ISO 27001 认证流程分几步？六个阶段、每个阶段要交的那份东西

一张 ISO 27001 证书，从立项到拿证要走六个阶段。体系跑满 3 个月才能递申请，审核分两趟，两趟之间最短隔 5 天[1]。15 人以下公司初次审核要 6 个人日，同规模 9001 只要 2.5 个，报价高就高在这里[1]。

它审的东西和 9001 不一样。9001 看产品合格不合格，27001 看信息资产有没有人管：服务器谁能登，客户数据放哪，员工离职那天账号关没关。

办理流程六个阶段，每个阶段收一份东西

把流程拆开，每个阶段结束时会留下一份纸，这份纸就是审核员进门先要的东西。纸不全，后面问什么都白搭。

阶段	你要交的东西	谁看
定范围	认证范围说明，信息资产清单	一阶段审核组
风险评估	风险评估报告，适用性声明	一阶段审核组
落地	制度文件，3 个月运行记录	一阶段，二阶段
自查	内审报告，管理评审记录	一阶段
审核	首末次会议签到，现场审核记录	审核组
整改	不符合报告，纠正措施证据	认证机构验证

第一步，把范围写死

范围写宽最省事，也最花钱。审核人日按范围里的有效人数算，人数含各班次，也含外包和兼职折算后的量[1]。三个分公司都写进去，人日立刻往上跳。

写范围说清三件事：哪些系统在内，哪些办公地在内，哪些外包在内。云上系统也算，只要存客户数据就要写进边界，还要说清云服务商那头谁在控。

查认证机构有没有这一项，上认监委平台 cx.cnca.cn，走认证机构查询那一栏。挑认证机构的三个判断点，另有一篇怎么选 ISO 认证机构写得细。

第二步，风险评估和一份适用性声明

认证依据是 GB/T 22080-2025，等同采用 ISO/IEC 27001:2022，2026 年 1 月 1 日起实施[2]。这一版附录 A 收拢成 93 项控制，分四个主题：

主题	控制项数	管什么
组织	37	策略，资产，供应商，事件，连续性
人员	8	入职筛查，培训，离职交接
物理	14	门禁，监控，设备，介质
技术	34	权限，日志，备份，加密，开发安全

93 项不必全做。先做风险评估，把高风险项挑出来，再决定用哪几项控制去压。压不住的写进适用性声明，说明理由。

审核员抽查很直接：翻风险清单标红的几条，问这条风险对应哪项控制，谁负责，上次验证在什么时候。答不上来就是不符合。

第三步，制度落到记录，跑满三个月

申请条件写明，递申请时体系要已运行满 3 个月[1]。这 3 个月从体系文件发布实施那天算，签合同那天不算[1]。

只写制度不落记录，一阶段过不去。审核员要这些：权限审批单，日志留存，备份恢复演练记录，供应商安全条款，事件处置记录，新员工培训签到。

数据类的活最容易露馅。你说做了备份，那就得有恢复测试的时间。你说离职当天关账号，那就得有那张工单。

第四步，内审和管理评审先做完

一阶段有个硬前提：企业已经做过内部审核和管理评审[1]。这两件事没做，一阶段直接卡住。

内审要覆盖主要过程，内审员不审自己干的活。管理评审要有最高管理者参加，输出里得有资源投入的决定。

一阶段和二阶段，中间隔多久

两个阶段之间最短 5 天，最长 6 个月，超过 6 个月第一阶段要重做[1]。

一阶段结束，认证机构书面告知结论，哪些地方到二阶段会被判不符合，也写在里面[1]。这份东西别丢，它就是整改清单。

现场审核，老板必须到场

首次会议和末次会议，最高管理者要参加。人来不了，可以书面授权一位高级管理层成员参加，会上说明缺席理由[1]。两个人都不露面，审核直接终止[1]。

之后还有一次面对面访谈，谈方针怎么定，目标怎么落，本人参与多少。认证机构会留存照片或音像材料。

不符合项和证书的三年

严重不符合有时限：初次认证在二阶段结束起 6 个月内验证完，监督审核 3 个月，再认证要在原证书到期前完成[1]。逾期没验证完，认证机构不作出授予或保持证书的决定[1]。

证书有效期最长 3 年，到期前没走完再认证决定，证书自动失效[1]。被暂停的证书最长停 6 个月，暂停期间无效[1]。停的原因里有一条最常踩，没按间隔接受监督审核，认证机构直接暂停。

