等保二级多久测评一次：分行业定周期

等保二级多久测评一次，在《信息安全等级保护管理办法》（公通字〔2007〕43号）中没有设置全国统一强制周期，通用场景下没有法定强制定期测评要求，但很多垂直行业文件单独划定了硬性时限，医疗卫生领域处理10万人以上个人信息的二级系统至少3年测评一次，其余普通二级医疗系统至少5年测评一次，电力行业二级系统要求每2年测评一次，你要先确认自身所属行业监管文件，再确定测评计划，不能直接套用其他行业的周期。

等保二级与其他等级测评周期对比

通用无专项规定的二级系统，公安网安日常检查不会强制你定期出具测评报告，但不代表可以完全不做安全评估，你可以自行安排自查、内部安全检测，在系统发生重大变更时必须启动测评，这类变更包含架构重构、服务器批量更换、核心业务功能改版、接入第三方重要接口等。

系统重大变更，必须做测评。

你如果属于有专项监管的行业，优先执行行业文件，行业文件优先级高于公通字〔2007〕43号，比如医疗机构直接对照《医疗卫生机构网络安全管理办法》，电力企业执行《电力行业网络安全等级保护管理办法》，自行核对文件条款，留存文件依据给网安检查人员备查，避免因为错用周期被责令整改。

选择测评机构时，要确认机构具备等级保护测评资质，没有资质的机构出具的报告，在监管核查场景下认可度较低，无法作为合规佐证材料，测评完成后，报告需要同步留存，配合属地公安机关的等保备案复核工作。

备案不等于测评，二级系统完成定级备案之后，只是完成登记流程，备案回执本身不代表安全达标，达标状态需要依靠测评报告、整改记录、日常运维日志共同支撑，很多运营方会混淆备案和测评两个动作，只备案不做任何安全检测，在抽查时更容易出现合规风险。

该周期规则适用边界是已经完成定级备案的二级网络/信息系统，未定级、未备案的系统不适用这套测评时限，需要先完成定级、备案流程，再规划测评与安全整改。

很多企业在没有行业强制要求的前提下，会主动按2到3年的频率委托资质机构测评，这个做法可以持续发现安全漏洞，降低被入侵、数据泄露的风险，同时方便应对属地公安不定期的抽查，属于风险可控的自主合规方案。