赛思威尔
材料递上去第九天，回来的不是受理通知，是一份问题通知：专职技术人员名单里有 3 个人查不到社保，项目合同只交了 1 份，日期停在两年前。审核还没开始，这一轮就停了。
规则把流程切成 5 个环节：申请评审，初次现场审查，复核，认证决定，监督审查[1]。审查按人日算，一个类别初次审查 3 人日，每多报一个类别加 0.5 人日[1]。卡住的多半不是技术不够，是材料对不上。
办理流程分五步，先看清每一步谁在做
| 环节 | 谁在做 | 你要交什么 |
|---|---|---|
| 申请评审 | 认证机构 | 申请书加 4 类附件 |
| 方案策划 | 认证机构 | 确认单元和联系人 |
| 初次现场审查 | 委派的审查组 | 项目合同、验收材料、人员证明 |
| 复核 | 没参与审查的人 | 不用交，等结论 |
| 认证决定 | 认证机构 | 不用交 |
前四步走完才有证，第五步在拿证之后，每年一次。下面一步步说。
第一步，申请和评审：受理通知和问题通知是两种结果
门槛就 4 条：执照没过期，经营范围里能对上信息安全服务，没被监管部门责令停产停业，也没有被列进严重违法失信名单[1]。看下来大部分公司都够，不过门槛够不等于材料齐。
要交的东西也是 4 类：执照或其他证明文件，一张组织架构图，一份专职技术人员名单（技术负责人在内），还有每个申报类别的流程和规范[1]。提交走认证机构网站的业务管理系统，在线填，不用寄纸质件。规则抬头写的是这家认证机构的全称，平时大家还是叫它 CCRC。
评审只有两种结果：受理通知，或者问题通知。收到问题通知不等于被拒，按上面列的条目改完反馈回去，还能往下走。这一步耗时间的从来不是填表，是名单和社保对不对得上，流程规范出自谁手。
第二步，方案策划：这一步会告诉你来几个人、审哪几个类别
评审过了，中心先出一份认证方案，里面有 4 样东西：企业基本信息，单元划分结果，审核人日数，联系人。
人日这词说人话就是：审查组 3 个人在你公司待满一天，算 3 人日。报一个类别是 3 人日。报两个是 3.5 人日。人日在方案里就定死了，后面排期按这个数走。
单元按服务类别划，一个类别一个单元。级别不单独算单元，它写在证书的认证范围里，跟类别一起出现。人日定下来，认证机构那笔审核费也就定了，怎么乘出来的CCRC 信息安全服务资质认证要多少钱那篇算过。
第三步，现场审查：一半时间在翻你的项目材料
现场做 2 件事：服务特性测评，还有服务管理审核，两件可以同时进行[1]。测评看的是你报的那个类别能不能真交付，方法有 4 种：现场观察，查阅文件，人员访谈，服务项目材料审查[1]。
规则里有一句很硬的话：服务特性测评的人日，不低于服务管理审核的人日[1]。换成人话，审查组至少一半时间花在你的项目上，不是坐在会议室听你念制度。
所以项目档案是这一步的命门。合同、验收报告、人员证书，3 样凑成一个完整项目，比十页漂亮的制度文件管用。要是验收报告只有甲方公章、没有验收结论，这条不符合就躲不掉。有家公司做安全运维，就这么被开了一条，来回整改花掉一个月。
第四步，复核和认证决定：复核的人没进过你厂
审查组交完资料，进入复核。做复核的人不能是审查组的人，规则写的是由未参与审查过程的人员承担。这道设计就是防自己审自己。
然后出认证决定。符合要求就发证，不符合就不发，并通知你。现场开了严重不符合项，当场就是不推荐，没有整改机会。一般不符合项给 30 天整改[1]。
对结论有异议还能提。先电话或邮件向中心申诉，处理结果出来仍有争议的，收到结果后十五个工作日内可以再提一次。
谁要办这张证，谁报了也白报
3 种场景最常见。投标文件里点名要信息安全服务资质，甲方供应商准入表里有这一栏，等保整改做完要拿一张能力证明给客户看。
