第一步：确定定级对象
各行业主管部门、运营使用单位应组织开展对所属信息系统的摸底调查，全面掌握信息系统的数量、分布、业务类型、应用或服务范围、系统结构等基本情况，确定定级对象。
第二步：初步确定安全保护等级
各信息系统主管部门和运营使用单位要按照《信息安全等级保护管理办法》和《网络安全等级保护定级指南》，初步确定定级对象的安全保护等级。确定信息系统安全保护等级后，聘请专家进行评审。信息系统运营使用单位有上级行业主管部门的，应当报上级行业主管部门审批同意。
第三步：等级备案
已运营(运行)或新建的第二级以上信息系统，应当在安全保护等级确定后30日内，由其运营、使用单位到所在地设区的市级以上公安机关办理备案手续。公安机关经审查，符合等级保护要求的，应当在收到备案材料起的10个工作日内向备案单位颁发信息系统安全保护等级备案证明;发现不符合要求的，通知备案单位予以纠正;发现定级不准的，通知备案单位重新审核确定。
第四步：建设整改及测评
定级对象的运营和使用单位根据公安机关定级审查的结果，按照《信息安全技术网络安全等级保护基本要求》（GB/T22239-2019）的相关要求，在测评机构和相关技术支持单位的指导下，开展系统的安全建设及整改工作。
第五步：监督检查
公安机关全程负责网络安全等级保护工作的监督、检查和指导；公安机关工作中发现不符合管理规范和技术标准的，应当发出整改通知要求整改。
备案应准备材料如下：
二级系统需要提交的材料： ①信息系统安全等级保护备案表2份； ②信息系统安全等级保护定级报告2份；③信息系统安全保护等级专家评审意见；
④主管部门审核批准信息系统安全保护等级的意见。
⑤系统安全组织机构和管理制度； 三级系统需要提交的材料： ①信息系统安全等级保护备案表2份；②信息系统安全等级保护定级报告2份； ③系统拓扑结构及说明； ④系统安全组织机构和管理制度,网络安全应急处置预案；⑤信息系统安全等级测评报告；
⑥系统安全保护设施设计实施方案或改建实施方案； ⑦系统使用的信息安全产品清单及其认证、销售许可证明；⑧信息系统安全保护等级专家评审意见； ⑨主管部门审核批准信息系统安全保护等级的意见。
○单位服务器托管协议（在云平台或IDC需提交云平台或IDC等保备案证明及测评报告首页、基本信息页、盖章页、结论页等）。
