2026年8月7日，公安部发布《公安机关网络空间安全监督检查办法》，自2026年10月1日起施行，取代2018年施行的《公安机关互联网安全监督检查规定》，标志着公安机关网络安全监管由"互联网安全"向"网络空间安全"的范式转型。本文通过新旧规定比较，从检查对象、检查内容、检查方式与处理措施四个维度梳理制度跃迁，解析公安提示函、法定代表人约谈、算法安全纳入检查、第三方技术支持规制等核心制度创新，并从数据安全、个人信息保护、算法安全、网络与系统安全四方面绘制企业合规风险地图，进而提出治理、体系、程序、协同四个层面的企业合规行动框架。研究认为，网络空间合规已由IT部门的技术性事务演变为系统性的公司治理工程，企业须在施行日期前完成对标自查与制度补强，将合规从被动应对转化为内生治理能力。

关键词：网络空间安全；监督检查；数据安全；企业合规

2026年8月7日，公安部正式发布《公安机关网络空间安全监督检查办法》¹，自2026年10月1日起施行，取代2018年施行的《公安机关互联网安全监督检查规定》（公安部令第151号）。新规共23条，从监督检查对象、方式、内容、机制、结果运用及法律责任六个方面重构了公安机关网络空间安全监督检查制度体系，标志着公安机关网络安全监管从“互联网安全”时代迈入“网络空间安全”时代。

两字之差，规范意涵却有实质分野。旧规以《人民警察法》²《网络安全法》³为立法依据，检查对象限定于“互联网服务提供者和联网使用单位”，检查内容围绕联网备案、日志留存、病毒防范、等级保护等传统网络安全义务展开。而新规在立法依据层面扩容至《数据安全法》⁴《个人信息保护法》⁵《关键信息基础设施安全保护条例》⁶《网络数据安全管理条例》⁷等，检查对象延伸至网络运营者、数据处理者、个人信息处理者、关键信息基础设施运营者等多元主体，检查内容穿透至数据安全保护义务、个人信息保护义务乃至算法安全主体责任。

这一监管范式的转型，意味着网络空间合规已从IT部门的技术性事务，演变为涉及公司治理架构、业务流程重构和全栈技术体系的系统性工程。本文拟从新旧规范比较入手，对新规的核心制度创新作深度解析，并为企业法务、合规官及IT负责人提供可落地的合规行动框架。

（一）检查对象：从“联网单位”到“数据处理全主体”

旧规第2条将适用范围框定于“互联网服务提供者和联网使用单位”，第9条进一步以列举方式明确四类重点检查对象：提供互联网接入、数据中心、内容分发、域名服务的主体，提供互联网信息服务的主体，提供公共上网服务的主体，以及提供其他互联网服务的主体。这一规制逻辑的核心在于“网络接入”和“服务提供”——只要企业不直接对外提供互联网服务，通常不落入旧规的检查射程。

新规第6条则直接进行了扩充。除网络运营者外，数据处理者、个人信息处理者、关键信息基础设施运营者、网络产品和服务提供者等均被纳入检查对象。规范文义上，一家不对外提供互联网服务的传统制造企业，若其在内部经营活动中处理重要数据或大量个人信息，同样构成“数据处理者”或“个人信息处理者”，公安机关据此享有法定检查权限。很明显，监管的逻辑起点已从“网络边界”转向“数据资产”和“算法应用”。

（二）检查内容：从单一网络安全到“三位一体”

旧规第10条列举七项检查内容，涵盖联网备案、网络安全管理制度、用户注册信息与上网日志留存、计算机病毒防范、违法信息处置、技术支持协助义务以及网络安全等级保护义务。第11条按服务类型补充了六类附加检查事项。整体而言，旧规的检查内容呈现明显的“网络基础设施安全”导向。

新规第7条将检查内容扩展至十一项，在保留并升级原有网络安全义务检查的基础上，新增三类核心内容：

其一，数据安全保护义务。 包括数据分类分级保护制度的建立与执行、重要数据目录的报送、数据安全风险评估的开展、数据出境安全评估或申报义务的履行等。这一新增内容直接对应《数据安全法》第21条、第27条和第31条的制度安排。

