等保测评必须做吗？哪些系统需要做？

等保测评是《网络安全法》确立的法定合规义务，不是企业自愿选择。《网络安全法》第二十一条明确规定国家实行网络安全等级保护制度，网络运营者应当按照规定履行安全保护义务。因此，只要属于法定范围内的网络运营者，都需要完成定级备案；达到三级及以上的系统，还必须通过等级测评。 定级的标准是三步法：第一步看受侵害的客体，包括公民、法人、其他组织的合法权益；第二步看客体受到侵害的程度，分为一般损害、严重损害、特别严重；第三步综合得出 1 至 5 级，其中 2 级和 3 级在实务中最为常见。 需要做定级备案的典型系统包括：面向公众提供服务的网站与业务系统；存储、处理重要数据或大量个人信息的系统；云平台与大数据平台；承载核心业务的生产系统。行业监管另有要求的系统往往被直接定为三级，典型如金融、医疗、教育、能源、政务等行业的主干业务系统。 需要区分两个层级的义务强度：**二级系统以备案为主**，是否开展等级测评由企业自主决定；**三级及以上系统必须开展测评**并达到合格标准，这是硬性要求，不存在自主放弃的选项。三级系统从测评机构进场到出具报告一般需 20–40 个工作日，加上备案环节，全流程通常 1–3 个月。 如果不确定自己的系统该定几级，可以按数据敏感度、影响人数、是否对外提供关键服务三个维度综合评估，或者在正式定级前请具备资质的测评机构做预评估。定级过低后续需要变更同样有成本，定级过高则造成不必要的支出。 完整流程可参考 《等保测评办理流程：定级、备案、测评、整改一次讲清》，选级判断方法可参考 《等保二级与等保三级怎么选？定级、备案与测评要点》。