1、網絡安全等級保護測評機構管理辦法第一章總則第一條 為加強網絡安全等級保護測評機構（以下簡稱“測評機 構”）管理，規范測評行為，提高等級測評能力和服務水平，根據中 華人民共和國網絡安全法和網絡安全等級保護制度要求，制定本辦 法。第二條等級測評工作，是指測評機構依據國家網絡安全等級保 護制度規定，按照有關管理規范和技術標準，對已定級備案的非涉及 國家秘密的網絡（含信息系統、數據資源等）的安全保護狀況進行檢測 評估的活動。測評機構，是指依據國家網絡安全等級保護制度規定，符合本辦 法規定的基本條件，經省級以上網絡安全等級保護工作領導（協調）小 組辦公室（以下簡稱“等保辦”）審核推薦，從事等級測評工作的

2、機構。第三條測評機構實行推薦目錄管理。測評機構由省級以上等保 辦根據本辦法規定，按照統籌規劃、合理布局的原則，擇優推薦。第四條測評機構聯合成立測評聯盟。測評聯盟按照章程和有關測評規范，加強行業自律，提高測評技術能力和服務質量。測評聯盟 在國家等保辦指導下開展工作。第五條測評機構應按照國家有關網絡安全法律法規規定和標準 規范要求，為用戶提供科學、安全、客觀、公正的等級測評服務。第二章測評機構申請第六條申請成為測評機構的單位（以下簡稱“申請單位”）需向省 級以上等保辦提出申請。國家等保辦負責受理隸屬國家網絡安全職能部門和重點行業主 管部門的申請，對申請單位進行審核、推薦;監督管理全國測評機構。省級

3、等保辦負責受理本省（區、直轄市）申請單位的申請，對申請 單位進行審核、推薦;監督管理其推薦的測評機構。第七條申請單位應具備以下基本條件：（一）在中華人民共和國境內注冊成立，由中國公民、法人投資或 者國家投資的企事業單位;（二）產權關系明晰，注冊資金500萬元以上，獨立經營核算，無 違法違規記錄；（三）從事網絡安全服務兩年以上，具備一定的網絡安全檢測評估 能力；（四）法人、主要負責人、測評人員僅限中華人民共和國境內的中 國公民，且無犯罪記錄；（五）具有網絡安全相關工作經歷的技術和管理人員不少于15 人，專職滲透測試人員不少于2人，崗位職責清晰，且人員相對穩 定；（六）具有固定的辦公場所，配備滿足

4、測評業務需要的檢測評估工 具、實驗環境等；卜七）具有完備的安全保密管理、項目管理、質量管理、人員管理、 檔案管理和培訓教育等規章制度；（八）不涉及網絡安全產品開發、銷售或信息系統安全集成等可能 影響測評結果公正性的業務伯用除外）;（九）應具備的其他條件。第八條申請時，申請單位應向等保辦提交以下材料：（一）網絡安全等級保護測評機構推薦申請表；（二）近兩年從事網絡安全服務情況以及網絡安全服務項目完整文 檔和相關用戶證明；（三）檢測評估工作所需實驗環境及測評工具、設備設施情況；（四）有關管理制度情況；（五）申請單位及其測評人員基本情況；（六）應提交的其他材料。第九條等保辦收到申請材料后，應在10個工

5、作日內組織初審。 對符合本辦法第七條規定的申請單位，應委托測評聯盟對其開展測評 能力評估。測評聯盟組織專家，根據標準規范對申請單位開展能力評估，出具測評能力評估報告，并及時將能力評估情況反饋等保辦。能力評估不達標的，等保辦應告知申請單位初審未通過。第十條初審通過的申請單位，應組織本單位人員參加測評師培 訓。考試合格的，取得測評師證書。測評師分為初級、中級和高級。申請單位應至少有15人獲得測 評師證書，其中高級測評師不少于1人，中級測評師不少于5人。第十一條等保辦組織專家對人員培訓符合要求的申請單位進行 復核。復核通過的，頒發網絡安全等級保護測評機構推薦證書。第十二條測評機構實行目錄管理，國家等

6、保辦編制全國網絡 安全等級保護測評機構推薦目錄，并在中國網絡安全等級保護網網 站發布并及時更新。省級等保辦應及時將本地測評機構推薦情況報國家等保辦。第十三條省級等保辦每年年底根據測評工作需求制定下一年度 測評機構推薦計劃，并報國家等保辦審定。省級以上等保辦受理測評機構申請的時間為每年三月份。第十四條測評聯盟應組織專家對新推薦測評機構的首個測評項 目實施情況進行跟蹤評議，并將結果及時報等保辦。等保辦組織進行 綜合審查。第三章測評機構和測評人員管理第十五條測評機構應與被測評單位簽署測評服務協議，依據有 關標準規范開展測評業務，防范測評風險，客觀準確地反映被測評對 象的安全保護狀況。測評機構應按照統

