不做等保的后果清单：法律条款与常见情形
「我们系统不大，不做等保应该没事吧？」这个问题在中小企业里出现的频率很高。答案并不取决于系统大小，而取决于你是不是法律意义上的网络运营者。等级保护不是行业惯例，也不是可选的安全投入，而是写进法律的一项强制性义务。把后果讲清楚，比反复纠结做不做更有意义。
一、义务从哪里来：这不是「建议做」
《中华人民共和国网络安全法》第二十一条开宗明义：国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求履行安全保护义务，具体包括制定内部安全管理制度和操作规程、采取防范网络攻击和侵入的技术措施、监测记录网络运行状态并按规定留存网络日志不少于六个月、采取数据分类和重要数据备份加密等措施。
这里的「网络运营者」范围很广，指网络的所有者、管理者和网络服务提供者。也就是说，只要你运营着一个联网的信息系统，不管是自建机房、托管在第三方 IDC，还是跑在公有云上，义务都在。
更早的依据是《中华人民共和国计算机信息系统安全保护条例》，其第二十条规定，违反计算机信息系统安全等级保护制度、危害计算机信息系统安全的，由公安机关处以警告或者停机整顿。等级保护制度本身从 1994 年这部行政法规起就确立了，2017 年《网络安全法》施行后上升为法律层面的普遍要求。
值得注意的是，义务主体是运营使用单位本身，不能因为系统交给外部厂商运维就转移。云环境下的责任是分担的，云平台负责自身基础设施的安全，租户侧的操作系统、应用、数据、账号权限仍然由用户自己承担，这一层不会因为用了云服务而消失。
二、四类处理方式，按轻重排列
实际执法中，处理通常是递进的，而不是一开始就罚款。
- 责令限期改正：主管部门发现未履行等级保护义务的，先要求在一定期限内完成整改，这是最常见的第一步；
- 警告：包括口头或书面告诫，会记入执法记录，部分情形会同时通报上级主管部门；
- 罚款：《网络安全法》第五十九条第一款规定，网络运营者不履行第二十一条、第二十五条规定的安全保护义务，由有关主管部门责令改正、给予警告；拒不改正或者导致危害网络安全等后果的，处一万元以上十万元以下罚款，对直接负责的主管人员处五千元以上五万元以下罚款；
- 停机整顿：依据《计算机信息系统安全保护条例》第二十条，公安机关可处以警告或者停机整顿，这一项对业务连续性的影响最直接。
对关键信息基础设施运营者，第五十九条第二款规定的幅度明显更高：拒不改正或者导致危害网络安全等后果的，处十万元以上一百万元以下罚款，对直接负责的主管人员处一万元以上十万元以下罚款。
三、罚款不是第一选项，但有明确前提
需要把第五十九条的适用逻辑讲准确，避免两种极端理解：一种认为不做就一定会被罚，另一种认为顶多被说两句。
条文的顺序是「责令改正 + 警告」在前，「罚款」在后，并且罚款的触发条件是「拒不改正」或者「已经导致危害网络安全等后果」。这意味着，收到整改通知后积极配合、按期完成定级备案和整改，通常不会走到罚款这一步；反过来，对整改要求置之不理，或者在未做防护的情况下发生了数据泄露、系统被篡改等实际危害后果，罚款就有了明确的适用依据。
各地公开的执法案例也基本符合这个逻辑：多数是网安部门在检查中发现系统未留存六个月以上网络日志、技术措施未落实等问题，先作出警告并责令整改，只有拒不整改或已造成后果的才进入罚款程序。
四、比罚款更容易被忽略的四类影响
行政处罚只是看得见的部分，实际影响往往发生在别处。
- 招投标与商务合作：越来越多的招标文件把等级保护备案证明、测评报告列为资格或评分项，缺了这一项可能连投标资格都拿不到；
- 上级单位检查与考核：党政机关、国企、事业单位在年度网络安全考核中普遍把定级备案完成情况列为指标；
- 行业监管要求：金融、医疗、教育等行业主管部门有各自的配套规定，等保完成情况常与其他合规事项挂钩；
- 事件发生后的责任认定：系统被攻击或数据泄露后，是否履行了等级保护义务会直接影响责任划分与整改要求，留存日志不足也会导致事后难以还原过程。
五、这些「以为不用做」的判断都不成立
- 「系统只在内网用」：内网系统同样属于等级保护对象，是否涉及互联网不是判定标准，要看系统遭到破坏后对客体的危害程度；
- 「用了云服务，安全归云厂商」：责任是分担的，租户侧的主机安全、访问控制、日志留存、数据备份仍然由用户负责；
- 「系统小、数据少，等级肯定是一级」：等级需要按定级流程确定，不能自行判断后就不申报，定级不准的，公安机关会建议重新组织专家评审；
- 「做过一次就不用再管了」：第三级系统每年至少测评一次，第二级系统原则上两年一次，系统发生重大变更时还需重新定级。
六、已经被责令整改，怎么补
收到整改通知后，按定级备案、差距分析、整改设计、整改实施、等级测评、安全运营这条主线推进即可，重点是先把定级和备案这两个前置动作补齐，因为后续的整改和测评都以确定的等级为基础。
具体做法是：先梳理本单位有哪些系统、各自的业务边界和数据情况，确定定级对象；再按流程初步确定等级、组织专家评审、报主管部门审核，最后到属地公安机关办理备案。第二级以上系统应在安全保护等级确定后 30 日内办理备案手续。之后才进入差距分析和整改，整改完成再开展等级测评。
时间上，从启动到完成首次测评，多数单位需要 2 到 6 个月，取决于系统数量、整改量和测评排期；费用则与系统数量、等级、整改范围相关，不同地区和不同规模的差异较大，一般在数万元到数十万元区间，具体以属地要求为准。
与其等到被检查出问题再补，不如把定级备案先做起来。想了解定级怎么划分，可以看等保定级：等级怎么确定；备案环节的材料与流程见等保备案；整改部分参考等保整改；测评环节见等级测评；预算测算可参考等保费用。