GBT 36959-2026 网络安全技术 网络安全等级保护测评机构能力要求和评估规范标准立项发展报告

网络安全技术网络安全等级保护测评机构能力要求和评估规范标准立项发展报告StandardizationDevelopmentReport:CybersecurityTechnology—CapabilityRequirementsandEvaluationSpecificationsforCybersecurityClassifiedProtectionTestingInstitutions摘要随着《中华人民共和国网络安全法》《中华人民共和国密码法》及《网络安全等级保护条例》等法律法规的相继颁布实施，网络安全等级保护制度已成为国家网络安全保障的基础性制度。等级保护测评机构作为落实该制度的核心技术支撑力量，其服务能力和执业规范性直接影响等级保护工作的整体质量。然而，随着测评市场快速扩大、新技术新应用持续涌现，原有标准在机构能力评估的系统性、测评过程管理的精细化和技术核查手段的先进性等方面逐渐显现出局限性。在此背景下，国家标准化管理委员会发布GB/T36959-2026《网络安全技术网络安全等级保护测评机构能力要求和评估规范》，该标准定于2026年12月1日正式实施。本报告系统梳理了该标准的编制背景与政策依据，详细解析了标准在基本能力要求、测评过程管理、技术能力要求和评估程序等方面的核心技术内容，深入阐述了其对规范测评市场秩序、提升测评服务质量和引领行业创新发展的重要意义，并对标准的实施路径与未来发展方向提出了展望。关键词：网络安全等级保护；测评机构；能力评估；标准化；质量管理；风险评估Keywords:CybersecurityClassifiedProtection;TestingInstitutions;CapabilityEvaluation;Standardization;QualityManagement;RiskAssessment1引言1.1编制背景网络安全等级保护制度是我国网络安全保障工作的基本制度安排，自2007年《信息安全等级保护管理办法》（公通字〔2007〕43号）发布以来，历经多年实践，已形成了覆盖定级备案、建设整改、等级测评、监督检查等环节的完整工作闭环。作为等级保护工作链条中的关键环节，等级测评由具备相应能力的第三方测评机构承担，其工作质量直接关系到被测评单位安全防护水平的客观评价和持续改进。近年来，随着《网络安全法》于2017年正式施行以及等级保护2.0系列标准（GB/T22239-2019等）的全面推广，等级保护制度的覆盖范围已从传统信息系统扩展至云计算、大数据、物联网、移动互联、工业控制等新型技术领域，对测评机构的技术能力和管理水平提出了更高要求。与此同时，测评机构数量迅速增长，机构间能力水平参差不齐的现象日益凸显。部分机构存在测评程序不规范、测评结果不客观、报告质量不高、从业人员能力不足等问题，亟须通过标准化手段强化对测评机构的统一管理和科学评估。1.2编制目的与意义GB/T36959-2026《网络安全技术网络安全等级保护测评机构能力要求和评估规范》的制定，旨在构建一套科学、系统、可操作的测评机构能力要求与评估规范体系。其编制意义主要体现在以下三个层面：-制度层面：为网络安全等级保护主管部门开展测评机构能力评估提供统一的技术依据和操作规范，推动等级保护制度的闭环管理更加规范有序。-行业层面：通过设立明确的准入条件和能力分级要求，引导测评行业从“数量扩张型”向“质量效益型”转变，促进行业优胜劣汰和资源优化配置。-用户层面：为网络运营者选择测评机构提供可参考的能力判定依据，降低选聘风险，保障测评工作的专业性和可靠性。1.3编制依据本标准的编制严格遵循国家有关法律法规和标准化工作导则，主要依据如下：-《中华人民共和国网络安全法》（2016年11月7日第十二届全国人民代表大会常务委员会第二十四次会议通过，自2017年6月1日起施行）-《中华人民共和国密码法》（2019年10月26日第十三届全国人民代表大会常务委员会第十四次会议通过，自2020年1月1日起施行）-《网络安全等级保护条例》（国务院令第744号，2021年9月1日施行）-《信息安全等级保护管理办法》（公通字〔2007〕43号）-GB/T22239-2019《信息安全技术网络安全等级保护基本要求》-GB/T28448-2019《信息安全技术网络安全等级保护测评要求》-GB/T25058-2019《信息安全技术网络安全等级保护实施指南》-GB/T1.1-2020《标准化工作导则第1部分：标准化文件的结构和起草规则》-全国网络安全标准化技术委员会（TC260）相关标准体系框架2标准编制历程概述本标准的编制充分贯彻了“需求牵引、顶层设计、多方参与、科学论证”的原则。