7、一模板出具網絡安全等級測評報告，并針對被 測評網絡分別出具等級測評報告。對第三級以上網絡提供等級測評服務的，測評師人數不得少于4 名，其中高級測評師、中級測評師應各不少于1名。第十六條測評機構應當指定專人管理測評專用章，制定管理規 范，不得濫用。出具等級測評報告時，測評機構應加蓋等級測評專用章。未加蓋專用章的報告，視為無效。第十七條 測評師上崗前，測評機構應組織崗前培訓;培訓合格 的，由測評機構配發上崗證，上崗證發放情況應于發放后5個工作日 報等保辦。測評機構應當對測評師開展等級測評業務情況進行考核， 并留存相關記錄。未取得測評師證書和上崗證的，不得參與等級測評項目。測評師 一年內未參與測評活

8、動的，測評聯盟應注銷其證書。測評師實行年度注冊管理。年審時，測評機構應將本機構測評師 情況報等保辦注冊。測評機構不得采取掛靠或者聘用兼職測評師開展 測評業務。第十八條測評機構應采取管理和技術措施保護測評活動中相關 數據和信息的安全，不得泄露在測評服務中知悉的商業秘密、重要敏 感信息和個人信息;未經等保辦同意，不得擅自發布、披露在測評服 務中收集掌握的網絡信息、系統漏洞、惡意代碼、網絡攻擊等信息。第十九條測評機構提供測評服務不受地域、行業、領域的限制。測評項目采取登記管理。測評機構在實施測評項目之前，須將測評項 目信息及時、準確地填報到網絡安全等級保護測評項目登記管理系統（以下簡稱“項目管理系統

9、”）。測評機構應于測評項目合同簽訂后或測評活動實施前5個工作 日內，通過項目管理系統填報測評項目基本情況，不得于測評項目完 成后進行補錄。由于項目實施變更導致已登記信息與實際情況不符 的，應及時修改并說明理由。第二十條省級以上等保辦對測評機構填報的信息應在5個工作 日內進行審核確認。逾期未審核確認的，項目管理系統默認審核通過。 測評項目填報登記和審核確認的具體要求，參見項目管理系統填報 指南。第二十一條省級以上等保辦在審核確認測評項目登記信息時， 發現測評機構具有下列情形之一的，應不予審核通過。（一）處于暫停測評業務期間；（二）因違規被通報后，未反饋整改情況的；（三）其他不符合本辦法規定情形的

10、。第二十二條屬于異地測評項目的，測評機構應從項目管理系統中生成測評項目基本情況表，并于測評項目實施前報送或傳至被測評 網絡備案公安機關。第二十三條測評機構名稱、地址、測評人員、主要負責人和聯 系人發生變更的，測評機構應在變更后5個工作日內向等保辦報告， 并提交變更材料。測評機構法人、股權結構發生變更或其他重大事項發生變更的， 等保辦應組織重新進行推薦審查并出具審查意見。測評機構不得假借 變更名義轉讓推薦證書。第二十四條測評機構應加強對測評人員的監督管理，定期組織 開展安全保密教育和測評業務培訓，簽訂安全保密責任書，規定其應 當履行的安全保密義務和承擔的法律責任，并負責檢查落實。第二十五條測評機

11、構應組織測評師參加多種形式的測評業務和 技術培訓，測評師每年培訓時長累計不少于40學時。培訓時長不足 的，不予年度注冊。測評聯盟確定測評業務和技術培訓科目，發布年度測評培訓綱 要。第二十六條測評師離職前，測評機構應與其簽訂離職保密承諾 書，收回上崗證并及時向等保辦報備。自離職之日起超過6個月再入職測評機構的測評師，應通過測評 師考試后從事測評活動;自離職之日起一年內未入職測評機構從事測 評活動的，測評聯盟應注銷其測評師證書。第二十七條測評機構應監督測評師妥善保管測評師證書、上崗 證，不得涂改、出借、出租和轉讓。第二十八條測評機構應當建立網絡安全應急處置機制和糾紛處 理機制，防范測評風險，妥善處

12、理糾紛。第二十九條測評項目完成后，測評機構應請被測評單位對測評 服務情況進行評價，評價情況表由被測單位密封后反饋測評機構，留 存備查。第三十條測評機構應每季度向等保辦報送測評業務開展情況和 測評數據。根據測評實踐，測評機構每年底編制并向等保辦報送網絡 安全狀況分析報告。測評機構在測評活動中，發現重大網絡安全事件、重大網絡安全風險隱患、高危漏洞和重大網絡安全威脅時，應及時報告公安機關。第三十一條國家等保辦每年第四季度組織開展測評機構能力驗 證活動，并將能力驗證結果通報各省級等保辦。未參加能力驗證的測評機構，視為能力驗證未通過。第三十二條等保辦應于每年12月份對所推薦測評機構進行年 審。年審通過的

