2026年8月20日，《网络数据安全风险评估办法》正式施行。风险评估报告、风险通知、核验材料、系统与操作日志、整改记录，会越来越多地进入行政监管、内部调查乃至刑事案件的材料链。
这些材料有证据价值吗？有。它们在来源真实、取得合法、内容完整，并且能够与具体人员和具体行为对应时，可能证明某个时点谁知道了什么风险、谁掌握系统或决策权限、后来采取了什么措施。
但答案的另一半同样重要：一份合规报告不能直接证明犯罪。《网络数据安全风险评估办法》是部门规章，不创设罪名，不改变刑事证明标准，也不改变法定刑。报告中的风险判断不等于历史事实，估算值不等于犯罪数量、金额或者危害结果；行政核验时可以访问系统和操作日志，也不等于这些材料进入刑事程序后当然具备证据能力和充分证明力。
真正稳妥的审查顺序，是把材料放回五层结构：义务主体—材料形成—刑事取得—证明范围—人员归属。
一、新规会形成哪些可能进入案件的材料
《网络数据安全风险评估办法》第五条区分了两类主体：重要数据处理者应当每年度开展风险评估；处理一般数据的网络数据处理者，至少每3年开展一次风险评估属于鼓励性规则。两者不能混成同一强制义务。
按照第十条、第十五至十八条，风险评估过程可能形成：
- 风险评估方案、底层数据清单和工作底稿；
- 评估机构出具并由相关负责人签字、加盖公章的风险评估报告；
- 重大风险通知、报告报送和主管部门核验材料；
- 系统权限表、系统日志、操作日志和风险验证记录；
- 整改方案、整改前后对照、复核材料和整改情况报告。
这些材料不是天然的“有罪证据”或“无罪证据”。它们首先是合规活动形成的材料，进入刑事案件后，应当根据各自来源、形成方式、取得程序和证明对象分别评价。
二、第一层：先确认谁负有哪一种义务
不能看到一份风险评估办法，就反推所有企业、所有部门和所有员工承担同样义务。
先要核对处理的数据是否被确认为重要数据，涉案主体是否属于重要数据处理者，主管部门或者行业规则是否另有规定；还要区分网络数据处理者、受托评估机构、网络数据安全负责人、业务部门负责人、技术人员和普通操作人员各自承担的职责。
《网络数据安全管理条例》第三十三条规定，重要数据处理者应当每年度开展风险评估并报送报告。第24号令在这一上位义务基础上进一步规定评估、报送、核验和整改程序。对一般数据处理者，第五条使用的是“鼓励”表述。若主体和义务层级没有先查清，就可能把鼓励性合规安排误写成强制义务，进一步误导刑事责任判断。
三、第二层：报告和日志是怎样形成的
报告上写了什么，只是审查起点。还应追问：
- 谁收集底层数据，使用哪个系统、哪个时间范围和哪个版本；
- 评估机构是否具有独立性，报告由谁负责、谁签字、何时盖章；
- 报告是初稿、修订稿还是最终报送稿，是否存在更正、补充或撤回；
- 风险等级、数量和范围是实测结果、抽样推算，还是基于模型和假设形成；
- 报告结论能否由原始日志、配置、访问记录和其他客观材料复现。
第24号令第十条要求评估机构公正客观作出风险判断，并对报告的真实性、有效性、完整性负责。第十八条又要求特定风险评估报告由评估机构主要负责人、风险评估负责人签字并加盖公章。签章能够帮助识别责任主体和版本，却不能替代对底层数据、计算方法和完整性的核验。
四、第三层：行政核验取得的材料，怎样进入刑事程序
第24号令第十六条允许有关部门核验重要数据处理者报告的真实性、准确性；第十八条规定，网络数据处理者应当为受托评估提供必要支持，包括必要的网络数据设施、网络数据、系统及操作日志访问权限。
这里必须划清一条边界：行政核验中的访问权限，不等于刑事取证手续。
法发〔2016〕22号规定，电子数据进入刑事诉讼后，应围绕真实性、合法性、关联性审查。能够扣押原始存储介质的，应依法扣押、封存；无法扣押而提取数据的，应说明来源等情况并计算完整性校验值；收集、提取还应制作笔录和清单，记录时间、地点、方法、过程、文件格式和校验值。
因此，刑事案件中至少要核对：原始介质在哪里，谁以什么权限提取，提取范围是否与通知或法律文书一致，是否有笔录、清单、校验值、签名盖章及移送链，后续展示的数据是否与原始数据同一。合规阶段“能够访问”只能说明当时具备某种核验条件，不能自动补齐刑事取证程序。
五、第四层：材料究竟能证明什么，不能证明什么
风险评估处理的是风险识别、分析和评价。它与刑事案件中的历史事实、主观故意、实行行为、危害结果并非同一个问题。
一份报告可能证明：某个版本在某日形成；某部门或人员收到过风险通知；某账号在特定时间具有权限；某项风险曾被记录；某次整改采取了哪些措施。
但它通常不能单独证明：风险已经实际发生；报告估算数量就是犯罪数量；可能危害就是刑法意义上的实际危害结果；收到报告的人已经理解并接受全部结论；某个账号操作必然由账号名义人本人完成；企业未完成评估就当然具有某一罪名的犯罪故意。
