等保测评和 ISO 27001 有什么区别？客户要等保三级，手上的 27001 证书顶不了

杭州一家做政务系统的公司，投标前一周被退回材料。资质页贴的是 ISO 27001 证书，甲方回复只有一句：本项目要求系统通过等保三级，请补备案证明和测评报告。

两张纸被当成一张了。等保备案要在系统定级后 30 日内到公安机关办，跟手上那张证书没有关系[1]。

系统集成商和做软件外包的团队，接政府平台的供应商，几乎都会在同一份标书里撞上这两行字。换个说法讲，等保看某一个系统扛不扛得住，ISO 27001 看整家公司怎么管信息资产。

同一个词，两件不同的事

等保的正式叫法是网络安全等级保护。它的对象很具体：一套要上线的系统，或者正在跑业务的信息系统。等级由运营方自己定，一级到五级，级别越高要求越硬[1]。三级那条写的是，系统被破坏后会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害[1]。

定完级，第二级以上要在 30 日内去所在地设区的市级以上公安机关备案。新建的系统，投入运行后 30 日内也得办[1]。三级以上还要一起交七份材料，从拓扑结构到专家评审意见，都在里面[1]。

ISO 27001 落在另一层。它问这家公司怎么管信息资产：谁能进哪个系统，日志留多久，供应商怎么审，出了事怎么复盘。它认的是组织的管理体系，不是某个系统的防护水位。一家公司三个系统都在跑，证书也只有一张。

认证依据是 GB/T 22080 和 ISO 27001:2022 这一版。认证规则从 2026 年 3 月 1 日起统一按新版执行，机构以前自己定那套，同一天失效[3]。

多久测一次，多久换一次证

等保这边是测评，不是认证。三级系统一年至少测一次，四级半年一次[1]。测完拿到一份报告，几十页，有结论有得分，也列了要整改的项。

27001 这边是认证，拿的是证书。证书有效期最长 3 年，第一次监督审核在签发之日起 12 个月内，往后每次间隔不超过 12 个月[4]。

时间感完全不同。等保问的是这个系统今年还扛不扛得住，27001 问的是这套管理动作还在不在跑。

三张纸摆在一起

对比项	等保测评	ISO 27001 认证	信息安全服务资质
评什么	一个系统的防护水位	公司怎么管信息资产	给客户交付安全服务的能力
谁签	测评机构出报告，公安机关备案	发证机构出证书	发证机构出证书
性质	法定义务，强制	自愿，客户或招标提要求	自愿，客户准入表常要
频率	三级每年一测	三年一证，每年监督	三年一证，每年监督
拿到什么	测评报告加备案证明	认证证书	认证证书

第三列常被混进来说。它认的是你干过的安全项目，跟公司内部怎么管信息、某个系统过没过等保，都不是一回事。

客户那句话，要的是哪一张

标书和合同里常见的三种写法，对应三样不同的东西。

写「系统通过等保三级」：要备案证明加测评报告，结论往往还要求达到良以上，这一栏少一份就废标。

写「具备 ISO 27001 认证」：要证书，加一页官方平台的查询截图。

写「具备信息安全服务资质」：那是第三张，跟前两张都不通用。

有个很好用的判断。合同里出现系统、平台、上线这类词，多半指向等保。出现公司、管理体系、认证这类词，多半指向 27001。

哪些企业会被同时要这两张

给政府、医院做系统的集成商，被要等保的概率最高。系统虽然在你手上开发，上线以后由甲方运营，备案甲方去办，整改要你配合。

做 SaaS、替客户处理数据的团队，客户准入表里更常写 27001。

两块都占的公司，就会碰上开头那种局面：一份标书里两行字都写着，你手上只有一张纸。

能不能只办一张，把另一张省掉

省不掉，可也不是所有公司都要两张。

如果系统不上线，不接政府项目，也不进关键行业，等保通常落不到你头上。

如果客户表里只写 27001，那 27001 就是硬要求，等保可以不碰。

反过来，一旦系统要部署到甲方环境，行业又受监管，等保就成法定义务，客户要不要都一样。《网络安全法》第二十一条把等级保护写成网络运营者的义务，日志留存不少于六个月也在这一条里[2]。不履行的话，第五十九条先给责令改正和警告。拒不改正，或者造成了后果，才轮到罚款，1 万元以上 10 万元以下，直接负责的主管人员 5000 元以上 5 万元以下[2]。

一起做的话，顺序怎么排

第一步定级备案，第二步整改，第三步测评。三步顺序反了，就得白跑一趟。

体系文件那边能省一半工。等保要的安全管理制度、权限清单、应急预案，27001 的审核员坐下来也翻同一批东西。

现场跑不了合并。测评员进机房看设备和网络分区，翻日志留存。27001 审核员坐在会议室翻文件，访谈部门负责人。两拨人，两套报告。

27001 的规则里还有一条：减少的审核时间不超过基准的 30%，现场审核不少于确定时间的 70%[4]。这条跟等保无关，也别拿等保的报告去顶。

常见问题

已经有 ISO 27001 证书，还要做等保吗？

要。等保是落在系统上的法定义务，跟公司有没有管理体系认证是两件事。

等保测评报告能当 27001 证书用吗？

不能。报告是测评机构对一个系统出的结论，证书是发证机构对公司体系出的证明，签发方和内容都不一样。

27001 证书三年有效，中间要审几次？

每年一次监督审核，第一次在签发之日起 12 个月内完成，之后每次间隔不超过 12 个月[4]。漏掉会被暂停，暂停最长 6 个月[4]。

两张能不能一起审，省一趟现场？

不能合并。对象不同，流程也不同。底稿可以共用，材料准备能省掉一半工。

证书和备案信息在哪查？

27001 证书在发证机构的公开查询入口和官方监管平台上查，状态会显示有效、暂停还是撤销，具体查法可以看认证证书怎么查真伪。备案信息在受理备案的公安机关查。

想先弄清楚 27001 自己够不够条件，可以对着ISO 27001 认证要什么条件那篇逐条核一遍。体系本身怎么建，看ISO 27001 信息安全管理体系。

参考来源

• 公通字〔2007〕43号 第七条 五级划分，第十四条 三级每年至少一次测评，第十五条 30 日内备案，第十六条 三级以上七项材料 ｜ https://www.scmgj.gov.cn/scsmmglj/c103234/2007/7/24/de3b5b320a4a4232b10f4c4c1126e532.shtml ｜ 2007-07-24
• 网络安全法 第二十一条 等级保护制度与日志留存六个月，第五十九条 罚款 1 万至 10 万元，主管人员 5000 元至 5 万元 ｜ https://www.cac.gov.cn/2016-11/07/c_1119867116.htm ｜ 2016-11-07
• 认监委 2026 年第 2 号公告 五项规则 2026-03-01 实施，机构自行制定的信息安全管理体系认证规则自动失效 ｜ https://www.cnca.gov.cn/zwxx/gg/2026/art/2026/art_d7d0a45aa5294b56a26dbda7a30b33f5.html ｜ 2026-01-21
• 信息安全管理体系认证规则 CNCA-ISMS-01:2026 运行满三个月，证书最长 3 年，首次监督审核在签发日起 12 个月内，减时不超过 30%，现场不低于 70%，暂停最长 6 个月 ｜ https://www.cnca.gov.cn/zwxx/gg/2026/art/2026/art_d7d0a45aa5294b56a26dbda7a30b33f5.html ｜ 2026-01-14