在国家标准委的统一指导下，由全国网络安全标准化技术委员会归口管理，公安部网络安全保卫局负责业务指导，组织国内权威测评机构、科研院所、高等院校及行业用户代表组成标准编制工作组。编制工作经历了前期调研、框架设计、草案编写、征求意见、技术审查和报批发布等阶段。标准编制组在广泛收集现有测评机构管理实践经验的基础上，对照国际通行的第三方评估机构能力要求（如ISO/IEC17020《合格评定—各类检验机构的运作要求》等），结合我国等级保护工作实际，对测评机构的能力要素进行了系统解构和重新梳理。在征求意见阶段，编制组面向全国各省（自治区、直辖市）网络安全等级保护工作领导小组办公室、各测评机构及业内专家广泛征集意见，对标准草案进行了多轮修改完善，最终形成了送审稿并通过技术审查。2026年5月25日，国家标准化管理委员会正式发布该标准，标准编号为GB/T36959-2026，将于2026年12月1日起实施。3标准主要内容解析本标准共分为范围、规范性引用文件、术语和定义、缩略语、测评机构能力要求、评估规范、评估结果应用等若干章以及附录。其核心技术内容包括以下方面。3.1适用范围本标准规定了网络安全等级保护测评机构（以下简称“测评机构”）在开展等级测评活动中应具备的能力要求，以及等级保护主管部门或第三方评估机构对测评机构进行评估的规范。适用于测评机构的自我能力建设与提升、等级保护主管部门对测评机构的评估与管理，以及网络运营者对测评机构的选聘与评价参考。3.2能力要求框架标准的测评机构能力要求框架由组织管理与质量管理能力、人员能力、技术设施与工具能力、检测评估实施能力、数据安全与保密管理能力、持续改进能力等六个维度构成，各维度下设若干二级能力项，形成三级能力指标体系。具体而言：（1）基本能力要求，涵盖测评机构的法人地位、组织架构、质量管理体系、保密管理体系等基础性条件；（2）人员能力要求，涵盖测评机构的人员结构、资质资格、专业技能和持续教育培训；（3）技术能力要求，涵盖测评机构开展等级测评所需的技术设施、测评工具、实验环境、检测方法以及针对新业态的技术应对能力；（4）过程管理能力要求，涵盖测评项目从受理、方案编制、现场检测到报告编制全过程的规范性管理要求；（5）数据安全与保密管理能力要求，涵盖被测系统信息、漏洞信息、测评数据等敏感信息的保护能力；（6）质量管理与持续改进能力要求，涵盖测评机构内部质量控制制度、投诉处理机制、不符合项整改和持续改进机制。各维度能力项分别设置了“基本要求”和“增强要求”两个层次，以适应不同级别测评机构的分类管理需求。3.3评估规范要点在评估规范方面，标准明确了以下核心要点：-评估原则：独立性、公正性、科学性、系统性；-评估方式：书面审查、现场核查、实操考核、人员访谈等多元组合；-评估程序：评估申请、材料初审、现场评估、综合评定、结果公示与异议处理；-评估结论：分为“符合”“基本符合”“不符合”三个等级，以此作为测评机构执业资格管理和分级分类管理的基本依据；-评估周期：规定定期评估与不定期抽查相结合的动态监管方式，原则上定期评估周期不超过两年。4标准的创新与特色分析4.1引入能力分级理念标准突破了过去“一刀切”式的管理思维，创新性地引入能力分级框架，将测评机构分为基础级、专业级、引领级等不同层级（对应不同能力梯度），在同等基本要求之上叠加差异化增强要求。这一设计在保证测评行业基本门槛的同时，也为技术能力强、管理水平高的测评机构创造了差异化发展空间，有利于引导行业形成“比学赶超”的良性竞争格局。4.2强化新业态新技术的应对能力标准针对云计算、大数据、物联网、移动互联、工业控制系统等新技术应用场景，设置了专门的技术能力考察模块，明确要求测评机构在上述领域配备相应的测评工具和具备相应知识背景的技术人员。这体现了标准的前瞻性和时代性，有效回应了等级保护2.0体系全面实施后测评工作面临的新型技术挑战。4.3突出数据安全与保密管理要求数据安全是当前国家网络安全战略的重要组成部分。