等保二级需要什么——材料清单、技术措施与办理流程

1 等保二级是什么，哪些系统要做

等保二级是《信息安全技术 网络安全等级保护基本要求》（GB/T 22239-2019）划分的五个等级中的第二级。这一级适用于「系统遭到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全」的信息系统。

落到实际判断上，绝大多数企业的业务系统、内部管理系统、面向公众的网站和应用，在定级时通常落在二级。三级则对应「遭到破坏后会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害」的系统，典型如涉及大量公民个人信息的平台、医疗机构的诊疗系统、金融机构的核心业务系统、政务服务平台。

需要注意的是，等级由运营使用单位自行确定，有主管部门的需经主管部门审核批准。定级不是越高越好，也不是越低越好——定高了要按高标准建设、按高标准测评，成本和周期都会上升；定低了与系统实际重要性不符，监管检查时会被要求重新定级。

2 备案要交哪些材料

二级系统的备案材料在各地公安网安部门的办事指南里口径基本一致，核心是七项。下表按提交顺序列出，前四项是核心，后三项是程序性材料。

三级及以上还需要额外提交：安全组织架构及管理制度清单、安全建设设计方案、安全专用产品清单及销售许可证、安全服务清单、行业主管部门的定级指导文件。二级不需要这些，但如果系统后续升到三级，这些材料要补齐。

材料名称和填报要求以属地公安网安部门最新办事指南为准，各地在表格版本和份数上可能存在差异，提交前建议先电话确认。

3 技术上要做什么

二级的技术要求比三级少，但仍覆盖五个层面。下表是按等保 2.0 标准整理的常见配置，具体到每个系统要看测评机构的差距分析结果，不是照单全买。

上云的系统有个便利：云平台本身已经通过了等保测评，阿里云、腾讯云、华为云等主流厂商的公共云平台均持有三级或以上测评结果，机房物理环境、虚拟化层安全、平台自身的安全管理可以继承，单位只需对自己在云上部署的部分负责。这能省掉相当一部分投入，但前提是能拿到云厂商的测评报告复印件和继承说明，测评时需要提交。

4 二级和三级差在哪

投入差异主要来自两方面：一是三级要求的控制项更多，需要补的安全能力更多；二是三级要求每年测评，二级没有强制年度测评，长期成本差别明显。所以定级时如实评估，不要为了「显得重视」往高里定。

5 办理流程与时间

整个流程分五步，从启动到拿到备案证明，顺利的话一个月左右。

实际耗时最不可控的是第 4 步。差距大的系统整改可能拖到两三个月，差距小的（尤其是已经上了云、安全能力比较完整的系统）两三周就能完成。建议先做一次自查或预评估，摸清差距再排期，比直接找测评机构更省时间。

6 费用构成

二级的总投入通常由四块构成，不同系统差别很大，下面是常见区间，不是报价。

上云的系统整改成本明显低，因为防火墙、WAF、日志、主机安全这些能力云上都有现成产品，按需开通即可，不需要采购硬件、不需要建机房。自建机房的系统要自己承担物理安全、边界防护的硬件投入，成本结构完全不同。

以上区间来自公开报价的归纳，具体金额以实际询价为准。不同地区、不同测评机构的报价存在差异。

7 材料被退回的四个常见原因

从各地网安部门的反馈看，材料退回主要集中在材料本身，不是技术问题。

一是备案表版本不对。公安部 2025 年更新过表格模板，用旧版填写会被退回。各地政务平台一般提供最新版下载，不要用网上搜到的旧文件。

二是定级报告多个系统合并写。一个系统一份定级报告，把三个系统写在同一份里会被要求拆开重写。系统边界怎么划，按业务功能和安全需求独立来定。

三是拓扑图信息不全。只画了服务器和网络结构，没标安全设备位置、没标网络分区、没写设备型号。拓扑图的作用是让审核人看懂你的安全架构，信息不全等于没交。

四是评审记录缺失。二级虽不强制外部专家评审，但单位内部要组织评审并留存记录。很多单位是事后补记录，时间对不上，被要求重新走一遍。