7月1号，一条政策悄悄生效了。

没有热搜，没有发布会，连能源圈自己的公众号都没几家转发。只有几个微信群里有人试探性地问了一句："各位，能源局那个数据分类分级的文件，你们看了吗？"

回复一片沉默，不是因为不重要。恰恰相反，是因为太重要了，重要到很多人第一遍没看懂，第二遍开始冒冷汗。

这份文件全名叫《能源行业数据分类分级指南（2026年版）》，国家能源局发的，4章15条，7月1日正式施行。它跟去年12月发的《能源行业数据安全管理办法（试行）》是一套组合拳。管理办法告诉你"分完了怎么管"，这份指南告诉你"怎么分、怎么定级"。

今天就用人话把这份指南拆开给你看。

一、管多宽？从挖煤的到造氢的，一个都别跑

先看看覆盖面有多大。

指南里写的能源品种，一个不落： 煤炭、石油、天然气、核能、水能、风能、太阳能、生物质能、地热能、海洋能、电力、氢能。十二个。

你在内蒙古露天矿挖煤，你的储量数据、开采规划、运输调度在这份指南的射程里。你在南海搞海上风电，你的风机坐标、发电功率、海底电缆走向也在这个射程里。你在实验室折腾氢燃料电池，你的实验数据、工艺参数也在射程里。

不光管品种，还管环节。从规划、设计、建设到生产、储运、消费、科研，七个环节，一字排开。

好比你是个煤老板。煤矿还在勘探阶段，地质调查报告里的储量数据，要分类分级。矿建成了在采，每天的产量、运输路线、销售去向，要分类分级。甚至你搞了个清洁煤技术研究所，实验室里的配fang、测试数据，还是要分类分级。

管到这个程度，基本上就是一个意思：能源行业的从业者，只要你手里有数据，就得对着这份指南，挨个认领。

二、怎么分？12个品种往筐里扔，7个环节往格子里放

分类维度就两个： 按能源品种分（一级），按活动环节分（二级）。

第一步，先看你这数据属于哪个品种。煤炭的扔进煤炭筐，天然气的扔进天然气筐，太阳能的扔进太阳能筐。这步不难，总不至于分不清煤和太阳。

第二步，再看这数据是在哪个环节产生的。还在图纸上的，扔进规划筐。已经生产出来的，扔进生产筐。卖给下游烧掉的，扔进消费筐。

一层品种加一层环节，一条数据就找到了自己的座。比如"一座100万千瓦火电站的初步设计方案"，一级分类是"电力"，二级分类是"设计"。比如"某煤矿去年全年的原煤产量"，一级"煤炭"，二级"生产"。

指南没规定三级和四级，留给企业自已决定。 你觉得自己数据种类太多、两层不够分，自已往下加。就像图书馆，大类是国家定的，小类你自己看着办。

三、怎么定级？不是打分，是量后果

分完类，下一步是定级。三级： 一般、重要、核心。

别把这三个级别想象成"好、中、差"，这跟环保评级不一样。这里的分级逻辑是"出了事之后，危害有多大"。

• 一般数据：泄露了或者被改了，损失可控；

• 重要数据：泄露或被篡改后，可能危害国家安全、经济运行、社会稳定；

• 核心数据：危害程度直接翻到最严重那一档。

定级的时候有一条铁律，叫"就高从严"。什么意思？一条数据如果同时涉及两个维度的安全风险，按高的那个定。比如某个水电站的坐标数据，从经济安全角度看是"重要"，从国防安全角度看也够"核心"的边，那就按"核心"来。别想着往下压，压不住的。

还有个有意思的规则：衍生数据和脱敏数据怎么定。

衍生数据是啥？你把一堆原始数据拉个报表、做个分析、跑个模型，出来的新数据就是衍生数据。规则很简单：衍生数据如果还能还原出原始数据的特征，按原始数据的等级管，不降级。

脱敏数据呢？你把坐标模糊到500米精度、把用户名称替换成编号，这就叫脱敏。规则是：脱敏之后如果不可逆、真的没法还原了，核心可以降到重要，重要可以降到一般。但前提是"不可逆"。随便脱一下做做样子不行。

