公安部第176号令落地：外企和政府单位要重新审视哪些网络安全责任？

2026年10月1日起，公安部第176号令《公安机关网络空间安全监督检查办法》施行，2018年公安部第151号令同时废止。对外企和政府单位而言，这不只是检查手段多了几项，更值得关注的是：监督检查的对象和义务范围，已经把网络安全、数据安全、个人信息保护等责任放进了同一套检查框架。

先澄清一个容易被标题带偏的说法：新规不是“公安机关第一次可以做技术检测”。第151号令第十六条早已规定公安机关可以远程检测网络安全漏洞。第176号令的变化，是在既有制度上扩展检查对象、细化技术手段和程序要求，并把风险核查、整改记录、提示通报等环节进一步串联起来。

法规原文｜第176号令第二条： “本办法适用于公安机关依法对网络运营者、数据处理者、个人信息处理者等履行法律法规规定的网络安全、数据安全、信息安全义务情况开展的监督检查。本办法所称网络空间安全，包括网络安全、数据安全、信息安全。”

这段定义直接影响责任认知：安全不只是防火墙、终端和机房，也包括组织如何处理数据、保护个人信息，以及相应制度和技术措施是否落实。外企常见的集团总部与中国实体分工、跨境业务系统、第三方服务商和本地运维安排，都需要从“谁实际运营、谁处理数据、谁承担具体义务”出发梳理，不能只凭集团组织架构或合同上的职责划分作判断。具体适用仍应结合主体身份、业务活动和中国法律要求评估。

监管对象扩大，外企与政府单位都要看清“责任落在哪个主体”

第176号令第六条列明监督检查对象，包括互联网服务提供者、网络运营者及其建设者和维护者、关键信息基础设施运营者、网络产品和服务提供者、数据处理者、个人信息处理者等。第二条又明确了检查所关注的义务领域。对外企来说，需要核对在华运营实体、业务平台、数据处理活动、委托服务和系统维护之间的责任边界；对政府单位而言，则要把本单位自建系统、政务云及外包建设运维纳入统一的责任和证据视图。

这里不宜简单推导成“所有外企都会被同一种方式检查”，也不代表政府单位只要采购了云服务就可以把责任全部转给供应商。应当先识别自身是否属于条文覆盖的主体，以及相关系统、数据活动和服务关系，再建立可执行的责任矩阵。

线上巡查、远程检测与现场检查：看原文，也看边界

第176号令第四条对线上巡查和远程检测分别作出规定：

“公安机关通过网络信息巡查、信息审核能力测试、漏洞扫描等不影响被检查对象正常业务运行和网络空间安全的方式……进行线上巡查，以发现风险隐患。” “设区的市级以上公安机关可以通过漏洞探测、渗透性测试等方式……进行远程检测，但应当提前三个工作日告知被检查对象检查时间、检查范围等事项，不得干扰、破坏被检查对象网络设施、信息系统的正常运行，并通报同级网信部门、行业主管部门。”

线上巡查发现的风险需要核查；必要时，还可进一步进行现场检查。第十二条列出的现场检查措施包括“查看安全保护技术措施运行情况”以及“开展漏洞探测、渗透性测试等技术检测”。因此，组织需要准备的不只是制度文件，还要能说明技术措施现在如何运行、风险如何发现和处置。

但这不等于公安机关可以不受限制地对任何系统进行渗透测试。办法对主体层级、提前告知、检查范围、不得干扰系统运行、部门通报等设置了程序要求。第十一条还规定现场检查的人民警察不得少于二人，并应出示人民警察证和监督检查通知书。第十四条明确：

“公安机关开展网络空间安全监督检查应当客观公正，不得向被检查对象收取费用，不得要求被检查对象购买、使用指定的产品和服务。”

对收到检查通知的组织，务必通过正式渠道核验通知和范围，指定对接人并留存记录；不要把依法开展的检查和普通商业推销混为一谈，也不要因担心影响业务而擅自隐瞒资产或销毁证据。