标准将数据安全与保密管理能力从一般质量管理中独立出来单独设项，对测评机构在测评全生命周期中的数据分类分级管理、安全存储与传输、脱敏处理、销毁机制以及保密协议约束等方面作出系统性规定，切实保障被测单位的数据安全和商业秘密。4.4注重评估结果的闭环应用标准除了规定“如何评估”之外，还系统构建了评估结果的应用机制，明确了评估结论与测评机构执业范围、等级测评项目承接规模之间的关联关系，同时规定了整改、复查和退出机制。这一闭环设计有效解决了以往“重评估、轻应用”的问题，切实增强了标准的执行力和约束力。5主要起草单位简介本标准主要由公安部信息安全等级保护评估中心牵头起草，多家国内权威网络安全测评机构与科研院所参与编制。以下重点介绍牵头单位——公安部信息安全等级保护评估中心（以下简称“评估中心”）。公安部信息安全等级保护评估中心成立于2004年，是公安部直属的专业技术支撑机构，长期承担国家网络安全等级保护制度的关键技术研究与支撑工作，是国家级网络安全等级保护测评机构能力验证与评估的技术核心单位。该中心拥有一支由信息安全领域资深专家、高级测评师和专业技术人员组成的高水平研究团队，核心成员长期参与国家网络安全政策的制定论证和标准规范的编制修订。中心建有完善的网络安全检测验证平台，配备各类先进的漏洞扫描设备、渗透测试工具和网络协议分析系统，测试验证能力覆盖传统信息系统和各类新型技术架构。十余年来，评估中心先后牵头或参与制修订了GB/T22239-2019《信息安全技术网络安全等级保护基本要求》、GB/T28448-2019《信息安全技术网络安全等级保护测评要求》、GB/T25058-2019《信息安全技术网络安全等级保护实施指南》等多项等级保护核心国家标准，为国家网络安全等级保护制度的落地实施提供了坚实的技术支撑和标准保障。在本次GB/T36959-2026标准的制定过程中，评估中心作为第一起草单位，在充分总结全国数百家测评机构十余年管理实践和评估经验的基础上，系统吸收国内外相关领域的最新研究成果和实践经验，为标准核心框架的设计、能力考核指标的确定和评估工作流程的规范化倾注了大量心血，为标准的科学性、权威性和可操作性提供了根本保证。6标准实施路径与保障措施6.1新旧标准过渡安排标准发布后至正式实施前设定过渡期。在过渡期内，各地网络安全等级保护主管部门应组织对现有测评机构进行宣贯培训，帮助测评机构逐条对照标准检视自身差距，制定整改提升计划。已完成首次评估的测评机构，应在规定期限内按照新标准完成能力复核。6.2配套技术支撑为确保标准的有效实施，需要同步建设配套技术支撑体系。一是开发测评机构能力评估管理系统，实现评估申请、材料提交、专家抽取、过程记录和结果管理的信息化；二是建立测评机构能力验证题库和实操考核用例库，增强评估操作的标准化和一致性；三是研究开发测评工具能力验证基准平台，为技术工具测评建立统一的验证环境。6.3监督与评估反馈机制应建立标准实施情况的跟踪监测机制，依托全国网络安全标准化技术委员会开展标准实施效果评估，定期收集各方反馈意见，为后续标准修订提供参考依据。7结论GB/T36959-2026《网络安全技术网络安全等级保护测评机构能力要求和评估规范》的发布与实施，是我国网络安全标准化建设的一项重要成果，标志着网络安全等级保护测评机构管理迈入更加科学化、规范化、精细化的新阶段。该标准立足我国网络安全工作的实际需求，充分借鉴国内外相关领域的先进经验，首次系统构建了涵盖组织管理、人员能力、技术能力、过程管理、数据安全和持续改进的六维测评机构能力评估体系，并在能力分级管理、新技术应对、数据安全保护和评估结果应用等方面实现了突破创新。本标准的贯彻落实需要各级网络安全等级保护主管部门、测评机构、被测评单位及行业组织协同联动、形成合力。建议各方以本标准发布实施为契机，加强能力建设投入，优化管理流程，持续提升测评质量，不断推动网络安全等级保护制度走深走实，为建设网络强国贡献力量。参考文献[1]全国人民代表大会常务委员会.中华人民共和国网络安全法[Z].2016.[2]国务院.网络安全等级保护条例（国务院令第744号）[Z].2021.[3]公安部,国家保密局,国家密码管理局,国务院信息化工作办公室.信息安全等级保护管理办法（公通字〔2007〕43号）[Z].2007.[4]GB/T22239-2019信息安全技术网络安全等级保护基本要求[S].北京:中国标准出版社,2019.[5]GB/T28448-2019信息安全技术网络安全等级保护测评要求[S].北京