其二，个人信息保护义务。 包括个人信息处理活动的合法性基础、处理规则的公开透明、敏感个人信息处理的特别义务、个人信息保护影响评估的开展等，与《个人信息保护法》第51条至第58条的规定形成执法衔接。

其三，算法安全主体责任。 新规第7条第9项明确要求检查“是否依法落实算法安全主体责任，建立健全算法推荐管理制度和技术措施”。这在公安机关部门规章层面系首次将算法治理纳入安全检查范围，与《互联网信息服务算法推荐管理规定》⁸《互联网信息服务深度合成管理规定》⁹构成执法联动。

（三）检查方式：立体化监管体系的成型

旧规第13条规定，公安机关可以采取“现场监督检查或者远程检测”两种方式。第16条对远程检测设置了“事先告知检查时间、检查范围”的程序要求。

新规在此基础上构建了“线上巡查+远程检测+现场核查”的三层检查方式，并进一步区分日常检查与专项检查。第4条规定，公安机关可以通过网络信息巡查、信息审核能力测试、漏洞扫描等不影响被检查对象正常业务运行和网络空间安全的方式……进行线上巡查；第5条规定，对巡查检测中发现问题隐患的，公安机关应当组织现场核查。第10条进一步规定，对特定行业的日常现场检查，应当提前5个工作日告知同级网信部门和行业主管部门，并可以开展联合检查。同时，新规明确鼓励采用线上巡查等非现场方式开展检查，以最大程度降低对企业正常经营的影响。

这一制度设计的实质在于将监管节点前移至“预警发现”阶段。线上巡查和远程检测作为非现场监管手段，无需事先出具监督检查通知书，企业可能在未获事先告知的情况下已被纳入巡查范围。“等通知来了再准备”的被动合规策略，在新规框架下将难以持续。

（四）处理措施：从刚性处罚到分层治理

旧规第19条确立了“责令限期整改+行政处罚”的二元处理结构，对情节轻微或未造成后果的违法行为责令限期整改，对符合法定处罚情形的依法予以行政处罚。

新规引入了更具层次感的处理工具。第17条创设“公安提示函”制度：县级以上公安机关可以向被检查对象发放提示函；设区的市级以上公安机关可以向有关行业主管部门发放提示函；省级以上公安机关可以向社会发布不指向特定对象的公安通告。第19条规定，省级以上公安机关在履行网络安全、信息安全监督管理职责中发现较大安全风险或安全事件的，可以约谈企业法定代表人或主要负责人；县级以上公安机关在数据安全监督管理中发现较大安全风险的，也可以约谈有关组织和个人。

“公安提示函”的制度功能在于风险前置干预——在违法行为尚未构成或尚不需动用行政处罚时，以书面形式提示风险、督促整改。而约谈法定代表人则直接将合规压力传导至企业决策层，其震慑效应远超对IT部门或安全负责人的常规检查。

下表对新旧规定的核心差异作一汇总：

（一）“公安提示函”：风险前置干预的执法逻辑

新规第17条确立的公安提示函制度，在公安机关网络安全执法工具箱中属于典型的柔性执法手段。从规范性质上分析，提示函并非行政处罚，不直接产生行政法上的不利后果，但其制度威慑力不容忽视。

提示函的三级发放机制——向被检查对象发函、向行业主管部门发函、向社会发布通告——构成了由点到线再到面的风险传导路径。对企业而言，收到公安机关的提示函意味着其网络空间合规状况已被正式记录在案；提示函中载明的问题若未在合理期限内整改，将成为后续行政处罚裁量中的不利因素。更为关键的是，行业主管部门收到提示函后，可能触发行业内部的进一步排查或监管措施；而社会通告则直接触及企业声誉和市场信任。这一制度设计以较低执法成本实现了较高规制效能，将“风险预防”理念嵌入执法程序前端。

（二）约谈法定代表人：合规责任的纵向传导

新规第19条规定的约谈制度，其规范要点在于约谈对象的层级设定——“法定代表人或主要负责人”。这一制度安排的法律效果是将网络空间合规责任从操作层、执行层直接上提至决策层。

