考题解析|《网络安全法》38条:关键信息基础设施,多久做一次安全评估?

适合网安培训、国企事业单位普法、安全员考试学习

最近很多人在备考网络安全相关证书、单位内部安全考核时，都会刷到这道高频考题：

《中华人民共和国网络安全法》第三十八条关键规定，信息基础设施的运营者应当自行或者委托网络安全服务机构对其网络的安全性和可能存在的风险（ ）至少进行一次检测评估，并将检测评估情况和改进措施报送相关负责关键信息基础设施安全保护工作的部门。

A. 每半年

B. 每两年

C. 每年

D. 每三年

✅正确答案：C. 每年

一、法条原文对照

《中华人民共和国网络安全法》第三十八条：

关键信息基础设施的运营者应当自行或者委托网络安全服务机构对其网络的安全性和可能存在的风险每年至少进行一次检测评估，并将检测评估情况和改进措施报送相关负责关键信息基础设施安全保护工作的部门。

很多人第一眼会看错题干里的“信息基础设施”，准确来说，法条的主体是关键信息基础设施运营者，这是理解本条的核心。

二、什么是“关键信息基础设施”？

很多朋友分不清普通网站、普通企业系统和关键信息基础设施。

根据《网络安全法》第三十一条：国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护。

简单一句话：牵一发而动全身，出事会影响民生、国家安全的系统，才属于关键信息基础设施。

比如电网调度系统、轨道交通系统、政务平台、银行核心业务系统等，不是所有公司的业务系统都属于这个范畴。

⚠️ 划重点：等保2.0（网络安全等级保护）和关键信息基础设施保护是两套并行要求

• 普通三级等保系统：测评周期是每年一次；
• 关键信息基础设施：除了满足等保要求，还要额外落实本条的年度风险检测评估，并且评估报告、整改方案要上报主管保护部门。

这里有个容易踩坑的误区：有人会混淆，以为关键基础设施要半年一测。半年测评不是《网络安全法》38条的法定要求，部分行业主管单位可能会根据风险等级要求更高频次，但法律底线是：每年至少一次。

三、本条里面有3个容易忽略的考点

1. 实施主体二选一：运营者自己测，或者委托具备能力的第三方网络安全服务机构，两种方式都合法；
2. 不是只出报告，还要报送：不能做完评估就存档，必须把检测评估情况、整改改进措施，提交给对应负责关键信息基础设施保护的主管部门；
3. 评估内容两块：一是网络本身安全性，二是潜在安全风险，不只是漏洞扫描，还要包含风险研判。

配套法规《关键信息基础设施安全保护条例》第十七条，再次重申了同样要求：运营者应当自行或者委托网络安全服务机构对关键信息基础设施每年至少进行一次网络安全检测和风险评估，及时整改，按要求报送材料。上下法规保持一致，进一步巩固了“一年一次”的法定周期。

四、选错选项为什么错？

• A 每半年：属于更高的强化管控要求，不是法律最低强制要求；
• B 每两年、D 每三年：周期太长，不符合关键基础设施高风险、高价值的保护定位，法律不允许；所以法定最低周期锁定为每年一次。

五、延伸：不落实这条，会有什么后果？

关键信息基础设施运营者不履行安全保护义务，包括不按期开展检测评估、不报送材料，监管部门可以责令改正、给予警告；拒不改正或者造成危害网络安全后果的，会处以罚款，同时对负责人进行处罚。

关键信息基础设施是网络空间的“国之重器”，这条法律，本质上就是强制建立常态化风险体检机制：一年一次“安全体检”，提前发现漏洞、风险，而不是等被攻击、出事之后再补救。

小结

这条考题，是网络安全考试、单位普法的经典送分题，核心口诀可以记：关基设施，一年一评，报告上报。

相关阅读

一文读懂等保四大核心旧标准：定级、建设、设计、测评全覆盖

三大安全立法怎么分工？一文读懂保密、国安、网络安全法案核心重点

公考/网安必考真题解析：网络行业组织的核心职责，你选对了吗？

普法答题｜国家（）非关键信息基础设施运营者参与防护？答案和依据都讲透了

普法答题｜国家网络安全两大核心制度：监测预警+信息通报，一文读懂

普法答题｜谁必须配合公安、国安开展网络侦查工作？答案来了！

等级测评考点答疑：等级测评方法主要不包括以下哪种方法？

密码知识答题解析：坚持（）对密码工作的领导

公考/普法真题解析｜国家依法惩治网络中侵害未成年人的哪些行为？

普法刷题｜网络产品服务提供者不得设置什么？这道法规真题考点解析

答题必看！公民、法人保护网络安全，只能用这类密码

公考/普法真题精讲：全社会需提升的核心网络素养是什么？

普法答题｜网络产品、服务需符合国家标准的哪类要求？标准答案来了

必考法律题解析：网络平台拒不履行安全义务，最高判几年？

全网必考！关键信息基础设施安全保护制度真题解析，一文搞懂核心考点

等级保护必考！一文吃透公通字〔2004〕66号文件核心考点

必考知识点｜网络设备上市前，必须过哪道安全关卡？

等保必考真题解析：客体侵害程度不包含哪一项？90%考生易混淆！

普法答题｜谁统筹全国网络安全监督管理工作？一文讲清

等级保护考题解析：哪一级信息系统需国家级专家评审？

一道密码知识选择题，带你读懂《商用密码法》

普法答题｜关键信息基础设施安全审查，到底由谁牵头？（必考知识点解析）

真题解析｜《网络安全法》适用范围高频考点，一招吃透！

答题必看｜网络身份战略真题解析！一文读懂「网络可信身份」

等保必考真题解析：等级保护受侵害客体，不包括哪一项？

等保高频真题详解：唯一强制基础标准，90%考生都易混淆的考点

全网必考！网络日志留存时长标准答案+法条深度解析

普法答题解析｜国家将什么纳入国民教育与公务员培训体系？

密码普法｜谁统一领导全国密码工作？一道高频考题讲透核心体制

考题精讲｜不属于国家秘密的信息，用哪种密码保护？一文分清三类密码

网络风险预警来了！省级以上部门可以做哪些事？一道题读懂《网络安全法》

网络安全普法小课堂｜网络运营者，必须建立健全哪一项制度？

密码知识小课堂｜这道题带你看懂：谁来管理核心密码、普通密码？

《密码法》小测：国家对密码实行什么管理？看懂三类密码

密码法考题解析：《中华人民共和国密码法》究竟何时施行？

网络等保考题精讲：二级信息系统到底适合什么场景？一文分清1/2/3/4级系统

等保考题精讲：新建信息系统，什么时候去公安备案？

信息安全管理习题精讲：信息安全独立评审考点拆解

网安法规刷题精讲｜关键信息基础设施采购，要签什么文件？

网安法规刷题精讲｜关基采购，可能影响国家安全应当通过什么审查？

别再混淆！一道题看懂：什么才是危害国家安全

一道《网络安全法》考题，读懂网络权利、服务与安全的平衡

密码法小课堂｜这道高频考题，带你读懂地方密码工作由谁主管

学法小课堂｜这道网络安全考题，藏着我们每个人的隐私防线

网络安全小考题｜互联网出口，不是想接就能用！

等保考点精讲：三级系统等级测评多久一次？答案和坑点一次性说清

一道高频考题读懂《网络安全法》开篇要义｜标准答案+深度解析