不该报的也有。只做硬件和综合布线、不碰安全服务的公司，报了也凑不出对应类别的项目材料。想用一张证把八个类别全盖住的[2]，得先想清楚每个类别都是独立单元，都要单独评价，都要各自的流程规范。
可是有个地方特别容易混：CCRC 评的是信息安全服务能不能交付，CS 认证评的是信息系统建设服务能力，两张证对应不同的招标条款。标书里写哪个，就报哪个。
拿证周期：从交材料到拿证，时间花在哪几段
规则里没写多少个工作日受理、多少个工作日发证。能确定的是几个硬节点：一般不符合项 30 天内把问题改完、验证通过[1]，证书有效期 3 年[1]。
真实耗时在 4 段：材料准备，等排期，现场那几天，整改与复核。这 4 段里最不可控的是材料准备。人员社保要连着交够，项目合同要能翻出来，验收结论要有人签字，这些东西补起来按周算，不是按天算。
档案齐的公司，从递材料到拿证两个月上下能走完。缺项多的，一个季度也正常。想让周期短一点，动手前把项目清单和人员清册核一遍，免得材料退回来重排，比催排期好使。
证书有效期三年，每年一次监督审核
证书有效期 3 年，有效期内靠监督审查维持[1]。监督每年做一次现场，一个类别 1 人日，每多一个类别加 0.25 人日[1]。
监督不是每年把全部条款翻一遍。规则写的是两年走完全部条款，每年挑一部分[1]，所以今年查的和明年查的未必一样，去年过了今年也未必稳。
证书有效期届满前 30 天内，如果没提出终止使用、上一次监督结果也合格，中心直接换发新证书[1]。反过来，逾期不接受监督会被暂停，暂停最长 3 个月，期满没恢复、整改还不到位，就是撤销并且公示[1]。
证书查询：招标要的那张截图怎么截
查询和申办在同一个入口：官方平台的证书查询与申办系统[3]。要是招标要截图，最好把 4 样截在同一屏：证书编号，认证范围里的类别和级别，有效期起止，还有发证日期。
公司改名、地址搬迁、增报类别，都属于证书内容变更，要向中心提变更申请，重新走一遍审查、复核、决定。
常见问题
材料交上去多久有回音
规则没写工作日。能预期的是两种结果：受理通知，或者问题通知。收到问题通知不用重新排队，按条目改完反馈，评审继续往下走。
一个类别先报，其他以后再补行不行
行。每个类别是独立单元，多报一个只多 0.5 人日。可是每个类别都要单独评价、单独备项目材料，一次报三个类别的功夫，往往比报一个再补两个更省事。
现场结论是不推荐，还能再报吗
能。这一轮结束，把不符合项整改到位，重新提交申请。已经交的审查费用不退，所以整改别拖到最后一刻。
公司改名，证书要重办吗
不用重办，走变更。提交变更申请和相应资料，中心审查、复核后做认证决定，证书内容跟着换。
证书在网站上查不到是什么原因
先看证书状态，再看是不是刚发证。平台数据同步有先后，刚出的证晚几天才显示，隔一周再查一次。
参考来源
- 信息安全服务资质认证实施规则 CCRC-ISV-R01:2026，认证依据 CCRC-ISV-C01 信息安全服务规范，认证基本环节五项，认证单元按服务类别划分，级别分三级，申请条件 4 条，附件 4 类，认证方案策划 4 项，初次现场审查 3 人日，每增一个单元 0.5 人日，服务特性测评人日不低于服务管理审核，一般不符合项 30 天内整改并验证，复核由未参与审查人员承担，监督审查每年一次 1 人日，每增单元 0.25 人日，两年覆盖全部条款，证书有效期 3 年，届满前 30 天换发，暂停最长 3 个月，申诉 15 个工作日 ｜ 2026-03-30
- 服务认证业务列表，八个类别含工业控制安全 ｜ 2026-10-27
- 信息安全服务资质认证证书查询与申办系统入口 ｜ 2026-10-27
冀公网安备13108202001398号