为避免把法律规定与企业自查建议混为一谈，图中将公安机关的检查主体、频次和法定技术检查边界，与单位自查时可盘点的常见公网服务及协议示例分开呈现。第176号令没有规定统一端口/协议清单；HTTP(S)、DNS、邮件、远程运维等项目仅作为自查暴露面的示例，并非公安机关固定必测项目。自查和测试须限于已获授权范围。法规原文见公安部令第176号全文（公安部官网）。

重点检查内容：等保仍在，数据、个人信息和算法责任也要纳入

第七条把检查内容列得更完整。其中包括等级保护定级备案、等级测评、建设整改和自查；防范网络攻击、网络侵入的技术措施；针对漏洞和隐患采取整改措施；落实算法安全主体责任；履行数据安全和个人信息保护义务等。

法规原文｜第176号令第七条第（七）项：“是否依法针对网络安全漏洞、隐患采取相应的整改措施，消除风险隐患”；第（九）项：“是否依法落实算法安全主体责任，建立健全算法推荐管理制度和技术措施”；第（十）项：“是否依法履行数据安全、个人信息保护义务。”

第九条还规定，对网络安全等级保护第三级（含）以上的网络运营者、关键信息基础设施运营者，每年开展一次日常性的现场检查；本年度其他主管部门已经开展的现场检查，公安机关复用相关检查结果，不再重复开展现场检查。对政府单位，系统分级、主管部门检查和供应商交付证据之间需要有一致的台账；对外企，则应把在华系统及其数据、个人信息处理活动与总部合规制度衔接，同时确保本地团队能实际执行并提供证据。

这不表示等保测评失去价值。相反，等保仍是重要基础，但一次测评不能替代持续运行中的资产管理、漏洞修复、权限复核、日志审计和应急演练。材料和技术状态应相互印证。

发现风险之后，关键是能否形成闭环

第十六条规定，发现风险隐患时，公安机关应督促指导被检查对象采取措施消除风险，并在监督检查记录中注明。第十七条规定了公安提示函和公安通告等风险提示方式；第十八条要求特定重大风险按规定通报相关部门；第十九条则规定符合条件时可以约谈有关责任人。

这意味着漏洞本身并不自动等于违法，但“发现了却没人负责、没有期限、没有复核”会让组织很难证明已履行治理责任。建议至少保留一条能追溯的记录链：资产或风险来源、风险等级、责任人、整改期限、临时缓解措施、修复证据、复测结果，以及无法按期完成时的升级审批。

外企与政府单位可以立即做的六项核对

明确主体和系统范围：列出在华运营主体、政务系统、互联网暴露资产、云资源、重要接口和第三方运维关系。
把责任落到人和部门：明确网络、数据、个人信息、业务系统、采购与法务之间的责任接口，避免合同写了但运行中无人负责。
核对真实运行状态：抽查漏洞扫描、补丁、弱口令、共享账号、离职权限回收、日志留存及安全设备告警处置。
检查证据是否能互相印证：制度、等保报告、风险台账、工单、变更记录和复测结果应对应同一批系统与时间范围。
复核供应商和跨境协作：核实外包运维账号、远程访问、数据处理约定、事件通报流程及总部支持机制；外企尤其要确认中国境内团队是否能按本地要求及时响应。
演练检查与事件响应：确认谁接收正式通知、谁核验范围、谁协调业务系统、谁负责风险整改和对外沟通，并做桌面演练。

常见问题：不等于“等保取消”，也不等于“设备越多越合规”

这是不是意味着可以不做等保了？

不是。第176号令第七条第（四）项明确把“网络安全等级保护定级备案、等级测评、建设整改、自查”等列入重点检查内容。现行《中华人民共和国网络安全法》（2025年修正）第二十三条也仍然规定，网络运营者应当按照网络安全等级保护制度履行安全保护义务。新办法强化的是监督检查和风险核验，不是取消或替代等保。

还要把两个问题分开：是否属于等保对象、如何定级，需要结合实际网络/信息系统和业务影响判断；是否每年接受一次公安机关日常现场检查，则第176号令第九条明确限定为等保第三级（含）以上网络运营者和关键信息基础设施运营者。不能把“不是每年一次现场检查”误解成“不需要等保”。

