等级保护中的定级备案是合规的起点，先定级再备案，顺序不能反，否则后续测评、整改、监督检查全都无从谈起。
很多单位第一次接触等保时，第一反应是找测评机构做测评，这个思路错得挺普遍，等保合规不是从测评开始，而是从定级备案开始，系统没定级、没备案，测评机构就算拿到你给的资料，也没法出具合规的测评结论，说白了，定级备案是整个等保链条的“出生证明”，没有它,后面的动作全是空中楼阁。
定级备案流程是什么？先分清两个动作
定级和备案是两件事，但经常被混着说，定级是技术动作,备案是行政动作。
定级：给系统定个“安全级别”
定级就是按照系统一旦被破坏后，对国家、社会、公民权益造成的影响程度，把系统划到第一级到第四级（第五级极少用到），定级依据不是拍脑袋，是看两个维度：业务信息被破坏后的影响和系统服务被中断后的影响。
很多单位定级时容易犯一个错：把系统定得很高，觉得越高越安全，实际不是这样，级别越高，测评频率越高、整改要求越严、安全建设投入越大，定高了，预算受不了；定低了，测评过不了，出了事责任更大，行业共识认为，定级要如实、客观，结合系统实际业务场景来判。多数情况下，单位内部办公系统定二级，对外业务系统或涉及大量公民隐私数据的系统，才会考虑定三级。
备案：让公安网安部门知道你在跑什么
定完级，拿着定级报告去公安机关网安部门备案，备案完成后，系统才算正式纳入等保监管体系，备案不等于测评通过，它只是宣告“我这个系统在这个级别上开始接受监管”。
不少单位定级备案流程走了一半就卡住，原因往往出在材料不齐或定级报告写得太糊弄，公安审核时会看系统定级是否合理，报告内容是否与实际情况一致，专家评审意见是否真实，材料有问题,打回来重填是常事。
等保系统定级标准怎么选？别自己拍脑袋定级
定级标准的核心依据是《网络安全等级保护定级指南》（GB/T 22240），这套标准里，定级要素分两块：受侵害的客体和对客体的侵害程度，客体包括公民权益、社会秩序公共利益、国家安全三档，侵害程度分为一般损害、严重损害、特别严重损害，组合起来,就得出安全保护等级。
定级对象怎么划？一个系统一个级
定级对象不是“整个单位”，也不是“所有机房设备”，而是承载特定业务的独立系统，一个单位可能同时跑OA系统、财务系统、官网、客户数据库，它们各自独立定级，不能把所有东西捆在一起定一个级，也不能把一个系统拆成好几个降级定，曾经有单位为了省测评费，把一个大系统拆成几个小系统分别定一级，结果核查时被发现，不光要重新定级，还上了整改名单,得不偿失。
系统服务安全和数据安全要分开看
定级时要同时评估业务信息安全和系统服务安全，取两者中的较高者作为最终等级，有些系统存的数据量小，但一旦宕机直接影响生产，那服务安全等级就要往上提，反过来，一个系统服务停了影响不大，但里面存着大量公民个人信息，那数据安全等级肯定不低。定级报告里最好把这两类影响的评估过程写清楚，公安审核时一看就明白你的定级逻辑。
等保定级备案在哪里办理？线上加线下
备案地点是单位注册地所在的市级公安机关网安部门，有些地方支持线上提交预审，然后线下交纸质材料；有些地方直接要求窗口办理，建议先给当地网安部门打个电话，确认流程和材料格式要求,比白跑一趟强。
二级以上系统需要专家评审
定级二级以下相对简单，填表报送就行，二级以上（含三级）系统，按规定需要组织专家评审，对定级结果的合理性出评审意见，评审专家通常来自行业主管单位、安全厂商、高校或测评机构，人数一般不少于三人，这一关绕不过去，定级报告写得越详细,专家评审越快通过。
定级备案材料清单，照着准备就行
备案时核心材料就这几样,缺哪个都办不了：
- 定级报告：完整说明系统基本情况、定级要素、定级结果和理由
- 备案表：公安网安部门发的标准格式，填系统基础信息、责任单位信息
- 专家评审意见：二级以上系统必备，附专家签字
- 系统拓扑简图：说清楚系统部署情况、数据流向、边界设备
