GBT 25067-2026 网络安全技术 信息安全管理体系审核和认证机构要求标准立项发展报告

网络安全技术信息安全管理体系审核和认证机构要求（GB/T25067-2026）标准立项发展报告StandardizationDevelopmentReport:CybersecurityTechnology—RequirementsforBodiesProvidingAuditandCertificationofInformationSecurityManagementSystems摘要关键词：网络安全；信息安全管理体系；审核与认证；合格评定；标准研制Keywords:cybersecurity;informationsecuritymanagementsystem;auditandcertification;conformityassessment;standardizationdevelopment一、引言1.1立项背景在数字经济时代，信息已成为组织最重要的战略资产之一。网络攻击手段的持续升级、数据泄露事件的频繁发生以及监管要求的日益严格，使得组织对系统化、规范化的信息安全管理需求不断提升。信息安全管理体系（InformationSecurityManagementSystem，简称ISMS）作为组织规划、实施、运行、监视、评审和改进信息安全的系统性方法框架，在全球范围内得到广泛应用。GB/T22080（等同采用ISO/IEC27001）为组织建立ISMS提供了明确的要求规范，而认证活动作为独立第三方对组织ISMS进行合格评定的重要方式，其结果的可靠性和公信力在很大程度上取决于审核与认证机构的专业能力和运作规范性。GB/T25067-2026《网络安全技术信息安全管理体系审核和认证机构要求》正是针对ISMS审核与认证机构制定的专项认可准则，其前身可追溯至2008年首次发布的GB/T25067-2008《信息技术安全技术信息安全管理体系审核认证机构的要求》。该标准与GB/T22080形成配套使用的标准组合，共同构成我国信息安全管理体系认证领域的核心标准体系。1.2标准基本信息本报告所涉及标准的基本信息如下表所示：|项目|内容||------|------||标准编号|GB/T25067-2026||标准名称|网络安全技术信息安全管理体系审核和认证机构要求||英文名称|CybersecurityTechnology—RequirementsforBodiesProvidingAuditandCertificationofInformationSecurityManagementSystems||标准状态|未生效||发布日期|2026年5月25日||实施日期|2026年12月1日||发布机构|国家标准化管理委员会||标准性质|推荐性国家标准||修订代替|GB/T25067-2016|二、标准修订背景与必要性2.1国际标准更新的驱动ISO/IEC27006作为国际标准化组织（ISO）和国际电工委员会（IEC）联合发布的信息安全管理体系审核认证机构认可准则，是各国ISMS认证机构认可活动的基本依据。2024年，ISO/IEC27006:2024版本正式发布，对认证机构在人员能力要求、审核时间计算、认证风险管理等方面提出了新的要求。作为等同采用ISO/IEC27006的中国国家标准，GB/T25067需要及时同步修订，以保持与国际标准的同步更新，确保我国ISMS认证结果获得国际互认。2.2法律法规环境的变化近年来，我国网络安全法律法规体系不断完善。《中华人民共和国网络安全法》（2017年施行）、《中华人民共和国数据安全法》（2021年施行）、《中华人民共和国个人信息保护法》（2021年施行）以及《网络安全审查办法》等一系列法律法规相继出台，对组织的信息安全保障能力提出了更为严格的要求。ISMS认证作为检验组织信息安全管理水平的重要手段，其审核认证活动的规范性需要与新的法律法规要求相衔接。此外，《认证认可条例》及《认证机构管理办法》中对认证机构的责任与义务也有进一步明确规定，要求认证机构不断提升自身管理水平和运作规范。