CCRC 能和 ISO 27001 一起办吗？材料能共用，审查得两拨人来

一家做系统集成的公司刚把 ISO 27001 证书挂上墙，客户的供应商准入表又来了。资质那栏写着「信息安全服务资质」，级别空着让填。老板翻出办 27001 时那几箱材料，问能不能原样再报一次。

能搬走一大半，审核费一分省不掉。CCRC 一个类别现场 3 个人日，由认证机构自己派人审。ISO 27001 那边两阶段加起来 8.5 个人日，四十来号人的公司就是这个档。两拨人，两份报告。

两张证评的东西不一样

CCRC 的正式名称是信息安全服务资质认证，认证机构在全国只有一家，业内习惯按简称叫它。它评的是你干过什么活：审查组按申报的服务类别，一条一条对着《信息安全服务规范》里的服务要求看，方法是现场观察，翻文件，找项目上的人聊，抽项目材料[1]。

ISO 27001 评的是你有没有一套跑起来的体系。风险评估做了没，适用性声明这份清单写了没，控制措施落了没，内审和管理评审开过没。

说白了，一张看你手上的项目和队伍，一张看你墙上的制度和记录。两张都要，谁也顶不了谁。

能直接搬过去的，是这几样

办 CCRC 申请时，规则要求的附件就四样：执照一份，组织架构图一份，专职技术人员一份名单，外加申报类别要用的流程和规范[1]。头三样办 27001 时早就整理过。

现场要看的六块里，有四块跟体系认证重叠：办公场所，人员能力，服务管理程序，技术工具清单[2]。服务管理那一条要四样程序：文档怎么管，项目怎么管，保密怎么守，供应商怎么评。27001 的体系文件里基本都有对应章节。

项目合同和验收单也能直接用。CCRC 的业绩门槛按项目数算，三级要近三年 1 个项目，二级 6 个，一级 10 个[2]。这些合同 27001 审核时也要抽，只是那边叫项目现场，这边叫服务足迹。

材料这一层，复用率不低。要改的是封面和目录，把每份材料对应到 CCRC 的哪一条要求上。

搬不过去的，是这两块

一块是服务特性测评。审查组按你申报的类别，现场看你怎么干活，还要抽一两个项目从头捋到尾。ISO 27001 的审核员不看这个，他看的是你有没有按制度办事，有没有留下记录。

另一块是等级那道硬门槛。从业年限和项目数都明码写着：三级要干满 6 个月并完成 1 个项目，二级要 3 年以上或者三级拿满 1 年再加 6 个项目，一级要 5 年以上或者二级满 1 年再加 10 个项目[2]。这一条跟体系没关系，材料写得再漂亮也补不上。

还有一处容易漏。报一级还多一道关卡，关键软硬件工具得让第三方出评价或者证明[2]。三级二级没这条，一级必须有。

审查为什么合并不了

CCRC 的现场审查由认证机构委派审查组实施，规则里没有「结合审核」这个概念，一份资质对应自己那一套现场审查[1]。

ISO 那边不一样。ISMS 规则明确允许结合审核，跟别的管理体系一起审的时候，总时间不得少于各体系分开算之和的八成[3]。所以两张 ISO 证书真能凑一次审核。

发证主体不同，审查组自然不是同一拨人。一张材料，一次到场，两张证一起发，这种省法在 CCRC 这里不存在。

能错开的只有时间。先让 CCRC 的现场审查把项目材料翻一遍，问题改完，再去排 27001 的审核，中间不用把同一件事解释两遍。

时间怎么排，前后脚比同时上省

CCRC 一个类别现场 3 个人日，人日就是审查员在你公司待一天，一人一天算一个。每加一个类别再加 0.5 人日，而且服务特性测评占的人日不低于管理审核那部分[1]。所以报两个类别不是六天，是三天半。

