GB-T 36959-2026 中文版 网络安全技术 网络安全等级保护测评机构能力要求和评估规范（2026 年 12 月 1 日实施） - 副本

GB/T36959-2026中文版网络安全技术网络安全等级保护测评机构能力要求和评估规范（2026年12月1日实施）一、标准总则1.1标准基础信息标准全称：网络安全技术网络安全等级保护测评机构能力要求和评估规范标准编号：GB/T36959-2026发布日期：2026年05月25日实施日期：2026年12月01日归口单位：全国信息安全标准化技术委员会（SAC/TC260）标准属性：国家推荐性标准，是网络安全等级保护测评体系的核心基础性规范，衔接《网络安全等级保护管理办法》，替代旧版测评机构能力相关指导性文件，统一了全国等保测评机构的准入能力、存续能力、动态评估、考核退出全流程标准，是公安监管、资质审核、行业遴选、第三方测评合规判定的唯一权威技术依据。编制定位：针对国内等级保护测评行业长期存在的机构能力参差不齐、人员资质标准不一、测评流程不规范、质量管控缺失、评估考核无统一标尺、违规执业管控不严等行业痛点，本标准构建了“准入有门槛、执业有规范、能力有基线、考核有标准、退出有机制”的全链条管控体系。彻底解决测评机构无序竞争、测评报告质量参差不齐、合规判定尺度不统一、监管量化难落地的行业乱象，实现等保测评行业标准化、规范化、精细化治理。体系定位：本标准属于等级保护标准体系的服务主体管控规范，上游对接等级保护定级、测评、整改、验收全套标准，下游约束所有持证测评机构的日常执业、能力建设、质量管控、合规运营，与GB/T22240、GB/T28448、GB/T22239共同构成等级保护闭环合规体系，是等保制度落地的核心支撑标准。1.2适用范围本文件适用于全国范围内从事网络安全等级保护测评服务的第三方机构，覆盖一级至五级全等级信息系统、网络基础设施、云计算、大数据、物联网、工业互联网、移动互联等所有等保测评场景的服务机构能力评估工作。适用工作场景包含测评机构资质准入审核、年度能力复核、常态化监督评估、专项督查考核、资质存续评审、违规整改核验、退出判定、行业遴选采购等全流程工作。同时适用于监管机构、采购单位、被测评单位对测评机构能力的核验判定，以及测评机构内部能力建设、体系整改、人员管理、质量管控的自查依据。本标准全程覆盖测评机构全生命周期能力管控：准入资质核验、软硬件能力核查、人员能力考评、管理制度审核、执业质量评估、年度复核、违规处置、资质存续、退出清零全流程规范要求。1.3规范性引用文件本标准深度衔接国家网络安全等级保护制度与安全标准体系，核心依托文件包含：GB/T22240信息安全技术网络安全等级保护定级指南、GB/T28448信息安全技术网络安全等级保护测评要求、GB/T28449信息安全技术网络安全等级保护测评过程指南、GB/T22239网络安全等级保护基本要求、《网络安全等级保护管理办法》、网络安全服务资质管理相关规范。严格对齐等级保护测评全流程合规要求，确保机构能力、测评行为、评估结果与国家制度体系完全贯通。1.4核心建设与管控目标1.统一能力基线：建立全国统一的等保测评机构人员、技术、设备、管理、质量管控最低能力标准，消除地域、行业差异化判定乱象；2.规范执业行为：标准化测评流程、报告编制、现场实施、风险判定、问题整改复核等执业行为，杜绝不规范测评、虚假测评、简化测评；3.严控行业质量：构建常态化能力评估与动态考核机制，持续提升全国等保测评整体服务质量与公信力；4.压实主体责任：明确测评机构合规执业、质量管控、保密管理、风险防控主体责任，建立违规惩戒与退出机制；5.净化行业生态：淘汰能力不足、合规缺失、违规执业的机构，规范行业竞争秩序，保障等级保护制度落地实效。二、核心术语与官方定义2.1网络安全等级保护测评机构指依法合规设立、具备独立法人资质、通过官方审核备案，依据国家等级保护标准规范，为党政机关、企事业单位、行业机构提供网络安全等级保护现场测评、风险核查、合规判定、报告出具、整改咨询等专业化技术服务的第三方独立机构，具备公正性、专业性、独立性、合规性四大核心属性。