CCRC 信息安全服务资质在招投标里能加几分？括号里写的是方向，不是公司名

一家做政务信息化的公司，四十来号人，标书递上去之前把评分表逐条过了一遍。技术分、业绩分都算得出来，可是有一行字算不准：「具备 CCRC 信息安全服务资质（信息安全风险评估方向）得 2 分」。他手上那张证是安全集成三级，方向不对，这两分就悬着。

这张证在评分表上多数时候值 2 到 3 分，偶尔还会按方向拆成三项，一项一项分别给。不过写得细的项目会按方向分开给，一分一分算。想拿到手，方向、级别、证书状态三样得同时对上，缺一样就是零分。

评分表那行字，卡的是括号里的词

某地一个应急指挥信息系统项目，预算近 800 万元，评标标准里三条并排写：有安全集成方向的证书得 2 分，有风险评估方向得 2 分，有软件安全开发方向得 3 分[1]。

这条读明白，就知道它不是「有证就给分」，它给的是「哪个方向、几分」。

拿到招标文件别急着翻技术分那几页。先搜「资质」两个字，把每处后面括号里的内容抄下来。括号里写的是方向，不是公司名，也不是证书编号。

要是括号里还跟着「二级及以上」或者「有效期内的」，那就是第二道、第三道坎。

八类方向不能互顶，写错等于没证

八类方向是安全集成，安全运维，风险评估，应急处理，软件安全开发，网络安全审计，工业控制安全，灾难备份与恢复[2]。

招标文件写的方向	评的是什么活	手上是别的方向行不行
安全集成	新建系统的安全设计、建设实施、加固	不行，方向对不上就不给分
安全运维	日常值守、监控、巡检、应急响应	不行
风险评估	漏洞识别、风险定级、整改方案	不行
软件安全开发	开发过程的安全设计、编码、测试	不行
应急处理	事件响应、抑制、根除、恢复	不行
灾难备份与恢复	容灾资源服务、容灾系统建设	不行
工业控制安全	工控系统的可用性与业务连续性	不行
网络安全审计	系统安全性、可靠性检查与评价	不行

最右边一列全是「不行」。方向之间确实不互认，这一点绕不开。你手上有运维的证，投一个要风险评估分的项目，分数就是零，评委不会替你折算。

那能不能八个方向一起办？先算钱。八个方向是八个认证单元，初次现场审查按单元往上加人日。钱加得不算多，材料反而更磨人，人少的公司容易被这套材料拖垮。

三级、二级、一级，差的不只是分数

基础条件按级别抬：三级要公司成立满半年，相关项目 1 个以上。二级要成立满三年，或者三级证书满一年，项目 6 个以上。一级要项目 10 个以上，还得有含信息安全服务内容的 ISO 20000 或 ISO 27001[1]。

评分表写「二级及以上」的时候，三级证书就是零分。政务云、金融、能源的项目爱这么写。

一级那两条额外条件最容易漏。项目数量够了，如果体系证书的范围里只写「信息技术服务」，没写信息安全服务，照样过不去。范围在审核那天就定死，要改就得走扩大范围的流程，不是改一句话的事。项目数怎么算、名单怎么排，CCRC 信息安全服务资质认证申请条件里逐条对过一遍。

政府采购这一侧，这张证正被往外推

2022 年有个近 800 万元的应急指挥项目，投标人投诉说把这张证当评分项，等于拿规模条件把中小企业挡在外面。当地财政部门认定投诉成立，责令重新采购，重采时这条评审因素被删掉了[1]。

同一年 1 月到 12 月，65 个采购项目发了更正公告，删掉这张证的评审因素，重新调整权重[1]。

依据在《政府采购促进中小企业发展管理办法》第五条：不得以企业注册资本，资产总额，营业收入，从业人员，利润，纳税额等规模条件和财务指标作为资格要求或者评审因素[1]。这张证的基础条件本身就带成立年限和项目数量的门槛，两边一撞，投诉就成立。

所以投政府信息化项目，别把这张证当成必得分来算。真认它的是另外几处：甲方自有采购不走政府采购那套规则，金融能源的框架入围看它，总包给分包设门槛也看它。

查证要查对地方，认监委那边查不到这张

这张证在官方平台查，入口叫「信息安全服务资质认证证书查询」，另有一项电子证书验签[3]。它不属于管理体系认证，所以认监委那个体系证书库里翻不到。

评分表里如果写「提供认监委网站查询截图」，那是给体系认证写的条款。你交 CCRC 的截图过去，评审按「无法证明」处理。这种条款能在答疑阶段问清就别拖，一旦开标再提就晚了。

要交的截图，一屏里放全四样：证书编号，方向，级别，有效期起止。少一样，评委有理由打回。

断档和改名，这两种废标最多

证书管三年，每年要过一趟监督审核[4]。正常年份现场来 1 个人日（审核员在你公司待一天，就是 1 个人日），多报一个类别加 0.25 个人日[4]。

一旦漏了监督审核，证书先被暂停，暂停期间投什么都白投。暂停期间拿去投标，等于交了一张废纸。审核开出的问题也有时限，一般不符合项 30 天内要改完并验证，不然证书状态就会变[4]。每一步谁在做，CCRC 资质办理流程按环节拆开写过。

另一种更冤。公司改了名、搬了地址，证书上的名称跟营业执照对不上。资格性审查那一步，评委只核对两样东西是否一致，不一致直接否决。

要是分公司拿总公司的证去投，也是同一个坑。投标主体和持证主体必须是同一家。

常见问题

CCRC 和 ISO 27001 是一回事吗？

不是。CCRC 评服务能力，按方向分级。ISO 27001 评信息安全管理体系。招标文件里两张证经常一起出现，各占几分，谁也顶不了谁。

办一张要花多少钱？

费用分四笔：申请费、审核费、注册费和年金，审核费按人日算，另外三笔按证书收。四项怎么分摊，CCRC 认证费用那篇按年拆过。一个类别报三级，初次现场审查 3 个人日，多一个类别另加人日，报价单上的数跟人日直接挂钩。

三级升二级要等多久？

二级的路有两条，成立满三年，或者三级证书满一年，还要有相关项目 6 个以上[1]。走证书满一年这条，最少等一年，项目数量得在这期间攒够。

证书上写安全集成，投要运维方向的项目能加分吗？

不能。评分表按方向给分，方向不对就是零分，评委不会拿一个方向的分去顶另一个方向。

评分表把这张证写成门槛，能质疑吗？

能，2022 年那批项目就是投诉之后删掉的[1]。先书面质疑采购人，答复不满意再找财政部门。

参考来源

• 政府采购项目把 CCRC 资质当评分项被投诉推翻，评标标准按方向分别给 2 分与 3 分，项目预算近 800 万元，2022 年 1 月到 12 月 65 个采购项目更正删除该评审因素，三级二级一级的基础条件为成立满半年与项目 1 个，成立满三年或三级满一年与项目 6 个，项目 10 个并需含信息安全服务内容的 ISO 20000 或 ISO 27001，文中引《政府采购促进中小企业发展管理办法》第五条 ｜ https://zfcg.tongliao.gov.cn/xwzx/bmdt/202212/t20221201_714623.html ｜ 2022-12-01
• 信息安全服务资质 8 类业务列表 ｜ 2026-03
• 信息安全服务资质认证证书查询与电子证书验签入口 ｜ 2026-10
• 实施规则 CCRC-ISV-R01:2026，初次现场审查 3 人日每增一单元 0.5 人日，监督审查 1 人日每增一单元 0.25 人日，证书 3 年，一般不符合项 30 天内整改 ｜ 2026-05-01