27001 这边，四十来号人的公司两阶段一共 8.5 个人日[3]。审核时间按 1 人日 8 小时算，不许靠加班压人日[3]。

要是两件事同时启动，企业这头得同时喂两套材料，人不够就互相拖。要是前后脚，第一批整理完的档案直接复用，第二个项目省下的就是那几周。

CCRC 初次审查开出的是一般不符合项，30 天内改完并通过验证，结论还是推荐[1]。碰上严重不符合项，当场就给不推荐，没有这个余地[1]。这个整改窗口，可以跟 27001 的整改期并起来用。五个环节谁在做、材料在哪一步交，CCRC 信息安全服务资质认证办理流程那篇逐段写过。

钱怎么算，省的是人工不是审核费

CCRC 的收费目录挂在官网上，四项都按张数或者天数算：审核费按人日，申请费和注册费按张，年金也按张，一年一交。一个类别 3 个人日，光审核费就得按这 3 个人日算。逐项对着报价单核的话，CCRC 信息安全服务资质认证费用那篇拆得更细。

27001 的审核费按认证机构报价走，人日乘单价，八点五个人日躲不掉[3]。

两张证的钱基本是相加。能省的在内部：同一批人，同一套项目档案，同一份保密制度，不用再组织一次培训，也不用再跑一遍内审。

真正容易多花的是补件。人员社保断续，项目经理证书对不上申报类别，软著跟主营业务对不上。这三样补起来按周算，认证机构那头一天不会等。

四种搭法，看客户和招标选

只被一家客户点名要一张的，先办被点名那张，另一张看合同期。

政府或者国企信息化项目多的，两张都办，因为投标里它们的权重不一样，缺哪张都可能丢分。

做安全服务的公司，CCRC 优先，它按类别分级，加分项也按类别写。

做系统集成的公司，27001 优先。体系先跑起来，CCRC 申报时那六块里能对上四块，要补的就少。

两张都有的，把两次监督审查的月份错开。撞在同一个月，同一批人要做两遍准备。

常见问题

CCRC 能替代 ISO 27001 吗？

不能。招标写的是信息安全服务资质，拿 27001 证书上去顶，资格审查就过不去。反过来也一样。

有 27001 了，报 CCRC 能少交材料吗？

规则里没有减免这一说，四类附件照交。能省的是整理时间，不是材料张数。

两张证能同一天审完吗？

不能。发证主体和审查组都不是同一拨人，CCRC 那份规则里也没有结合审核的安排。

先办哪个更划算？

看客户要哪张。没人点名的话，先办 27001，体系跑起来之后 CCRC 的材料八成现成。

监督审查撞在同一年怎么办？

把两个月分开排。CCRC 每年一次现场审查，一个类别 1 个人日[1]。27001 的监督审核间隔不超过 12 个月[3]。

参考来源

• 信息安全服务资质认证实施规则 CCRC-ISV-R01:2026，2026-3-30 发布 2026-5-1 实施，申请附件四类含营业执照 组织架构图 专职技术人员名单 服务类别流程与规范，一个认证单元初次现场审查 3 人日 每增一个单元 0.5 人日，服务特性测评人日不低于管理审核人日，一般不符合项 30 天内整改并验证，严重不符合项评价不推荐，监督审查每年一次 1 人日 每增单元 0.25 人日，证书有效期 3 年 ｜ 2026-03-30
• 信息安全服务规范 CCRC-ISV-C01:2025，通用评价要求分办公场所 人员能力 业绩 服务管理 技术工具 服务技术六项，业绩门槛三级近 3 年 1 个项目 二级 6 个项目 一级 10 个项目，服务管理含文档管理 项目管理 保密管理 供应商管理四条程序，一级关键软硬件工具需第三方评价或证明 ｜ 2025-11-13
• 信息安全管理体系认证规则 CNCA-ISMS-01:2026，认监委 2026 年第 2 号公告附件 3，1 人日 8 小时，附录 B 有效人数 15 人以内 6 人日 16 至 25 人 7 人日 26 至 45 人 8.5 人日，减少审核时间不超过 30%，现场审核不少于确定时间 70%，结合审核总时间不少于各单独体系之和 80%，监督审核间隔不超过 12 个月 ｜ https://www.cnca.gov.cn/zwxx/gg/2026/art/2026/art_d7d0a45aa5294b56a26dbda7a30b33f5.html ｜ 2026-01-21