等保 2.0 三级合规清单（制造业版）

引言：等保 2.0 不是"要不要做"，是"什么时候做"

2026 年的浙江制造业，等保 2.0 三级已经不再是「锦上添花」，而是「生死线」：

• 不做等保 → 网安部门检查时面临警告 / 罚款（《网络安全法》最高 100 万，《数据安全法》最高 1000 万）
• 不做等保 → IPO 审核中合规风险被否决（2024-2025 已有多个浙江拟上市制造企业因此被反馈问询）
• 不做等保 → 大客户合规审查时无法通过（直接影响订单）

但等保 2.0 三级的 71 项要求对很多制造企业 IT 负责人来说仍是"天书"——不知道从哪开始、不知道要花多少钱、不知道要找谁做。本文基于灿凯科技服务 30+ 浙江制造企业的等保合规经验，给出可落地的清单。

一、浙江制造企业为什么要做等保 2.0 三级？

根据《信息安全技术 网络安全等级保护基本要求》（GB/T 22239-2019），等保 2.0 分 5 级（一级最低，五级最高），其中三级是「重要信息系统」的标准。浙江制造企业需要做三级的常见场景：

1. 关键信息基础设施（关基）：年营收 50 亿+、员工 1000+、涉及国家重要行业（汽车制造、装备制造、医药制造、能源装备）的制造企业
2. 大量客户个人信息：年营收 10 亿以上 + 持有 100 万+ 客户个人信息的制造企业（依据《个人信息保护法》要求）
3. 拟上市企业：IPO 审核中合规风险重点关注，2024-2025 多个浙江拟上市企业被反馈问询等保合规情况
4. 国资背景制造企业：国有控股或国有参股的制造企业

二、等保 2.0 三级 71 项要求全景

等保 2.0 三级共 71 项通用要求，分 5 大类。制造业还有 2 类扩展要求：

2.1 通用要求（71 项）

• 安全物理环境（14 项）：机房选址、防水防火、温湿度控制、防雷击、防电磁泄漏、门禁监控等
• 安全通信网络（8 项）：网络架构冗余、带宽保证、关键节点设备 HA、划分安全区域等
• 安全区域边界（11 项）：边界防护（防火墙/IPS）、访问控制、恶意代码防范、流量监控等
• 安全计算环境（24 项）：身份鉴别（双因子）、访问控制、安全审计（操作日志）、入侵防范、恶意代码防范、数据完整性 / 保密性、备份恢复等
• 安全管理中心（6 项）：集中管理平台、日志集中分析、事件集中管理、运维集中管控等
• 安全管理制度（8 项）：安全策略、管理规范、人员安全、安全培训等

2.2 制造业扩展要求

• 工控系统（SCADA/PLC/DCS）管理：单独的网络分区、严格的访问控制、补丁管理（工控系统补丁难打是普遍痛点）
• 第三方运维管理：MES 厂商 / 设备厂家的远程维护通道管控、操作审计
• 物联网（IoT）设备管理：产线传感器 / AGV / 智能仓储的接入认证、固件更新、漏洞管理
• 数据分级分类：依据《数据安全法》对生产数据 / 客户数据 / 研发数据进行分级分类管理

三、典型预算与产品清单

等保 2.0 三级的预算主要看 3 个因素：业务系统数量 + 员工规模 + 是否多基地。以下是浙江市场的典型参考：

3.1 典型预算分档

• 中小制造企业（员工 200-500，1-2 个生产基地，3-5 个核心业务系统）：30-80 万
• 中大型制造企业（员工 500-2000，2-5 个生产基地，5-15 个核心业务系统）：80-200 万
• 大型集团制造企业（多基地，15+ 核心业务系统）：200-500 万

3.2 预算构成（中小规模示例 60 万）

• 安全产品采购：30 万（50%）
  • 下一代防火墙：8-15 万（推荐奇安信 / 深信服）
  • 终端 EDR：5-10 万（推荐奇安信天擎 / 深信服 EDR）
  • 日志审计 / 数据库审计：5-10 万
  • 堡垒机 / 准入控制 / 漏洞扫描：5-10 万
• 整改实施服务：12 万（20%）
  • 产品部署、策略调优、补丁修复
• 等保测评费用：6 万（10%）
  • 按系统数量计，浙江市场约 5-8 万/系统（三级）
• 咨询服务 + 管理制度建设：12 万（20%）
  • 差距分析、整改方案、安全管理制度文档、应急演练、培训

