先说结论：一个普通企业官网做等保二级，测评费 3 到 6 万；三级 8 到 15 万。真正让预算超支的是整改，不是测评。去年我们配合过七家客户走完这套流程，四家第一次差距分析出来，整改项都在二十条以上。

等保不是买一张证书

流程分四步：定级、备案、整改、测评。定级是给自己的系统定 S1A1G1 这类级别；二级以上要到属地公安网安部门备案，拿到备案证明；再找有资质的测评机构做现场测评、出报告。全流程两个月算快的，系统复杂的三四个月。

很多人以为交钱就有证。测评机构只负责查，不负责帮你改。差距分析报告里列出的项，得自己或者找集成商补。这一点在签合同时就要分清，很多纠纷都出在这里。

二级和三级的价格差在哪

二级查基本要求，主机、网络、应用、数据四块，测评师两三个人到场一天，工作量二十人日左右。三级多出安全区域边界、集中管控、入侵防范、个人信息保护这些项，还要求日志留存六个月、双因素认证、数据异地备份，现场两到三天，工作量翻倍。

报价通常包含测评实施、报告出具、一次复测。有的机构把复测单收，八千到一万五，合同里要写明含不含。含整改辅导的会再加两到四万，值不值看自己有没有懂行的人。

整改才是大头

常见整改项：弱口令和默认账户没改、日志没开、数据库 3306 直接暴露公网、后台没有双因素、备份只存在本机、漏洞扫描高危项没修、离职人员账号没清。这些不是买台设备就能解决的，多数要开发改代码、运维改配置。

一个三十万做的官网，整改花三到八万很常见。老系统源码都找不到了、改不动的，只能加一层 WAF 和堡垒机把访问收口，硬件加配置两万上下，属于兜底方案，报告里会写成补偿措施。

年度复测和日常运维

三级系统每年测评一次，二级多数地区两年一次，新建系统上线前要先测。复测费一般是首测的六到七折，因为系统没大改，工作量少。平时还要做漏洞扫描、日志审计、应急演练，这些可以打包成安全运维年费，一年一到三万。

什么情况下必须做

三类场景跑不掉：一是行业主管要求，医疗、教育、金融、政务配套系统基本都写了；二是投标，国企和上市公司的采购文件常直接要求提供等保二级备案证明；三是客户审厂，做供应链的会被下游品牌方要求。

纯展示、不留任何个人信息的企业官网，一般定一级，做自查即可，不必花这笔钱。带留资表单、收集手机号和身份信息的，按二级准备更稳妥。有在线交易、存支付信息的，按三级算。

预算怎么排

二级：测评 3 到 6 万，整改 2 到 8 万，安全运维 1 到 3 万每年。三级：测评 8 到 15 万，整改 5 到 15 万，运维 3 到 6 万每年。系统多、对外接口多的往上取，单系统、内网部署的往下取。

顺序别搞反：先定级备案，再做差距分析，按报告整改，最后测评。反过来做，钱花了报告还是要重出，时间也白等。

博纳网络在深圳做网站和系统 13 年，等保整改里跟开发相关的那部分我们接手过不少，需要评估可以直接联系：0755-82538016，13828753662 微信同号。