ISO 27001 和 ISO 20000 有什么区别？一张管安全，一张管服务，投标经常要两张

杭州一家做运维的公司，标书被甲方退回来，理由只有一句：信息安全管理体系那张证有，信息技术服务管理体系那张没有。40 人的公司两张都办，一次审核下来，一张要多花三个人日[2]。名字像一对兄弟，审的东西完全两样。

这两张证各管什么

27001 管信息本身。客户名单，图纸，源代码，机房那几台服务器，还有云上的账号，都算它管的范围。审核员关心的是这些东西会不会被拿走、被改掉，或者哪天突然打不开。

20000 管服务。客户把系统和机房交给你运维，你答应几小时响应，多久恢复，变更谁批，每个月给不给服务报告。它在乎这些承诺有没有兑现。

所以同一家软件公司，做产品的那块归 27001，接运维外包的那块归 20000。两张证不能互相顶，因为依据本身就是两个标准：一张按 GB/T 22080 和 ISO/IEC 27001 审，另一张按 ISO/IEC 20000-1 审。

现场审核会查什么，两份材料清单不一样

27001 的审核员进门先要三样东西：资产清单，风险评估，适用性声明。资产清单要说清设备在哪、系统归谁、数据谁碰过。风险评估要说清哪一项最可能出事。适用性声明是把选了哪些控制措施、为什么不选哪些，一条条写下来。

之后才轮到账号权限和日志留存，外包开发与云服务也要看。有一句话最容易把人问住：这台服务器有几个人有管理员权限，名单现在拿得出来吗。

20000 那边翻的东西完全不同。服务目录和服务级别协议先看。接着是工单和变更记录，最后要可用性报告和每个月的服务报告。审核员常问的一句是，上季度有几次故障超了承诺时间，月报里为什么没写。

人日和钱差多少

人日就是审核员在你公司待一天。同样人数，两张证要的人日不一样，因为 27001 还要看你的业务落在哪个风险级别。

认证范围内人数	27001（一阶段＋二阶段）	20000（一阶段＋二阶段）
15 人以内	6	3.5
16 到 25 人	7	4.5
26 到 45 人	8.5	5.5
46 到 65 人	10	6

表里是两套规则附录 B 给的基准数，20000 那一列同样出自它自己的附录 B。认证机构会在此基础上再按自己的方法算一次。两份报价区间之前分开算过，可以对着看：ISO 27001 认证费用、ISO 20000 认证费用。

有两处差别会直接变成钱。27001 按业务范围分低中高风险，低风险最多减一成，高风险至少加一成[2]。20000 没有这一层，只看人数[3]。

另一处是现场时间下限。27001 的现场审核不能少于确定时间的七成，20000 这条线是八成。所以 27001 的钱容易花在「多来一天」上，20000 的钱更多花在「必须到现场」。

申请条件和办理流程，两张几乎一样

门槛是同一套。执照在有效期，行业许可有效，体系跑满三个月，不在严重违法失信名单里，一年内没有被责令停产停业的重大事故[2]。

跑满三个月这条最卡人。急着投标的公司先算这一步，因为前面要搭文件，要发文件，还要留记录，全占了时间。

流程也一样。交申请和材料，认证机构评审，签合同，第一阶段审核，第二阶段审核，整改不符合，认证决定，发证。两个阶段之间最短隔 5 日，最长不超过 6 个月[3]。

证书最长 3 年，第一次监督审核要在签发之日起 12 个月内做完[2]。

有一处变化要知道。这两套规则都从 2026 年 3 月 1 日起执行，27001 那份属新制定，20000 那份由 2012 年的旧规则改写而来[1]。以前认证机构自己定的规则，同一天失效。

两张能不能一起做

能。两张一起做叫结合审核，规则给了一条硬线：总审核时间不能少于两张分开算之和的八成。省下来的不是审核本身，而是重复的那块，比如文件评审和首次会议，还有内审与管理评审的检查。

不过审核组要凑齐两个体系的人。27001 要求组里有一名全程参与的专职审核员[2]，20000 要求认证机构至少有 10 名专职审核员[3]，两边的人不能互相替。

有一样省不掉。风险评估归 27001，服务目录和服务级别协议归 20000，各写各的。这两块硬凑成一份，第二阶段一定被开不符合。

投标里这两张怎么摆

标书里这两行通常分开写，名字要写全：信息安全管理体系认证（GB/T 22080 和 ISO/IEC 27001），信息技术服务管理体系认证（ISO/IEC 20000-1）。只写简称，评审的人对不上证书上的字，分就白丢了。