2.3网络安全形势与技术发展需求随着云计算、大数据、人工智能、物联网等新兴技术的广泛应用，组织的网络环境日益复杂，信息安全风险呈现出动态化、多样化的特征。传统的以合规为导向的审核模式已难以全面覆盖新兴技术带来的安全挑战。同时，供应链安全、数据跨境流动、零信任架构等新型议题不断涌现，对ISMS审核与认证活动提出了更高的技术要求。因此，亟需通过修订GB/T25067来适应网络安全形势和技术发展的新需求。2.4认证市场规范化的内生需求截至当前，我国经国家认证认可监督管理委员会（CNCA）批准的信息安全管理体系认证机构数量持续增长，ISMS认证证书保有量已位居世界前列。然而，认证市场中仍不同程度地存在着审核把关不严、认证质量参差不齐、低价恶性竞争等现象。标准作为认证机构运作的基本技术依据，需要通过科学合理的条款设计引导认证机构提升服务质量，促进行业健康有序发展。三、标准技术内容概述3.1标准定位与框架GB/T25067-2026属于信息安全管理体系认证领域的认可准则性标准，规定了向组织提供信息安全管理体系审核和认证服务的机构需满足的要求。该标准旨在确保ISMS认证机构能够以一致、公正和可信的方式运作，从而提升ISMS认证活动的公信力。标准的框架结构主要包括以下技术内容要素：-术语和定义：统一规范ISMS审核与认证领域的关键术语。-通用要求：涵盖认证机构的法律与合同事宜、公正性管理、责任与财务安排等基本要求。-结构与管理要求：规定认证机构的组织架构、最高管理者承诺、运作控制及文件化管理体系要求。-资源与能力要求：明确审核员及认证决定人员的通用能力要求和ISMS特定能力要求（包括知识、技能和素质要求）。-信息与过程要求：规定认证过程中信息的收集与管理、认证审核方案的设计与实施、认证决定程序、认证证书的颁发与管理以及监督和再认证活动。-认证机构的管理体系要求：明确认证机构需建立和运行与其运作相适应的管理体系方式（包括ISO/IEC27001管理体系方式或ISO9001过程管理方式）。3.2主要修订内容与GB/T25067-2016版本相比，GB/T25067-2026在以下方面进行了重点修订：（1）结构调整与术语更新。为适应ISMS认证领域的国际发展趋势，标准在章节结构上进行了优化重组，并与GB/T27021.1-2016《合格评定管理体系审核认证机构要求第1部分：要求》中的通用术语框架保持一致性，便于认证机构在实施多体系认证时统一协调运作。（2）能力要求与审核人员资质强化。更新了对ISMS审核员和认证决定人员在信息安全专业知识、风险评估技能、审核技巧以及行业特定知识方面的要求，强调了对新型网络安全威胁、数据安全法规和隐私保护要求的理解与掌握。（3）审核过程规范的完善。对初次认证审核、监督审核和再认证审核的周期安排、抽样原则、审核方法（包括远程审核技术的适用条件和使用规范）、审核记录要求等内容进行了细化和完善。（4）认证风险管理要求的增强。增加了认证机构在运作中需考虑的风险因素（包括认证活动的公正性风险、审核有效性风险、客户信息安全风险等），要求认证机构建立和维持系统化的风险管理过程。3.3与相关标准的关系GB/T25067-2026在标准体系中处于承上启下的关键位置，与以下标准形成紧密关联：-GB/T22080（ISO/IEC27001）：规定组织ISMS建设的要求，是认证活动的评价依据。GB/T25067-2026为审核和认证机构如何依据GB/T22080实施认证活动提供规范性指引。-GB/T27021.1（ISO/IEC17021-1）：规定管理体系审核认证机构的通用要求。GB/T25067-2026在此基础上增加了ISMS认证的特殊要求，两者形成“通用+专用”的层级关系。-GB/T25069《网络安全技术术语》：为标准的术语定义提供基础性参考。-GB/T28450《信息安全技术信息安全管理体系审核指南》（ISO/IEC27007）：为审核活动的具体实施提供技术方法和操作指引。四、标准实施的意义与影响4.1对认证机构规范发展的引导作用GB/T25067-2026的发布实施将为ISMS认证机构的设立、运作和持续改进提供清晰、可操作的技术依据。通过明确要求，标准将引导认证机构在组织治理、资源保障、过程控制、风险管理等方面不断提升自身能力。