《数据安全法》规定，数据安全风险评估由网络安全主管部门负责统筹管理，而并非处理者自行组织。