甲方现在多数会要一张认监委平台的查询截图。证书由认监委批准的认证机构签发，在 cx.cnca.cn 填企业名称或者证书编号就能调出来，状态那一栏要看清楚。

还有一件常被搞混的事：ITSS 这类东西不是管理体系认证，CMMI 也不是，CS 更接近行业能力评估。这三样和体系证书的区别，我在IT 外包投标那篇里逐个拆过。

认证机构怎么选，不是每家都能发这两张

两套规则分别要资质。做 27001 要有 ISMS 认证领域资质，做 20000 要有 ITSMS 认证领域资质[2]。一家认证机构可能只有其中一个，所以别问「你们能不能做」，要问「你们批准的业务范围里，信息技术服务管理在不在」。

两个能当场核的数。ISMS 要求在拟开展的业务范围有 2 名以上专业审核员[2]，ITSMS 要求认证机构有 10 名以上专职审核员[3]。人数不够的认证机构，排期通常拖得长。

报价单上看人日和单价。人日按上面那张表的基础算，再谈减时。规则给了上限，减少的部分不能超过基准的三成[2]。低于这条线的报价，多半在别处找补。

审核和咨询有什么区别

规则写得很直白。认证机构可以提供贯标服务，但不能代替企业编体系文件，也不能替企业做内审和管理评审[2]。

还有一条时间限制。参与过某家企业贯标的人，2 年内不能被安排去审这家企业[2]，为的是避嫌。

所以「帮你把文件写完，再帮你把审核过了」这种话，本身就不成立。文件要企业自己的人签，内审要自己的人做，审核员只负责判定。

常见问题

只有 ISO 27001，投标时能顶 ISO 20000 吗？

不能。两张证依据的标准不同，证书上印的名字也不同，评审看的是名称和编号。

ISO 20000 和 ITSS 是一回事吗？

不是。20000 是管理体系认证，由认监委批准的认证机构发证。ITSS 走的是行业能力评估那一套，发的东西不一样。

两张一起办，能省多少？

省的是重复部分和一趟差旅。规则要求结合审核总时间不少于分开算的八成[4]，剩下那块空间就是省钱的地方。

证书有效期多久？

最长 3 年。每年做一次监督审核，第一次在签发之日起 12 个月内[2]。

我们先办哪张？

看标书和客户要求。做运维外包和机房托管的先办 20000，做软件产品和数据处理的先办 27001。两张都要的时候按结合审核排，一趟审完。

参考来源

• 国家认监委 2026 年第 2 号公告，5 项管理体系认证规则 2026 年 3 月 1 日施行，过渡期到 2026 年 2 月 28 日，旧版信息技术服务管理体系认证实施规则（2012 年第 8 号公告）同日废止 ｜ https://www.cnca.gov.cn/zwxx/gg/2026/art/2026/art_d7d0a45aa5294b56a26dbda7a30b33f5.html ｜ 2026-01-21
• 《信息安全管理体系认证规则》认证依据 GB/T 22080 与 ISO/IEC 27001，附录 B 人日 15 人以内 6 人日，16 至 25 人 7 人日，26 至 45 人 8.5 人日，46 至 65 人 10 人日，减少不超过 30%，现场不少于 70%，高风险至少加 10%，业务范围 2 名专业审核员，体系运行满三个月，证书 3 年，监督 12 个月内，贯标人员 2 年内不得审核该组织 ｜ https://www.cnca.gov.cn/zwxx/gg/2026/art/2026/art_d7d0a45aa5294b56a26dbda7a30b33f5.html ｜ 2026-01-14
• 《信息技术服务管理体系认证规则》认证依据 ISO/IEC 20000-1，附录 B 人日 15 人以内 3.5 人日，16 至 25 人 4.5 人日，26 至 45 人 5.5 人日，46 至 65 人 6 人日，现场不少于 80%，认证机构 10 名以上专职审核员，两阶段间隔 5 日至 6 个月 ｜ https://www.cnca.gov.cn/zwxx/gg/2026/art/2026/art_d7d0a45aa5294b56a26dbda7a30b33f5.html ｜ 2026-01-14
• 两套规则 5.4.2.4 结合审核条款，总审核时间不少于各体系单独之和 80%，专职审核员全程参与 ｜ https://www.cnca.gov.cn/zwxx/gg/2026/art/2026/art_d7d0a45aa5294b56a26dbda7a30b33f5.html ｜ 2026-01-14