多少钱：人日怎么算，为什么比 9001 贵一倍

有效人数	27001 初次审核人日	9001 初次审核人日
15 人及以下	6	2.5
16 到 25 人	7	3
26 到 45 人	8.5	4
46 到 65 人	10	5

贵的不是审核员，是活多。9001 翻质量记录，27001 还要翻权限，日志，备份，供应商合同。

高风险业务范围在人日基础上至少加 10%，低风险最多减 10%[1]。减少总量不超过 30%，现场审核时间不低于确定时间的 70%[1]。

想省钱有一条正路：和 ISO 20000 一起做，两个体系重叠的控制和记录不少，一次访谈能覆盖两边。结合审核总时间不少于两个体系分开算之和的 80%[1]。钱直接付给认证机构，上级单位或下级单位代付可以，第三方垫付不行[3]。各体系的报价区间与三年总账，见ISO 27001 认证费用。

拿证以后，每年一次监督审核

监督审核时间不少于初次认证三分之一，再认证不少于三分之二[1]。重点在变化：新上系统，新签供应商，出过的事件，上次的不符合，抽查几台机器的权限和日志。

一年不动的地方，审核员也会问一句，这还在跑吗。体系覆盖哪些控制、证书长什么样，站内 ISO 27001 认证 那一页有整套说明。

投标里，评委看哪一栏

招标文件把 ISO 27001 写进资格条件或加分项，政府信息化和金融外包项目尤其常见。评委看两样：证书编号，平台状态是不是「有效」。

截图去 cx.cnca.cn 打，输入证书编号或企业名称，把带查询日期的结果页放进标书。

还有一处容易翻车，证书上的范围要和标书里的服务内容对得上。写「软件开发」的证书去投「运维服务」的标，评委会问。反过来范围写太窄，加分拿不满。

选认证机构怎么选，三件事按顺序核

第一，认监委平台上有 ISMS 批准范围。第二，审核组注册资格对得上，没注册资格的审核员不能做 27001 审核[1]。第三，问排期，认证机构要能给出审核员名字和到厂日期。

新版认证规则 2026 年 3 月 1 日起实施，认证机构自定规则同日失效[1]。对接的人还在用老模板讲流程，换一家问。

常见问题

三个人也要 6 个人日？ 附表起点就是 6 个人日，低风险业务范围最多减 10%，算下来 5.5 个人日[1]。再往下减，认证机构要写出理由并留记录。

云上的系统要不要写进范围？ 只要系统里存客户数据，就要写进边界。范围里还要写清云服务商承担了哪些控制，你自己的责任在哪一段。

27001 和 20000 能一起办吗？ 能。两个体系有重叠部分，结合审核能省下重复访谈和重复查记录的时间，比办两轮省事。

证书要换版吗？ 新版规则 2026 年 3 月 1 日起实施，换发可以结合年度监督审核或再认证做，不必单独再跑一趟[1]。

审核没过，多久能重来？ 严重不符合要在 6 个月内整改完并验证[1]。逾期没有结论，这次认证活动就结束了，重新申请要重新排期。

参考来源

• 信息安全管理体系认证规则 CNCA-ISMS-01:2026，2026-01-14 发布，2026-03-01 实施，5.1.2 申请条件含体系运行满三个月，附录 B 审核时间 15 人及以下 6 人日，5.4.2.3 减少不超过 30%，现场不低于 70%，附录 B 注 4 高风险加 10% 低风险减 10%，5.4.2.4 结合审核不少于 80%，5.6.1 两阶段间隔最短 5 天最长 6 个月，5.10.3 严重不符合 6 个月内验证，6.2.1 证书有效期 3 年，7.2.2 暂停最长 6 个月，5.7 监督审核与 5.8 再认证，另见国家认监委 2026 年第 2 号公告 ｜ https://www.cnca.gov.cn/zwxx/gg/2026/art/2026/art_d7d0a45aa5294b56a26dbda7a30b33f5.html ｜ 2026-01-21
• 国家标准 GB/T 22080-2025 网络安全技术 信息安全管理体系 要求，2025-06-30 发布，2026-01-01 实施，等同采用 ISO/IEC 27001:2022 ｜ https://openstd.samr.gov.cn/bzgk/std/newGbInfo?hcno=886C4EE1A50A26626A7BAD8571301CEC ｜ 2025-06-30
• 某认证机构客户沟通函，含申请条件八条，费用由企业直接向认证机构支付，上级单位或下级单位代付可接受，首末次会议与最高管理者访谈要求 ｜ 公开资料