ISO 27001 认证要什么条件？九条门槛逐条对，一年内出过重大安全事件就先别报

条件一共 9 条，最硬的两条是体系跑满 3 个月、一年内没发生重大及以上级别的网络安全事件[1]。人数不是门槛：15 人以内初次审核 6 个人日，40 人上下 8.5 个人日[1]。

真正卡人的地方不在技术，在几张纸的时间对不上。下面按规则原文逐条拆开，能自己核的先核完再递材料。

九条门槛，逐条对一遍

条件	拿什么证明	常见的错
主体资格在有效期内	营业执照	执照过期，或者经营范围与申请范围对不上
行政许可（适用时）	增值电信业务许可，等保备案证明	许可过期，证书会被暂停
体系建立并运行满 3 个月	文件发布记录，运行记录	从签合同那天算，不从发文那天算
因自身原因被暂停或撤销满 1 年	上一张证书的状态截图	刚被撤证就想换一家报
原发证方资质被撤满 3 个月	官方公告	公告日期没记，报了也退
未被责令停产停业整顿	处罚文书	只查了公司，没查分公司
不在严重违法失信名单	信用中国与公示系统截图	截图是三个月前截的
一年内无重大及以上事件	事件记录与定级依据	级别按 GB/T 20986 判，不是自己说小事就小事

第 9 条是兜底，机构会按行业再补一条。前八条能自己核，最后一条得去问受理的那家。

三个月从哪天算

规则原文写的是「已按认证标准建立 ISMS，且运行满三个月」[1]。三个月不从签合同算，也不从第一次培训算，从体系文件发布实施那天算起。

中间要留下对得上的记录：风险评估做完一轮，处置措施落地，内审开过一次会，管理评审有纪要。缺一样，第一阶段就过不去，因为第一阶段的活就是确认你做过内审和管理评审[1]。

别家不用交的两份东西

ISO 9001 那套交文件加记录，ISMS 多两份。一份是风险评估与处置结果，写清资产怎么盘，威胁和脆弱性怎么评，风险准则定在哪，哪些风险接受，哪些处置。另一份是适用性声明，也叫 SoA，把附录 A 的 93 项控制逐条列出，写明用还是不用，为什么不用[2]。

93 项分 4 个主题，组织 37 项，人员 8 项，物理 14 项，技术 34 项[2]。第一阶段会专门评审体系文件，包含这份声明[1]。要是写成一页纸的「全部适用」，审核员翻两页就看出来没做功课。

材料清单八项

• 申请信息：名称与地址，申请范围，人员数量，外包过程
• 法律地位证明，覆盖多个法律实体的每个实体都要交
• 行政许可与资质，适用时才要
• 组织机构与职责
• 流程与班次
• 运行满三个月的证据
• 一年内网络安全相关处罚与整改情况
• 其他文件

集团公司最容易在这栏返工：总部一张证，子公司各自一张执照，少交一份就退[1]。

审核要几天

附录 B 的档位是这样的：15 人以内 6 个人日，16 到 25 人 7 个，26 到 45 人 8.5 个，46 到 65 人 10 个，66 到 85 人 11 个[1]。1 个人日按 8 小时算，靠加班压天数这条路走不通[1]。

两个比例要记住：审核时间可以减少，最多减附录 B 的 30%，现场审核时间不少于确定时间的 70%[1]。低风险范围最多减 10%，高风险范围至少加 10%[1]。

初次审核分两阶段，间隔最短 5 日，最长 6 个月，超过 6 个月第一阶段要重做[1]。所以要赶投标，倒排时间得按半年给余量，别按几周排。人日跟人数怎么挂，另一篇拆过：ISO 27001 为什么比 ISO 9001 贵。

老板本人要到场

最高管理者或者经授权的高级管理层成员缺席首、末次会议，审核直接终止[1]。出差就让副总带着授权书来，授权书提前写好，现场补签不算数。

这条和 ISO 9001 一样，但 ISMS 问得更细：信息安全方针怎么定的，去年那笔安全预算花在哪，出了事谁拍板。

机构怎么选：批准范围里有没有 ISMS

两家都能报，差别在批准范围。去官方平台按机构名称查，看批准业务范围里有没有信息安全管理体系，再看它发过的证书能不能查到状态[3]。范围里没有，交上去也发不出带认可标识的证。

报上去容易退回的四种情况

许可过期，失信名单，一年内有重大事件，体系文件与业务脱节。前三条是硬条件，第四条是第一阶段最常开的问题[1]。

事件这条要说清：级别按 GB/T 20986 判，分「特别重大」「重大」「较大」「一般」四档。卡的是重大及以上，一次网页篡改到不了这一档。但如果你自己写不清级别，审核员只能往重的方向理解。

拿证以后：三年有效期，年审别断

证书有效期最长 3 年[1]。第一次监督审核在签发日起 12 个月内做，此后间隔不超过 12 个月[1]。

断了的后果写在规则里：到期前没完成再认证决定，证书到期自动失效[1]。暂停最长 6 个月，暂停期间证书无效[1]。触发暂停的情形有 14 种，跟安全直接相关的有三种：受到网络安全行政处罚没整改完，发生重大及以上事件，行政许可过期[1]。

严重不符合的验证时限：初次认证 6 个月，监督审核 3 个月，再认证要在到期前完成[1]。拖着不改，认证决定就下不来。流程和时间怎么排，ISO 27001 认证流程那篇按阶段列过。

常见问题

没有专职安全人员，能办吗

能。规则看体系有没有真跑，不看有没有安全部门。但责任人得有人担，风险评估、事件处置、内审这三件事要有人做，一个人兼三职也行。

两年前出过一起勒索软件事件，现在报会被拒吗

看级别和时限。卡的是一年内、重大及以上。超过一年，或者只到较大级别，就不卡在这条上。事件记录要留，写清定级依据。

10 个人的公司，6 个人日够审吗

够。人日按有效人数查表，人少不等于审得浅，每个过程都要走到。人数也别少报，范围里的人数要和社保、花名册对得上。

云上的系统、外包开发算不算范围

算。范围写的是你提供的服务，服务器在谁家不影响。外包过程要在申请信息里写明，审核员会顺着外包方查控制措施。

证书怎么查真伪

在官方平台输入证书编号或者企业名称，看状态是不是有效，范围对不对。状态显示暂停的，投标时按无效处理。花钱这件事另说，ISO 27001 认证费用那篇按项目拆过。

参考来源

• 信息安全管理体系认证规则 CNCA-ISMS-01:2026 全文，申请条件九条含运行满三个月与一年内未发生重大及以上级别网络安全事件，材料八项，附录 B 审核时间 15 人以内 6 人日与 46 到 65 人 10 人日，1 人日 8 小时，减少不超过 30%，现场不少于 70%，低风险减 10% 高风险加 10%，两阶段间隔 5 日与 6 个月，证书有效期最长 3 年，首次监督 12 个月内，暂停 14 种最长 6 个月，严重不符合 6 个月与 3 个月，最高管理者缺席首末次会议终止审核 ｜ https://www.cnca.gov.cn/zwxx/gg/2026/art/2026/art_d7d0a45aa5294b56a26dbda7a30b33f5.html ｜ 2026-01-14
• ISO/IEC 27001:2022 附录 A 控制措施 93 项，组织 37 项，人员 8 项，物理 14 项，技术 34 项 ｜ https://www.iso.org/standard/27001 ｜ 2022-10-25
• 认证证书与机构批准范围查询入口，可按企业名称与证书编号查状态 ｜ https://cx.cnca.cn/ ｜ 2026-10-28