在旧规框架下，公安机关的监督检查通常由企业的网络安全管理人员或IT部门负责人对接，合规问题的整改也往往在技术层面闭环。新规将约谈对象设定为企业最高决策层，其制度意图明确：网络空间安全合规不再是单纯的技术问题或部门管理问题，而是企业治理层面的战略议题。法定代表人被约谈的记录，在企业后续融资、上市、招投标等场景中均可能产生连锁影响。对企业法务和合规官而言，这一制度为向董事会和管理层争取合规预算与治理权限提供了直接依据。

（三）算法安全纳入检查：监管触角的新延伸

将算法安全主体责任纳入公安机关安全检查范围，是新规最具时代特征的制度创新之一。新规第7条第9项要求检查“是否依法落实算法安全主体责任，建立健全算法推荐管理制度和技术措施”，其规范依据可追溯至《互联网信息服务算法推荐管理规定》第7条至第16条关于算法推荐服务提供者义务的规定，以及《互联网信息服务深度合成管理规定》第6条至第10条关于深度合成服务提供者义务的规定。

从执法实践角度审视，算法安全检查的落地将面临若干技术性难题：算法机制机理的审核记录如何形成、科技伦理审查文档应包含哪些要素、算法歧视与偏见的识别标准如何量化等。这些问题的答案目前尚未在执法层面形成统一标准，但企业应当意识到，算法合规文档的准备已经从“可选动作”变为“必选项”。建议算法推荐服务提供者至少建立以下文档体系：算法备案材料、算法机制机理说明、科技伦理审查记录、用户关闭算法推荐的实现方案、深度合成内容的标识与溯源机制。

上海市锦天城律师事务所曾峥团队认为：算法安全纳入公安机关检查范围，是此次修法中最具前瞻性的制度安排之一。企业在短期内面临的突出挑战在于，现行法规对“算法安全主体责任”的界定仍较为原则，缺乏细化的执法标准和可操作的合规清单。建议企业先行参照《互联网信息服务算法推荐管理规定》的备案要求和科技伦理审查框架，将算法备案、机制说明、伦理审查三类材料作为基础合规底线进行准备，同时密切关注公安部后续可能发布的配套执法指引或技术标准，及时调整合规策略。

（四）第三方技术支持的规制强化

新规第13条对公安机关委托网络安全服务机构提供技术支持设定了更为严格的程序要求：委托需向上一级公安机关备案；对关键信息基础设施运营者进行检查的，需告知行业主管部门；参与技术支持的人员需通过背景审查。第20条将保密义务范围从旧规的“个人信息、隐私、商业秘密和国家秘密”扩展至“工作秘密”，并明确要求技术支持人员在检查完毕后将相关资料交由公安机关保管或按要求删除销毁。

这些规定的制度背景，是近年来网络安全服务市场中数据泄露事件的频发。公安机关在借助第三方技术能力提升检查效能的同时，也意识到第三方人员接触企业核心网络架构和数据资产所带来的次生风险。对企业而言，这意味着在配合公安机关检查过程中，应当关注技术支持人员的资质和授权范围，并在必要时与公安机关就技术支持的边界进行书面确认。

