GB-T 22080-2025 法律法规符合性评价报告模板 中文版（法规清单 + 符合性检查） - 副本

GB/T22080-2025法律法规符合性评价报告模板中文版（法规清单+符合性检查）报告头部信息（模板填空项）项目内容填写内容评价组织名称【填写单位全称】ISMS覆盖范围【填写体系覆盖业务、场地、系统、人员范围】评价周期【YYYY年MM月DD日—YYYY年MM月DD日】评价日期【YYYY年MM月DD日】评价小组负责人【姓名/岗位】评价小组成员【姓名1、姓名2、姓名3】审批人（最高管理者/管理者代表）【姓名/签字/日期】评价依据标准GB/T22080-2025《网络安全技术信息安全管理体系要求》（等同ISO/IEC27001:2022+Amd1:2024）1评价概述1.1评价目的依据GB/T22080-2025标准9.1.3条款合规性评价强制要求，全面核查本单位信息安全、网络安全、数据安全、个人信息保护、供应链安全、云服务安全、气候变化新兴风险等相关法律法规、国家标准、行业规范的执行落地情况。动态识别合规偏差、潜在风险与管理漏洞，形成闭环整改机制，确保信息安全管理体系（ISMS）持续满足法律法规、监管政策与新版标准要求，保障体系运行的适宜性、充分性、有效性，顺利通过年度监督审核、换证审核及转版认证审核。1.2评价范围本次合规性评价覆盖本单位ISMS全部管控范畴，包含组织管理、人员安全、物理环境、网络设备、信息系统、云服务、ICT供应链、数据全生命周期、变更管理、威胁情报、业务连续性、应急管理、气候变化风险等所有安全管理活动，涵盖各职能部门、业务场景、外包第三方服务全流程。1.3评价依据本次评价严格遵循GB/T22080-2025标准合规性评价管控要求，结合国家法律法规、强制性国标、行业监管规范、单位内部管理制度开展全方位核查，核心依据详见本文第三章《合规法律法规及标准清单》。1.4评价方式采用文件审查+现场核查+台账核验+人员访谈+记录抽查组合评价方式，对照法规条款、标准要求逐项对标核验，客观记录合规、轻微不符合、一般不符合、严重不符合情况，精准定位合规短板，形成可追溯、可整改、可验证的合规评价结果。2合规性评价判定规则为统一评价口径、保障结果公允，本次评价采用四级判定标准，适配GB/T22080-2025审核与合规管控要求：合规（符合）：完全满足法律法规、国标及内部制度要求，流程完善、记录完整、管控到位，无任何合规偏差。轻微不符合：基本满足核心合规要求，仅存在个别记录不规范、流程细节不完善等非实质性问题，无安全风险隐患。一般不符合：未完全落实部分合规条款，管控流程存在漏洞，记录缺失、执行不到位，存在低、中等级安全合规风险。严重不符合：违反法律法规强制性条款、新版标准核心管控要求，存在制度缺失、管控失效、重大风险隐患，可能引发监管处罚、数据泄露、业务中断、供应链安全事故等严重后果。3合规法律法规及标准清单（完整版）本清单适配GB/T22080-2025新版管控框架，涵盖法律、行政法规、部门规章、国家标准、行业规范五大类，纳入新版新增的云服务安全、ICT供应链安全、威胁情报、气候变化风险、数据泄露防护、变更管理相关合规依据，为逐项符合性检查提供法定支撑。3.1国家法律类序号法规名称发布部门核心适用合规要点1《中华人民共和国网络安全法》全国人大常委会网络运营者主体责任、网络等级保护、安全监测、应急处置、人员安全、日志留存、网络防护2《中华人民共和国数据安全法》全国人大常委会数据分类分级、数据全生命周期安全、风险评估、数据共享、数据销毁、安全管控3《中华人民共和国个人信息保护法》全国人大常委会个人信息最小必要采集、脱敏处理、隐私保护、数据泄露防护、知情同意、权限管控4《中华人民共和国密码法》全国人大常委会商用密码应用、数据加密存储传输、密码安全管理、密钥管控、密码合规测评3.2行政法规与部门规章类序号法规名称核心适用合规要点1《关键信息基础设施安全保护条例》关键设施识别、专项防护、供应链安全、风险监测、应急处置、年度评估2《网络安全等级保护条例》信息系统定级备案、等级测评、安全建设整改、常态化自查、安全运维管控3《数据出境安全评估办法》跨境数据传输合规评估、数据出境审批、跨境数据安全管控4《网络数据安全管理条例》网络数据分类分级、敏感数据管控、数据泄露处置、第三方数据合作管控5《云计算服务安全评估办法》云服务供应商准入、云数据安全、云平台运维、云服