10 月 1 日起，《公安机关网络空间安全监督检查办法》施行，公安可以对网站、小程序、APP 开展线上巡查和远程漏洞探测。多数中小企业卡住的不是技术，而是拿不出可核对的底账——备案、日志、等保、补丁、个人信息清单、应急联系人，缺一样就要现场解释。
一、新规改的是"查什么"，不是"能不能查"
2026 年 7 月 1 日经公安部部务会议通过、8 月 6 日以公安部令第 176 号公布，《公安机关网络空间安全监督检查办法》共 23 条，自 2026 年 10 月 1 日起施行，同时废止 2018 年的《公安机关互联网安全监督检查规定》（公安部令第 151 号）。名称从"互联网安全"改为"网络空间安全"，办法第二条把后者定义为网络安全、数据安全、信息安全三部分。
范围也跟着扩了一格。第六条例了八类检查对象，其中"数据处理者""个人信息处理者"是单列的。这句话的含义很直接：不是只有"做互联网业务的公司"才在范围内，一个收集客户手机号的官网、一个要求授权手机号的小程序，同样落在对象里。
有三处变化值得记下来。
检查内容从"防攻击"延伸到"数据怎么处理"。第七条列出的十一项里，算法安全主体责任、数据安全与个人信息保护义务是新增关注点。
远程检测有了明确程序。设区的市级以上公安机关可以对关键信息基础设施以外的网络设施、信息系统做漏洞探测、渗透性测试，但应提前三个工作日告知检查时间与范围，并通报同级网信部门、行业主管部门；信息审核能力测试同样提前三个工作日告知。
频次写进了条文。第九条规定，网络安全等级保护第三级（含）以上的网络运营者、关键信息基础设施运营者，每年开展一次日常性现场检查；本年度其他主管部门已经检查过的，公安机关复用检查结果，不再重复现场检查。
还有几条是对企业的保护性约束，值得知道：第十四条规定不得向被检查对象收取费用，不得要求其购买、使用指定的产品和服务；第十一条规定现场检查的人民警察不得少于二人，并应出示人民警察证和县级以上公安机关出具的监督检查通知书。核对这两条，比猜测"要不要提前打点"有用得多。
二、十一项检查内容，中小企业要对上的是六条
第七条把检查内容拆成十一项，从联网单位备案、制度与操作规程、用户注册信息和上网日志留存，到等保定级备案与测评、关键信息基础设施保护、防范病毒与网络攻击、漏洞隐患整改、违法信息防范、算法安全主体责任、数据安全与个人信息保护义务，第十一项是为公安机关维护国家安全、侦查犯罪提供技术支持与协助。
对一家二十到两百人、有一套官网加一两个小程序的企业，关键基础设施保护和算法推荐管理通常用不上，剩下的项目里，真正需要拿材料说话的是六项。判断标准不是"哪项罚得重"，而是"哪项现在没有、临时补不出来"。
三、六项底账，逐项对上
| 底账 | 条文对应 | 现在做什么 | 常见缺口 |
|---|---|---|---|
| 联网备案与主体信息 | 第七条（一） | 核对网站、小程序的主办主体、接入服务商、安全负责人与联系方式是否仍有效 | 换过接入商或负责人，备案信息没跟着改 |
| 日志留存 | 第七条第三项，另见《网络安全法》第二十一条 | 确认服务器、数据库、应用三层都有日志，能按时间段导出 | 只留七天；日志在 CDN 或云服务商后台，导不出来 |
| 等保定级与测评 | 第七条第四项 | 二级以上系统办理定级备案，按周期测评并留存整改记录 | 系统上线多年没定级，认为"小站不用做" |
| 漏洞与组件台账 | 第七条第六项、第七项 | 列出框架、中间件、插件的版本和停服时间，标注修复计划 | 说不清线上跑的是哪个版本 |
| 个人信息清单 | 第七条第十项 | 隐私政策与实际收集项对齐，列明第三方 SDK、权限、目的与保存期限 | 表单收身份证号、银行卡号，页面没有用途说明 |
| 应急与协助机制 | 第七条第十一项、第十七条、第十九条 | 明确安全负责人与值班联系方式，保留事件处置记录 | 出事找不到人，平时没有记录习惯 |
日志是常常空着的一项
《网络安全法》第二十一条要求采取监测、记录网络运行状态和网络安全事件的技术措施，并按规定留存相关网络日志不少于六个月。现实里常见的情况是：日志只留七天，因为磁盘不够；站点前面挂了 CDN，日志在服务商后台，调不出来；或者日志有，但服务器与数据库时钟不一致，出事时对不上订单时间。
补这一项不需要大改造。定一处集中存放的位置，设好保留周期，把服务器、数据库、应用的时钟同步，再演练一次"按时间段导出"。三步做完，检查时拿得出东西，出事故时也查得动。
等保的关键是定级，不是测评报告
第二级以上的信息系统，按规定应在安全保护等级确定后三十日内到公安机关办理备案手续，之后按周期开展等级测评与整改。争议通常出在"我们这种站算几级"。定级既不是自己随口定，也不是越低越好：定高了，测评与整改成本跟着涨；没有定级，第七条第四项就答不上来。
务实的顺序是先定级备案，再按测评结论排整改优先级。清单里能在一个迭代内做完的先做，涉及架构调整的写进年度计划。检查看的是"有没有在改"，不是"一天改完"。
个人信息这一项，对齐比写得漂亮重要
第七条第十项对应《个人信息保护法》的基本义务：告知、同意、收集范围限于必要。落到官网上是三件事——隐私政策里写的收集项，要和表单实际收到的字段一致；表单里没有用途说明的身份证号、银行卡号，要么删掉，要么说清目的；小程序嵌入的第三方 SDK，要在隐私政策里列出来。
这一项出问题，多半不是政策文本写错了，而是文本与页面脱节。改一次文案的成本，远低于被约谈之后重做一遍。
三类企业的优先级不一样
| 情形 | 检查压力 | 先做哪两件 |
|---|---|---|
| 只有展示型官网，靠表单收线索 | 中等 | 联网备案核对；隐私政策与表单字段对齐 |
| 有小程序，涉及支付或会员 | 偏高 | 日志留存与导出；个人信息与 SDK 清单 |
| 自建后台、多系统、日活上万 | 高 | 等保定级测评；组件版本与漏洞台账 |
四、成本、周期与取舍
六项里，四项是核对与文档工作：备案信息、个人信息清单、组件台账、应急联系人。这些不占开发排期，一到两周人力能完成，成本主要是"有没有人负责这件事"。
日志与补丁需要一点技术改造：日志集中与保留策略、组件升级窗口。对中等规模的站点，通常是一到两次迭代内能落地的事。
真正需要外部支出的只有等保测评与整改。二级测评按系统数量和整改量报价，行业常见区间在数万元量级，周期四到八周（以测评机构排期为准，此处仅为参考区间）。取舍建议是：如果某个系统明年就要替换，别为它做全套整改，先把备案、日志、个人信息这三类"换了系统也要带走"的底账做实。
还有一笔时间账。第十七条规定，发现风险隐患尚不构成违法犯罪的，县级以上公安机关可以发放公安提示函；第十九条规定，存在较大安全风险或者发生安全事件的，省级以上公安机关可以约谈网络运营者的法定代表人或者主要负责人。提示函阶段整改，成本明显低于约谈之后。
这份办法施行之后，检查不再只是"出了事才来"。它变成一件有程序、有频次、有清单的常规事项。企业能做的准备并不复杂：把六项底账做出来，放在一个找得到的地方，一年更新两次。