赛思威尔
标书发到邮箱，技术分表里有一栏写着，数据管理能力达到 DCMM 3 级及以上，附等级证书扫描件。厂长把附件转给信息化负责人，对方回一句没办过。 DCMM 一共 5 级，标书里点 3 级的最多，写到 4 级投标的人就少一半。它不是体系认证，是一套评估，拿到的是等级证书。这个区别没分清，准备方向会全错。
它叫评估，不叫认证
DCMM 全名是数据管理能力成熟度评估模型，国家标准号 GB/T 36073[1]。企业拿到的那张纸写的是评到几级，不是通过了某个管理体系。 行业里习惯喊 DCMM 认证，招标文件也这么写。叫法错不耽误投标，填表时照招标原文抄。自己把「认证」改成「评估」，反倒有评委挑字眼。 两者门槛不同。体系认证查有没有按标准建流程，DCMM 查数据能不能真用起来。前者翻文件，后者看结果。
5 级怎么排，3 级为什么最常被要
等级从低到高 5 档，每档差一层管理水平。
| 级别 | 名称 | 落到现场是什么样 |
|---|---|---|
| 1 级 | 初始级 | 数据靠个人管，没成文制度 |
| 2 级 | 受管理级 | 有制度，按项目各自管 |
| 3 级 | 稳健级 | 公司层面统一，跨部门跑得通 |
| 4 级 | 量化管理级 | 有指标，能算清数据带来的账 |
| 5 级 | 优化级 | 能持续改进，还能对外输出方法 |
3 级这一档判据不难懂：制度成文，执行到位，还有记录。4 级要拿指标说话，多数企业拿不出连续数据。5 级更高，要求能对外输出方法。 甲方在标书里点 3 级，多数供应商够得着这一档。写到 4 级，投标的人就少一半。
评的是 8 个能力域
评估不看你买了几套系统，看 8 个方向上的制度和执行。
| 能力域 | 评什么 |
|---|---|
| 数据战略 | 有没有成文目标和组织 |
| 数据治理 | 谁负责，怎么决策 |
| 数据架构 | 数据怎么分布，怎么集成 |
| 数据应用 | 数据拿去做什么 |
| 数据安全 | 分级分类和权限 |
| 数据质量 | 怎么发现问题，怎么修 |
| 数据标准 | 编码和口径统一没有 |
| 数据生存周期 | 从采集到销毁怎么管 |
八个方向里被开问题最多的两处，是数据标准和数据质量。系统能买，口径买不来。这一条几乎每家企业都栽。
新版已经落地，旧目录对不上了
GB/T 36073-2025 于 2025 年 12 月 31 日发布，2026 年 7 月 1 日实施，同一天 GB/T 36073-2018 废止[1]。 这意味着现在提交的评估，依据已经是 2025 版。自评材料照着 2018 版目录整，条目对不上，返工的功夫得重花。 老证书怎么换，得按组织评估的机构当年通知走。国家标准换版和证书换发是两条线，标准先落地，过渡安排由受理方定。这一句别自己猜，打个电话比猜三天管用。
4 张纸各管一头
名字都带数据或安全，混起来最容易在标书里写反。
| 这张纸 | 管什么 | 依据 |
|---|---|---|
| DCMM | 数据管得好不好，能不能用起来 | GB/T 36073-2025[1] |
| DSMM | 数据守得稳不稳，安全能力几级 | GB/T 37988-2019[2] |
| 等保 | 系统合不合规，备案和测评走公安这条线 | GB/T 22239-2019[3] |
| ISO 27001 | 信息安全管理体系建没建 | GB/T 22080-2025[4] |
DSMM 那份国标 2019 年 8 月 30 日发布，2020 年 3 月 1 日实施[2]，管的是数据安全能力到几级。 一句话分：DCMM 看「用」，DSMM 看「守」，等保看「合规」，27001 看「体系」。4 个方向有重叠，但没有一张能顶另一张。 见过的错法，是把 DCMM 3 级当成信息安全资质交上去，评委翻两页就退回。反过来也有，拿 27001 证书去顶数据管理那一栏，同样不认。 等保和 27001 的差别写过一篇，两套尺子怎么分，看等保和 ISO 27001 的区别。
谁会真的被要求
