10月1日起正式实施：公安部176号令为什么说网络安全检查正在从“查材料”转向“打实战”？|主体责任|信息安全|号令|监督|网络安全检查

导读

2026年10月1日，公安部第176号令《公安机关网络空间安全监督检查办法》正式施行。与此同时，实施近8年的公安部第151号令《公安机关互联网安全监督检查规定》同步废止。

如果只看名称，很容易把它理解成一次常规修订。但把新旧两份规定放在一起看，会发现公安机关网络安全监督检查的对象、内容、技术手段和结果运用都进一步被展开。制度、台账、等保报告依然重要；与此同时，线上巡查、漏洞扫描、漏洞探测、渗透性测试以及现场查看技术措施运行情况，被更明确地写进了监督检查流程。

所以，“从查材料转向打实战”并不是说今后不看材料，也不是说过去完全没有技术检测，而是说：合规证明正在越来越需要由真实运行状态来支撑。材料回答“做没做”，技术验证进一步回答“有没有效”。

先把一个容易写错的点说清楚

2018年的151号令第十三条、第十六条已经规定可以采取远程检测方式，并可远程检测是否存在网络安全漏洞。176号令真正的变化，应理解为“在既有基础上的扩展、细化与闭环化”，而不是“第一次可以做技术检测”。

一、从“互联网安全”到“网络空间安全”：监管对象和范围明显扩展

151号令的适用对象，主要是互联网服务提供者和联网使用单位；176号令第二条则把网络运营者、数据处理者、个人信息处理者等明确纳入监督检查对象，并明确“网络空间安全”包括网络安全、数据安全、信息安全。

这意味着，监督检查不再只围绕传统的网络边界、主机、网站和互联网服务展开。数据安全、个人信息保护、算法安全主体责任，也都进入了同一套监督检查框架。对政企单位来说，安全工作越来越难再被切割成“网络归安全部门、数据归业务部门、个人信息归法务”。监管看到的是一个完整责任主体。

图1 151号令与176号令：范围、手段与治理逻辑的变化

二、为什么说检查正在更靠近“真实系统”？

176号令第四条是理解这次变化的关键。办法明确，公安机关可以通过网络信息巡查、信息审核能力测试、漏洞扫描等方式开展线上巡查；设区的市级以上公安机关，还可以对关键信息基础设施以外的网络设施、信息系统开展漏洞探测、渗透性测试等远程检测。

而且，线上巡查、远程检测发现的风险隐患需要核查；必要时还可以进一步通过现场检查进行线下核查。到了现场，第十二条又明确，可以查看安全保护技术措施运行情况，并开展漏洞探测、渗透性测试等技术检测。

这就把检查从“制度是否存在、材料是否齐全”，进一步推向“技术措施现在是否真的在运行、真实风险有没有被发现”。当然，这不意味着所有检查都会变成红队攻防，但监管手段和真实系统之间的距离，确实更近了。

图2 176号令下的典型监督检查链条（依据第4条、第12条等整理）

三、“查材料”不会消失，但只靠材料越来越不够

很多企业面对安全检查，第一反应仍然是准备制度、台账、等保备案、测评报告、漏洞整改记录、应急预案和培训材料。这些材料当然仍然重要，它们是证明责任落实的重要证据。

问题在于，一套材料齐全，不代表系统今天仍然安全。比如制度里写着“定期扫描漏洞”，生产系统可能还有半年未修复的高危漏洞；报告里写着“严格控制权限”，实际环境里可能仍然有共享账号、弱口令和长期不回收的管理员权限；一次等级测评通过后，系统版本升级、云资源变化、新接口上线，又可能产生新的攻击面。

因此，真正值得关注的变化是：监督检查开始更强调“安全措施是否有效运行”。这会让“节点式合规”逐步向“持续性安全”靠拢。

图3 材料合规与技术验证：两层证据、一个目标

四、等级保护没有弱化，反而被放进更完整的持续治理链条

176号令第七条仍然把等级保护定级备案、等级测评、建设整改、自查等列为重点检查内容。第九条进一步规定，对网络安全等级保护第三级（含）以上的网络运营者、关键信息基础设施运营者，每年开展一次日常性的现场检查；同年度其他主管部门已经开展现场检查的，公安机关复用相关结果，不再重复检查。

这释放出两个信号：一是等保仍然是网络安全治理的重要基础；二是“做完一次测评就结束”的思路更难成立。定级、建设、测评、自查、运行维护、漏洞整改、监督检查，本来就应该是一条持续链条。

五、数据安全、个人信息、算法安全也进入重点检查

176号令第七条列出的重点检查内容中，除了等级保护、关键信息基础设施保护、网络攻击和入侵防护，还明确包括：是否针对网络安全漏洞、隐患采取整改措施；是否落实算法安全主体责任；是否履行数据安全、个人信息保护义务。

这对很多组织内部的职责划分会带来直接影响。一次数据泄露，背后可能同时牵涉网络边界失守、权限管理不当、数据分类分级不到位、个人信息保护措施不足、日志缺失等多种问题。监管视角会越来越强调整体责任，而不是企业内部的部门边界。

六、有漏洞不等于自动违法，关键看风险治理能力

现实世界的软件和系统不可能做到“永远没有漏洞”。所以，176号令的重点并不是追求不现实的“零漏洞”。第七条明确要求检查是否针对网络安全漏洞、隐患采取相应整改措施；第十六条则规定，发现风险隐患后，应督促指导被检查对象采取措施消除风险，并记录在监督检查记录中。

因此，对企业真正重要的是建立一条可证明、可追溯的风险治理链：能发现风险，知道谁负责，有明确整改时限，修复后能够复核，重大风险可以升级处置。比“从来没有漏洞”更现实、更重要的，是“有没有持续治理漏洞的能力”。

七、发现风险以后：从整改到提示、通报、约谈和追责

176号令把检查结果的运用进一步制度化。对于尚不构成违法犯罪的安全风险，可以发放公安提示函；行业层面的风险可以向行业主管部门提示；较大范围风险可以通过公安通告进行风险提示。

对三级以上网络、关键信息基础设施、重要数据存在重大安全风险隐患的，还应及时通报行业主管部门、网信部门。第十九条则明确了约谈机制：在网络安全、信息安全方面，省级以上公安机关在符合条件时可以约谈网络运营者法定代表人或者主要负责人；数据安全、个人信息安全方面，县级以上公安机关发现较大风险或者发生相关安全事件时，可以对有关组织、个人进行约谈。

由此形成的，是一条比过去更清晰的风险处置链：发现风险—整改—记录—提示/通报—约谈—依法追责。