务风险管控（适配新版A.5.23）6《网络安全威胁信息发布管理办法》威胁情报收集、研判、预警、处置、共享机制（适配新版A.5.7）3.3核心国家标准（适配GB/T22080-2025）序号标准编号及名称适配新版2025核心管控点1GB/T22080-2025网络安全技术信息安全管理体系要求全体系合规管控、变更管理、气候变化风险、93项控制措施落地2GB/T22239-2019信息安全技术网络安全等级保护基本要求网络、设备、系统、数据、运维、审计全维度安全合规3GB/T35273-2020信息安全技术个人信息安全规范个人信息全生命周期防护、脱敏、泄露处置、合规审计4GB/T37973-2019信息安全技术大数据安全管理指南大数据资产管控、批量数据导出、数据脱敏、风险评估5GB/T41479-2022信息安全技术网络数据处理安全要求网络数据处理合规、数据泄露防护、接口安全管控6GB/T39204-2020信息安全技术信息安全供应链安全管理指南ICT供应链安全、供应商评估、外包运维管控（适配新版A.5.21）4逐项符合性检查表（核心模块全覆盖）本表严格对标GB/T22080-2025标准4-10章核心条款及93项控制措施，重点覆盖2016版新增、升级管控要求，逐项核查合规情况、留存证据、标注问题，可直接用于内审、转版审核、年度合规自评。4.1体系基础合规条款符合性检查（标准第4-7章）序号标准条款合规检查内容检查结果问题描述/合规说明佐证材料14.1组织内外部环境确定（新增气候变化考量）已识别组织内外部环境、相关风险，已将气候变化纳入相关事项识别与风险评估范畴，适配业务与安全战略合规/轻微不符/一般不符/严重不符【填写具体情况】环境分析报告、风险评估报告24.2相关方需求与期望识别已全面识别监管机构、客户、供应商、第三方等相关方安全需求，定期更新并纳入体系管控合规/轻微不符/一般不符/严重不符【填写具体情况】相关方需求清单、更新记录35.1领导力与承诺最高管理者明确安全责任、保障资源投入、推动ISMS与业务融合、定期参与体系评审合规/轻微不符/一般不符/严重不符【填写具体情况】会议纪要、资源批复文件、评审记录45.2信息安全方针安全方针适配新版标准要求，公开宣贯、全员知晓，适配数字化、云服务、供应链安全管控需求合规/轻微不符/一般不符/严重不符【填写具体情况】安全方针文件、宣贯培训记录56.1.2信息安全风险评估（新版升级）风险评估覆盖气候变化、云服务、供应链、威胁情报、数据泄露等新兴风险，评估方法规范、结果可追溯合规/轻微不符/一般不符/严重不符【填写具体情况】新版风险评估报告、风险清单66.1.3适用性声明SoA（新版强化）已按93项控制措施重编SoA，删减理由充分合规，与风险评估、管控措施一一对应合规/轻微不符/一般不符/严重不符【填写具体情况】2025版适用性声明文件76.3变更规划（2025新版新增）已建立ISMS变更管理制度，对体系、业务、系统变更开展风险预判与管控，变更全程可追溯合规/轻微不符/一般不符/严重不符【填写具体情况】变更管理制度、变更审批台账87.1资源保障配齐人力、技术、经费、设备资源，满足新版标准云安全、供应链安全、威胁情报管控需求合规/轻微不符/一般不符/严重不符【填写具体情况】资源配置清单、预算文件、人员配置表97.2能力建设针对新版新增管控内容开展专项培训，人员能力匹配2025版标准合规要求合规/轻微不符/一般不符/严重不符【填写具体情况】新版标准培训记录、考核台账107.3意识培训全员掌握新版合规要求，知晓云服务、供应链、数据泄露、变更管控等新增安全责任合规/轻微不符/一般不符/严重不符【填写具体情况】全员培训记录、考核结果4.2新版新增核心控制措施符合性检查（重点必查项）序号新版控制条款合规检查核心内容检查结果问题/合规说明佐证材料1A.5.7威胁情报（新增）已建立威胁情报收集、研判、预警、处置、共享机制，定期更新威胁情报台账，落地风险处置合规/轻微不符/一般不符/严重不符【填写具体情况】威胁情报管理制度、处置台账2A.5.21ICT供应链安全（新增）建立供应商准入、评估、考核、退出机制，覆盖软硬件、运维、外包全供应链，定期开展供应链风险评估合规/轻微不符/一般不符/严重不符【填写具体情况】供应链安全制度、供应商评估报告3A.5.23云服务安全使用（新增）规范云服务选型、准入、运维、数据管控，落实云数据加密、权限