赛思威尔
投标截止前一周，一家做等保整改的杭州公司翻到标书资质那一页才发现，要求写的是信息安全服务资质，级别栏填二级。老板手上只有营业执照和三份验收单。
准入门槛就四条，大部分公司都够[1]。卡人的是级别：三级 1 个项目，二级 6 个，一级 10 个，都按近三年算[2]。项目数不够，材料做得再齐也过不去，因为评审先看业绩表。
申请条件就四条，逐条对一遍
第一条最好过，执照在有效期内就行。第二条要看清，经营范围得跟信息安全服务沾边。第三条是眼下没被责令停产停业整顿，第四条是没进严重违法失信名单[1]。
后两条的查法不一样。停产停业整顿看行政处罚决定书，落款日期和执行期限都写在上面。严重违法失信名单上「国家企业信用信息公示系统」，输公司全名，看有没有列入记录。
有的公司自己不知道被列入过，等到评审阶段才被退回来。四条读起来像例行公事。可是问题多半出在第三、第四条上。一旦进了这份名单，先把记录处理掉，再谈申报。
级别靠项目数说话，不靠公司规模
规范把每个类别分成三级，一级最高。级别不看公司多少人、多少营收，看从业年限和近三年完成的项目数量[2]。
| 级别 | 从业年限 | 近三年完成的项目 |
|---|---|---|
| 三级 | 该类别服务 6 个月以上 | 至少 1 个 |
| 二级 | 3 年以上，或已取得三级满 1 年 | 至少 6 个 |
| 一级 | 5 年以上，或已取得二级满 1 年 | 至少 10 个 |
「签订并完成」这五个字要抠。如果只有合同、没有验收，不算完成。验收报告没有结论，审查时也认不下来。
有家公司近三年签了 8 个项目，能拿出验收结论的只有 5 个，剩下的都停在一纸合同上。按二级递上去，评审时要补 3 份，补材料比重新排一次审核还慢。
级别报高一级的诱惑很大，标书里二级和一级的分值常常差一档。可是路径是现成的：先拿三级，满一年升二级；或者熬够三年再报。硬报的结果是评审阶段被打回，重新排队。
一级还有一条容易被忽略。关键软硬件工具和设备的安全性，要拿到第三方评价或证明。光在名单里写「配备了漏洞扫描工具」不算，得有那份证明。
材料清单就四份，名单这份最容易退
要交的东西按规则分 4 类：营业执照这类身份证明，一份专职技术人员名单，一张组织架构图，再加上所报类别的流程与规范[1]。
4 份里最费时间的是名单，要看出技术负责人、项目负责人、项目工程师分别是谁，还要跟组织架构图对得上。规范对人有硬要求：从事服务的人要通过考试，附录 H 按七个类别列了笔试科目。名单写十个人，考试一个都没过，这份名单等于没交。
流程和规范要按申报的类别写。安全运维的应急响应流程套到软件安全开发上，说不通。官网认证指南页给了 7 份自评估表填写指南，按类别分开。动笔前先照着填一遍，缺哪些材料能提前看出来，比交上去再改省事[3]。
经营范围里没有「信息安全服务」这一行
执照上写软件开发、系统集成、信息技术咨询，能不能对上第二条门槛，要看申报的类别。
安全运维这类，咨询服务的经营范围勉强解释得通。不过风险评估和应急处理，执照里最好出现对应字样。要是对不上，去市场监管部门做经营范围增项，一两周能下来，比在评审阶段解释省事。
哪些企业报了也过不去
只做硬件和综合布线的，报安全集成也凑不出服务项目。审查组要看服务过程材料，不是看设备清单。
想用一张证盖住八个类别的，先得知道每个类别都是独立单元，各自评价、各自备材料。八个类别一起报，初次审查的人日不是 3 天，是 6.5 天[1]。
做灾难备份与恢复的还得看场地。三级至少 1 个可用场地，二级要 2 个不同地域的场地，一级要 2 个不同风险区域的场地。没有机房的公司，这一类先放下。
发证的只有一家，「服务商」怎么选
这张证正式叫CCRC 信息安全服务资质认证，认证机构只有一家。规则、收费标准、自评估表也都挂在它官网上[3]。所以搜「认证服务商有哪些」，答案不是一串认证机构，而是一串帮你把材料对上的公司。
