国企定级怎么判：ERP、MES 与门户网站分开看
国企做等级保护，最容易卡住的环节通常不是整改而是定级。集团型企业下面几十套系统是常态，有自建的、有统建的、有托管在云上的，重要程度相差很远，但大家往往希望"报一个统一的等级"了事。
这种做法两头不讨好：承载生产调度、财务结算的系统按低等级报，后续保护和测评跟不上；纯信息发布的门户跟着按三级报，整改投入又明显超出需要。本文逐类说明判断思路，并交代央企在审批和备案路径上的特殊之处。
一、国企定级要多过的两道关
一般单位的定级遵循"自主定级、专家评审、主管部门审批、公安机关审查"的路径。国企在此基础上还有两处不同，值得提前弄清楚。
一是审批主体。 依据公安部、国务院国资委《关于进一步推进中央企业信息安全等级保护工作的通知》（公通字〔2010〕70号），国资委负责部署中央企业等级保护工作，并会同有关行业主管（监管）部门对所负责企业信息系统的安全保护等级进行审批；电力、军工、民航企业和电信运营商由相关主管（监管）部门组织部署和落实。也就是说，央企的等级报上去还要过这道审批。
同一文件还要求等级保护与信息化工作"同步规划、同步实施、同步考核"，这也是不少国企在年度信息化考核里看到等保指标的原因。
二是备案路径。 这是国企最容易搞错的一点：跨省或者全国统一联网运行的第二级（含）以上信息系统，向公安部网络安全保卫局备案；其他信息系统向当地公安厅（局）网安部门备案。集团统一建设、全国分支一起用的系统通常属于前者，应按这一路径提交，而不是按总部所在地的属地习惯处理。
文件还明确：新建系统要在规划设计阶段确定等级、确定后30日内备案；已定级系统若定级不准、需求变更或撤销，应重新定级备案。定级不是一劳永逸的结论。
二、三类典型系统怎么看
判断等级不能只看系统名称，核心是 GB/T 22240 的两条主线：业务信息安全（信息被破坏后侵害谁、损害到什么程度）与系统服务安全（服务中断的影响范围），两条线分别推导，取较高者。下面是国企最常见的几类。
- ERP 及主数据类。 集中财务、人力、采购、合同、物资主数据的系统，数据被篡改或泄露影响的是法人合法权益和经营秩序，通常落到第二级；若是集团级部署、覆盖多个法人主体并直接影响报表与资金结算，常见做法是提到第三级。是否上调看"影响是否跨法人"，不看数据量。
- MES、SCADA 与生产执行类。 特征是中断即停产，因此要重点看系统服务安全这一线：服务中断会导致产线停滞、订单交付受影响，甚至引发生产安全风险。流程制造、能源、装备类国企的这类系统定三级较为常见；若被认定为关键信息基础设施，还要在等保基础上叠加关基要求。
- 门户网站与对外服务系统。 纯信息发布、不含交互与认证的外网门户，一般在一级到二级之间判断；一旦挂上用户注册登录、网上办事、申报受理、招投标等功能，侵害客体落到公民、法人权益，等级随之上调。很多单位是官网先上线、功能后加，应在功能上线前补做一次等保定级判断，而非沿用建站时的低等级。
- OA、邮箱、视频会议等内网办公类。 通常按第二级判断；若内部流转敏感经营信息或与业务系统深度打通，则按实际承担的业务重新评估。
三、影响高低的六个变量
同样是 ERP，不同单位的等级未必相同。落到具体判断，可以逐项对照这几个变量：
- 覆盖主体数量：是否跨法人、跨层级使用，集团统建系统通常高于单一法人自建系统。
- 是否对外提供服务：面向不特定对象的服务，比纯内部使用的同类系统更容易上调。
- 个人信息规模：是否集中处理员工、客户或用户的个人信息，涉及人数越大越敏感。
- 与生产过程的耦合度：是否直接联动物理生产环节的启停与参数。
- 是否被认定为关键信息基础设施：由保护工作部门依据认定规则组织认定并通知运营者；认定结果不替代等保义务，但会叠加关基保护要求。
- 有无行业定级指导意见：有行业指导意见的优先按文件口径走。
这六项不必同时满足，往往一到两项成立，等级就从二级抬到三级。把理由写进定级报告，后续专家评审和主管部门审批的沟通成本都会低很多。
四、流程节奏与常见误区
节奏上建议倒着排：先划清定级对象清单（含责任部门、是否对外、是否存个人信息），再组织专家评审，接着报主管（监管）部门审批，最后提交等保备案。审核通过后公安机关会出具备案证明，材料准备与整改节奏可参考等保整改的拆分方式。初次等级测评建议在整改完成后预留一段观察期再启动，避免测完紧接着又改。费用上二级与三级在测评项和整改范围差距明显，整体预算通常几万元到几十万元不等，具体以属地要求为准。
国企这边反复出现的几个误区值得单独提醒：
- 把全部系统打包成一个对象。 定级对象要按业务独立性拆，审批时也会逐套追问理由。
- 照抄兄弟单位的等级。 系统名称相似，覆盖面未必相同，照搬会在评审时被追问依据。
- 系统升级改造后没有重新定级。 增加对外接口、接入新业态、拆分合并，都属"需求变更"，应重新定级备案。
- 把 ERP、MES 放到同一张表里套用一套控制项。 两者技术架构差别大，工控侧的可用性与补丁管理策略和办公系统不是一套逻辑。
最后需说明：本文所列等级均属常见做法区间，具体以属地公安网安部门和主管（监管）部门的审核意见为准；拿不准的系统，建议在专家评审环节就把疑问摆出来，比备案后返工省事。