政务数据项目最多。招标方要证明承包方管得住数据，等级证书是最省事的筛选条件。 集团集采和供应链准入排第二。金融和能源这类甲方内部有数据治理考核，往下压一层就压到供应商头上。 第三类企业拿过数据要素相关试点，申报材料里要写数据管理基础，证书是现成证据。 反过来，做纯加工、客户只问交期的厂子，办这个用不上。钱花出去拿一张没人看的纸，不如先把 9001 的现场理顺。
评估走 5 步
第 1 步先自评，按 8 个能力域逐条对，找出差距最大的 2 个方向。 第 2 步提交申请。范围，业务系统，数据量，写清。 第 3 步文件评审，看制度和记录跟自评对不对得上。 第 4 步现场评估，访谈加抽查，这一趟比前两步都费时间，人也最累。 第 5 步出报告，定等级，发等级证书。 材料跑不掉四份：数据管理制度汇编，组织与职责文件，近一年执行记录，系统清单和架构图。制度谁都能写，记录是硬门槛，倒签一眼就能看出来。
投标那栏怎么填
招标文件写 DCMM 3 级，你手上是 2 级，这一栏就是零分，别的分再高也补不回来。 反过来写「具备数据管理能力」，你有 3 级证书，响应文件里就把等级和证书编号，还有发证时间放上去，别只贴一张图。 证书编号和查询入口也要留。评委核不到，等于没交。查询方式写成 1 句话放在响应文件里，比多贴 2 张截图管用。
常见问题
DCMM 3 级大概要准备多久？
看底子。制度和记录都齐的企业，从自评到出报告要三到五个月。差距大的，光补一年执行记录就得再添两个月，因为记录不能倒签。
公司小，没有独立信息化部门，能评吗？
能评，但等级上不去。8 个能力域里数据治理和数据战略都要落到具体岗位，没人担这一项就是空的。20 来人的公司，多数停在 2 级。
DCMM 和 ISO 27001 能互相顶吗？
不能。27001 审的是信息安全管理体系，DCMM 评的是数据管理和应用能力。两张纸的评估方也不是一家，一张走认证机构，一张走组织评估的机构。做政企项目的公司两张都会被要，办的时候可以把制度和记录共用一部分。 27001 那条线怎么走，站上有一篇讲得细，看ISO 27001 认证流程。
证书几年有效，到期要重评吗？
看受理方规定。等级证书不搞终身制，到期前要重新评一次，范围和当年业务规模挂钩。系统大改或者业务范围换了，也要提前报一声。
各地有补贴吗，去哪问？
有地方把 DCMM 写进数字经济专项，额度各区不一样。问 3 个口子：当地数据管理部门，工信条线的中小企业服务机构，园区政策服务窗口。别信中介嘴里那个数，要看当年申报指南。
资质按甲方那张表补
资质不是越多越好，是按甲方那张表补。数据中心和软件公司常被要的一串纸怎么分主次，看企业认证有哪些。 客户表里同时出现 CS 和 DCMM，两张的评估方不是一家，排期分开算。别指望一趟审完，看CS 能力评估的条件。
参考来源
- GB/T 36073-2025 数据管理能力成熟度评估模型 现行 2025-12-31 发布 2026-07-01 实施 GB/T 36073-2018 废止 5 个等级 8 个能力域 ｜ https://openstd.samr.gov.cn/bzgk/gb/std_list?p.p2=36073 ｜ 2025-12-31
- GB/T 37988-2019 信息安全技术 数据安全能力成熟度模型 现行 2019-08-30 发布 2020-03-01 实施 ｜ https://openstd.samr.gov.cn/bzgk/gb/std_list?p.p2=37988 ｜ 2019-08-30
- GB/T 22239-2019 信息安全技术 网络安全等级保护基本要求 现行 2019-05-10 发布 2019-12-01 实施 ｜ https://openstd.samr.gov.cn/bzgk/gb/std_list?p.p2=22239 ｜ 2019-05-10
- GB/T 22080-2025 网络安全技术 信息安全管理体系 要求 现行 2025-06-30 发布 2026-01-01 实施 GB/T 22080-2016 废止 ｜ https://openstd.samr.gov.cn/bzgk/gb/std_list?p.p2=22080 ｜ 2025-06-30
冀公网安备13108202001398号