赛思威尔
杭州一家做政务信息化的软件公司，四十来人。招标文件翻到资格审查那一节，资质清单里有一行 ISO/IEC 27001，这栏空着，标书递不进去。老板当天问价，四十人的公司首年要交的钱，人日和固定项各占一块，从零到拿证四五个月。值不值，要看它换回什么。
四十人的公司，首年这笔钱怎么算
审核费按天算。不过审核员在你公司待一天，八小时，也只算一个人日[1]。来几天，看公司多少人。
人数这一栏不用猜。规则里有现成的表，15 人及以下 6 个人日，26 到 45 人 8.5 个人日[1]。四十人落在中间那档。
人日乘单价，就是审核费。两家认证机构公示的价目表口径一致，人日单价按同一个数报。8.5 个人日乘下来，就是这一档的审核费。
另外三笔不随人数走。申请费、审定与注册费、第一年年金，这三笔按证收，人数再少也不减。
| 有效人数 | 初审人日 |
|---|---|
| 15 人及以下 | 6 |
| 16 到 25 人 | 7 |
| 26 到 45 人 | 8.5 |
| 46 到 65 人 | 10 |
同样四十人，要是做电商，人日就得往上加。附录 A 把行业分三档，电子商务和金融算高风险，电力也在高风险里，人日至少加一成[1]。软件开发和系统集成归中风险，照表走。可是做教育的按低风险，最多能减一成。
三年摊下来，每年要摊的是哪几笔
证书有效期最长三年[1]。不过这三年里还有两道钱要交。每年一次监督审核，复查你有没有照自己写的做。到期前一次再认证，等于把整套东西重走一遍。
监督审核按初审三分之一收，2.83 人日取整到 3 人日，审核费跟着降到三分之一，再加当年的年金，就是监督那一年的支出；再认证 5.7 人日，也按同一张价目表算。
再认证那笔钱，在第三年到期前后交。不交，证书到期就失效。
首年之外，第二年和第三年各一次监督审核 3 人日，各加当年的年金。三年要交的不是一次。
三年加起来的钱摊到每年，比第一张报价单看上去要轻。单项怎么拆，ISO 27001 认证费用怎么算 那篇拆得更细。
除了报价单，还有哪几笔额外支出
差旅单列。审核员往返路上时间不计入人日[1]，所以要另收，按实报或者包干。
陪审的人力也算成本。审核员在现场那 6 个人日，公司得有人全程跟着，答问题、翻记录。
辅导费另算，不过这笔能省。要是想省下来，得内部有人把风险评估表和适用性声明填下来。
等保测评和渗透测试不在认证费里。这两件事各有各的账，跟办不办 27001 不绑定。
什么时候这笔钱能换回来
一家做智慧园区的小公司，客户是国企。供应商准入表上有一栏「信息安全管理体系认证」，没有就进不了短名单。补完证的第二年，接了三个项目。
这种钱买门票，不买分数。证书是门槛，可是门槛过了还要比方案和报价。判断方法很土。翻客户给的合同附件，翻招标文件的资格条款，翻供应商登记表，三处都没提 27001，这张证对你暂时没用。
如果客户是政企或者国企，这栏躲不掉。给大厂做分包，接金融认证机构的单子，同样躲不掉。反过来，产品纯 to C 卖，用户是个人，办不办看内部管理需要。
什么时候先别办
第一种，十几个人想拿一张证盖住全部业务。范围一旦写宽，人日往上走，覆盖不到的地方到审核时就是不符合项，所以别硬凑。
第二种，指望它顶等保。下一节说。
第三种，去年出过重大网络安全事件。规则把这条写在申请条件里，一年内发生过重大及以上级别网络安全事件的，受理不了[1]。所以要等满一年，先把体系跑起来。
等保和这张证，互相替不了
等保的结论来自测评。系统先定级，再备案，然后测评认证机构上门测，出一份测评结论。27001 的结论来自体系审核，看文件，看记录，看现场访谈。两套东西出品方不同，结论却不通用。
所以政务和医疗这类系统，常见两张都要。27001 证书上也没有等级这一栏，cx.cnca.cn 查得到 27001，查不到等保级别。有交集的地方在风险处置。等保测评报告里列的问题，可以直接当风险评估的输入，不必重新盘一遍。
辅导和审核的区别，能不能一家做完
能做贯标，不能替你签字。规则写得很清楚，认证机构可以给企业做贯标服务，但不许代编体系文件，也不许代做内审和管理评审[1]。
还有一条利益冲突。参与过辅导的人，两年内不会被安排来审你[1]。
所以找同一家做辅导和审核，看着省事。实际会撞上这两条，文件谁写的、内审谁做的，一阶段一问就清楚。
现在办，还是等新版
国标这轮换版已经落地。GB/T 22080-2025 在 2026 年 1 月 1 日实施，代替 2016 版[2]。现在签合同，证书依据那行写 GB/T 22080-2025，对应国际版 ISO/IEC 27001:2022[3]。合同里要是还写 2016 版，让对方改。
已经有证的不用重走一遍，换版这一步躲不开。证书三年有效，换版挂在最近一次监督或者再认证上办，另收一笔换证费。新版规则 2026 年 3 月 1 日施行，过渡期在 2 月 28 日走完[1]。
认证范围那一行，决定钱花得值不值
证书上印的认证范围，会被人抄进标书。写「计算机软件开发」和写「某政务系统的开发与运维服务」，对外含义差得远。
范围写宽，人日跟着涨，钱也上去了。范围写窄，甲方一句话就能把你挡在门外，说你没覆盖那块业务。两头要顾住，写的时候按客户要什么倒推。
