网络安全等级保护测评机构管理办法

网络安全等级保护测评机构管理办法一、总则（一）目的依据。为规范网络安全等级保护测评机构管理，维护测评市场秩序，保障测评服务质量，依据《网络安全法》《网络安全等级保护条例》等法律法规制定本办法。1.测评机构应当遵循合法、公正、客观、保密的原则开展测评工作，确保测评结果真实、准确、可靠。2.县级以上地方人民政府网络安全工作部门负责本行政区域内测评机构的监督管理。3.国务院网络安全工作部门负责全国测评机构的监督管理，制定测评机构管理制度，监督测评服务质量。二、机构设立（一）设立条件。设立测评机构应当具备下列条件：1.具有独立法人资格，注册资本不少于100万元人民币。2.拥有固定的办公场所和必要的测评设备，办公场所面积不少于200平方米。3.配备满足测评工作需要的专业技术人员，测评人员数量不少于20人，其中高级职称人员不少于10人。4.具备开展等级测评所需的仪器设备、软件工具和测评环境，仪器设备价值不少于200万元人民币。5.建立健全的内部管理制度和质量保证体系，制定完善的测评流程、质量控制措施和技术标准。（二）申请程序。设立测评机构应当向所在地省级人民政府网络安全工作部门提出申请，并提交下列材料：1.设立申请书。2.公司章程。3.营业执照或者其他法人资格证明。4.办公场所证明。5.测评人员资格证书和职称证明。6.测评设备清单和价值证明。7.内部管理制度和质量保证体系文件。（三）审批决定。省级人民政府网络安全工作部门应当自收到申请材料之日起30日内进行审查，并作出是否批准的决定。批准设立的，颁发《网络安全等级保护测评机构资质证书》；不予批准的，应当书面说明理由。三、资质管理（一）资质证书。测评机构资质证书有效期为三年，有效期届满前60日内，测评机构应当向原发证机关申请延续。延续程序与审批程序相同。（二）资质变更。测评机构名称、地址、注册资本、法定代表人等发生变更的，应当及时向原发证机关办理变更手续。变更后的资质证书有效期不变。（三）资质注销。测评机构依法终止的，应当及时向原发证机关申请注销资质证书。原发证机关应当予以注销，并收缴资质证书。四、测评人员管理（一）人员要求。测评人员应当具备下列条件：1.具有中华人民共和国国籍，年满18周岁，身体健康。2.具有计算机相关专业本科及以上学历，或者具有3年以上网络安全工作经验。3.通过国家网络安全等级保护测评人员资格考试。4.具备相应的专业技能和职业道德，无违法违纪记录。（二）人员培训。测评机构应当定期组织测评人员进行专业培训，更新知识技能，提高测评水平。培训内容应当包括但不限于：1.网络安全法律法规和标准规范。2.网络安全等级保护知识体系。3.测评技术方法和工具。4.质量控制和技术评审。（三）人员考核。测评机构应当建立测评人员考核制度，定期对测评人员进行考核，考核内容包括但不限于：1.专业知识和技能。2.工作经验和能力。3.职业道德和纪律。4.考核结果应当作为测评人员晋升、奖惩的依据。五、测评业务管理（一）业务范围。测评机构可以从事下列业务：1.网络安全等级保护测评。2.网络安全风险评估。3.网络安全应急响应。4.网络安全咨询服务。5.其他网络安全相关业务。（二）测评流程。测评机构开展等级测评业务，应当遵循下列流程：1.签订测评合同。2.制定测评方案。3.开展现场测评。4.出具测评报告。5.跟踪服务。（三）质量控制。测评机构应当建立健全质量控制体系，确保测评质量。质量控制体系应当包括下列内容：1.测评流程规范。2.测评工具管理。3.测评结果审核。4.质量监督机制。六、监督管理（一）监督检查。网络安全工作部门应当对测评机构进行定期监督检查，监督检查内容包括但不限于：1.资质证书有效性。2.测评人员资质。3.测评流程规范性。4.测评结果真实性。5.质量控制体系有效性。（二）投诉处理。网络安全工作部门应当建立投诉处理机制，及时处理有关测评机构的投诉。投诉处理程序应当包括下列步骤：1.受理投诉。2.调查核实。3.作出处理决定。4.告知投诉人。（三）处罚措施。测评机构有下列情形之一的，由网络安全工作部门责令限期改正；逾期不改正的，处1万元以上10万元以下罚款；情节严重的，吊销资质证书：1.未按照规定办理资质证书变更手续。2.测评人员不符合资质要