- 单位营业执照副本复印件：证明主体资质
- 安全负责人信息：姓名、联系方式、职位
材料清单看起来不长，但实际操作中，定级报告和拓扑图最容易出问题，定级报告写得像作文，拓扑图画得看不懂，公安审核人员没法判断你的系统边界，只能退回，写定级报告时记住一句话：让一个没接触过你系统的人，看完报告能准确说出系统是干什么的、放在哪、谁在用、数据怎么流转。拓扑图也一样，别把全公司所有网络都画进去,只画这个定级系统相关的部分。
不备案有什么后果？等保合规链条从中间断掉
不备案，后果不光是“不合规”三个字那么简单，按照网络安全法和等级保护管理条例的要求，单位不履行定级备案义务，公安机关可以责令整改，给予警告；拒不改正的，一般会面临罚款，直接责任人也会受影响，罚钱是小事，关键是系统一旦被查出漏洞出了网络安全事件，因为没有备案记录,单位责任认定会非常被动。
现实中更多单位感受到的压力,来自业务层面：
- 招投标受限：现在很多政企项目标书里明确要求供应商提供等保备案证明，没有连投标资格都没有
- 行业监管检查不及格：金融、教育、医疗、交通这些行业，主管单位每年有网络安全检查，备案情况是必查项
- 系统上线受阻：部分云平台和应用商店要求提供备案证明才能部署正式环境
- 上级测评无法推进：没有备案编号，测评机构没法出具合规测评报告，安全整改也失去对照基线
业内专家指出，等保备案证明已经成了单位网络安全合规的“征信记录”，不光等保测评，很多安全产品选型、云服务接入、互联网业务许可,都拿它当前置条件。
定级备案之后还需要做什么？备案只是起跑线
备案通过不等于等保合规完成，真正的大头在后面的差距分析、安全整改和等级测评，定级备案就像买车办牌照，车能上路了，但年检、保养、事故处理这些才刚开始。
等保定级备案费用大概多少
费用问题很多人关心，备案本身去公安窗口办理，不收钱，但定级过程如果请外部机构帮忙做定级报告和专家评审组织，会产生服务费，这个费用按系统复杂度、级别高低、地域不同差异很大，二级系统几千块钱基本搞定，三级系统涉及专家评审和更复杂的定级材料，费用会到一两万。
这里建议别只盯着价格选服务，定级定错了，后面整改费用翻着跟头往上涨。找做过同类行业项目的服务商,比找便宜但没经验的稳妥得多。
备案后下一步：搞清差距，再谈测评
备案号拿到手,正式的操作路径是这样的：
- 找测评机构做等级测评，测评机构会对照等保标准打下分
- 根据测评结果做差距分析，列出哪些项没达标
- 安全整改，补防火墙、加日志审计、完善管理制度、改机房物理环境
- 整改完再复测，拿到合格的测评报告
- 测评报告和整改情况报公安网安部门备查
这套流程走下来，周期很长，短则三个月，长则半年一年。定级备案如果是起点，那测评和整改就是漫长的修路过程。越早启动定级备案,后面就越从容。
Q&A：关于等保定级备案的三个高频问题
定级备案全流程走完要多久
定级材料准备顺利的话，一到两周能完成内部工作和专家评审；公安网安部门的审核周期各地不同，多数情况下需要两到三周，整个定级备案环节，从启动到拿到备案证明，一般一个多月是正常节奏，材料被退回返工会拉长到两三个月,所以首次提交前务必把材料核对仔细。
内部系统不对外服务，可以不备案吗
不可以，等级保护的对象是网络和信息系统，不区分内外，很多内部办公系统存放大量员工信息、业务数据，被破坏一样会产生严重影响，就算系统完全隔离在单位内网，只要属于单位运行的信息系统，就应当纳入定级备案范围，监管检查时,内部系统往往是抽查重点。
单位没有专职安全人员，定级备案怎么办
单位法定代表人是网络安全第一责任人，没有专职安全人员并不免除义务，实际操作中，可以选择委托第三方安全服务机构协助编制定级报告、组织专家评审、提交备案材料，但备案表上填写的安全责任人和单位信息必须是真实有效的，公安机关联系不上责任人时，会直接把单位列入异常名单,影响后续所有安全工作的开展。