公安部176号令10月施行，网络空间安全监督检查引入渗透测试式远程检测

公安部令第176号《公安机关网络空间安全监督检查办法》将于2026年10月1日起施行，共23条。该办法明确公安机关可对网络运营者、数据处理者、个人信息处理者开展线上巡查与远程检测，其中远程检测可依法采用漏洞探测、渗透性测试等方式，检查结果对应督促整改、公安提示函、依法处罚三档处置。

新规速览：176号令的出台背景与适用范围

从2018年规定到176号令

2026年8月7日，公安部公布《公安机关网络空间安全监督检查办法》（公安部令第176号），该办法经2026年7月1日第2次公安部部务会议审议通过，自2026年10月1日起施行。新华社同日发布通稿指出，该办法是对2018年《公安机关互联网安全监督检查规定》的修订，意在适应《数据安全法》《个人信息保护法》《网络数据安全管理条例》等新法实施后的监管格局。

办法名称从”互联网安全监督检查”变为”网络空间安全监督检查”，一字之差背后是监管范围的实质扩展：网络空间安全被界定为网络安全、数据安全、信息安全三个维度，立法依据覆盖《网络安全法》《数据安全法》《个人信息保护法》《关键信息基础设施安全保护条例》等多部法律法规。

监督检查对象扩展为三类主体

办法明确的被检查对象包括网络运营者、数据处理者、个人信息处理者。这意味着不只是传统意义上的网站和信息系统运营方，凡是处理数据、处理个人信息的企业和机构，都进入了公安机关监督检查的法定覆盖范围。对软件企业而言，自研系统、SaaS平台、APP后端服务均在被检查对象之列。

监督检查方式：线上巡查、远程检测与现场检查

线上巡查：不影响业务的风险发现

公安机关可通过网络信息巡查、信息审核能力测试、漏洞扫描等不影响被检查对象正常业务运行的方式，对辖区内的网络空间安全情况开展线上巡查。开展信息审核能力测试的，应当提前三个工作日告知巡查时间与范围。这类巡查常态化、低干扰，发现的风险隐患将进入核查程序，必要时转为现场检查。

远程检测：漏洞探测与渗透性测试引入执法手段

办法中颇受行业关注的一条是：设区的市级以上公安机关可以通过漏洞探测、渗透性测试等方式，对关键信息基础设施以外的网络设施、信息系统进行远程检测。该措施同样要求提前三个工作日告知检查时间与范围，不得干扰、破坏被检查对象网络设施和信息系统的正常运行，并须通报同级网信部门与行业主管部门。

渗透性测试写入部门规章层级的执法手段清单，意味着”被动等检查”的时代正在过去——监管侧具备了主动发现技术漏洞的法定通道，企业系统中长期未修复的高危漏洞被监管先发现的概率明显上升。

现场检查与联合检查机制

现场检查由被检查对象运营机构所在地县级以上公安机关实施。办法同时要求公安机关与有关部门建立监督检查协作配合机制，合理确定现场检查的频次、范围与方式，避免重复检查、交叉检查；对有关行业开展现场检查的，应当事先告知网信部门与行业主管部门，尽量联合开展，减少企业负担。委托技术支持机构协助检查的，也须遵守相应的安全管理要求。

检查结果如何运用：整改、提示函、处罚三档处置

督促整改

对检查中发现的安全隐患与不合规项，公安机关可督促被检查对象限期整改。整改要求与网络安全等级保护制度中的定级备案、建设整改、等级测评环节相衔接，等保测评中发现却长期搁置的问题，很可能在监督检查中被重新点名。

公安提示函

对存在风险但尚未达到处罚程度的情形，公安机关可发送公安提示函，予以正式书面警示。提示函虽非行政处罚，但属于留痕的监管文书，后续若发生安全事件，将成为认定企业是否履行安全义务的重要证据。

依法处罚

对拒不整改或违法行为明确的情形，公安机关将依据《网络安全法》《数据安全法》《个人信息保护法》等法律实施处罚。办法同时明确了公安机关及其工作人员玩忽职守、滥用职权、泄露国家秘密与商业秘密的法律责任，对执法端也形成约束。

对网络运营者的三点启示

合规从年度测评转向常态化

监督检查的渠道铺开后，”一年测一次、测完放一年”的模式风险加大。线上巡查与远程检测不以年度测评为前提，等级保护测评结论合格也不等于日常状态合规。企业需要把漏洞修复、日志留存、权限管理纳入日常运维闭环，而不是测评前的突击动作。

渗透测试与漏洞管理需要前置

既然监管侧可以依法开展渗透性测试式远程检测，企业更有理由抢在监管之前自行发现漏洞。定期开展安全渗透测试与网络安全漏洞扫描，对发现的漏洞建立分级修复时限，是把监督检查风险前置化解的务实路径。北京尚拓云测（尚云软件测评）可为政企客户提供渗透测试、漏洞扫描与等保测评相关技术服务，帮助企业在10月新规施行前完成一轮安全体检。

台账记录与留痕管理

办法强调监督检查结果与整改情况的衔接，企业侧的整改记录、演练记录、培训记录、应急预案等台账材料应当同步完备。一旦被现场检查或收到提示函，完整的留痕材料既是整改到位的证明，也是划分责任边界的依据。

距176号令施行还有约一周时间。建议网络运营者对照自身定级备案状态、漏洞修复闭环与台账完备度做一次自查，把问题发现在监督检查到来之前。