同样，完成评估、完成整改或者未被行政处罚，也不当然证明没有犯罪。行政合规评价、行政处罚和刑事构成的规范目的、证明对象与证明标准不同，不能相互替代。
六、第五层：最后才是人员归属
电子数据可以显示“某账号做了什么”，却未必直接回答“现实中的哪一个人做了什么”。法发〔2016〕22号第二十五条要求，对网络身份与现实身份的同一性，可以结合IP地址、网络活动记录、上网终端归属、证人证言以及供述和辩解综合判断。
在企业场景中，应继续核对：
- 报告和风险通知实际送达谁，是否能够证明本人阅读、理解；
- 谁拥有决策权限，谁只有技术权限，谁能修改或覆盖日志；
- 账号是否多人共用，设备是否轮用，是否存在代操作或自动任务；
- 日志记录的是登录、查询、下载、修改还是最终审批；
- 邮件、聊天、会议记录、工单、门禁、设备和证人证言能否交叉印证。
如果只能证明账号名义归属，却无法排除多人共用和代操作，人员归属就没有闭合；反过来，如果账号、设备、时间、指令、实际动作和后续获利在多个独立来源中相互印证，材料的证明力会明显增强。
七、控方最强证据链，为什么仍要逐环核验
控方最有力的路径通常不是孤立引用一份报告，而是把多个时点连接起来：风险报告或通知已经送达；相关人员仍掌握决策或系统控制能力；日志显示风险持续；整改材料与客观状态不一致；行为人仍继续放任或者参与虚假整改。
如果每一环均有独立材料印证，这种间接证据链可能支持对知悉、控制和后续行为的综合判断。
辩方的回应也不应停在“报告不是证据”。更有效的做法是逐环检查：报告反映的是风险可能性还是已发生事实；版本和送达是否清楚；日志是否完整、能否复现；刑事取得是否合法；权限能否对应到个人；整改前后的技术状态是否被客观材料支持；是否存在与控方推论相反的系统记录或者第三方材料。
多项间接证据可以综合证明案件事实，但不能用同一份合规结论循环证明风险发生、行为人明知、实际控制、危害结果和个人作用。
八、未评估、未整改和行政处理，均不自动决定刑责
第24号令第二十二条规定，对未按规定开展风险评估的，依据《数据安全法》《网络数据安全管理条例》等法律、行政法规处理。该条是行政监管衔接条款，并没有把“未评估”直接规定为犯罪。
《网络数据安全管理条例》第五十九条还规定了从轻、减轻或者不予行政处罚的情形。行政上未处罚，可能源于违法轻微、及时改正等因素；它不当然排除相关行为另行构成犯罪。反之，受到行政处罚，也只能证明行政机关作出了特定行政评价，不能替代刑事案件对具体罪名构成要件和证明标准的审查。
九、时间边界：不能倒推办法施行前的义务
第24号令于2026年6月18日公布，自2026年8月20日起施行，没有设置以本办法倒查既往未评估行为的专门过渡条款。
文章发布时，应分别说明行为发生时、材料形成时、行政核验时和刑事取证时适用的规则。办法施行后形成的报告，可以包含对既往系统状态的回溯评价；但这种回溯评价仍然只是报告意见，不能把办法施行前未依本办法评估直接写成违法，更不能写成犯罪。
十、家属、企业和辩护人可以合法保全哪些材料
可以依法保全并交由律师核验：
- 风险评估合同、工作方案、底层数据清单和各版本报告；
- 签章、报送、送达、会议记录和风险通知；
- 系统权限表、账号分配、设备归属和变更记录；
- 原始日志、日志导出说明、校验值和备份记录；
- 行政核验通知、访问范围、现场记录和材料移送清单；
- 整改方案、执行工单、整改前后测试和第三方复核；
- 能够说明谁决策、谁操作、谁复核、谁受益的客观材料；
- 与报告结论相反或者限制其证明范围的原始数据。
保全材料的目的，是维持原始状态、完整上下文和可验证性。不得删改日志、补制文件、统一口径、规避留痕或对抗监管；也不宜在公开平台披露企业真实报告、漏洞、账号、个人信息和未公开案情。
十一、李璠律师的审查方法：让每份材料只证明它真正能够证明的事实
这类案件的核心，不是给报告贴上“有利”或“不利”的标签，而是建立一张证据—事实对应表：每份材料是谁形成、何时形成、从哪里取得、是否完整、能够证明什么、不能证明什么、与哪一个具体人员和哪一个构成要件相关。
先区分主体和义务，再固定版本与形成过程；然后审查刑事取得和完整性；之后限定证明范围，最后才把账号、权限和操作对应到具体人员。控方证据链和辩方反证都应经过同一套方法检验。
最终需要回答的，不是“企业有没有做风险评估”，而是：现有证据能否排除合理怀疑，证明特定人员在特定时点知道什么、控制什么、实施什么，以及这些事实是否满足具体罪名的全部构成要件。
正式来源
第24号令是部门规章，不创设罪名、不改变刑事证明标准；最高检业务研究只作电子数据审查方法参考。