清单、备份恢复演练、加密配置 | 备份和网站在同一账号/同一区域 |
| 应急预案与报告 | 第二十七条 | 预案、联系人、演练记录、事件报告模板 | 只有“出问题找建站方”，没有内部升级路径 |
| 等保定级/备案/测评 | 第二十三条 | 定级/备案/测评材料（如适用） | 把等保当一次性证书，不跟进整改 |
表格是编辑整理的最低证据清单，不替代等保测评、渗透测试或法律意见；日志留存、定级备案和测评要求按企业角色、属地和行业规则确认。
个人信息和 AI 客服：哪些边界不能再用“技术中立”解释？
询盘表单、简历、Cookie 统计和 AI 客服对话都可能是个人信息；处理要同时满足《网络安全法》《民法典》《个人信息保护法》，AI 供应商不能替代告知、同意和删除义务。
修正后的《网络安全法》第四十二条第二款明确：网络运营者处理个人信息，应当遵守本法和《民法典》《个人信息保护法》等法律、行政法规的规定。新增第二十条则把人工智能纳入网络安全法律体系，支持基础研究、算法、训练数据和算力基础设施，同时要求完善伦理规范、加强风险监测评估和安全监管。对企业来说，这不是“用了 AI 就自动合规”，而是：AI 客服、AI 内容、AI 质检等场景，仍然要回到数据来源、个人信息、内容标识、供应商责任和人工接管。
| 场景 | 要问的问题 | 可接受证据 | 高风险做法 |
|---|---|---|---|
| 询盘表单 | 字段是否最小必要？告知目的/保存期限？同意记录在哪？ | 字段清单、隐私政策版本、同意日志、删除流程 | 手机号、身份证、图纸、合同一次性收集 |
| 简历/招聘 | 候选人信息保存多久？是否共享给第三方？ | 保存期限、访问权限、删除记录 | 无期限保存，转发给无关第三方 |
| Cookie/统计 | 是否告知/同意？第三方脚本清单是否可查？ | 同意管理配置、脚本清单、撤回记录 | 默认开启营销 Cookie，同意前就加载 |
| AI 客服 | 对话是否含个人信息？供应商是否用于训练？能否人工接管/删除？ | 数据流图、供应商条款、脱敏/关闭训练设置、接管记录 | 把客户图纸、合同、报价直接发给公有模型 |
| AI 内容发布 | 是否属于生成合成内容？事实/版权/客户授权是否核验？ | 标识记录、事实核对、授权/许可文件 | 用 AI 生成客户案例、认证或“真实照片” |
| 跨境数据 | 数据出境路径、接收方、合同/评估是否匹配？ | 数据地图、合同、评估/备案材料 | 海外 CRM 默认同步全部询盘和附件 |
个人信息和 AI 场景的合规要求还涉及《个人信息保护法》、生成合成内容标识等专门规则；本表只列网站体检起点，具体路径按数据类型、数量和接收方确认。
处罚提高了，哪些风险最该先处理？
新法把一般网络运营者、CII 运营者和特别严重后果分档；先处理可能导致数据泄露、网站被关停和责任人被罚的高后果项，而不是背罚款数字。
修改后的法律责任条款提高了部分罚款区间，并增加“关闭网站或者应用程序”等处罚选项。但罚款不是自动按上限走：要看主体角色、违法行为、后果、情节和从轻/减轻/不予处罚情形。对企业来说，最该先处理的不是“最高罚多少”，而是那些一旦发生就可能同时触发客户流失、业务中断和直接责任人风险的项：日志缺失导致查不清、表单过度收集、备份不可恢复、AI 客服泄露数据、供应商合同没有通知义务。
| 情形 | 条款 | 处罚区间（法定） | 先做什么 |
|---|---|---|---|
| 一般网络运营者不履行安全保护义务 | 第六十一条 | 警告 + 1 万–5 万元；拒不改正或危害后果 5 万–50 万元；责任人 1 万–10 万元 | 补制度、负责人、日志、备份和应急 |
