等保定级备案是整个等级保护工作的真正起点，定级不准、备案不通过，后面的测评、整改和监督检查全都无从谈起。
很多企业误以为等保工作是从"找测评机构做测评"开始，按照《网络安全法》和《信息安全等级保护管理办法》，定级备案是法定动作，也是所有后续合规动作的入口，跳过这一步，测评机构甚至没有合法依据为你出具报告。
为什么定级备案被看作合规的第一道门槛
定级备案之所以是起点,不是因为流程顺序如此，而是因为它的结果决定了你之后要做多少工作、花多少钱、用多大力气去整改。
等保2.0把系统安全等级分为五级，绝大多数企业系统落在第二级和第三级，级别定低了，等于给自己埋雷，公安网安部门抽查发现问题时，轻则责令整改，重则面临罚款甚至暂停业务；级别定高了，等于把成本抬高一截，三级系统需要每年测评一次、要求更高的技术防护，预算翻倍是常有的事。
行业共识认为,定级环节是整个等保合规链条里"性价比"最高的一步花最小的力气，做出最关键的决策，你要是把定级材料的逻辑写清楚、依据摆充分，后面全流程都会顺畅很多。
有趣的是,实际工作中相当一部分企业的定级报告是安全服务机构代写的，真正自己动手写定级报告的企业比例并不高，但这不代表你可以当甩手掌柜定级结果需要单位法人签字确认，出了事，责任在单位本身，不在乙方。
等保定级备案流程到底怎么走
定级备案的具体流程,网上的资料说得云里雾里，实际走一遍其实就六个步骤，下面按操作顺序拆开说。
第一步：确定定级对象
不是所有系统都需要定级,你需要把单位的网络和系统过一遍筛子，看哪些系统承载了业务、存储了数据、对外提供服务，只有一个展示性静态网页、不碰任何业务数据和用户信息的，原则上可以不定级，但你要是拿不准，建议直接咨询当地公安网安部门。
第二步：初步确定安全等级
这一步是核心环节,你对照《网络安全等级保护定级指南》（GB/T 22240），从受侵害的客体
和对客体的侵害程度两个维度去打分，举个例子，一个涉及公民个人信息超过一定数量的系统，多半要定三级；一个内部办公用的OA系统，不上外网、不存敏感数据，定二级是常见做法。
第三步：组织专家评审
二级系统目前多数地区不强制专家评审,但三级系统基本都要求组织专家评审会，你需要请至少三名相关领域专家（通常要求信息安全专业背景），对定级结果的合理性进行论证，形成评审意见。
这里提醒一句：别等到专家评审会前三天才去约人，专家资源在等保旺季往往排得很满，提前两周是最低标准。
第四步：属地公安备案
拿到专家评审意见后,登录当地的网络安全等级保护备案服务平台，按照要求填写备案表、上传定级报告和专家评审意见，提交后等待公安审核，审核通过后你会拿到一张《信息系统安全等级保护备案证明》，上面明确写了系统名称、备案编号和安全等级。
第五步：根据反馈调整级别
公安网安部门如果认为你定级不准,会出具意见要求调整，这种情况并不罕见近年来各地公安对定级审核越来越严格，三级系统趋严是明确趋势，收到调整通知后，你需要在规定时限内修改定级材料，重新走评审和备案流程。
第六步：拿到备案编号后启动测评
只有拿到备案证明,你才能合法启动等级测评工作，测评机构出具的测评报告里，会明确引用你的备案编号和系统等级，没有备案编号的测评报告，监管部门不认。
等级保护定级备案需要准备哪些材料
准备材料这件事,最怕的不是内容难，而是方向不对，以下这份清单是基于实际操作经验的通用清单，具体以当地公安要求为准：
- 信息系统安全等级保护备案表：盖公章的纸质版和电子版各一份
- 系统定级报告：包含系统基本情况、定级依据、定级结果等内容
- 专家评审意见：三级系统必备，二级系统视当地要求