新规框架下，企业宜从以下四个维度系统梳理风险敞口：

（一）数据安全风险

• 数据分类分级保护制度是否建立并实际执行，是否仅停留在纸面制度层面；

• 重要数据目录是否依法向主管部门报送，数据出境活动是否履行安全评估或申报义务；

• 数据处理活动中是否存在违规买卖、共享重要数据的情形；

• 数据安全风险评估是否定期开展，评估报告是否真实反映企业数据安全状况。

（二）个人信息保护风险

• 个人信息收集是否具备合法性基础，是否存在App或小程序过度索权、强制授权的情形；

• 个人信息处理目的、方式发生变更时，是否重新取得个人同意；

• 个人信息泄露应急预案是否完备并经过实际演练，预案中的通知义务和报告义务是否可执行；

• 是否依法配备个人信息保护负责人，其独立性和汇报路径是否得到保障。

（三）算法安全风险

• 使用算法推荐服务是否已向网信部门履行备案手续；

• 是否建立算法机制机理审核制度和科技伦理审查制度，相关记录是否完整可追溯；

• 是否在产品界面中设置关闭算法推荐的选项并向用户明示；

• 是否对算法可能产生的歧视性后果进行风险评估并采取消减措施；

• 如提供深度合成服务，是否对相关内容进行显著标识并建立溯源机制。

（四）网络与系统安全风险

• 网络安全等级保护定级备案和等级测评是否完成，等保三级以上系统是否满足每年检查一次的合规预期；

• 关键信息基础设施保护责任人是否明确，安全保护计划是否落实；

• 网络日志留存期限是否符合法定期限（不少于六个月）的技术实现要求；

• 是否存在未修复的高危漏洞，漏洞管理流程是否闭环；

• 是否为公安机关依法维护国家安全、侦查犯罪提供技术支持和协助建立了内部响应机制。

（一）治理层面：将网络空间安全纳入企业风险管理框架

网络空间安全合规已超出传统IT部门的职责边界。新规的检查内容横跨网络安全、数据安全、个人信息保护、算法安全四个领域，对应的法律责任分散于《网络安全法》《数据安全法》《个人信息保护法》及相关行政法规。这四个领域的合规要求相互交叉、层层叠加，任一环节的疏漏均可能触发公安机关的监督检查。

建议企业在董事会或管理层层面设立网络空间安全合规议事机制，由法务或合规负责人牵头，IT、业务线、人力资源等部门共同参与，定期审议网络空间安全合规状况，确保合规预算与资源配置。对于处理重要数据或运营关键信息基础设施的企业，应当考虑设立专职的数据安全负责人和个人信息保护负责人，并保障其独立性、专业性和充分的资源支持。

上海市锦天城律师事务所曾峥团队认为：从近期执法实践观察，公安机关的监督检查已呈现出“由点及面”的明显趋势——从单一网络安全漏洞排查，转向数据安全管理制度、个人信息处理合规记录、算法备案材料等文档化证据的系统性核验。团队曾协助企业办理过多次执法检查应对等工作，经验表明，企业若仅依赖技术层面的安全加固，而忽视合规文档的体系化管理，在检查中将处于极为被动的境地。建议企业在10月1日施行日期前，至少完成三项基础工作：一是梳理全量数据资产并建立分类分级台账；二是将个人信息保护影响评估（PIA）嵌入产品上线前的标准流程；三是指定具备跨部门协调能力的专职人员作为公安机关检查的对接窗口，避免多头应对导致的信息不一致。

（二）体系层面：建设“网安+数安+个保+算法”四位一体合规体系

第一，开展全面合规体检。 以新规第7条列明的十一项检查内容为对标基准，逐条开展自查。重点核验：联网备案手续的完备性、网络安全等级保护的定级与测评状态、数据分类分级制度的建立与执行情况、个人信息处理活动的合法合规性、算法安全主体责任的落实情况。自查过程应当形成书面报告，由法务、IT、业务部门负责人联合签认后归档备查。

第二，推进制度与技术双轮驱动。 制度层面：制定数据分类分级操作指南、个人信息保护政策、算法推荐服务管理制度、网络安全事件应急预案等规范性文件，并根据法规变化及时更新。技术层面：部署数据脱敏和访问控制工具、建设算法审计日志系统、配置满足六个月留存期限的网络日志设施、建立漏洞扫描和修补的闭环管理机制。

第三，建立法务合规与IT协同的产品合规评审机制。 新产品或新功能上线前，应经过安全与合规联合评审。法务侧负责评估数据处理活动、个人信息收集、算法应用的合法合规性；IT侧负责评估技术措施是否满足安全要求。评审意见应形成书面记录，作为产品上线决策的必要依据。

第四，制作标准化迎检工具包。 指定专职人员对接公安机关监督检查，确保沟通渠道畅通。迎检材料应至少包括：企业基本信息及组织架构图、网络架构拓扑图、数据资产清单、等级保护备案证书及测评报告、安全管理制度汇编、个人信息保护影响评估报告、算法备案材料、数据出境安全评估材料（如适用）、应急预案及演练记录等。

