赛思威尔
客户在供应商评审表上写「ISO 27000 认证」，来问这张证怎么弄。答案往回推一句：27000 这个编号发不出证书，能发证的只有 ISO/IEC 27001，现行版本是 2022 版。
国内还有一层。从 2026 年 1 月 1 日起，这张证按 GB/T 22080-2025 发，等同上一条国际标准。
一句「27000 认证」，其实混着三件事
先是一串标准的族名。ISO/IEC 27000 管的是信息安全管理体系这一整族，编号从 27000 排到 27019，另有 27701 这类隐私扩展。同行说「我们在做 27000」，指的是这一族，不是某一本。
再是那份叫 27000 的文件。它讲概念，讲这一族标准之间谁管什么。2026 年 7 月出的第 6 版只有 11 页，免费下载。[1] 定位是概述，通篇不写要求。
最后是口语。大多数老板嘴里的「27000 认证」，指的是 27001 认证。少打一个 0，差着一整个标准。
还有一件常被漏掉。有人手里那张「ISO 27000 证书」，是上完培训课发的结业证明。两张纸长得都像证书，效力差得远，投标现场一查就露。
这族标准里，能拿去认证的只有一张
| 编号 | 文件名 | 干什么用 | 能不能发证 |
|---|---|---|---|
| 27000 | 概述 | 概念与标准之间的关系 | 不能 |
| 27001 | 要求 | 体系要满足什么 | 能，现行 2022 版 |
| 27002 | 信息安全控制 | 控制措施清单与实践建议 | 不能 |
| 27003 | 实施指南 | 一步步怎么落地 | 不能 |
| 27004 | 度量 | 效果怎么衡量 | 不能 |
| 27005 | 风险管理 | 风险怎么评、怎么处置 | 不能 |
| 27006 | 机构要求 | 管发证机构，不管企业 | 不能 |
| 27007 | 审核指南 | 审核怎么开展 | 不能 |
| 27017 | 云服务控制 | 上云之后控制怎么选 | 不能 |
| 27018 | 云上个人信息 | 云端处理个人数据 | 不能 |
表里能发证的只有一行。ISO 官网在 27002 那一页的问答里写得很直白：27002 给的是实践建议，不能被认证；能认证的是 27001，27002 只是被 27001 引用。[2]
27001 才是「要求」文件。它规定一个组织的信息安全管理体系要满足什么，满足之后由第三方来审，审过发证。27000 讲概念，27002 给措施清单，27005 给风险评估方法，27006 规定发证机构自己得满足什么。这几份凑在一起是工具箱，不是证书。
国内这张证现在按哪个标准发
GB/T 22080-2025《网络安全技术 信息安全管理体系 要求》，2025 年 6 月 30 日发布，2026 年 1 月 1 日实施，替代 GB/T 22080-2016。[3] 旧版在国家标准全文公开系统里已经是「废止」状态。
这版等同采用 ISO/IEC 27001:2022，还把这套标准 2024 年的气候行动修正案一并收了进来。[4] 实质改动有三处：组织环境里要判断气候变化算不算相关事项，相关方要求里要写清哪些要求靠体系来满足，另外新加了一节「变更的规划」。
手里按 2016 版发的证，不是立刻作废，而是结合最近一次监督审核或再认证换发。[5] 要是今年正好赶上年度监督，换版和年审可以一趟走完。整条ISO 27001 认证流程按这一条重排过，从签约到发证一共六个阶段。
附录 A 从 114 项控制减到 93 项
2013 版附录 A 分 14 章，114 项控制。2022 版重排成 4 组，93 项：组织 37 项，人员 8 项，物理 14 项，技术 34 项。[6]
数字变小不等于要求变松。合并掉的是重复表述，新增的 11 项补的是这几年新冒出来的风险，比如威胁情报与云服务安全，还有数据脱敏和数据防泄漏。[7]做云上业务的，这几项几乎躲不开。条款落在哪一条，ISO 27001 认证 那页有对照。
企业侧的感受更直接：资产清单要重做一遍，风险评估细到每一个业务系统，适用性声明逐条写清哪项用了、哪项删了、删的理由是什么。
客户表里写 27000，怎么回
回三句话，通常就通了。
第一句，标准号写全，写成「GB/T 22080-2025（等同采用 ISO/IEC 27001:2022）」，不跟着写成 27000。写全了，对方采购自己也核得到。
第二句，问清对方要的是体系证书还是一张培训证明。这两种东西在供应商表里都常见，混起来谈，周期和预期全乱。
第三句，投标以查询结果为准。证书状态那一栏显示「有效」，才算数。
哪些企业会被要这张证
排在最前面的一类，是给政企做系统集成和运维外包的公司。这类项目的技术分里常单列一条，写明要信息安全管理体系认证证书。
第二类公司手里攒着大量个人信息。平台、软件、数据服务都算，客户签合同前会让你把这张纸拿出来。
第三类来自外资客户或集团总部的供应商准入，表格由总部发下来，条款没有商量余地。
第四类在准备融资、并购或者申报项目，尽调清单里这一项跑不掉。
有一处容易搞混。等保测评顶不了 27001， 等保是监管侧按级别做的合规检查，27001 是自愿申请的管理体系认证。客户要的是哪一张，问清楚再动手，可以省掉一轮返工。两张纸的分界，等保测评和 ISO 27001 的区别 里拆得更细。
动手之前要凑齐的几样东西
法律地位证明，行业许可与资质。做增值电信、做支付结算的，许可本身就在认证范围里，得一起交。
组织机构与职责，人员数量要含外包人员和各个班次。
体系文件那几摞里，最要紧的是风险评估与处置记录，还有适用性声明。这两样缺了，整套体系站不住，审核走不下去。