挑这类服务方，问 3 句就够：最近一年做过同类别几个项目、名单里的人有没有考过试、材料里有几份出自他们之手。不过第三句最要紧，项目合同和验收报告只能出自你自己的项目，写不出来就是写不出来。
交上去以后走哪几步，两种回音
评审完的回音只有两种：受理，或者一份问题通知[1]。问题通知不是拒，按条目改完反馈回去，评审继续往下走。
评审通过先出一份认证方案，写清 4 项：公司基本情况，单元怎么划，给几个人日，找谁对接。人日在这一步就定死了，一个单元初次审查 3 人日，每多一个单元加 0.5 人日[1]。
现场审查分 2 块，服务特性测评和服务管理审核，可以同时做[1]。当场碰上严重不符合项，结论直接是不推荐。一般不符合项则要在 30 天内改完并验证，才算过[1]。整个流程 5 步，每一步谁在做，CCRC 信息安全服务资质认证办理流程那篇拆过。
多久拿证，证书管几年
规则没写受理要几个工作日，也没写几天能发证，所以没人能给你一个准日子。
时间主要花在材料上。人员社保要连得上，项目合同和验收报告要能翻出来，流程规范要按类别写。这些东西补起来按周算。材料齐的公司，从递上去到拿证两个月上下。缺项多的，一个季度也正常。
证书有效期 3 年，靠每年一次的监督审查维持[1]。届满前 30 天内没提出终止、上次监督又合格的，中心直接换发新证[1]。反过来，该监督的时候不接，证书先被暂停，最长 3 个月[1]。到期还没改好，就撤销并公示。
钱的事另算。审核费按人日走，申请费和注册费按证书张数收，年金按年收，这几笔在收费目录里各自单列。八个类别按 6.5 人日算，光审核费这一项就占了大部分。怎么乘出来的，CCRC 信息安全服务资质认证费用那篇算过。
证书下来以后，去哪查询
申办和查证都走 官方平台 这一个入口[4]。招标要截图的话，一屏里放全：编号，类别和级别，起止日期，发证日期。
个人证书不在这个栏目。人员认证走另一套系统，CISAW 和 CDSPC 都在「人员认证与培训」下面。
常见问题
CCRC 到底是什么意思
平时说的 CCRC 认证，正式名字是信息安全服务资质认证，由全国唯一一家获授权的认证机构签发[1]。
三级能不能直接报二级
看年限。该类别从业满 3 年，可以直接报二级[2]。要是不到 3 年，先拿三级、满 1 年再升[2]。
级别不同，人日会加吗
不会。人日只看单元数量，一个单元 3 人日，多一个单元加 0.5 人日，级别写在证书的认证范围里，不单独算钱[1]。
资质和个人证书是一回事吗
不是。资质发给公司，证明这家公司能交付某类安全服务。个人证书发给从业的人，是能力证明。投标时两者常被要求同时提供。
参考来源
- 信息安全服务资质认证实施规则 CCRC-ISV-R01:2026，2026-3-30 发布 2026-5-1 实施，申请条件 4 条，附件 4 类，申请评审两种结果，认证方案 4 项，一个单元初次审查 3 人日 每增一个单元 0.5 人日，八个类别合计 6.5 人日，严重不符合不推荐，一般不符合 30 天整改，证书有效期 3 年，届满前 30 天换发，暂停最长 3 个月 ｜ 2026-03-30
- 信息安全服务规范 CCRC-ISV-C01:2025，通用评价要求分三级，三级从业 6 个月以上且近 3 年至少 1 个项目，二级 3 年以上或已取得三级满 1 年且近 3 年至少 6 个项目，一级 5 年以上或已取得二级满 1 年且近 3 年至少 10 个项目，一级关键软硬件工具需第三方评价或证明，附录 H 人员能力要求通过考试并按类别列笔试科目，灾备类场地三级 1 个 二级 2 个不同地域 一级 2 个不同风险区域 ｜ 2025-11-13
- 服务认证认证指南页，公开实施规则与信息安全服务规范，并提供 7 份自评估表填写指南，按七个类别各一份 ｜ 2026-10-27
- 服务认证业务列表八个类别，含工业控制安全服务资质认证，证书查询与申办系统入口，人员认证与培训含 CISAW 与 CDSPC ｜ 2026-10-27
冀公网安备13108202001398号