2.2测评机构能力指机构开展等级保护测评工作所需的综合能力，包含法人资质能力、专业人员能力、技术设备能力、质量管理能力、保密管理能力、项目运维能力、风险防控能力、合规运营能力的集合，是机构合法执业、规范服务的基础条件。2.3机构能力评估指依据本标准规范，对测评机构的资质合规性、人员专业性、设备完备性、管理制度健全性、测评质量合规性、执业规范性、保密安全性开展的全面核查、打分考评、等级判定、问题整改的全过程工作，分为准入评估、年度复核、专项督查评估三类。2.4重大执业违规行为指测评机构在执业过程中出现的虚假测评、篡改测评数据、出具不实报告、违规泄露涉密测评信息、超范围执业、挂靠执业、转包测评项目等严重违反标准与制度的行为，为行业一票否决红线行为。2.5测评质量管控指机构为保障测评工作合规、真实、完整、准确建立的项目立项、现场核查、数据采集、漏洞验证、风险研判、报告审核、三级复核、归档留存的全流程质量管控体系。三、机构能力评估核心原则（标准强制准则）本标准明确六大刚性评估原则，贯穿准入、复核、督查、退出全流程，所有评估工作必须严格遵循，不可变通、豁免、简化。3.1公正独立原则测评机构必须保持执业独立性，不得与被测评单位存在利益关联、挂靠合作、利益输送行为。能力评估工作需客观公正、据实判定，不偏袒、不预设结论，严格依据标准条款核验机构能力与执业质量，保障测评结果公信力。3.2合规底线原则明确机构准入与存续的最低合规底线，资质、人员、设备、制度、执业行为任一底线不达标，直接判定能力不合格。底线要求无差异化减免，所有机构统一标准、统一尺度考核。3.3全面覆盖原则能力评估覆盖机构资质、人员、技术、设备、管理、质量、保密、运维、合规执业全维度，覆盖项目承接、现场测评、报告编制、审核归档、后续服务全流程，杜绝局部核查、片面判定。3.4量化可评原则所有能力要求均设置可量化、可核查、可验证的评估指标，杜绝模糊判定、经验判定。通过量化打分、台账核验、现场抽查、项目复盘、人员考核等方式实现标准化评估。3.5动态管控原则实行常态化动态评估机制，并非一次性准入终身有效。结合年度复核、随机抽查、专项督查、项目质量抽检，动态更新机构能力评级与执业资质，实现优胜劣汰。3.6闭环整改原则针对评估发现的能力短板、制度缺陷、执业问题，建立问题台账、限期整改、复核验收、闭环销号机制，杜绝问题积压、反复违规，持续提升机构执业能力。四、测评机构基础准入能力要求（硬性准入基线）4.1法人资质要求测评机构必须为国内依法注册的独立法人单位，具备有效营业执照、完整工商存续资质，无经营异常、失信记录、违法处罚记录。机构注册经营范围内需包含网络安全测评、信息安全检测、网络安全服务等对应经营范围，禁止超经营范围执业。法人、主要负责人、技术负责人无犯罪记录、无网络安全行业失信惩戒记录，无境外控股、境外实际控制背景，所有从业人员仅限中国公民，保障机构执业安全可控。4.2经营与信誉要求机构需具备连续合法经营记录，无重大违法违规经营行为、无行业黑名单记录、无虚假宣传、无恶意低价竞争等扰乱行业秩序行为。近三年内未发生因测评违规被监管通报、处罚、暂停资质、撤销备案的情形，无重大网络安全保密事故、无测评质量重大投诉事件。4.3办公与场地要求具备固定、独立、合规的办公场地与涉密资料存放场地，划分办公区、测评试验区、资料归档区、涉密存储区，实现分区隔离管理。场地具备完善的门禁管控、视频监控、防盗、防火、防泄密设施，满足涉密测评资料、测评样本、项目台账的安全存放要求，杜绝场地混杂、人员随意进出引发的泄密风险。4.4软硬件设备能力要求机构需配备满足等级保护全等级测评需求的专业软硬件设备，包含网络扫描设备、漏洞检测工具、渗透测试设备、流量分析设备、系统合规核查工具、日志审计工具等。所有测评工具需合规合法、正版可溯源，禁止使用非法破解工具、违规攻击工具、未备案测评设备。同时配备专用测评终端、涉密存储设备、离线归档设备，实现测评数据、项目资料独立存储、全程可控，设备台账完整可查，定期校准维护。五、测评人员能力要求（核心软实力基线）5.1人员基本配置要求机构需配备足额专职测评人员，人员数量需匹配年度测评项目体量，杜绝人员挂靠、兼职顶岗、外包测评。设置专职技术负责人、质量负责人、保密负责人、项目负责人，岗位职责清晰、专人专岗，禁止一岗多责、混岗履职。