数据中心要办哪些认证？IDC 许可证管开门，等保和 ISO 27001 审的不是同一件事

一份机房托管项目的标书，资格栏写着两行：一行要 ISO 27001 证书，一行要等保三级备案证明。老板把自家那张 IDC 许可证拍在桌上，问这两行能不能拿它顶上。

顶不了。许可证管的是你能不能对外做这门生意，另外两行问的是别的事。数据中心这个行当，纸分属四个口子，办下来的时间也差开好几个月。

四个口子，四张纸

通信管理部门发增值电信业务经营许可证，管准入。公安机关管等保备案，管系统安全等级。客户招标要 ISO 27001，看你怎么管信息安全。集成商和运维客户还会追问 ISO 20000，问服务目录和响应时限。设施那头另有一条线，设计规范把数据中心分成 A 级 B 级 C 级[4]。

这张纸	谁发	管什么	有效期
增值电信业务经营许可证	通信管理部门	能不能对外经营 IDC 业务	5 年
等保备案证明与测评报告	公安机关备案，测评机构出报告	系统安全等级够不够	三级每年测评
ISO 27001 证书	发证机构	信息安全管理体系	3 年，每年监督
ISO 20000 证书	发证机构	IT 服务管理体系	3 年，每年监督
机房等级 A/B/C	设计定位，第三方可做等级认证	设施可靠性与可用性	随设施改造变

IDC 许可证：开门的这张，先拿

门槛落在注册资本上。省内经营 100 万元，跨省或者全国经营 1000 万元[1]。经营范围里还得有对应的业务表述，没有就先去做工商变更。

有效期 5 年，届满前 90 日向原发证机关提续办申请[1]。这一条最容易踩空，很多老板把精力放在拿证那天，忘了第五年还要续一次。

还有一处常被忽略：机房只给自己存数据、不对外提供服务，不用办这张证。一旦对外出租机柜，或者把服务器托管卖出去，不管规模多小，都得持证。

等保：定级定的是谁的义务

托管场景里最常吵的一句话是：客户把服务器放进你的机房，这套系统该谁去定级、谁去备案。

办法里写的是运营、使用单位履行义务[2]。客户自己的业务系统，定级备案归他，机房这边提供设施和运维侧证据。反过来，自己对外提供托管平台或云平台的，那套平台要单独定级备案。

流程上，二级以上系统要在 30 日内到所在地设区的市级以上公安机关办备案[2]。三级系统每年至少做一次等级测评，四级每半年一次[2]。测评出的是报告，不是证书，报告里会逐项点明哪些要整改，哪些直接判不符合。

ISO 27001：范围怎么写，决定审几天

数据中心的 27001 有个绕不开的问题：认证范围那一行怎么写。

写「数据中心托管服务」，审核员就会追到客户设备进出登记，远程运维操作日志，客户之间权限怎么隔离，多租户怎么防越权。写窄了，标书上那句「具有信息安全管理体系认证」照样能交，但客户一问「我这个机柜在不在范围内」就露馅。范围这一栏怎么落笔，认证范围怎么写那篇拆得比较细。

审核量按人数查表。15 人及以下的公司，初次认证两个阶段合起来 6 个人日，16 到 25 人这一档是 7 个，26 到 45 人是 8.5 个，46 到 65 人 10 个[3]。人日就是审核员在你公司待一天的工作量，一天按 8 小时算[3]。

现场那几天不能低于算出来天数的七成，减时最多减三成[3]。证书 3 年，首个监督审核得在签发后一年内完成[3]，之后每年一趟。

ISO 20000：服务目录按客户分层

20000 审的是 IT 服务管理。数据中心的服务目录通常按客户分几层，机房托管一层，运维代管一层，增值服务再一层。事件响应时限、变更审批怎么走、可用性怎么统计，这些是它的主场。

审核量比 27001 低一档。15 人及以下 3.5 个人日，16 到 25 人 4.5 个，26 到 45 人 5.5 个，46 到 65 人 6 个[3]。现场不低于算出来天数的八成[3]，比 27001 那条线更紧。

两张并作一次审，规则允许，总时长至少是分开算的八成[3]。审查内容不能互相顶替，27001 的安全控制项，20000 的审核员不会拿它当服务管理证据。两张证分工差在哪，ISO 27001 和 ISO 20000 有什么区别那篇讲得清楚。

机房 A 级 B 级 C 级：设施的事，别拿证去顶

设计规范按使用性质和数据丢失后果，把数据中心分成三级。A 级是容错系统，一次意外事故或者单套设备检修时，业务还得能跑。B 级是冗余系统，可靠性和可用性居中。C 级满足基本需要[4]。

