年度检测评估要点
关键信息基础设施运营者应自行或者委托网络安全服务机构，每年至少开展一次网络安全检测评估；评估发现的问题要整改，结果按要求报送保护工作部门。这是法定义务，不是自愿动作。工作包通常包括确定范围与边界、选择机构并签协议、现场检测、输出报告与问题清单、组织整改与复测、结果报送与归档。
基本信息
| 依据 | 关键信息基础设施安全保护条例（2021-09-01 施行） |
|---|---|
| 频度 | 每年至少一次（自行或委托机构） |
| 前置动作 | 确定评估范围与系统边界，签订协议明确范围与保密 |
| 检测内容 | 配置核查、漏洞扫描，按需渗透验证 |
| 输出 | 评估报告与问题清单，整改与复测记录 |
| 报送 | 结果按要求报送保护工作部门 |
典型使用场景
- 年度 CII 检测评估项目的立项与排期
- 评估机构的选择与协议签订
- 评估范围与系统边界的确认
- 问题整改与复测组织
- 报送材料的准备与归档
年度评估工作包
年度评估工作包
# 1 确定评估范围与系统边界
# 2 选择评估机构并签订协议（明确范围与保密）
# 3 现场检测（配置核查、漏洞扫描、按需渗透验证）
# 4 输出评估报告与问题清单
# 5 组织整改与复测
# 6 结果报送保护工作部门并归档阶段与要点
| 阶段 | 关键要点 | 常见问题 |
|---|---|---|
| 范围界定 | 与保护工作部门口径对齐 | 范围年年变或漏系统 |
| 机构选择 | 资质与能力匹配、保密条款 | 只看报价不看能力 |
| 现场检测 | 安排不影响生产的时间窗 | 未授权即做高风险测试 |
| 整改复测 | 问题闭环与证据留存 | 只交报告不整改 |
| 报送归档 | 按时限报送并归档 | 拖到年底赶材料 |
送报时限与评估内容以本行业保护工作部门的具体规定为准，条例只给出基本要求，行业细则通常更严格。
拖到年底才启动，机构档期与整改时间都不够，这是最常见的进度风险；把立项排在上半年更稳妥。