所有测评人员需签订劳动合同、保密协议、岗位责任书，人员档案完整可追溯。5.2专业资质与能力要求核心测评人员需具备网络安全等级保护测评师相关资质、网络安全专业技术能力，熟练掌握等级保护各级测评标准、测评流程、漏洞判定规则、风险评级规范。能够独立完成现场勘查、配置核查、漏洞扫描、渗透测试、日志分析、风险研判、问题汇总、整改建议输出等全流程工作。技术负责人需具备多年等保测评从业经验，能够把控项目质量、解决复杂测评问题、审核测评报告。5.3人员管理与培训要求建立常态化人员培训与考核机制，定期组织等级保护新标准、新规范、新漏洞、新风险专题培训，同步开展实操考核、理论考核。建立人员能力台账，记录人员资质、从业经历、培训记录、考核结果、项目履历。严禁无资质人员、实习人员独立开展现场测评、出具测评结论，所有现场测评工作必须由持证专职人员主导完成。5.4人员保密与行为规范所有从业人员严格遵守保密制度，严禁私自留存、外传、拷贝被测评单位涉密数据、系统配置、漏洞信息、测评资料。严禁利用测评权限开展违规探测、非法渗透、私自留存漏洞后门、窃取用户数据等行为。严禁跨机构挂靠执业、私自承接测评项目、泄露测评未公开结论。六、机构管理体系能力要求（合规存续核心）6.1质量管理体系必须建立覆盖全项目的测评质量管理制度，包含项目立项管理、现场测评管理、数据采集管理、漏洞验证管理、报告编制管理、三级审核管理、质量抽查管理等制度规范。明确初测、复测、整改复核、报告终审的质量管控流程，建立项目质量抽查机制，定期复盘测评项目质量，整改质量缺陷，杜绝报告错判、漏判、误判、结论不实问题。6.2保密管理体系构建完善的保密管理制度，覆盖人员保密、场地保密、设备保密、资料保密、传输保密、归档保密全维度。明确涉密测评项目、涉密系统资料的专项管控要求，实行涉密资料专人管理、专柜存放、全程登记、到期销毁机制。建立保密自查机制，定期排查泄密风险，杜绝测评资料外泄、漏洞信息外传、涉密数据留存等违规问题。6.3项目管理制度规范测评项目承接、立项、实施、审核、交付、归档全流程管理，严禁转包、分包、挂靠测评项目，严禁无资质团队承接测评工作。每个项目配备专属项目负责人与测评小组，明确项目进度、质量标准、责任边界，完整留存项目合同、立项资料、现场记录、扫描报告、漏洞台账、整改复核资料、终审报告等全套项目档案。6.4投诉与异议处置制度建立完善的用户投诉、异议申诉、问题复核处置机制，针对被测评单位提出的测评结论异议、质量投诉、服务争议，需在规定时限内完成复核、核查、反馈、整改，形成闭环处置记录，保障测评服务公平公正。6.5应急与风险管控制度制定测评现场应急处置预案，针对测评操作引发的系统故障、业务中断、数据异常、漏洞扩散等风险，明确预警、止损、恢复、整改流程。建立测评风险台账，总结现场测评常见风险，规范测试操作基线，杜绝测评行为引发被测评单位网络安全事件。七、执业过程规范要求（现场测评硬性标准）7.1项目承接规范机构承接测评项目需严格匹配自身执业范围，严禁超等级、超行业、超资质承接项目。承接前完成项目风险研判，确认系统定级合规、场景适配、无违规测评风险，杜绝承接虚假定级、违规整改、应付检查类不实测评项目。所有项目必须签订正规服务合同与保密协议，明确服务范围、质量标准、保密责任、违约责任。7.2现场实施规范现场测评必须严格遵循GB/T28448、GB/T28448测评流程规范，完整开展访谈核查、文档核查、配置核查、设备核查、漏洞扫描、人工验证、渗透测试、风险研判，不得简化测评步骤、删减测评项、跳过关键验证环节。现场操作全程留痕，完整记录测试时间、操作人员、测试内容、设备信息、测试结果，杜绝空白记录、事后补录、虚假记录。7.3问题判定与整改复核规范严格依据等级保护标准条款开展问题判定，做到有据可依、精准定级，杜绝随意拔高、降低风险等级，杜绝隐瞒高危漏洞、弱化风险结论。针对被测评单位整改情况，必须开展现场复核验证，确认问题闭环整改，不得仅凭书面材料判定整改合格，杜绝虚假整改、纸面整改通过复核。7.4报告编制与审核规范测评报告内容必须真实、完整、准确、规范，系统概况、测评范围、测评依据、核查结果、漏洞清单、风险评级、整改建议、测评结论完整闭环。严格执行三级审核制度，测评人员自审、项目负责人复审、质量负责人终审，逐级签字确认，杜绝无审核、代审核、漏审核出具报告。