我只有一个简单的官方主页，也要堆一套重量级防护吗？

不应只因为“网站对公网开放”就默认采购一整套高成本安全产品。先盘清网站和后台由谁运营、放在哪里、是否有登录、表单、用户账号、API或个人信息处理，再结合业务影响、已有托管服务和适用要求确定保护措施。第176号令第十四条也明确，公安机关不得要求被检查对象购买、使用指定的产品和服务。

对一个功能简单、由可信服务商托管的展示型主页，通常可以先落实基本项：域名和托管账户启用多因素认证；网站组件保持受支持并及时更新；只开放业务需要的服务、保护管理入口；启用HTTPS；确认备份可恢复、访问与管理日志可用；检查联系表单、统计插件等是否收集了超出必要范围的数据。WAF、抗DDoS、独立SOC等是否需要，应看暴露程度、业务中断影响、实际攻击风险和适用要求，不宜把“设备数量”当成合规程度。

我只有一个VPN门户，是否就不用特别关注？

也不能因为“只有一个入口”就忽略风险。VPN门户本身通常是外部远程访问的入口；评估时不只看登录页，还要看网关设备/软件及版本、管理界面是否暴露、谁能登录、登录后能到哪些网段，以及相关账号、权限和日志。

作为风险相称的自查起点，可核对：产品仍在支持期并及时修补；远程用户和管理员使用强认证；离职或不再需要的账号及时停用；权限仅覆盖工作所需的系统和网段；管理面尽量不直接暴露公网；检查异常登录日志，并验证配置备份和恢复方案。它们是实务建议，不是第176号令逐项列出的强制产品清单。核心是减少不必要暴露和权限，而不是为了“看起来安全”再堆设备。

每个官网都会被一年检查一次，或被扫遍所有端口吗？

不是。第176号令第九条的“每年一次日常现场检查”针对等保第三级（含）以上网络运营者和关键信息基础设施运营者；同年度其他主管部门已经开展现场检查的，公安机关复用相关结果，不再重复开展。其他日常检查的频次、范围、方式由公安机关按分级分类、协同等原则合理确定；案事件调查或重大安全保卫任务还可能依法开展专项检查。

第四条允许依法通过线上巡查、漏洞扫描等方式发现风险；特定远程漏洞探测、渗透性测试则有实施主体、范围、提前告知和不得干扰正常运行等条件。办法没有列出对所有网站通用的端口/协议扫描表，所以本文图中的HTTP(S)、DNS、邮件、VPN等仅供单位自查盘点暴露面，不代表每家企业都会被逐端口检测。

网站托管在云平台、交给供应商运维，责任就转给供应商了吗？

外包能分工，但不当然消除各方依法承担的义务。网络运营者、数据处理者、个人信息处理者等具体角色，要结合实际运营、控制和处理活动判断。与供应商至少要说清账号与权限、补丁和漏洞处置、日志与备份、事件通知时限、数据处理边界、服务退出后的数据返还/删除，以及谁负责验证恢复。合同写了责任分工，还要确认日常运行确实按分工执行。

一台很老的SonicWall防火墙开着SSL VPN，是否必须一直续保？

第176号令没有规定必须购买某一品牌的年度续保服务。法律关心的是适用的网络安全义务是否落实，而不是企业是否购买了特定厂商的合同。但要区分“安全服务订阅”和“技术支持/固件安全更新”：SonicWall生命周期政策区分有限退役、停止支持等阶段。进入有限退役期后，固件支持可能仅限关键漏洞/缺陷；到达停止支持（EOS）后，厂商不再提供技术支持、固件更新/升级或硬件更换，即使某些安全服务订阅仍可继续，也不能据此认为设备还能获得安全补丁。应以具体型号的生命周期表和厂商支持记录为准。

所以，续保可能是取得支持或补丁的必要条件之一，但“续了保”不等于旧设备仍受支持，更不等于SSL VPN因此安全。SonicWall曾发布过影响特定Gen 5/Gen 6及部分早期Gen 7版本的SSL VPN/管理面漏洞公告，并建议受影响设备打补丁；对无法获得修补的老旧设备，厂商公告建议限制可信来源或关闭互联网侧SSL VPN。该例不代表所有型号都受影响，必须逐型号、逐固件版本核对。