四、什么算"重要数据"？三条硬杠

指南里写得最清楚的就是重要数据的识别规则。三大类：

第一类：精确坐标。

精度优于100米，听着很宽松对吧？你手机导航随便一开就是米级精度。

什么设施的坐标属于这一类？年产1000万吨以上的煤矿。单机100万千瓦以上或总装机300万千瓦以上的火电站。装机120万千瓦以上或库容10亿立方米以上的水电站。核电站，不设门槛，有一个算一个。750千伏以上的变电站和换流站。

翻译成人话：全国所有大型煤矿、大型火电水电站、全部核电站、全部骨干电网枢纽站的地理坐标，只要能被精确到100米以内，就是重要数据。

为什么是100米这个数字？军方有个概念叫"圆概率误差"，意思是导dan落点偏差的统计值。嗯，后面的不用我说了。

第二类：实时控制指令。

大容量水电站的生产运行实时指令。750千伏以上变电站和换流站的生产运行实时指令。国家管网集团油气调控中心调度控制系统的指令。

这些东西要是被人改了，后果不是"数据泄露"四个字能概括的。那是大停电、大停气。

第三类：电力消费数据。

这一条最狠，因为覆盖面最大。特级重要电力用户的消费原始数据——你能猜到特级是谁，政府机关、军队大院、通信枢纽、地标场馆。国防军事类一级、二级重要电力用户的数据。还有一条：1000万个及以上普通电力用户的消费原始数据。

千万门槛。中国有十几亿人口，哪个省级电力公司的用户数不超过一千万？哪个电网APP的后台数据库规模小于这个量？换句话说，全国所有省级电力公司的用户消费数据，全部都是潜在的重要数据。

答记者问里还专门补了一句：就算你没到1000万这个规模标准，"仍应该加强数据保护，防止泄露数据累积后被非法使用"。没到顶也得管，只是级别低一档。

五、升级到"核心数据"：更高一层的逻辑

核心数据的识别标准，是在重要数据的基础上再往上提一级。

两条硬杠：特级重要电力用户的连续1年以上消费原始数据，核心数据。1亿个及以上电力用户的消费原始数据，核心数据。

第一条好理解： 一个人一天用了多少电、什么时候用的，只能看出家里有没有人。但一个特殊机构的用电数据连续盯上一年，能看出什么？能看出运转规律、工作节奏、高峰期和低谷期。那就是另一回事了。

第二条更要命： 一亿张电表的数据汇在一起是什么概念？是能画出整个国家的经济活动心电图。哪个工业园区产量在爬坡、哪个城市的商业区晚上空心化越来越严重、哪个省份的居民用电增速在往下掉，全看得出来。这不是你用不用得起电的问题，这是你想瞒都瞒不住的战略级信息。

六、最后说重点：企业要干什么？

指南不是发下来让你看看就完了的。企业有六件事要干，每一件都带时间线。

第一件，编目录： 对照指南识别你们单位的能源行业重要数据，编成目录，报给省级能源主管部门。如果数据有重大变化，三个月内重新申报。不是"看了看觉得没有"就完事了，是你得拿出证据证明"我排查过了，确实没有"。

第二件，建制度： 从数据采集、存储、使用、加工、传输、提供、公开到销毁，每个环节都要有管理制度。不是模板套一下，是要能落地的。

第三件，上手段。 等保该做的做、关基保护该做的做、密码保护该做的做。技术上要能证明你的数据"处于有效保护状态"，不是嘴上说保护了。

第四件，做评估： 每年至少一次数据安全风险评估，自己做也行、请第三方也行，评估报告要报给省级能源部门。不是做一次就完了，是每年都要交。

第五件，管出境： 重要数据要出境、核心数据要跨主体转移，都得申请风险评估。想把数据放海外服务器上？先过这一关。

第六件，出了事马上报： 发现漏洞立即补救，发生安全事件立即处置、通知用户、报告省级能源主管部门。不能捂着。

我帮你总结一下：以前能源企业的安全部门，天天盯着的是"设备别爆炸、电网别跳闸、矿道别塌方"。现在多了一条硬杠：数据和设备一样值钱，泄露出去的后果可能比设备爆炸还严重。

一条水电站的坐标，一串数字。一串数字能指向一个目标。一个目标被攻击，能让一座城市停电。