| CII 运营者不履行安全保护义务 | 第六十一条 | 警告 + 5 万–10 万元；拒不改正或危害后果 10 万–100 万元；责任人 1 万–10 万元 | 按 CII 专项要求补机构、审查、演练 |
| 造成大量数据泄露/CII 局部功能丧失 | 第六十一条 | 50 万–200 万元；责任人 5 万–20 万元 | 先做数据地图、泄露处置和通知 |
| CII 主要功能丧失等特别严重后果 | 第六十一条 | 200 万–1000 万元；责任人 20 万–100 万元 | 做容灾、演练和业务连续性 |
| 销售/提供未经认证检测的网络关键设备或安全专用产品 | 第六十三条 | 停止销售/警告/没收；2 万–10 万元或违法所得 1–5 倍；严重可吊销 | 采购前查认证/检测，合同留证据 |
| 内容未停止传输/消除/保存记录/报告 | 第六十九条 | 5 万–50 万元；严重 50 万–200 万元；特别严重 200 万–1000 万元；可关闭网站/应用 | 补内容审核、日志、报告和处置流程 |
罚款区间来自修改决定文本，实际处罚由主管部门结合事实、后果、情节和裁量决定；本表不是处罚预测，也不构成法律意见。
建站方、云服务和 AI 供应商：合同要补什么？
外包不等于外包责任；合同要写清角色、日志归属与留存、个人信息处理、漏洞/事件通知、数据删除和退出移交，否则出事时企业拿不到证据。
企业官网通常不是“自己开发、自己托管”，而是建站方、云服务商、CDN/WAF、统计工具、AI 客服供应商共同参与。监管问询或客户审核时，企业不能只说“供应商的问题”。合同至少要把安全责任翻译成可验收的动作：谁开日志、留多久、谁能导出、多久通知、事件怎么配合、合同结束怎么删除和移交。
| 条款 | 要写什么 | 验收证据 |
|---|---|---|
| 角色与范围 | 供应商是受托处理者、独立控制者还是纯技术服务商；覆盖哪些系统/数据 | 合同/DPA、系统清单、数据流图 |
| 日志与监测 | 日志类型、留存不少于六个月、导出格式、时间同步、告警联系人 | 日志后台截图、导出样例、告警记录 |
| 个人信息 | 处理目的、字段、保存期限、删除/更正/权利响应、是否用于训练 | DPA、字段清单、删除记录、训练开关截图 |
| 漏洞/事件通知 | 发现漏洞或事件后多久通知、谁负责报告、如何配合调查 | 通知模板、工单、演练/复盘记录 |
| 数据位置与跨境 | 存储/备份位置、是否出境、分包商清单、跨境路径 | 架构图、分包商清单、合同/评估材料 |
| 备份与恢复 | 备份频率、保留周期、恢复时间目标、演练责任 | 备份策略、恢复演练报告 |
| 退出与移交 | 合同结束后的数据删除、日志移交、账号/域名/证书交接 | 删除证明、移交清单、权限回收记录 |
| 设备与认证 | 涉及网络关键设备/安全专用产品时，认证/检测和持续维护 | 证书/检测报告、维护记录 |
合同条款是编辑建议，不替代律师审阅；个人信息处理、跨境和设备认证要求按具体角色、数据和服务确认。
90 天整改怎么排？
前两周定角色和证据，第 3–6 周补日志/表单/合同，第 7–12 周做演练和复核；按证据优先排期，不要一开始就买最贵套餐。
如果企业现在才开始，建议按“先证据、后工具、再演练”的顺序做 90 天计划。工具能买，但角色、数据地图、合同和演练不能完全外包。下面这张表可以直接给负责人、信息化、市场、法务和采购共用。
| 阶段 | 动作 | 产出 | 负责人 |
|---|---|---|---|
| 0–2 周 | 角色判断、数据地图、供应商清单、现有日志/备份/表单盘点 | 角色判断表、数据清单、合同清单、差距表 | 负责人/网安 |