分级的落点在硬件。A 级在供电上要双路电源加备用电源，B 级只有一路电源时得配柴油发电机[4]。这些是设计和验收的事。

金融客户问机房等级，问的是设施能不能扛住一次事故，这跟你管理做得好不好是两码事。有的客户还要第三方出机房等级认证报告，那是设施符合性评价，手上拿着 27001 证书代替不了这份报告。

时间怎么排

许可证在前，没它谈不了经营。等保跟着系统上线走，先定级备案再测评。27001 和 20000 要等体系搭好之后跑满 3 个月[3]，从签合同到拿证，多数落在半年上下。

投标时间紧的话，先看标书要哪一样东西。只要 27001 的，把体系文件和三个月的运行记录先攒出来。要等保三级的，先去做定级备案，测评排期比审核排期更难插队。

数据中心最容易踩的三个坑

第一个，拿 IDC 许可证去顶 ISO 证书。许可证证明你有资格经营，证明不了你的管理体系，客户要的是后者。

第二个，把等保测评报告当成 27001 证书交上去。测评看的是系统某一时刻够不够格，27001 看的是你常年怎么管，两份东西的结论不能互换。这两者的边界，等保测评和 ISO 27001 有什么区别里有对照。

第三个，把 A 级机房当成安全管得好。机房等级说的是设施可靠性，不等于你的信息安全管理到位。反过来，管理做得再细，也改不了机房的物理等级。

常见问题

客户系统被要求等保三级，备案该谁去办？ 看这套系统谁在运营。客户自己的业务系统，定级和备案由客户办，你提供机房和运维证据。你对外提供的托管平台，平台那套要你自己定级备案。

机房是租的 A 级，能不能对外说自己是 A 级机房？ 等级跟着设施走，物理条件按 A 级算，这一点站得住。但合同里要写清租约范围和责任划分，出事故时不能拿房东的等级替自己担责。

一个城市两个机房，27001 证书上要写两个地址吗？ 证书要覆盖到实际提供服务的场所。两个机房都对外接业务，就要都写进去，审核时也会分别看到。

只有 27001，没有 20000，能投数据中心运维的标吗？ 看标书怎么写。写「具有信息安全管理体系认证」的，27001 够用。写「具有信息技术服务管理体系认证」的，要 20000。

云平台也要单独定级吗？ 你对外提供的云平台、托管平台，属于你运营的系统，要单独定级。客户租你的资源再搭自己的业务系统，那一层由客户定级。

参考来源

• 电信业务经营许可管理办法：增值电信业务经营许可证有效期 5 年，届满前 90 日申请续办，省内经营注册资本 100 万元，跨省或者全国经营 1000 万元 ｜ https://fgw.sh.gov.cn/ys-gjmy-1.2.3.1.1-h5/20240314/dfa793931b954ecea53f2b5a4da2aa2f.html ｜ 2009-04-10
• 信息安全等级保护管理办法：运营使用单位履行等级保护义务，三级系统每年至少一次等级测评，二级以上 30 日内备案 ｜ https://wap.miit.gov.cn/jgsj/xxjsfzs/xxgk/art/2020/art_a981907528694176a61b5b52c2d19895.html ｜ 2007-06-22
• 信息安全管理体系与信息技术服务管理体系认证规则：体系运行满 3 个月，1 人日按 8 小时，人日 15 人及以下 6 个 16 到 25 人 7 个 26 到 45 人 8.5 个 46 到 65 人 10 个，现场不低于 70% 减时不超过 30% 证书 3 年 首个监督审核 12 个月内，ITSMS 人日 3.5 个与 4.5 个与 5.5 个与 6 个 现场 80% 结合审核 80% ｜ https://www.cnca.gov.cn/zwxx/gg/2026/art/2026/art_d7d0a45aa5294b56a26dbda7a30b33f5.html ｜ 2026-01-21
• 数据中心设计规范 GB 50174-2017：数据中心分 A 级 B 级 C 级，A 级容错，B 级冗余，C 级基本需要，A 级双路电源加备用电源，2018-01-01 实施 ｜ https://www.mohurd.gov.cn/file/old/2017/20170629/GB%2050174-2017%E6%95%B0%E6%8D%AE%E4%B8%AD%E5%BF%83%E8%AE%BE%E8%AE%A1%E8%A7%84%E8%8C%83.pdf ｜ 2017-06-29