第五，建立常态化应急演练机制。 定期开展网络安全事件应急演练和数据泄露溯源演练，演练场景覆盖网络攻击、数据泄露、个人信息安全事件、算法异常输出等典型情形。每次演练后形成复盘报告，根据发现的问题更新应急预案。核心目标是：无论公安机关以线上巡查方式发现线索，还是以线下核查方式进场，企业均能在第一时间提供完整、合规的证据链。

（三）程序层面：了解并善用新规赋予企业的法定权利

新规在强化监管的同时，也为企业设定了若干程序性保障。企业法务和合规官应当熟悉以下权利边界：

检查证件核验权。 公安机关开展现场检查，人民警察不得少于二人，并应当出示人民警察证和县级以上公安机关出具的监督检查通知书。企业有权核验上述证件和文书，对不符合法定程序的检查，有权拒绝配合。

提前告知权。 开展信息审核能力测试（线上巡查中的漏洞扫描等并不需要事先告知）应当提前三个工作日告知检查时间和范围；对特定行业的日常现场检查，应当提前五个工作日告知网信部门和行业主管部门。企业可据此合理安排内部配合资源。

费用免除权。 公安机关开展监督检查不得向被检查对象收取费用，不得要求购买指定品牌或指定单位的产品和服务。企业如遇违规收费或指定采购情形，有权拒绝并向上级公安机关反映。

记录异议权。 企业对监督检查记录有异议的，有权当场作出说明；拒绝签名的，人民警察应当在记录中注明。企业应善用此项权利，对记录中与事实不符的内容及时提出异议。

重复检查豁免权。 本年度其他主管部门已经开展现场检查的，公安机关原则上应当复用检查结果，不再重复检查。企业应当建立内部检查记录档案，在被检查时主动出示其他部门的检查结论，避免重复迎检。

（四）协同层面：关注跨部门监管动态

新规第3条规定，应当在中央网络安全和信息化委员会等领导下开展……会同有关主管部门建立健全……协作配合机制。对日常性的现场检查，有行业主管部门的，原则上以行业主管部门开展现场检查为主。即避免重复检查、交叉检查。第10条规定，公安机关对相关行业开展现场检查的，应当事先告知网信部门和行业主管部门，尽量联合开展检查，以最大程度降低对企业正常经营的影响。

这意味着企业在面对公安机关检查时，实际上迎来了一个相对有利的制度环境：一方面，联合检查机制减少了多头检查的频次和负担；另一方面，线上巡查等轻量化检查方式的推广，降低了现场检查对企业经营的直接干扰。但企业仍需保持清醒：不同监管部门的检查重点和执法尺度存在差异——网信部门偏重内容生态治理和数据出境合规，行业主管部门关注行业特定数据规范，公安机关则聚焦网络空间安全技术措施和违法犯罪线索排查。企业应建立跨部门监管动态的跟踪机制，了解各监管部门的年度检查计划、重点领域和执法口径，在合规建设中统筹兼顾不同监管要求，避免出现“满足了一个部门的要求，却被另一个部门认定违规”的合规困境。

《公安机关网络空间安全监督检查办法》的修订，标志着监管范式从“互联网安全”向“网络空间安全”的系统性跃迁，而非对旧规的局部修补。检查对象扩展、检查内容穿透、检查方式立体化、执法手段分层化，这四重变化叠加的效应是：网络空间合规已无法依赖事后补救，企业必须前置投入、持续运营。

对企业而言，2026年10月1日的施行日期是一个明确的合规坐标。在此之前完成对标自查、制度补强和技术升级，是成本最低的风险控制路径。值得特别关注的是，新规在强化监管的同时，也通过联合检查、避免重复检查、鼓励线上巡查等制度安排，体现了监管层面减少企业负担的意图。合规建设并非单纯的成本消耗，若将视野拉长，网络空间合规能力正在从纯粹的成本中心向竞争要素转化。合规体系完善的企业，在监管层面拥有更高的确定性，在数据资产化和数字经济深化进程中也更易获得可持续发展空间。法务、合规官和IT负责人需要推动企业将网络空间安全合规从被动应对转化为内生治理能力，使监管合规与业务发展形成正向循环。