| 3–4 周 | 补日志留存、备份恢复、权限、补丁和告警 | 日志留存截图、恢复演练记录、权限清单 | IT/运维 |
| 5–6 周 | 表单最小化、隐私告知/同意、AI 客服数据流、跨境核对 | 告知文本、字段清单、DPA、删除/接管记录 | 市场/法务/IT |
| 7–8 周 | 应急预案、联系人、报告模板、一次桌面演练 | 预案、联系人表、演练记录、报告模板 | 网安/负责人 |
| 9–10 周 | 等保/认证/设备采购核对（如适用） | 定级/备案/测评、证书/检测、采购审查 | 网安/采购 |
| 11–12 周 | 抽样复核、整改闭环、剩余风险清单 | 验收报告、问题清单、下一年度计划 | 负责人/内审 |
90 天计划是编辑建议；等保定级备案、CII 认定、跨境评估和整改优先级按企业实际情况、主管部门和律师意见调整。
上线/年检前的验收清单
验收不看“有没有证书”，看角色、日志、表单、AI、合同、应急六类证据能否在 30 分钟内调出并复算，且每项都有负责人。
这份清单可以给企业负责人、信息化、市场、法务、采购和建站方共用。通过标准不是“供应商说做了”，而是企业自己能拿到证据、能解释数据流、能找到负责人、能在事件发生时按预案行动。
| 检查项 | 通过标准 | 证据 | 不合格处理 |
|---|---|---|---|
| 角色 | 网络运营者/CII/个人信息处理者判断有依据 | 角色判断表、认定/备案材料 | 补判断/请律师确认 |
| 制度与负责人 | 制度生效、负责人明确、职责可追溯 | 制度、任命、培训记录 | 补文件/任命 |
| 日志 | 关键日志留存不少于六个月、可查询/导出 | 配置截图、导出样例、时间同步 | 调整留存/开启日志 |
| 备份与加密 | 备份可恢复、密钥/权限分离 | 恢复演练、加密配置、权限清单 | 重做备份/隔离权限 |
| 表单与个人信息 | 字段最小必要、告知/同意/删除可操作 | 字段清单、隐私政策、同意日志 | 删字段/补告知 |
| AI 客服 | 数据流清楚、训练/接管/删除有约定 | DPA、数据流图、接管记录 | 关训练/换供应商/脱敏 |
| 合同 | 日志、通知、删除、移交条款齐全 | 合同/补充协议、工单 | 补签/换供应商 |
| 应急 | 预案、联系人、报告模板可用，演练过 | 预案、演练记录、报告模板 | 补演练/更新联系人 |
清单是编辑建议，不替代等保测评、渗透测试、审计或法律意见；具体通过标准按企业角色、行业和主管部门要求确认。
谁该读、谁不适合、能支持什么决策？
适合有官网/表单/AI 客服、正在选建站方或准备出海的企业；不适合把本文当法律意见、或不愿投入负责人和证据的团队。
该读：有企业官网、询盘表单、小程序、客户数据或 AI 客服的企业负责人、信息化/网安、市场运营、法务和采购；正在选建站方、云服务、AI 客服供应商，或准备做等保/跨境/客户审核的团队；需要把“合规要求”翻译成合同条款和验收证据的项目。 不适合：希望用一篇文章替代律师意见、等保测评或监管沟通的团队；没有网站负责人、没有数据清单、也不准备投入整改资源的企业；把“买证书”当成合规终点的项目。 能支持：判断企业角色和优先项、补日志/表单/备份/应急、审 AI 客服和供应商合同、安排 90 天整改、准备上线/年检验收。
常见问题
新《网络安全法》2026 年 1 月 1 日施行，企业现在最该补什么？
先补“能证明”的基础项：安全制度与负责人、日志留存不少于六个月、备份可恢复、表单最小必要、应急预案和联系人。然后再按角色补等保、CII、跨境或设备认证；不要先买一套工具却没有负责人和数据清单。
