等保 2.0 是什么
等保 2.0 是「网络安全等级保护」系列国家标准与配套管理制度的统称，不是一份可以下载的文件。它把信息系统按受破坏后的危害程度分为五级，逐级规定应当具备的安全技术与安全管理能力，并通过定级备案、建设整改、等级测评、监督检查四个动作落地。2019 年起，GB/T 22239-2019 取代 2008 版成为核心要求标准，条款结构从「安全要求 + 管理要求」重组为「安全通用要求 + 安全扩展要求」。
基本信息
| 全称 | 网络安全等级保护（俗称等保 2.0） |
|---|---|
| 核心标准 | GB/T 22239-2019 网络安全等级保护基本要求 |
| 上位法律 | 网络安全法第二十一条（第五十九条为罚则） |
| 核心标准实施 | 2019-12-01 |
| 主管与监管 | 公安机关网安部门负责备案与监督；行业主管部门另有要求 |
| 适用对象 | 在中国境内建设、运营、维护和使用的网络与信息系统 |
配套标准清单
配套标准清单
# 六份常用标准，各自管一个环节
GB/T 22239-2019 基本要求：应当做什么（条款来源）
GB/T 22240-2020 定级指南：怎么判断几级
GB/T 25070-2019 安全设计技术要求：技术架构怎么设计
GB/T 28448-2019 测评要求：测评项与判定尺度
GB/T 28449-2018 测评过程指南：测评流程怎么走
GB/T 25058-2019 实施指南：整改与建设怎么实施
GB/T 20984-2022 信息安全风险评估方法：风险分析配套使用典型使用场景
- 新建系统立项：先定级，再按对应级别把条款转成建设方案与预算
- 存量系统合规整改：拿测评问题清单回到基本要求条款逐项对标
- 投标与验收：甲方要求提供等级测评报告与备案证明
- 云上业务：确认云平台等级与自身系统等级，用扩展要求补云相关条款
- 行业监管报送：金融、医疗、教育、能源等行业在等保基础上叠加行业规范
标准与环节对应
| 环节 | 主用标准 | 产出物 |
|---|---|---|
| 定级 | GB/T 22240-2020 | 定级报告、专家评审意见 |
| 备案 | 公通字〔2007〕43 号 | 备案证明 |
| 设计与整改 | GB/T 22239-2019、GB/T 25070-2019 | 整改方案、配置与制度 |
| 测评 | GB/T 28448-2019、GB/T 28449-2018 | 等级测评报告、问题清单 |
| 监督检查 | 网络安全法、管理办法 | 整改回执、年度测评报告 |
引用时务必写全编号与年份，如「GB/T 22239-2019」；只写「等保 2.0」在投标与验收材料里会被认为依据不清。
与 1.0 的主要差别：等级由五级保留但条款全面重构、加入云计算与移动互联等四类扩展要求、把「安全管理中心」独立成章、测评结论从简单符合性转向符合率评分。
等保不是产品认证，不存在统一发放的「等保证书」；合规状态由备案证明加测评报告共同证明，报告有有效期概念（三级通常按年度更新）。
四个规定动作
- 定级备案：确定定级对象与等级，经专家评审、主管部门核准后到公安机关备案，产出定级报告与备案证明
- 建设整改：按对应级别条款补齐技术措施与管理制度，产出整改方案、配置记录与制度文本
- 等级测评：由测评机构现场核查并出具报告，三级每年至少一次、四级每半年至少一次
- 监督检查：公安机关网安部门抽查运行状态与整改落实情况，可能要求限期整改并回执
整改不是「一次过」的项目：系统边界变更、等级调整、云上迁移、新功能上线都可能触发条款重新对标，建议把条款清单固化成可复用的检查表。