一、等保与关保概述

1.1 等级保护制度发展历程

中国网络安全等级保护制度（简称“等保”）经历了从无到有、从单一到体系化的演进过程，是保障国家网络安全的基础性、制度性安排。

阶段	时间	标志性事件	核心特征
萌芽探索期	1994-2003	《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）	首次提出安全等级保护概念，初步建立分级思想
制度确立期	2003-2007	《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）	明确实行信息安全等级保护制度，确立“自主定级、自主保护”原则
标准完善期	2007-2017	《信息安全等级保护管理办法》（公通字[2007]43号）、《GB/T 22239-2008》等系列标准发布	形成“定级、备案、建设整改、等级测评、监督检查”五大核心环节
等保2.0时代	2017-至今	《网络安全法》正式实施、《GB/T 22239-2019》等系列标准发布	保护对象从信息系统扩展至基础网络、云平台、物联网、工业控制等新型业态

1.2 关键信息基础设施保护条例出台背景

随着网络空间对抗形势日益严峻，针对金融、能源、交通、水利、政务等国家关键行业的网络攻击频发，传统等级保护制度在应对高级持续性威胁（APT）时存在不足。为此，国家于2021年正式颁布《关键信息基础设施安全保护条例》（简称“关保条例”），其出台背景可归纳为以下四点：

• 国际形势驱动：全球范围内针对关键基础设施的网络攻击事件激增（如乌克兰电网攻击、Colonial Pipeline勒索事件），国家安全面临新挑战。
• 法律体系完善：《网络安全法》第三十一条明确提出“国家对关键信息基础设施实行重点保护”，关保条例是法律落地的具体抓手。
• 保护力度升级：等保制度侧重“基线合规”，关保要求“强对抗、高韧性”，需建立更严格的监测预警、应急响应和供应链安全机制。
• 责任主体明确：首次以行政法规形式明确运营者、保护工作部门、国家监管机构的三方责任体系，强化“谁运营谁负责”原则。

1.3 等保与关保的关系与区别

等保与关保并非相互替代，而是“基础与重点”的协同关系。等保是普适性基线要求，关保是在等保基础上的强化与升级。二者共同构成国家网络安全纵深防御体系。

1.3.1 核心关系矩阵

维度	等级保护（等保）	关键信息基础设施保护（关保）	协同关系
法律依据	《网络安全法》第21条、《等保管理办法》	《网络安全法》第31条、《关保条例》	关保是等保的上位特殊要求
保护对象	所有网络与信息系统（1-5级）	金融、能源、交通等关键行业CII	CII必须纳入等保三级及以上
保护目标	合规达标、基线安全	业务连续性、国家战略安全	等保打基础，关保强对抗
核心要求	技术+管理（10个安全类）	识别、防护、检测、响应、恢复	关保覆盖等保全部要求并增加专项
测评周期	三级每年一次，四级每半年一次	至少每年一次安全检测评估	可合并开展，结果互认
监管力度	公安机关、网信办	行业主管部门+国家网信部门	关保监管层级更高、处罚更严

1.3.2 等保与关保协同架构图

1.3.3 关键区别速览

• 定位不同：等保是“普适性基线”，所有网络运营者必须遵守；关保是“重点性强化”，仅适用于关键信息基础设施运营者。
• 保护强度不同：关保在等保三级基础上，额外要求实战化攻防演练、供应链安全审查、数据安全专项保护等高级别措施。
• 监管模式不同：等保由公安机关统一监管；关保实行“行业主管+国家网信”双重监管，运营者需向行业主管部门报送安全保护计划。
• 处罚力度不同：关保违规处罚上限为年收入的5%（依据《网络安全法》），且可对直接责任人处以最高100万元罚款，远高于等保一般违规处罚。

1.3.4 协同落地核心原则

1. 统一规划、同步实施：在系统建设初期即同步考虑等保与关保要求，避免后期重复整改。
2. 结果互认、减少重复：等保三级及以上测评结果可作为关保安全检测评估的重要依据，避免重复测评。
3. 能力叠加、重点强化：在等保基线基础上，针对CII业务特点叠加关保专项要求（如供应链安全、数据安全、实战演练）。
4. 持续运营、动态改进：建立PDCA循环机制，将等保合规与关保对抗能力建设融入日常安全运营。