如果扫描报告发现漏洞，被扫到本身不等于自动罚款。第176号令第十六条规定，监督检查发现风险隐患后，公安机关应督促指导被检查对象采取措施消除并记录；第六条规定，曾发生安全事件，或因未履行义务受处罚且未按要求整改的对象，应当重点检查。实际后果取决于具体义务、风险与影响，以及是否采取及时、可验证的处置措施；不能把“还在续保”当作整改证据。

实务上先核对确切型号、SonicOS版本/Build、SSL VPN是否对公网开放，以及该型号处于生命周期的哪一阶段。若有适用补丁，按厂商公告安排升级并核验成功；若暂时无补丁，先评估能否关闭SSL VPN，或仅允许必要的可信来源访问并限制可达网段，同时收集登录日志、检查异常访问、制定替换计划。对预认证漏洞，MFA不能替代补丁或关闭暴露入口。即使已经更新，仍可能发现新漏洞；合理目标不是证明“永远零漏洞”，而是持续监测、及时修补、无法修补时降低暴露并留存处置记录。

相关依据可查SonicWall产品生命周期表、SonicWall对CVE-2024-40766的安全公告及厂商处置建议。具体型号和版本不同，影响范围、修复版本与支持状态也不同。

如果要替换旧SSL VPN，能不能直接改做SD-WAN？

可以评估，但不能把“部署了SD-WAN”直接等同于“出差员工的远程接入已经解决”。SD-WAN通常先解决分支、数据中心和云之间的连接、选路及链路管理；笔记本或手机上的个人用户访问企业应用，还需要明确的远程接入功能。部分厂商提供集成式SD-WAN Remote Access，但这是具体产品/方案具备的能力，并非所有SD-WAN设备默认都有。采购前要确认客户端、身份认证、用户/设备规模、授权方式、分段策略和外出网络下的体验，并实际测试。

如果客户只有一两个办公室、主要痛点是出差用户连回公司，为此单独建设完整SD-WAN可能是过度设计。可比较：升级到仍受支持、保留远程接入能力的防火墙；部署独立且受支持的远程接入网关；或采用适合应用访问场景的ZTNA/SASE服务。若客户同时有多分支互联、链路质量或云组网需求，SD-WAN才可能一并解决多类问题。要把“分支组网”和“移动用户接入”分别列入方案需求与费用清单。

因此，若旧设备已停止安全更新、SSL VPN又必须继续面向出差用户开放，往往确实需要投入替换设备、远程接入服务或架构迁移的成本；SD-WAN不是天然更省钱的答案。能够先关闭不必要的入口、限制暴露、缩小可达网段的，应先作为过渡措施；但只要业务仍要求安全地远程访问，就需要保留某种受支持的远程接入能力。Cisco关于SD-WAN Remote Access的官方说明就是一个“SD-WAN另含远程接入能力”的厂商方案示例，不能据此推定所有厂商产品都具备相同能力。

从合规材料走向可验证的日常治理

第151号令第十六条已经规定远程检测网络安全漏洞；第176号令并非从“完全不技术检查”突然跳到“全面渗透测试”。更准确的理解是，监管框架覆盖面更广，技术验证与现场查看被写得更具体，风险发现后的核查、整改和结果运用也更成体系。检查同时受到权限和程序约束。

对外企和政府单位，最稳妥的准备不是临时拼一套材料，而是让制度、系统和运行证据能够对得上：知道有哪些资产，知道风险在哪里，知道谁在处理，也能证明问题已经复核闭环。合规文件证明责任安排，持续运行的记录则证明安排是否真正落地。

DELine 为企业及政府客户提供网络安全评估、基础设施与安全措施建设、持续运维及风险整改支持，帮助组织把资产、漏洞、权限、日志和整改证据纳入可执行的治理闭环。了解更多 DELine 服务，请访问官网或联系我们。

参考法规与来源

本文根据公开法规文本作一般性解读，不构成针对具体主体或业务的法律意见。外企及政府单位的具体适用范围、检查要求和整改方案，应结合主体身份、系统性质及业务事实进行评估。