管控、安全审计，规避云安全风险合规/轻微不符/一般不符/严重不符【填写具体情况】云安全管理制度、云平台审计记录4A.7.10物理安全监控（新增）核心机房、涉密区域、设备存放区域部署监控设备，监控记录留存完整、可追溯，定期巡检合规/轻微不符/一般不符/严重不符【填写具体情况】监控台账、巡检记录5A.8.14配置管理（新增）建立设备、系统配置基线，规范配置变更、备份、核查流程，杜绝非法配置篡改合规/轻微不符/一般不符/严重不符【填写具体情况】配置管理制度、基线台账、核查记录6A.8.24数据泄露防护（新增）落实敏感数据泄露监测、预警、阻断、处置机制，规范数据导出、传输、共享管控，留存防护记录合规/轻微不符/一般不符/严重不符【填写具体情况】数据泄露防护制度、处置台账7A.14.2.8应用安全测试（新增）将安全测试纳入应用系统全生命周期，上线前开展漏洞测试、渗透测试，迭代更新安全防护策略合规/轻微不符/一般不符/严重不符【填写具体情况】应用安全测试报告、整改记录4.3通用合规维度综合检查表序号检查维度核心合规检查内容结果问题说明1人员安全合规一人一号、权限最小化、离岗权限回收、保密协议全覆盖、安全培训常态化合规/不符【填写内容】2数据安全合规数据分类分级、加密存储、脱敏使用、全流程审计、超期销毁、合规共享合规/不符【填写内容】3第三方运维合规第三方准入评估、保密协议、远程管控、权限限时、退出清算全覆盖合规/不符【填写内容】4应急与业务连续性合规预案完善、定期演练、事件闭环、业务兜底、风险联动处置合规/不符【填写内容】5日志与审计合规全场景日志留存、定期审计、日志不可篡改、满足等保与新版标准要求合规/不符【填写内容】5不符合项整改与风险处置台账针对本次合规评价发现的所有不符合项，建立闭环整改台账，明确优先级、责任主体、整改措施、完成时限，彻底消除合规风险。序号不符合项描述违规依据风险等级整改措施责任部门/人完成时限整改验证结果1【填写具体问题】【对应法规/标准条款】高/中/低【详细整改方案】【责任主体】【具体日期】未整改/整改完成/部分整改2【空白可新增】【空白可新增】【空白可新增】【空白可新增】【空白可新增】【空白可新增】【空白可新增】风险等级说明：高风险（违反强制条款、存在重大安全隐患）、中风险（管控缺失、存在合规漏洞）、低风险（流程不规范、记录不完善）。6合规风险综合分析结合本次逐项合规检查结果，从制度合规、技术防护、人员管理、第三方管控、新兴风险（云/供应链/威胁情报/气候变化）五个维度开展综合风险分析，总结整体合规水平：1.整体合规现状：【填写本单位整体合规情况，说明合规项占比、主要合规优势】2.核心合规短板：【重点说明新版标准新增条款的落地短板，如气候变化风险识别不足、威胁情报机制不完善、云安全管控薄弱、供应链合规缺失等】3.潜在合规风险：【分析短板可能引发的监管处罚、认证不通过、数据泄露、业务中断、供应链攻击等风险】4.历史问题复盘：对比上年度合规评价结果，说明问题整改闭环情况、同类问题复发情况、体系优化成效7总体合规评价结论本次依据GB/T22080-2025标准及相关法律法规，完成全维度合规性评价，综合判定本单位信息安全管理体系合规状态：结论选项（可直接勾选填写）：□完全合规：无任何不符合项，体系全面适配2025版标准，合规管控完善、风险可控。□基本合规：存在少量轻微不符合项，无中高风险合规隐患，整改后可完全满足新版标准要求。□部分不合规：存在一般不符合项，存在一定合规风险，需限期完成专项整改、体系优化。□严重不合规：存在严重不符合项，违反强制合规条款，体系管控失效，需全面重构优化。总体总结：【详细填写评价总结，说明体系适配2025版转版要求的程度、合规管控有效性、后续整体优化方向】8持续改进计划为持续满足GB/T22080-2025新版合规要求，固化合规成果、补齐管控短板，制定常态化持续改进计划：制度体系优化：持续更新适配新版标准的管理制度，完善变更管理、威胁情报、云安全、供应链安全、气候变化风险管控专项制度，实现制度全覆盖。技术防护升级：落地数据泄露防护、配置基线管理、应用安全测试、物理监控等新版技术管控要求，补齐技术防护短板。常态化培训宣贯：定期开展2025版标准、合规法规、新兴风险专项培训，提升全员合规意识与岗位管控能力。定期合规复盘：每年度至少开展1次全覆盖合规性评价，每季度开展专项合规自查，实现风险动态清零。体系迭代优化：结