三级等保每年要测，网络二级等保一般两年测一次——这是安全《信息安全技术 网络安全等级保护测评要求》里写死的周期。但很多人不知道的等级是，这个"几年一次"其实分两种情况：一种叫"定期测评"，保护一种叫"整改后复测"，测评次周期完全不是求多一回事。

先说定期测评。少年二级系统，网络公安机关的安全要求是"建议每两年开展一次"，注意措辞是等级"建议"，不是保护"必须"。三级系统就硬了——每年至少一次，测评次没得商量。求多四级系统更严，少年半年一次。网络我见过不少企业老板拍着桌子问："我系统又没变，为什么每年都要花十几万测一遍？"答案很简单：等保测评不是查你系统有没有变，是查你当前的安全状态还符不符合要求。防火墙规则可能被运维手滑改了，员工可能把数据库端口暴露到公网了，这些变化不需要你"系统升级"就会发生。

有个做医疗SaaS的客户，三级系统，2022年测过了，2023年觉得业务没大改就没续测。结果当年10月被通报，原因是他们一个测试环境误连了生产数据库，导致患者数据可被越权访问。这个漏洞不是新出现的，是上次测评后就一直存在，只是当时没扫出来。等保测评的"年检"性质就在这里——它不是一次性验收，是持续监督。

再说复测。如果测评结论是"不符合"或者"基本符合但存在高危风险"，你需要整改后申请复测。这个复测没有固定周期，但通常要求在3到6个月内完成。我见过最拖的客户，整改拖了11个月，结果公安机关直接下了《责令限期整改通知书》，再拖就罚款。复测通过后，周期重新计算——比如你2024年3月复测通过，那下次定期测评就是2025年3月，不是从原测评日期算。

还有一类特殊情况：系统发生重大变更。比如你从物理机迁移到云平台，或者新增了互联网出口，或者业务逻辑大改。这时候不需要等周期到，变更后30天内要重新测评。很多企业栽在这条上——以为"年检"没到就没事，结果变更没报备，被检查时直接判定违规。

实际操作中，二级系统的"两年一次"经常被忽略。因为二级不需要备案到公安部，很多企业连自己该不该做等保都搞不清。我的判断是：只要你的系统涉及公民个人信息，或者一旦停摆会影响社会秩序，哪怕自评是二级，也建议按一年一测准备。为什么？因为等保测评的周期是下限，不是上限。你测勤了没人罚你，测少了肯定出事。

最后说个数字：2023年某省通报的等保违规案例里，73%是三级系统超期未测。罚款金额从1万到10万不等，但真正的代价是业务中断——整改期间系统可能被要求下线。所以别纠结"几年一次"了，三级就老老实实每年做，二级至少两年做一次，变更了立刻做。这钱省不得。