- 单位法人身份证复印件：部分地方还需要营业执照副本复印件
- 系统拓扑图：能清晰展示系统在网络中的位置和边界
- 网络与信息安全承诺书：部分地区需要单独签
需要留意的是,备案表上的系统名称一定要和你在公安系统里填写的完全一致，包括标点符号，实际工作中因为名称不一致被退回补正的情况占相当比例，这种低级错误最耽误时间。
等级保护定级备案多少钱一份
定级备案本身的行政费用为零,公安机关受理备案不收费，但你别高兴太早，实际的成本构成远比想象中复杂。
全国范围内定级备案服务市场价格大致在几千元到数万元不等，差距主要来自下面几个因素：
| 影响因素 | 价格影响 | 原因 |
|---|---|---|
| 系统数量 | 显著影响 | 每增加一个系统，材料工作量成倍增长 |
| 等级高低 | 显著影响 | 三级系统需要专家评审，评审费是硬成本 |
| 是否需要整改辅助 | 影响较大 | 定级中暴露的边界问题需要先整改再备案 |
| 所在城市 | 有影响 | 一线城市人工成本明显高于二三线城市 |
| 服务商资质 | 有一定影响 | 有测评资质的机构收费通常高于咨询公司 |
选择服务商时,不要光看价格高低，市面上有些低价服务商只帮你填表交材料，定级依据写得稀里糊涂，公安退回来就让你自己改，这种"半截子服务"最坑人，建议优先选择有网络安全等级保护测评机构推荐证书的单位，哪怕贵一些，至少在专业性和责任感上有保障。
定级备案之后还要做什么
备案完成不是终点,恰恰是真正合规工作的起点，拿到备案证明后，你还有一条明确的路径要走：
- 差距测评：找有资质的测评机构对系统进行安全测评，输出问题清单
- 安全整改：对照问题清单逐项修复，这个环节通常耗时最长、花费最大
- 复测确认：整改完成后由测评机构复测，确认问题已关闭
- 获取测评报告：测评通过后出具正式测评报告，拿到公安备案
- 每年持续合规：二级系统建议每两年测评一次，三级系统必须每年测评一次
很多企业误以为备案通过就等于等保合规,到了第二年收到公安的监督检查通知才开始慌乱，其实备案只是告诉监管"我有什么系统、定了几级"，测评报告才是告诉监管"我的系统安不安全"。
从时间节奏来看,三级系统的完整流程从启动定级到拿到测评报告，通常需要三到六个月；如果整改工作量大，拖到一年以上也大有人在，想要控制节奏，唯一靠谱的办法是早点启动定级备案，给后面留足缓冲。
等级保护定级备案常见问题汇总
定级备案过程中系统名称对方要求必须和"等保系统"名称一致吗？
是的,系统名称从头到尾要统一，包括定级报告、备案表、专家评审意见、测评报告，所有材料里的系统名称必须一字不差，有些企业习惯给系统起个内部代号，但备案材料里务必使用正式名称，后期想改名需要重新走备案变更流程，费时费力。
定级结果遭到公安驳回怎么办？
按驳回意见修改后重新提交,常见的驳回原因包括定级依据不充分、定级偏低（比如系统包含大量公民个人信息却定二级）、提交材料不完整等，收到驳回通知后，先对照意见逐条修改，再不确定可以预约当地公安网安部门的咨询电话，大多数地区支持电话沟通，修改后的材料不需要重新缴纳任何费用，但三级系统的定级调整通常建议重新组织专家评审确认。
定级备案必须请外部机构协助吗？
法律没有强制要求必须请外部机构,有一定网络安全专业能力的单位完全可以直接登录备案平台自行完成，但实际操作中，首次做备案的企业普遍反映材料编制的细碎程度远超预期，从填写说明到表单字段校验，反复修改的次数基本在两次以上，如果你所在单位没有专职安全人员，建议找专业机构协助，避免在细节上消耗太多时间。