四、12 个月落地路线图

第 1-2 月：差距分析 + 备案

• 委托有资质的等保咨询机构（灿凯科技可对接）做差距分析
• 梳理定级对象（一般定级为三级 S2A2），编制定级报告
• 向当地公安网安部门提交备案材料（一般在企业注册地所在区）
• 差距分析输出：现状 vs 71 项要求的差距清单 + 整改优先级 + 预算

第 3-6 月：安全整改

• 采购并部署安全产品（防火墙、EDR、日志审计、数据库审计、堡垒机等）
• 物理环境整改（机房装修、门禁、温湿度监控等）
• 网络架构调整（VLAN 划分、安全区域划分、冗余设计）
• 操作系统 / 数据库 / 应用系统加固（补丁、配置、最小权限）

第 7-9 月：管理制度建设 + 培训 + 演练

• 编制《安全管理制度》《人员安全管理制度》《运维管理制度》《应急预案》等 8 大类文档
• 全员安全意识培训 + 关键岗位专项培训（每年至少 1 次）
• 1 次应急演练（桌面 + 实战）
• 日志审计平台上线，运维操作全程留痕

第 10-12 月：测评对接 + 整改闭环

• 委托浙江省内具备资质的测评机构（浙江方圆、浙江省电子信息产品检验研究院等）现场测评
• 测评机构出具测评报告 + 整改建议
• 针对测评中不达标项做最后一轮整改
• 向公安网安提交测评报告，备案完成
• 次年起每年至少 1 次复测（每年自查 + 关键项抽测）

五、灿凯科技能为你做什么？

灿凯科技是浙江本地的等保咨询与整改服务商（不是测评机构，测评须由公安部认证的第三方测评机构出具）。我们的服务范围：

• 免费 1 次差距分析：对照等保 2.0 三级 71 项要求梳理现状 + 整改优先级
• 整改方案设计：基于奇安信 / 深信服 / 鼎甲产品组合，给出可落地方案 + 预算
• 产品交付 + 实施：原厂直发 + 本地工程师部署（中型项目 2-4 周）
• 管理制度建设：8 大类安全管理制度文档模板 + 定制化调整
• 测评对接：协调浙江省内具备资质的测评机构现场测评
• 备案协助：协助客户向当地公安网安部门提交备案材料

已服务案例：浙江某上市家居企业（等保三级整改）、某汽车零部件上市公司（多基地等保三级）、某三甲医院（等保三级 + 密评）。

常见问题（FAQ）

Q1：浙江制造企业为什么需要做等保 2.0 三级？

三种情况必须做：(1) 涉及国家关键信息基础设施（关基）的制造企业；(2) 年营收 10 亿以上 + 大量客户个人信息的制造业（依据《个人信息保护法》《数据安全法》要求）；(3) 拟上市企业（IPO 审核中合规风险重点关注）。不做等保可能面临：网安部门警告 / 罚款（最高 100 万）、IPO 审核否决、客户合规审查不通过。

Q2：等保 2.0 三级 71 项要求具体是什么？

71 项分 5 类：安全物理环境（14 项）、安全通信网络（8 项）、安全区域边界（11 项）、安全计算环境（24 项）、安全管理中心（6 项）、安全管理制度（8 项）。制造业扩展项：工控系统（SCADA/PLC/DCS）单独管理要求 + 第三方运维管理 + 物联网（IoT）设备管理。

Q3：等保 2.0 三级落地需要多少预算？

典型预算分 3 档：(1) 中小制造企业（员工 200-500）：30-80 万；(2) 中大型制造企业（员工 500-2000）：80-200 万；(3) 大型集团制造企业（多基地）：200-500 万。

Q4：等保 2.0 三级 12 个月落地路线图？

4 阶段：(1) 第 1-2 月：差距分析 + 备案；(2) 第 3-6 月：安全整改；(3) 第 7-9 月：管理制度建设 + 人员培训 + 应急演练；(4) 第 10-12 月：测评对接 + 整改闭环 + 拿证。

联系我们

需要免费的等保 2.0 三级差距分析？联系灿凯科技售前团队：

• 电话：0571-81961795（销售直线）
• 邮箱：zhangyanmin@cankaitech.com
• 微信：JoyZhang0715
• 地址：浙江省杭州市西湖区文新街道古墩路 387 号金桂大厦 1701 室