CCRC 信息安全服务资质认证要花多少钱？四项收费怎么分摊，三年总账怎么算

一家做等保整改的公司要报 CCRC 安全运维三级，两份报价前后脚送到：一份写的是三年包干价，另一份报得高出一倍。差价看着吓人，其实认证机构的收费目录全挂在官网上，一个类别三级，第一年的四项、三年内每年的年金和监督审查，都能照着目录逐条对出来。

两边用的是同一个公式，只是有人把三年的年金和监督审查算进去了，有人只报了第一年。

四项收费挂在官网上，谁都能翻

信息安全服务资质认证不是"面议"的生意。认证机构的收费目录清单列了 4 项：申请费、审核费、注册费、年金，每一项都写明是按证书张数算还是按人日算。

收费项目	什么时候收
申请费	每报一次收一次
审核费	初次审查，以及每年监督审查
注册费	每报一次收一次
年金	证书有效期内每年

人日这个词先落地。审查组三个人到你公司待一整天，就是三个人日。人日数乘上目录里的单价，这一趟的审核费就出来了。

同一张表下面还有一句要紧话：这些数是参考标准，属市场调节价，双方协商确定。所以价格能谈。可是四项名目谈不掉，能谈的只是每一项往上还是往下。

人日只看类别数，不看公司人数

这一条跟 ISO 9001 完全不同。ISO 是查有效人数表，三十人的厂和一百人的厂差好几档；CCRC 只看你报几个类别。

实施规则写得很干脆：一个认证单元做初次现场审查 3 人日，每多一个认证单元加 0.5 人日。监督审查一个单元 1 人日，每多一个加 0.25 人日[1]。

报几个类别	初次审查人日
1 个	3
2 个	3.5
3 个	4

"公司人少，能不能便宜点"，这个问题在 CCRC 上问不出结果。真要压成本，方向只有一个：先报招标点名的那一个类别，其余等有项目了再补。

一级和三级，审核费一模一样

规则第 5 条把资质分成 3 个级别，一级最高[1]。翻遍人日条款，只有按认证单元数算这一种写法，没有"一级多加两个人日"这回事。

所以"报一级的审核费要多加一截"是话术。级别真正贵在别处：一级要看的项目业绩更厚，人员配置更全，整改条目也更多，这些最后都落在辅导费和来回时间上。

反过来，招标只要求三级的时候硬冲二级，同样是白花钱。近两年的合同和验收报告摊开数一遍，能撑住哪级就报哪级。

报价单最容易漏的 3 笔

第一笔是年金。它按证书张数、按年收，证书有效期内年年都要交。它不随人数走，却是唯一一笔跑不掉的固定支出。

第二笔是监督审查。规则要求每年做一次现场审查，一个单元 1 人日[1]，折成费用又是一笔固定支出。这笔钱很多报价单里没有。

第三笔是差旅。收费目录里有几个项目写明了"差旅费用由认证申请方承担"，服务资质这一栏没写这句话。没写不等于不用出，合同里问一句，比审完再补钱省事。

还有一笔不在认证机构那张表上：辅导费。材料要从零补的时候，这块往往比认证机构收的还多，因为它按补多少算，没有单价可查。

报三年包干价的那份，多半是砍掉了年金和第二年监督，或者把辅导挪成签约后的加项。签之前把这四项摊开对一遍，差价就看得见了。

多报一个类别，钱加得不多，材料加得不少

两个类别，初次审查多 0.5 人日[1]，审核费只多出半个人日的钱。账面很划算。

可是每个类别都是独立的认证单元，要单独评价，项目合同和验收材料也得分开准备[1]。人力和档案的成本，比那半个人日贵得多。

还有一个岔口：2 个类别发 1 张证还是 2 张证。要是分开发，注册费和年金按证书张数算，三年总账得往上加一截。签约前问清这件事，比事后吵更管用。

顺带把分工想清楚。ISO 27001 评的是一整套安全管理体系，CCRC 评的是某一类安全服务能不能交付，两边的材料能互相借，却顶不了对方。这两件事的差别，ISO 27001 信息安全管理体系和CCRC 信息安全服务资质认证两页写得比报价单清楚。

时间和钱卡在同一步

规则里没有"多少天拿证"的承诺，只有一条硬时限：现场审查发现一般不符合项，要在审查结束后 30 天内整改完并通过验证，逾期结论就是不推荐[1]。钱花了证没拿到，多半卡在这里。

严重不符合项更直接，当场判不推荐，连整改机会都没有。

申请门槛倒不高，4 条：主体资格在有效期内，经营范围跟信息安全服务相关，没被责令停产停业整顿，信用档案里也没有严重违法失信记录[1]。要交 4 样材料：营业执照，组织架构图，专职技术人员名单，加上各类别的流程和规范。

真正拖时间的是项目档案。合同和验收报告，还有人员证书，这 3 类东西平时不归档，临时翻往往翻不全，前面准备阶段就吃掉大半时间。一旦档案缺项，后面每一步都要等。

合同上问清 4 句

问几个类别，报的是哪一级，报价含不含年金，监督审查的审核费是单列还是并进年金。

4 句问完，两份报价才能摆到同一张纸上比。便宜的那份未必真便宜，贵的那份也未必多收了钱，差别通常在算没算全三年。

顺手把口径也核一遍。现行实施规则划的认证单元是 7 类，官网业务列表上还挂着工业控制安全这一项[2]，报之前问一句按哪份文件走，免得材料按错的类别准备。证下来以后，在认证机构的证书查询入口能查到类别与级别，报之前先去那儿看看同行手上是几级[3]。

常见问题

一个类别报三级，第一年到底交多少

四项都在：申请费，初审按 3 人日折出来的审核费，注册费，再加当年的年金。不算年金，第一年就是前三项之和。

年金每年都要交吗

要。证书有效期内按年收。它跟监督审查的审核费是两笔钱，一笔是年金，一笔是人日费，报价单上常常只写其中一笔。

报两个类别是不是两张证

认证单元按类别划分，每个类别单独评价[1]。发一张还是两张，看认证机构当期做法。分开发证时，注册费和年金都按证书张数算。

现场审查来几个人

规则只写人日数，不写人数。3 人日可以是三个人来一天，也可以是一个人连着来三天。人日数才是计价的依据。

整改期拖过一个月怎么办

逾期没整改完，或者整改验证没过，结论就是不推荐[1]。这一次的审查费用不退，重新排期还得再走一遍流程，所以整改计划别拖到最后一周。

参考来源

• 信息安全服务资质认证实施规则 CCRC-ISV-R01:2026：一个认证单元初次现场审查 3 人日 每增加 1 个认证单元增加 0.5 人日 监督审查 1 人日 每增加 0.25 人日 每年一次 一般不符合项 30 天内完成整改 申请条件 4 条 级别分 3 级 ｜ 2026-03-30
• 服务认证业务列表：安全集成 安全运维 风险评估 应急处理 软件安全开发 灾难备份与恢复 工业控制安全 网络安全审计 ｜ 2026-10-27
• 信息安全服务资质认证证书查询与申办系统入口 ｜ 2026-10-27