一句话简介：2026年2月等保三级新规生效：日志留存从6个月升到12个月、敏感数据强制国密加密、应急演练改半年一次，还要适配IPv6、下线弱加密协议。作为一个常年帮医院做影像云上云的项目负责人，我把这三条新规一线的真实排查复盘清清楚楚地讲给你——哪些坑最容易踩、正确做法到底是什么。一、背景：等保三级新规，不是"多做四件事"，而是换了一种安全观念先说结论：这一版等保新规（2026年2月生效），本质上是把医疗数据安全的"责任模式"从"一次性过审"逼成了"常态化运营"。过去很多医院对付等保三级，是"测评前突击、测评后放松"——报告过了关，系统该怎样还怎样。但2026年新规几条硬指标直接把这个老套路堵死了：日志：核心业务日志留存从 6 个月直接拉到12 个月，还要求支持 AI 异常检测（不只是"存着合规"）。加密：医疗敏感数据强制国密算法加密，核心数据要做"321"备份（3 份副本、2 种介质、1 份异地）。演练：应急演练从"每年 1 次"改为"每半年 1 次"，而且勒索病毒、数据泄露模拟写入必演场景，测评机构会"真打"。网络：敏感业务全面适配 IPv6，同时淘汰弱加密协议（老 SSL / TLS1.0、弱算法要全下线）。我是帮省级三甲医院做 PACS 影像云信创迁移的。本来以为只是改改等保报告，结果日志、加密、演练三条线全都要动，再加上一个最容易漏的 IPv6/协议下线，我们连续"回炉"了两周才跑通。这篇复盘，写给同样在医疗数据上云这条路上趟水的同行，让你少踩几个我踩过的坑。