所有企业都要留存网络日志六个月吗？
修正后的《网络安全法》第二十三条对网络运营者提出“监测、记录网络运行状态、网络安全事件，并按照规定留存相关的网络日志不少于六个月”的要求。企业是否属于该条适用的网络运营者、哪些日志算“相关网络日志”，要结合业务和主管部门要求确认；云服务默认 7/30 天留存通常不够，应主动配置和验证。
用了云服务/建站公司，责任是不是就转移了？
不能简单转移。云服务商、建站方可能是受托处理者或技术服务商，但企业作为网络运营者/个人信息处理者仍要履行自身义务。合同要写清角色、日志、通知、删除、移交和事件配合；企业要能拿到证据，而不是只拿到一句“我们负责安全”。
AI 客服/大模型对话受新法管吗？
新增第二十条把人工智能纳入网络安全法律体系，强调支持发展、伦理规范、风险监测评估和安全监管；但 AI 客服是否合规，还要看是否处理个人信息、是否属于生成合成内容、供应商是否用数据训练、是否有跨境和人工接管。不要因为“新法提到 AI”就认为已经合规，也不要因为“只是技术工具”就忽略个人信息义务。
罚款最高 1000 万元，是不是所有数据泄露都按这个罚？
不是。1000 万元上限对应“关键信息基础设施丧失主要功能等特别严重危害网络安全后果”等法定情形；一般网络运营者、CII 运营者、后果轻重和情节不同，适用不同区间。实际处罚由主管部门结合事实、后果、情节和裁量决定，企业不应把上限当预测，也不应只看罚款而忽略停业、关闭网站/应用和责任人风险。
企业官网需要做等保吗？
《网络安全法》第二十三条确立网络安全等级保护制度，网络运营者应按制度要求履行义务。具体到某个官网是否需要定级、备案、测评，取决于系统定级、属地公安和行业要求，不能一概而论。建议先做系统梳理和定级判断，再按主管部门要求推进；不要用“买了等保套餐”代替实际整改。
一句话总结
2026 新《网络安全法》已施行：先判断角色，再补制度/负责人、日志不少于六个月、备份加密、表单个人信息、AI 客服和供应商合同、应急预案；罚款上限提高但不是所有违规都按最高档，验收看证据而不是证书。
研究方法与局限
本文为公开法律文本、国家网信办解读和编辑方法整理，不是对任何企业、网站、系统、数据或具体项目的法律意见、等保测评、渗透测试或监管认定。文中没有使用未公开的客户数据、日志、合同或处罚案例；角色表、场景表、合同清单、90 天计划和验收清单是编辑建议，具体义务、定级备案、CII 认定、跨境路径和处罚适用以法律、主管部门、合同和律师意见为准。法律和配套规则会更新，以官方最新文本为准。
数据来源与口径
资料截止 2026-10-30；以下为公开官方/一手页面，具体适用范围、版本和条款以原文为准。
- 《全国人民代表大会常务委员会关于修改〈中华人民共和国网络安全法〉的决定》（2025-10-28 通过，2026-01-01 施行）：中国政府网。新增第三条、第二十条 AI 条款、第四十二条第二款个人信息衔接、第六十一条等罚则。
- 同决定的国家网信办公布页：cac.gov.cn。用于核对修改决定全文和条文序号。
- 修正后的《中华人民共和国网络安全法》全文：cac.gov.cn。第二十三条网络运营者安全保护义务、第二十七条应急预案/报告、第四十二条个人信息等。
- 专家解读《网络安全法》修改与人工智能治理：cac.gov.cn。说明第二十条“支持发展 + 安全监管”的立法定位。
- 专家解读《为网络强国建设提供更有力的网络安全法律保障》：cac.gov.cn。说明梯度处罚、设备安全罚则和柔性执法。
个人信息保护审计中的日志、表单、Cookie 与跨境数据证据，见《2026 个人信息保护合规审计》。