CS 信息系统建设和服务能力评估是什么？投标要的 CS3，评的是你交付过的项目

一家做政务系统集成的公司，四十来号人。标书技术分那一栏写着：具有信息系统建设和服务能力等级证书 CS3 及以上，得 1.5 分[5]。

老板拿着这张评分表来问，是不是还得再上一套安全认证，系统才算靠谱。

方向偏了。CS 评的不是你的软件有多安全，是你交付过的那些项目，还有你带项目的那套组织能力。评分表要的也是「你干过」，不是「你安全」。

它评的是组织能力，不是某个系统有多安全

拿 ISO 27001 那一类认证比一下就清楚了。它看的是信息安全管理这件事你管成什么样：谁能进机房，日志留多久，出事以后怎么处置。CS 看的是另一条线，你接过的项目怎么谈需求、怎么出方案、怎么验收、上线之后谁来运维。

一家公司系统做得再稳，拿不出几个验收过的项目材料，CS 也评不上去。反过来，项目一堆、文档齐全，安全上没什么体系，CS 照样能过。这两件事本来就不在一个盘子里。

投标时那行字，卡的是项目履历，不是安全投入。

这张证的来路：资质取消之后，改由行业组织评估

2014 年以前，这块是一张政府审批的资质，叫计算机信息系统集成资质[1]。那一年国务院把这个认定取消了，同类的一共 4 项审批一起取消，改由行业组织做自律管理[1]。

资质没了，招标方还得有把尺子量人。行业组织于是在 2019 年立了一个团体标准 T/CITIF 001-2019，把信息系统建设和服务拆成可打分的能力项，评估结果分五个级别[2]。

所以它叫「评估」，不叫「认证」。认证的依据是国家标准或者国际标准，发证方是经批准的认证机构。评估的依据是团体标准，组织方是行业组织。名字差一个字，管你的规矩完全不同。

五个级别，一步到不了顶

级别从 CS1 到 CS5，CS1 最低。第一次申请有个硬帽子，最高只能报 CS2[3]。

往上走只能逐级升。已经有 CS2 的，下一次只能报 CS3，不能直接冲 CS4。证书还在有效期内完成升级的，按新级别换证[3]。

这么设计不难理解，评估看的是你干过什么级别的事。手上只有中小项目的履历，直接报 CS5，材料翻两页就露底[6]。级别每上一档，评委要看的项目规模、复杂度、你在项目里担的角色，都得跟着上。

四个能力域、十七个子域，现场翻的是项目证据

标准把能力拆成 4 个能力域、17 个能力子域、168 条能力要求，另外配了 17 个度量项[2]。听着抽象，落到现场只干一件事，你说的每条能力拿证据出来[7]。

比如需求管理这一条，评估师会问你要项目的变更记录和评审签到，还有变更之后的验收确认。拿不出来，等于没有。运维服务那一条，要的是服务台工单、故障处理时限的记录，加上服务级别承诺的达成统计。

现场不是考试，是查档。老板最容易低估的正是这里：项目做了不少，记录一份没有，最后按没做算。

证书四年，谁交年报、谁来监督

证书从颁发那天算起，有效期 4 年[4]。到期前 3 个月内提出再评估，走的程序和初次一样[6]。

四年里不是放着不管。CS1 和 CS2 的企业每年交一份年度自查报告，评估方做文件复核，不再派人到现场[3]。CS3 及以上的，从发证起 12 到 18 个月内至少来一次监督评估，整个证书期内至少 2 次，监督用的人日不少于初次的一半[3]。

监督没通过，级别往下掉。这一条对投标影响很直接：标书要求 CS3，你降到 CS2，那一栏就是零分。

三张纸别混：CS、CCRC、CMMI

这三张在标书里经常挨着出现，性质差得很远。

项	CS 能力评估	CCRC 信息安全服务资质	CMMI 评估
评什么	交付项目的组织能力	安全服务的方向与业绩	研发过程的成熟度
依据	团体标准 T/CITIF 001-2019	行业规范	评估模型
谁组织	行业组织	发证方	评估机构
分几档	从 CS1 到 CS5	三个级别	按成熟度分级
标书怎么写	等级加方向	方向加级别	成熟度级别

