按《网络安全法》第 21 条与 43 号文，运营第二级以上信息系统的单位就须履行等保义务。是否达到第二级，取决于系统一旦被破坏或数据泄露会损害谁的权益、损害到何种程度：采集存储公民个人信息、承载交易或对外关键服务的系统通常达到第二级甚至第三级；纯展示、无用户交互与数据收集的企业官网一般定级较低。拿不准时建议先做免费定级诊断，避免该做没做被罚，也避免过度定级增加成本。

两者是等保流程的前后环节，缺一不可：备案是向公安机关登记系统安全保护等级，办结后取得《信息系统安全等级保护备案证明》；测评是委托持证第三方测评机构核查系统安全状况并出具等级测评报告。正确顺序是：先定级 → 30 日内到设区市以上公安机关备案 → 按等级要求建设整改 → 再委托测评。第三级系统只备案不测评，仍属未履行法定义务。

依据 43 号文第十四条，第三级信息系统每年至少进行一次等级测评，第四级每半年至少一次；公安机关对第三级系统每年至少检查一次。系统承载的业务越重要、受侵害后果越严重，监管强度越高——年度测评 + 自查 + 接受检查是常态化的持续合规义务，并非办一次就终身有效。

43 号文对第二级未设定全国统一的强制测评周期，但第二级系统必须在定级后 30 日内向公安机关备案；金融、医疗、教育、政务等行业监管文件常对第二级也提出定期测评要求，实践中许多单位按年度或每两年一次执行。建议结合所在行业监管要求与上级单位规定确定测评频次。

备案由公安机关办理、不收费；费用主要在第三方测评环节。参考多地政府采购框架价与市场行情：第二级约 1.7-4 万元/系统、第三级约 3-8 万元/系统，按系统数量、复杂度与是否云上部署浮动，以测评机构报价为准。周期上，定级备案约 1-3 周（公安机关受理后 10 个工作日内发证），测评实施与出报告一般 1-2 个月，含整改全流程常见 1.5-3 个月。

等保测评须由取得《网络安全等级测评与检测评估机构服务认证证书》的机构实施，机构名录可在公安部网络安全等级保护网（djbh.net）的获证机构名录中查询核对。签约前应核验证书、明确服务边界（定级协助、测评方案、现场测评、报告与整改建议、复测安排）与交付物；报告出具后按要求提交属地公安机关网安部门审核并在登记管理系统完成填报。