【律师解读】深度解读公安部 176 号令：网安检查全覆盖后，这三个环节风险最高

本期看点：10月1日，《公安机关网络空间安全监督检查办法》（公安部令第176号）施行，网安检查覆盖所有"上了网"的企业。查谁？查什么？警察上门怎么办？上月底刚有两位老板因拒不整改被判刑。企业自查清单，一篇讲清。

国庆第一天，一份跟所有"上了网"的企业都有关的新规，悄悄生效了。

10月1日起，《公安机关网络空间安全监督检查办法》（公安部令第176号）正式施行。你的官网、App、小程序、会员系统，都可能成为检查对象。

这不是虚张声势。9月28日，公安部网安局刚公布两起典型案例：两家公司的法定代表人，都因"拒不整改"被判了刑。

谁会被查？查什么？警察上门怎么应对？这篇一次讲清。

一、谁会"上榜"？

新规列了八类检查对象，翻译成人话，覆盖面比多数老板想的大得多：

开网站、做App、搭平台，提供接入、数据中心、信息服务的，是互联网服务提供者；

有官网、小程序、会员系统，收集用户信息的，是网络运营者、个人信息处理者；

跟数据打交道——存客户资料、做用户画像、跑算法推荐的，是数据处理者。

一句话：只要公司在网上有业务，基本都在射程内。开网店、做直播、搞在线教育、连锁店用会员系统，都算。

还有一条要划重点：曾经出过安全事件、或者被罚过没整改的，公安机关重点检查。

二、上门查什么？

《办法》第7条列了11项重点检查内容，归成五类，对照自查：

1. 手续齐不齐——联网单位备案办了吗？网络安全等级保护的定级备案、等级测评做了吗？

2. 制度有没有——网络安全、数据安全管理制度和操作规程，是写在纸上还是真在执行？

3. 记录留没留——用户注册信息、上网日志，依法留存了吗？（按《网络安全法》，相关网络日志须留存不少于六个月。）

4. 防护够不够——防病毒、防攻击的技术措施有没有？发现漏洞改了吗？

5. 数据和算法——客户信息、个人信息保护做到位吗？搞算法推荐的，算法安全管理主体责任落实了吗？

注意，"算法安全主体责任"是新规明确写进重点检查的事项。做内容分发、推荐业务的公司，别再只当技术问题看。

三、警察上门，怎么接待？

先记住程序上的四个硬规定，既是企业权利，也是应对方法：

看两证。现场检查的人民警察不得少于两人，要出示人民警察证和县级以上公安机关的监督检查通知书。对不上的，可以合理提出核实。

分清免费和收费。《办法》明确：检查不得收取费用，不得要求购买、使用指定产品和服务。有人借"检查"推销安全产品，直接警惕。

配合检查，但也留痕。民警可以进机房、问负责人、查阅资料、做渗透测试（远程检测须提前三个工作日告知）。检查结束会制作监督检查记录，双方签名——你有异议，当场说明，记进笔录。

掂量后果。发现隐患，先是督促整改、发公安提示函；不履行法定义务的，按《网络安全法》《数据安全法》《个人信息保护法》处罚；风险较大或出了事件的，省级以上公安机关可以直接约谈法定代表人或者主要负责人。

看清楚：约谈的对象，是法定代表人本人，不是IT经理。

四、为什么整改通知不能拖？

最重的那道门，在《刑法》第286条之一——拒不履行信息网络安全管理义务罪：经监管部门责令改正而拒不改正，致使违法信息大量传播、用户信息泄露、刑事案件证据灭失等，处三年以下有期徒刑。

上月底公安部网安局公布的两起案子，都是同一套剧本：

案例一（江苏盐城）：某公司未核验身份就对外出租服务器，被行政处罚并责令限期改正。它选择继续装睡，结果多人被骗、刑事案件证据灭失。法定代表人卢某，判处有期徒刑八个月，缓刑一年。

案例二（河南三门峡）：某网络技术服务公司被诈骗团伙雇佣发布有害信息，被罚后仍不整改，导致群众被骗。法定代表人张某，同样八个月，缓刑一年。

两个案子的共同点，值得每个老板记住：罚款本身不致命，致命的是收到整改通知还不动。

网安检查，企业自查5步清单

第一步，对号入座。确认公司是不是检查对象——有官网、App、小程序、会员系统、用户数据，就算。

第二步，盘手续。联网单位备案、等保定级备案和测评，没办的抓紧补，不知怎么办的找当地公安网安部门问。

第三步，补制度和日志。网络安全管理制度成文上墙，日志留存不少于六个月，留档备查。

第四步，查漏洞。技术防护措施跑起来，历史漏洞清干净，应急预案写好、演练过。

第五步，定专人。指定网络安全负责人对接检查，收到提示函、整改通知当天响应——这是把老板自己从被告席上拉回来的关键一步。

网安检查不可怕，可怕的是通知来了你不改。

网络安全从来不只是IT部门的事，它是老板口袋里的一张罚单、一份判决书。

常见问题

Q1：小公司没有专职网安，会被罚吗？
A：义务跟系统规模挂钩，但不会因"公司小"豁免。小微企业的底线动作：办理备案、留存日志、基础防护、漏洞整改。拿不准的，主动向属地公安网安部门咨询，比被查出问题再补救成本低得多。

Q2：渗透测试把系统测出问题了，算谁的责任？
A：《办法》要求远程检测提前三个工作日告知，且不得干扰、破坏系统正常运行；受委托的技术机构须签保密承诺，由公安机关全流程管理。发现异常，当场在监督检查记录中说明并留证。

Q3：民警上门，怎么核实身份？
A：现场检查民警不得少于两人，应出示人民警察证和县级以上公安机关出具的监督检查通知书。对检查记录有异议的，有权当场说明。拒不配合检查和借检查敛财，是两回事，都要分清。

附录：新规要点

《公安机关网络空间安全监督检查办法》（公安部令第176号）共23条，2026年10月1日起施行，同时废止2018年《公安机关互联网安全监督检查规定》（公安部令第151号）。要点：

检查对象：网络运营者、数据处理者、个人信息处理者等八类；曾出事件或被罚未整改的，重点检查。

检查方式：线上巡查、远程检测（提前三个工作日告知）、现场检查（民警不少于两人、出示证件和通知书）。

检查频次：等保三级以上和关基单位每年一次日常现场检查，其他部门查过的复用结果，避免重复检查。

结果运用：隐患督促整改或发提示函；违法的依《网络安全法》《数据安全法》《个人信息保护法》追责；较大风险可约谈法定代表人或主要负责人。

刑责红线：《刑法》第286条之一，拒不改正致严重后果，处三年以下有期徒刑、拘役或者管制，并处或者单处罚金。

（具体条文表述以官方公布文本为准。本文为一般性普法内容，不构成对具体事项的法律意见。）

上海锦坤律师事务所

021-62076656　 www.jinkunlaw.com
上海市徐汇区宜山路425号光启城14层

「股权实战100讲」持续更新，关注锦坤说法，读懂股权那点事。