看第一行就够分了。这三张证各自的要求差在哪，CS 申请条件和 CMMI 评估是什么里各有一份清单。客户想确认你的系统不会出事，走信息安全服务资质那条线。想确认你能把项目交付好，走 CS。想确认你的研发过程稳定，才轮到 CMMI。

什么情况下这张证办了也用不上

客户是民企，采购走商务谈判，标书里根本没有这一条。这种情况下钱先省下来。

公司只做软件产品，不接系统集成也不做运维，评估的几个能力域跟你对不上，材料凑不出来。

手上全是几十万的小单，却想直接冲 CS3。级别卡在业绩上，报了也过不去，白花一次评审费。

常见问题

CS 能不能顶替 ISO 27001？

不能。客户在标书里同时写这两条时，要的是两件事。一条证明你干过项目，一条证明你的信息安全管理成体系。缺哪条，那一栏就少一半分。

证书在哪里查？

平台上有两个入口，一个查企业证书，一个查评估机构[8]。投标要交截图，就把证书编号、级别、有效期三样截在同一屏里，别只截个标题。

拿证要多久、花多少钱？

没有统一的官方价目表，各家评估方报价的口径也不一样，通常按申请级别和企业规模定人日。周期上，前面攒材料的功夫比现场那几天长得多。

级别升上去要重新评一次吗？

要。升级走的是评估程序，材料按新级别的要求重新准备，原来那份报告不能沿用。

证书到期忘了再评估怎么办？

到期那天起就失效，没有宽限期，证书有效期怎么算里有完整时间轴。失效期间拿去投标，等于提供了无效证书，评标现场一查就露。

参考来源

• 国务院 2014 年取消计算机信息系统集成企业资质认定等 4 项审批，改由行业组织自律管理，工信部软 2014 年 79 号文 ｜ http://www.stc.sic.gov.cn/index.php?c=content&a=show&id=238 ｜ 2014-01-28
• 团体标准 T/CITIF 001-2019 于 2019 年 11 月 26 日发布，能力框架含 4 个能力域 17 个能力子域 168 条能力要求 17 个度量项，评估结果分五级 ｜ https://www.cc.cesi.cn/service/show-4611.aspx ｜ 2019-11-26
• 五级划分，初次申请不得高于 CS2，证书期内逐级升级不可跨级，CS1 与 CS2 每年提交年度自查报告做文件复核，CS3 至 CS5 在 12 到 18 个月内至少一次监督评估且有效期内至少 2 次，监督人日不少于初次一半 ｜ http://www.reliancert.com/detail-295.html ｜ 2024-06-01
• 证书自颁发之日起有效期 4 年，期满前 3 个月内提出再评估 ｜ https://www.ssme.sh.gov.cn/public/product!serviceDetail.do?productId=2c91c28c738057f701739043248b2231 ｜ 2025-06-01
• 上海普陀区法院审判业务管理系统运维招标文件，技术分要求信息系统建设和服务能力等级证书 CS3 及以上得 1.5 分 ｜ https://jpg.zfcg.sh.gov.cn/sh-gov-open-doc/1108QZ/11153bc3-9385-4c3a-91f9-0cb5cc61fd48.pdf ｜ 2026-05-11
• 甲级评估机构可做全部级别而乙级只做 CS1 与 CS2，再评估须在期满前 3 个月内提出 ｜ https://cnsais.cn/system-authentication/220.html ｜ 2026-03-01
• 4 个能力域 17 个能力子域，评估按能力域逐条核证据，CS1 与 CS2 年度自查由颁证方文件复核 ｜ 2024-09-01
• 评估工作平台提供企业证书查询与评估机构查询两个入口 ｜ https://www.cs-cas.cn/ ｜ 2026-01-05