CCRC 认证是什么？它认的是你干过的安全项目，不是你的系统有多安全

上周有个做安全运维的老板把招标文件发过来，技术分里有一行：具备 CCRC 信息安全服务资质（安全运维）三级及以上，得两分。他问这张证管什么。它证明的不是你的系统有多安全，是你这家公司干过这类活，证书 3 年有效，每年还有一次监督审查[2]。

CCRC 是什么：认的是服务方，不是被服务的系统

签发方在全国只有一家，走的是统一规则[1]。信息安全服务资质是它服务认证业务里的核心一块，认证依据是 CCRC-ISV-C01:2025《信息安全服务规范》，实施规则是 CCRC-ISV-R01:2026[4]。

三张纸经常被老板混着叫。ISO 27001 审的是你公司自己的信息安全管理体系，管到你平时怎么分权限、怎么备份。等保测评看的是客户那套系统防不防得住。CCRC 看的是你给客户交付安全服务的能力：有没有固定场地，有没有专职技术人，干过几个项目，服务流程写不写得出来。

所以它通常出现在两个地方。一个是甲方招标的技术分，一个是集团采购的供应商准入表。客户买的是你的服务，他得先确认你交付过同类的活。

缩写也容易认错，名字相近不代表是一回事，别按缩写套。

哪些企业要办：看你接 8 个方向里的哪一类

官网业务列表上挂着 8 个方向[3]，报之前先把方向对上。一个方向算一个认证单元，报两个方向就是两个单元，人日和材料都翻倍。

方向	它认的活
安全集成	把安全产品装进客户系统，做成一套能验收的方案
安全运维	客户系统的日常值守、巡检、事件处置
风险评估	找出客户系统哪里会出事，出评估报告
应急处理	出了事件上门处置、溯源、恢复
软件安全开发	写代码时把安全做进去，交付带安全要求的软件
灾难备份与恢复	灾备中心、备份系统、切换演练
网络安全审计	查客户系统的安全性、可靠性，出审计结论
工业控制安全	产线、能源、交通这类现场系统的安全服务

2025 版规范正文的通用评价要求，一条一条写的是前 7 个方向，工业控制安全没在里面。报这个方向之前，先按官网留的受理方式问一句口径，别照前 7 个的材料清单直接套。

选哪个方向不看你公司叫什么名字，看你签过的合同写的是什么。做等保整改的公司，合同里多是集成和运维这两类。只出评估报告的公司，对的是风险评估那一个单元，方向报错等于材料重做一遍。

申请条件压在业绩上：三个级别，门槛一级比一级高

一级最高，三级最低。级别不看注册资本，也不看员工总数，看的是干这行多久、近三年干完几个项目[5]。

级别	从业时间	近 3 年完成的项目	另一个条件
三级	满 6 个月	至少 1 个	无
二级	满 3 年，或三级满 1 年	至少 6 个	无
一级	满 5 年，或二级满 1 年	至少 10 个	还要有含信息安全服务内容的 ISO 20000 或 ISO 27001 证书[6]

三级不是缩水版。多数公司第一次报的就是三级，为的是让标书那一栏能填上字。项目数不够就别硬报二级，材料里凑出来的合同，审查员翻两页就问得出来。

现场审核那天，翻的是你交付过的项目

初次现场审查分两块，服务特性测评和服务管理审核，可以同时做。

一个认证单元 3 个人日[2]。人日就是审查员在你公司待一天，一天按 8 小时算。每多报一个方向，加 0.5 个人日[2]。规则里还有一句，服务特性测评用的人日不低于服务管理审核，意思是一半以上时间在翻你的项目。

翻什么？现场观察，查文件，访谈，还有项目材料审查。合同、方案和验收单，这些是你真干过的证据。所以那天公司里得有人在，技术负责人和项目负责人被问到答不上来，比材料缺一页更麻烦。

查出一般不符合项，30 天内改完并通过验证，结论还是推荐[2]。逾期没改完，或者改完验证不过，结论就是不推荐，这一轮白跑。

复核和认证决定是另外的人做，规则要求复核那一位没参与过这次现场审查。这一条是防自己人给自己人打分。

费用怎么算：四项收费，一个方向三年要交几次

官网收费目录清单上写的是四项。审核费按人日走，单价按机构公示的人日价格算。申请费和注册费按证书收，年金按证书按年收。四项都是参考价，市场调节，双方协商。

按公示单价算，单方向报三级，审核费就是人日数乘上单价，再加上申请费和注册费，首年还要交当年的年金。三年里除首年之外还有两次监督审核，到期一次再认证，要交的不是一次。多报一个方向，审核费按增加的人日往上走，申请费和注册费按证书张数另算。

时间这一头，规则里没有多少工作日发证的承诺。硬节点只有一条：不符合项 30 天内整改完[2]。从交材料到拿证，跑得顺的两个多月，赶上材料被退回重交，一个季度也常见。报价结构和人日怎么算，CCRC 认证费用那篇拆得更细。材料怎么备，CCRC 申请条件那篇按级别对过一遍。

常见问题

多久能拿证？

规则里没有发证时限承诺，硬节点只有 30 天整改[2]。材料齐全，项目材料对得上，两个多月能走完。退回重交就往后推一个季度。

CCRC 证书几年有效，到期怎么换？

三年。有效期届满前 30 天内你没提出终止使用，上一次监督审查又合格，直接换发新证[2]。中间漏了监督审查，换证这条链就断了。

不符合项拖过 30 天没改完，会怎样？

结论直接不推荐，白跑一趟，重新报还要再交一次现场审查的人日费。

这张证在认监委平台查得到吗？

查不到。证书查询入口在 官方平台的查询专区，招标要截图就从那里截，别跑去 cx.cnca.cn 找。

CCRC 属于什么档次？

它不是档次问题，是门类问题。这张证只管信息安全服务这一类活，和 ISO 9001 那种通用体系证不在一个坐标系里，比不出高低。

没有项目业绩能办吗？

三级也要求近三年至少 1 个已完成的项目。合同还在履行，没有验收单的，不算完成。业绩是这条线上最硬的一道门槛，钱和材料都能补，业绩只能等。

参考来源

• 认证机构全称与地址：这家认证机构，北京市西城区三里河东路 8 号 ｜ 2026-10-28 访问
• 实施规则 CCRC-ISV-R01:2026：一个认证单元初次现场审查 3 人日，每增加一个认证单元 0.5 人日，服务特性测评人日不低于服务管理审核，一般不符合项 30 天内完成整改并验证，复核由未参与审查人员承担，证书有效期 3 年，届满前 30 天内未提出终止且上次监督合格换发新证 ｜ 2026-03-30
• 业务列表：官网列 8 个方向，含工业控制安全服务资质认证 ｜ 2026-10-28 访问
• 信息安全服务规范 CCRC-ISV-C01:2025：2025-08-27 发布实施，认证依据标准 ｜ 2025-08-27
• 信息安全服务规范 CCRC-ISV-C01:2025 通用评价要求：三级从业 6 个月以上并近 3 年至少 1 个项目，二级满 3 年或三级满 1 年并至少 6 个项目，一级满 5 年或二级满 1 年并至少 10 个项目 ｜ 2025-08-27
• 政府采购信息报报道：8 类资质分三级，一级最高，一级另需含信息安全服务内容的 ISO 20000 或 ISO 27001，证书 3 年内持续监督 ｜ http://zfcg.tongliao.gov.cn/xwzx/bmdt/202212/t20221201_714623.html ｜ 2022-11-29