13、，等保辦在推薦證書副本上加蓋等級保護專用章或等 保辦印章，發放測評師注冊標識。年審時，測評機構應當提交以下材料：（一）網絡安全等級保護測評機構年審表；（二）網絡安全等級保護測評機構推薦證書副本；（三）年度測評工作總結；（四）測評師年度注冊表;（五）其他所需材料。第三十三條測評機構有下列情形之一的，年審不予通過。（一）未及時、準確地填報測評項目信息；（二）測評師培訓時長不足；（三）未定期報送測評業務開展情況和測評數據；（四）能力驗證未通過且整改方案落實不到位；（五）其他有關情形。年審未通過的，等保辦責令測評機構限期整改。拒不整改或整改 不符合要求的，應暫停測評機構開展等級測評業務。第三十四條測評

14、機構推薦證書有效期為三年。測評機構應在推 薦證書期滿前30日內，向等保辦申請期滿復審。等保辦應于收到期滿復審申請后5個工作日內，組織開展復審工作。復審通過的測評機構，由等保辦換發新證。省級等保辦應及時將 測評機構期滿復審情況報國家等保辦匯總。期滿復審時，測評機構應提交以下材料：（一）測評機構期滿復審申請表；（二）年審情況；（三）其他需要提供的有關材料。第三十五條測評機構有下列情形之一的，期滿復審不予通過。（一）累計兩年年審未通過或三年能力驗證未通過的；（二）基本條件不符合的；（三）違反本辦法有關規定且情形特別嚴重的；（四）逾期30日未提交期滿復審申請的。期滿復審未通過的，等保辦應公告宣布取消其

15、推薦證書。第四章監督管理第三十六條省級以上等保辦對測評機構和測評業務開展情況進 行監督、檢查、指導。國家等保辦每年組織對測評機構及測評活動開展監督抽查。測評項目實施過程中，測評機構應接受被測網絡備案公安機關的 監督、檢查和指導。第三十七條等保辦開展監督檢查時，重點檢查以下內容：（一）測評機構基本條件符合情況；（二）測評機構管理制度執行情況；（三）測評機構相關事項變更報告、審查情況；（四）測評師管理、行為規范情況；（五）測評項目實施情況;（六）測評服務評價情況;七）測評報告及相關數據文檔管理情況；（八）其他需監督檢查的事項。第三十八條等保辦、被測網絡備案公安機關在監督檢查時，發 現異地測評機構有

16、違反本辦法規定情形的，應書面通報該機構推薦等 保辦。等保辦在收到通報后，應及時組織進行核查處置并反饋，同時將 有關情況報國家等保辦。第三十九條等保辦應及時將測評數據、測評機構及其測評師情 況、年審和期滿復審情況、監督檢查情況等相關數據錄入數據庫。第四十條國家等保辦每年對全國測評機構開展年度評定活動， 評定結果及時發布。第四十一條任何組織和個人有權向省級以上等保辦、測評聯盟 投訴舉報測評機構和測評人員違法違規行為。第四十二條測評機構違反本辦法第十五、十六、十七、十八、 十九、二十二、二十三、二十四、二十五、二十六、二十七、二十八、 二十九、三十條規定，等保辦應責令其限期整改;拒不整改或情形嚴 重

17、的，約談測評機構法人和主要負責人;屢次違反上述規定或情形特 別嚴重的，責令其暫停測評業務，并予通報。第四十三條測評機構有下列情形之一的，等保辦責令其限期整 改;情形嚴重的，責令整改期間暫停測評業務，并予通報。（一）未按照有關標準規范開展測評，或未按規定出具測評報告的;（二）分包、轉包、代理測評項目，或惡意競爭，擾亂測評工作正 常開展的；（三）擅自簡化測評工作環節，或未按測評流程要求開展測評工作 的；（四）監督檢查或抽查中發現問題突出的；（五）影響被測評網絡正常運行，或因測評不到位，未發現網絡中 存在相關漏洞隱患，導致被測評網絡發生重大網絡安全事件的;（六）非授權占有、使用，以及未妥善保管等級測

18、評相關資料及數 據文件的；卜七）限定被測評單位購買、使用指定網絡安全產品，或與產品和 服務商存在利益勾結行為的；（八）非本機構測評師或測評人員未取得等級測評師證書和上崗證 從事等級測評活動的；（九）未通過測評項目管理系統及時填報項目登記信息或未通過審 核開展等級測評項目的；（十）未按本辦法規定向等保辦提交材料或弄虛作假的；（十一）其他違反本辦法有關規定行為的。第四十四條測評機構有下列情形之一的，等保辦應取消其推薦 證書，并向社會公告，三年內不得再次申請。（一）運營管理不規范，屢次被責令整改，嚴重影響測評服務質量 的;（二）因單位股權、人員等情況發生變動，不符合測評機構基本條 件的；（三）有網絡安全產品開發、銷售或系統安全集成等影響測評結果 公正性行為;與產品提供商、服務商或被測評方存在利益勾結，擾亂 測評業務正常開展的；（四）泄露被測評單位工作秘密、重要數據信息的；（五）隱瞞測評過程中發現的重大安全問題，或者在測評過程中弄 虛作假未如實出具等級測評報告的；（六）一年內未開展測評業務（被暫停開展測評業務的情況除外）或 自愿放棄測評機構推薦資