企业准备采购云计算和核心数据库，供应商展示了密码测评、等级保护等材料，是否就可以跳过网络安全审查？不同制度的对象和功能不能混在一起。长寿企业若属于关键信息基础设施运营者，或涉及特定网络平台数据处理、赴国外上市安排，应在采购或申报上市前核实际审查义务。
先确认主体和影响，不把所有企业网站都纳入
网络安全审查办法第二、五条，涉及关键信息基础设施运营者采购网络产品服务，以及网络平台数据处理影响或可能影响国家安全等情形。采购方应预判产品服务投入使用后的国家安全风险，符合情形向网络安全审查办公室申报，而不是只看合同金额或供应商国籍。
关基身份、系统和业务边界须有真实依据，不能由营销人员以重要系统四字自行宣布。第二十一条涵盖核心设备、重要通信、服务器存储、数据库软件、云服务等重要产品服务，但某产品属于这一类，与本次采购必然需要审查，仍需结合主体和实际风险判断。
赴国外上市另有必须申报的明确情形
第七条规定，掌握超过一百万用户个人信息的网络平台运营者赴国外上市，必须申报。超过与恰为一百万不能混写，用户人数也不能直接按订单条数或账户操作次数累计。应核真实去重统计、平台性质及具体上市安排，不能把其他程序的人数门槛拿来替代本条。
不属于这一明确门槛，亦不能直接认定所有数据活动均无国家安全审查风险。第二、十六条另有相应活动及依程序启动审查安排。本文不将国外二字自行扩展为一切境外交易的统一结论，具体方案应根据真实地点、主体和适用要求判断。
材料要解释安全风险，不能只有采购清单
第八、十条要求申报书、国家安全影响分析及采购合同或拟上市申请文件等，重点包括非法控制破坏、供应中断、来源可靠性、数据泄露或非法利用、外国政府影响控制等风险。应让技术、业务和法律人员分别说明架构、服务依赖、远程权限、数据与供应链，不凭产品认证替代分析。
采购文件按第六条要求服务方配合审查，并作出不非法获取数据、控制设备、无正当理由不中断供应和必要支持等承诺。供应方只出一份笼统保密函，却保留随时停服务或任意远程读取权限的，需进一步核具体条款和实际技术安排。
收到材料后的十日并非最终通过期限
第九条的十个工作日，是收到符合要求材料后确定是否需要审查并书面通知的阶段。后续初步审查、部门意见及特别程序有各自期限；补充材料时间不计入，复杂情况还可能延长，不能把这些阶段随意相加后承诺到期必过。
应保留提交版本、补件要求、通知及正式结论，依审查要求采取预防消减风险措施。服务商说系统已上线多年或上市承销人正在排期，不能代替必要程序；反过来，也不宜未经依据宣布所有被审业务必须一律全面停止，应按具体要求落实措施。
审查承诺还要落实到采购履行
第十九条要求督促供应方履行审查承诺。合同可对应数据访问、持续供应、替代及退出、监督协助和违约处理，留存实际履行证据，不在取得结论后立即换成未经说明的供应或部署。变更是否影响原审查，应据事实及时核实，不以曾经审过为无限覆盖。
审查中的未公开资料有第十七、十八条保密和举报安排，涉及国家秘密另循保密规定。律师可以整理主体与风险表、申报材料和承诺履约清单；技术评估、等级保护、数据出境及外资审查仍需各自落实，费用按实际阶段约定，不承诺用一份报告包办所有合规。