同时，该标准也是认可机构（中国合格评定国家认可委员会，CNAS）对ISMS认证机构实施认可评定的主要准则之一，标准的更新将带动认可制度的同步升级，形成“标准—认可—认证”链条的良性互动。4.2对国家网络安全保障体系的支撑作用ISMS认证作为国际通行的信息安全管理验证机制，是国家网络安全保障体系的重要组成部分。一方面，组织通过获得ISMS认证可以向利益相关方传递信息安全信心，有助于提升整体社会的网络安全防护水平；另一方面，合规有效的认证活动能够为政府监管、行业管理和市场选择提供可靠的技术判断依据。新标准的实施将提升认证结果的一致性和可信度，夯实国家网络安全保障体系的技术基础。4.3对国际贸易与合作格局的促进作用在全球数字经济深度融合的背景下，认证认可领域的国际合作日益频繁。作为ISO/IEC27006的等同采用标准，GB/T25067-2026的实施有助于我国ISMS认证活动与国际通行的认证规则保持同步运行，推动认证结果的国际互认，降低我国企业参与国际贸易的合规成本，同时也有利于吸引外资和促进国际技术交流合作。五、主要参与单位介绍GB/T25067-2026由全国网络安全标准化技术委员会（TC260）归口管理，由中国信息安全测评中心牵头，联合中国合格评定国家认可中心、中国信息通信研究院、国家信息技术安全研究中心等单位共同起草修订。本报告重点介绍牵头单位中国信息安全测评中心（以下简称“测评中心”）。测评中心成立于1997年，是中央网络安全和信息化委员会办公室直属的国家级信息安全专业测评机构，同时也是全国网络安全标准化技术委员会秘书处承担单位之一。测评中心长期从事信息安全测评、风险评估、安全认证、标准研制和科研开发等工作，是我国网络安全领域最具权威性和综合实力的专业技术机构之一。在标准化工作方面，测评中心承担了大量网络安全国家标准的研究和制修订任务，主持和参与了《网络安全技术关键信息基础设施安全保护要求》（GB/T39204）、《网络安全技术信息安全风险评估方法》（GB/T20984）等一系列重要国家标准的研制工作，积累了丰富的标准化实践经验。在GB/T25067的历次修订过程中，测评中心均发挥了核心牵头作用，组建了由信息安全标准化专家、ISMS认证认可技术专家、资深审核员和相关行业代表共同参与的标准起草工作组，为标准的技术内容提供了有力的专业保障。测评中心依托其在信息安全测评领域的深厚技术积累和在标准协调组织方面的丰富经验，在标准修订过程中发挥了重要的顶层设计和综合协调作用，为保障标准的科学性、先进性和适用性作出了突出贡献。六、结论与展望GB/T25067-2026《网络安全技术信息安全管理体系审核和认证机构要求》的发布实施，是我国网络安全标准化工作取得的又一重要成果。该标准立足国际视野、对标世界一流，紧密结合我国网络安全法律法规要求和认证市场发展实际需求，为信息安全管理体系审核与认证活动的规范化运作提供了科学完善的技术指引。从未来发展趋势来看，信息安全管理体系认证标准化工作还将在以下方向持续深化推进：一是紧密跟踪ISO/IEC27006后续修订动态，持续保持我国标准与国际标准同步发展；二是深入研究人工智能安全、数据要素流通安全、供应链安全等新型议题对信息安全管理体系审核认证提出的新要求，适时推动标准的补充完善；三是加强标准实施应用效果的跟踪评估，建立标准反馈修订的闭环机制；四是深化与“一带一路”沿线国家和地区的标准互认合作，进一步扩大我国在信息安全管理体系认证领域的国际影响力。我们有理由相信，随着GB/T25067-2026的正式实施，我国信息安全管理体系认证工作将迈上新台阶，在国家网络安全保障和数字经济建设中发挥更为重要和深远的作用。参考文献[1]GB/T25067-2026,网络安全技术信息安全管理体系审核和认证机构要求[S].[2]GB/T22080-2016,信息技术安全技术信息安全管理体系要求[S].[3]GB/T27021.1-2016,合格评定管理体系审核认证机构要求第1部分：要求[S].[4]ISO/IEC27006:2024,Informationsecurity,cybersecu