报告格式、内容、结论完全对标国家标准模板，不得随意篡改报告结构与标准结论。7.5档案归档规范所有测评项目资料实行一项目一归档，完整留存全套过程资料与成果资料，归档资料包含立项资料、合同协议、现场记录、扫描日志、漏洞报告、整改台账、复核资料、终审报告等。档案留存时长满足监管审计要求，实行加密存储、权限管控、台账管理，到期合规销毁，全程可追溯、可复盘、可核查。八、机构能力评估流程（官方闭环评估体系）本标准统一测评机构能力评估全流程，固化六段式标准化评估流程，覆盖准入评估、年度复核、专项督查三类评估场景，所有评估工作统一流程、统一尺度。8.1评估准备与资料报送测评机构按照评估要求，梳理资质、人员、设备、制度、项目台账、质量记录、保密资料等全套材料，完成自查整改后报送评估主体。评估主体明确评估范围、评估指标、核查方式，组建专项评估小组，做好评估筹备工作。8.2资料初审与台账核查评估小组对报送资料进行全面初审，核查机构资质合规性、人员配置完整性、制度健全性、项目台账规范性、归档合规性，筛查资料缺失、台账造假、人员挂靠、制度空转等初步问题，形成初审问题清单。8.3现场核查与实操抽查开展现场实地核查，核验办公场地、涉密场地、软硬件设备真实情况，随机抽查往期测评项目档案，现场考核测评人员专业能力、标准掌握程度、实操水平，核查质量管控、保密管理落地情况，排查纸面制度、虚假台账、人员空岗等问题。8.4项目抽检与质量复盘随机抽取不同等级、不同行业的已完成测评项目，复盘测评全流程质量，核查测评完整性、问题判定准确性、风险评级合规性、整改复核真实性、报告规范性，量化判定机构执业质量水平。8.5问题汇总与评级判定汇总初审、现场核查、项目抽检发现的所有问题，按照标准量化评分体系进行打分，划分能力合格、基本合格、不合格三个等级，明确机构存在的短板问题、风险隐患、违规情形，形成正式评估报告。8.6整改闭环与结果公示对评估不合格、存在瑕疵的机构下达整改通知，明确整改时限、整改要求，到期复核验收，完成问题闭环销号。最终评估结果统一公示，纳入行业信用台账，作为机构资质存续、项目遴选、行业评优的核心依据。九、评估量化指标与等级判定规范9.1量化评分维度标准明确五大核心评分维度：机构资质合规性（20%）、人员能力与配置（25%）、设备技术能力（15%）、管理体系落地（20%）、执业项目质量（20%），总分100分，所有指标逐项量化打分，无主观浮动空间。9.2等级判定标准合格：总分≥80分，无底线违规问题，各项能力达标，执业质量规范，管理体系有效落地；基本合格：60分≤总分＜80分，无重大红线违规，存在部分能力短板与流程瑕疵，限期整改后可维持资质；不合格：总分＜60分，或存在一票否决红线问题，能力不达标、执业不规范、管理体系失效，暂停资质并限期整改，整改不通过予以退出清退。十、一票否决红线条款（重大违规退出机制）本标准明确十大一票否决重大违规行为，一经查实直接判定能力不合格，暂停或撤销测评资质，纳入行业黑名单：1.机构资质造假、人员资质挂靠、伪造从业经历与项目业绩；2.存在境外控股、境外实际控制，人员不符合中国公民从业要求；3.虚假测评、空测、漏测，篡改测评数据、伪造现场记录；4.出具虚假测评报告、不实结论，协助被测评单位应付检查、规避监管；5.转包、分包、挂靠测评项目，允许无资质团队开展测评工作；6.泄露、外传、售卖被测评单位涉密数据、漏洞信息、测评资料；7.利用测评权限开展非法渗透、数据窃取、系统破坏等违规违法行为；8.超资质、超等级、超范围承接测评项目，造成重大质量事故；9.屡次整改不到位、常态化执业不规范、质量问题反复出现；10.存在重大失信、违法处罚、行业黑名单记录，严重扰乱行业秩序。十一、常见能力短板与标准化整改方案1.人员挂靠、专职人员不足：核心人员空岗、资质挂靠、无专职测评团队。整改：清退挂靠人员，配齐专职持证人员，完善劳动合同、社保、在岗台账，建立稳定从业团队。2.制度纸面化、落地失效：仅有制度文件无执行记录、无培训、无自查、无台账。整改：补齐制度落地记录，常态化开展培训、自查、质量抽查，留存完整执行台账，实现制度落地闭环。3.测评流程简化、项目资料缺失：删减测评项、现场记