两地办公的要留意。研发北京、运维成都这样的，初次认证两个场所都要现场审[1]。路上时间不计入人日，差旅另付。
服务器租在云上的，把边界写清。机房和物理环境归云厂商，账号和配置、数据和日志归自己。这块写糊了，范围审核最容易返工。
办理流程走几步，卡在哪三个月
体系要先跑满三个月。可是跑不满就递不上去[1]，钱到位也跳不过去。
三个月跑完递申请。一阶段看文件，看内审做没做。二阶段进现场。两个阶段之间最短隔 5 日，最长 6 个月[1]。
现场时间有下限。不少于确定审核时间的 70%[1]，8.5 人日的七成是 5.95，差不多 6 个人日要在现场坐着。
所以从零起步要 4 到 5 个月[1]。手里要是已经有 ISO 9001 在跑，文件能共用一部分，反而更快。
现场审核前一周，查哪几样
先看内审和管理评审的记录还在不在。一阶段的任务之一，就是确认这两件事做过了。
再看日志和账号。离职员工的账号停没停，谁能碰生产库，这两个问题答不上来，二阶段就要被追着问。
最后是范围核对。实际在做的业务，和申请书上写的是不是一回事，对不上就是不符合项。
证书到手，两分钟验一下
证书到手先自己查一遍。平台是 cx.cnca.cn[4]，填企业名或者证书编号，看状态那一栏。四种状态各是什么意思，ISO 认证证书怎么查真伪 里有对照。
认证机构自己也得给个查询入口。从 2026 年 9 月 30 日起，认证机构网站要能免费实时查到，不许只给一个跳认监委的链接[5]。如果查不到，认证机构自有入口也拿不出来，这张证先别往标书里放，免得开标被废。
状态一栏写着暂停或者撤销，开标当天就露。
常见问题
十几人的小团队，办下来多少钱
十几人的团队按 15 人及以下那档算。6 个人日乘单价，就是这一档的审核费，再加三笔固定费。人少人日少，固定费不减。
去年出过一次数据泄露，还能办吗
看级别。重大及以上级别的，一年内不受理[1]。如果没有到那个级别，把处置记录和整改材料整理出来，一阶段会看。
已经有三体系，能不能一起做
管理体系的章节结构一样。手册、内审、管理评审能共用，结合审核的总时间不少于单独办之和的 80%[1]，省的是重复那部分。三体系认证费用 里算过结合办的账。
多出来的是三样纸。风险评估、适用性声明，还有信息安全那几类记录。适用性声明说白了是一张表，逐条写明哪些控制用了，哪些没用。
认证范围以后能改吗
能。扩范围要加审核，不少于 1 个人日。缩范围会影响证书对外使用，动手前想清楚谁要看这张证。
参考来源
- 国家认监委 2026 年第 2 号公告 附件3《信息安全管理体系认证规则》CNCA-ISMS-01:2026，2026-03-01 施行，过渡期至 2026-02-28，附录 B 初审人日 15 人及以下 6 人日 16 至 25 人 7 人日 26 至 45 人 8.5 人日 46 至 65 人 10 人日，附录 A 高风险为电子商务和金融以及电力，中风险为信息与通信技术，低风险为教育，5.1.2 体系运行满 3 个月且一年内未发生重大及以上级别网络安全事件，5.4.2.3 减时不超过 30% 现场审核不少于 70%，5.4.3.3 初次认证相似场所 Y=X，5.6.1 两阶段间隔 5 日至 6 个月，5.4.2.4 结合审核不少于 80%，5.7.4 监督不少于 1/3，5.8.4 再认证不少于 2/3，6.2.1 有效期最长 3 年，11.4 不得代编体系文件也不得代做内审与管理评审，技术服务人员 2 年内不得审核 ｜ https://www.cnca.gov.cn/zwxx/gg/2026/art/2026/art_d7d0a45aa5294b56a26dbda7a30b33f5.html ｜ 2026-01-21
- 全国标准信息公共服务平台 GB/T 22080-2025《网络安全技术 信息安全管理体系 要求》标准状态现行，2025-06-30 发布，2026-01-01 实施 ｜ https://openstd.samr.gov.cn/bzgk/gb/newGbInfo?hcno=886C4EE1A50A26626A7BAD8571301CEC ｜ 2025-06-30
- ISO/IEC 27001:2022 第三版 2022-10 发布，现行有效 ｜ https://www.iso.org/standard/27001 ｜ 2022-10
- 全国认证认可信息公共服务平台 认证证书查询入口，按企业名称或证书编号查询状态 ｜ https://cx.cnca.cn/ ｜ 2026-10-24
- 市场监管总局 2026 年第 28 号公告，2026-09-30 起施行，认证机构应通过自有网站免费实时提供证书有效性查询，不得以链接跳转方式将认监委网站作为自身查询方式 ｜ https://www.cnca.gov.cn/zwxx/gg/2026/art/2026/art_8714c8827adb4a21b5c83666110dd0a1.html ｜ 2026-09-14
说明
具体流程、费用与周期以正式报价及合同约定为准。
冀公网安备13108202001398号