运行满三个月的证据：内审报告，管理评审记录，监控与事件处置记录。申请条件里还有一条专属于这张证，一年内没发生过重大及以上级别的网络安全事件。[5]
一年内的安全事件与处罚情况，如实写。
审核员进门先翻什么
先翻适用性声明。93 项里用了哪些，删了哪些，删的理由通不通，这一页最能看出体系有没有真在跑。
再对风险评估。资产清单上有的系统，风险清单里得找得到；处置计划里的动作，得说得出谁在做、做到哪一步。
最后看记录是否在跑。权限审批单，日志留存，备份恢复演练，离职时的账号回收。这几份纸要都出自同一个人的笔迹、同一个日期，现场问答很难过得去。
审核员常问的三句：谁能改生产库，日志存多久，上次演练什么时候。答不上来的，大多不是不会，是没人管。
证书三年，每年要过一趟
证书有效期最长 3 年。第一次监督审核要在签发日起 12 个月内做完，此后每次间隔不超过 12 个月。[5]
到期前没完成再认证决定，证书自动失效，不用等谁通知。暂停最长 6 个月，暂停期间证书无效，投标现场截图一查就露。
证下来以后去哪查
官方查询平台能查三栏：证书状态，认证依据，覆盖范围。认证依据那一栏写的是哪一版标准，直接决定这张证在今年的招标里算不算数。
按主管部门 2026 年第 28 号公告的要求，发证方自己也要提供免费、实时的查询入口，不能只把官方平台的路径转给你。[8] 手上这张证在两家入口查出来的状态不一致，先找发证方要书面说明，别急着投。
常见问题
ISO 27000 和 ISO 27001 有什么区别？
27000 是这一族的概述文件，讲概念和标准之间的关系，2026 年 7 月刚出第 6 版，11 页，不写要求，也不能认证。27001 是要求文件，写清体系要满足什么，可以认证。
我手上有一张「ISO 27000 证书」，是真的吗？
先看发证方是谁。合规的体系证书只有一类：由具备资质的发证机构出具，能在官方平台查到状态。查不到的多半是培训结业证，或者是机构自己印的参与证明。
27001 和 27002 能不能一起认证？
27002 不能单独认证，这一点 ISO 官网的问答写得很明确。它能做的是给你一份控制措施清单，你按它挑措施，最后认证对象仍然是 27001。
已经有等保三级了，还要办 27001 吗？
两张纸管的事不同。等保测评看的是系统按级别该做的防护有没有做，27001 看的是有没有一套管住信息安全的体系。客户表里点名要 27001 的，等保报告替不了。
27001 证书有效期几年？
最长 3 年。这三年里每年一次监督审核，第一次要在签发日起 12 个月内完成。
参考来源
- ISO/IEC 27000:2026 第 6 版 2026-07 发布 11 页 概述文件 讲概念与标准关系 不是要求标准 2018 版已于 2026-07-03 撤销 ｜ https://www.iso.org/standard/27000 ｜ 2026-07-03
- ISO/IEC 27002:2022 信息安全控制 提供实践建议与指南 不能被认证 能认证的是 ISO/IEC 27001 ｜ https://www.iso.org/standard/75652.html ｜ 2022-02-15
- GB/T 22080-2025 网络安全技术 信息安全管理体系 要求 2025-06-30 发布 2026-01-01 实施 现行 代替 GB/T 22080-2016 旧版已废止 ｜ https://openstd.samr.gov.cn/bzgk/gb/std_list?p.p1=0&p.p90=circulation_date&p.p91=desc&p.p2=22080 ｜ 2025-06-30
- ISO/IEC 27001:2022 信息安全管理体系 要求 可认证 2022 版 ｜ https://www.iso.org/standard/27001 ｜ 2022-10-25
- 信息安全管理体系认证规则 2026-03-01 施行 体系运行满三个月 一年内未发生重大及以上级别网络安全事件 证书有效期最长 3 年 首次监督审核在签发日起 12 个月内 此后间隔不超过 12 个月 暂停最长 6 个月 按 2016 版发的证书结合监督审核或再认证换发 ｜ https://www.cnca.gov.cn/zwxx/gg/2026/art/2026/art_d7d0a45aa5294b56a26dbda7a30b33f5.html ｜ 2026-01-21
- GB/T 22080-2025 主要技术变化 附录 A 原 114 项控制调整为 93 项控制 合并与新增控制 新增数据脱敏 数据防泄漏等 ｜ https://zjqc.com/news/show-10405.aspx ｜ 2025-07-01
- GB/T 22080-2025 代替 2016 版 附录 A 93 项控制 分组织 人员 物理 技术 4 组 新增威胁情报 云服务安全等控制 ｜ https://kpt-bj.com/gb-t-22080-2025-cybersecurity-technology-information-security-management-system-requirements-1068566089.html ｜ 2026-01-05
- 2026 年第 28 号公告 加强认证信息报送和认证证书信息查询管理 2026-09-30 施行 发证方须提供免费 实时 便捷的查询方式 不得把官方平台路径当作自家查询方式 ｜ https://www.cnca.gov.cn/zwxx/gg/2026/art/2026/art_8714c8827adb4a21b5c83666110dd0a1.html ｜ 2026-09-30
冀公网安备13108202001398号