做网络安全合规，很多企业都会同时碰到「等保 2.0」和「密评」两个硬性要求。
到底先做等保，还是先做密评？是两个都要做，还是做一个就行？顺序错了会不会白花钱、返工整改？
今天一次性讲清两者的先后逻辑、适用场景和避坑要点。
等保 2.0：《网络安全法》确立的网络安全等级保护基本制度，对信息系统从技术、管理、运维、应急等全维度做分级安全防护，共分五级，企业最常见的是二级、三级系统。
密评：全称「商用密码应用安全性评估」，是《密码法》要求的密码专项合规评估，专门核查网络与信息系统中商用密码技术、产品、服务的合规性、正确性、有效性，只聚焦密码应用这一个领域。
简单说：等保管全局网络安全，密评管密码专项合规；等保是基础制度，密评是落实「三同步一评估」要求的专项深化安排。
核心结论：没有绝对的"谁先谁后"，「定级先行，同步推进」是最优解很多人以为必须先把等保全流程走完、拿到报告，才能启动密评，其实并不正确。从法规逻辑和实操流程看，正确的顺序是：
密评的要求等级，直接由等保的保护等级决定。根据 GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》，信息系统的密码应用等级与网络安全等级保护级别一一对应：等保二级对应密码应用二级，等保三级对应密码应用三级，逐级提升要求。不定级，就不知道密评要按什么标准做、覆盖哪些范围，整个工作都无从谈起。
法规层面本身就鼓励衔接协同。《密码法》第二十七条明确规定：商用密码应用安全性评估应当与关键信息基础设施安全检测评估、网络安全等级测评制度相衔接，避免重复评估、测评。公安部《贯彻落实网络安全等级保护制度和关键信息基础设施安全保护制度的指导意见》（公通字〔2020〕1960 号）进一步要求：第三级以上网络运营者，应当在网络安全等级测评中同步开展商用密码应用安全性评估。同步开展的好处非常直接：一次进场、一次资料梳理、一次现场核查，两项测评同步推进，既减少重复沟通成本，也缩短整体合规周期，还能避免两项工作要求冲突、后期返工整改。- 先启动等保定级工作，完成系统定级与公安机关备案，明确保护等级；
- 同步制定商用密码应用方案，落实「同步规划、同步建设、同步运行」的三同步要求；
- 对属于「重要网络与信息系统」的对象（关键信息基础设施、等保三级及以上系统等），密码应用方案密评是强制要求：方案未通过评估的，不得作为商用密码保障系统的建设依据。先评方案、再落地建设，能最大程度避免建成后拆改返工。
最优选择：等保测评 + 密评同步开展。 委托同时具备两项资质的机构，统一进场实施，统一输出两份报告。资料复用、流程协同，整体效率最高，综合成本最低。次选方案：先等保、后密评。 如果时间、预算错开，也可以先完成等保测评，再启动密评。不建议反过来先做密评——一旦等保定级调整，密评的标准、范围全部要跟着变，很容易白做。还要注意一个硬性节点：按照《商用密码应用安全性评估管理办法》，重要网络与信息系统投入运行前必须通过密评，未通过评估的不得投入运行。验收排期务必把这个节点留出来。- 等保：第三级系统每年至少测评一次；第二级系统一般每两年至少测评一次（具体以属地监管要求为准）；
- 密评：关键信息基础设施、等保三级及以上信息系统，建成运行后每年至少开展一次；
错。是否需要密评，判据是「法律、行政法规和国家有关规定要求使用商用密码进行保护的网络与信息系统」（即《商用密码应用安全性评估管理办法》所称的「重要网络与信息系统」），主要包括关键信息基础设施、网络安全等级保护第三级及以上信息系统、重要政务信息系统等。绝大多数二级等保系统，不需要开展密评。
错。等保是覆盖全维度的网络安全基本制度，密评是密码领域的专项评估，密评不能替代等保，也不能豁免等保义务。两者是「基础 + 专项」的关系，不是二选一的关系。错。只要等保的定级结果确定了，就可以启动密码方案设计、密评准备工作，完全不用等等保最终出报告、拿到测评结论。正式测评环节更是可以同步进场，这是法规明确鼓励的合规方式。先定级，再决策- 第一步先明确系统等保级别，要不要做密评、按什么标准做，立刻就清晰了；
- 能同步，不同步吃亏：如果两项都要做，优先选择同步规划、同步测评，少折腾、省成本；
- 选对机构少返工：优先选择同时具备等保测评资质和商用密码检测（密评）资质的机构，一次进场完成两项工作，标准衔接更顺畅；
- 密码要求前置：规划阶段就把密码应用要求融入系统设计，方案密评先行、上线前完成密评，别等系统建成了再补密码设施，整改成本会翻倍。
结语
等保和密评不是非此即彼的选择，也不是严格的先后递进关系。核心逻辑始终是：定级是前提，同步是最优，专项不替代整体。搞清楚顺序，选对方式，合规效率最高，也最省钱。
