CNAS-CC170-2024《信息安全管理体系认证机构要求》解读（认证审核新规）

CNAS-CC170:2024《信息安全管理体系认证机构要求》解读（认证审核新规）核心结论：CNAS-CC170:2024等同采用ISO/IEC27006-1:2024，将ISMS认证机构认可要求全面换版，主要变化集中在人员能力、审核时间、远程审核、去冗余与公正性五个方面。能力要求提升：审核员学历要求升至大学教育水平，能力准则细化，工作/培训/审核经历要求调整。审核时间规则更新：附录B转为规范性、新增附录C计算方法，可能引发合同与报价调整。远程审核放宽：取消旧版30%上限，允许最高100%远程，比例按风险分析确定。转换硬时限：2026年3月31日前完成认可转换与获证客户转换，逾期将影响认可资格。标准定位与认可规范体系CNAS-CC170:2024《信息安全管理体系认证机构要求》是CNAS对信息安全管理体系（ISMS）认证机构的专用认可准则，2024年9月30日发布并实施，内容及条款号与ISO/IEC27006-1:2024完全一致，代替CNAS-CC170:2015[1]。它与通用准则、认可方案共同构成完整的认可体系。[该类型的内容暂不支持下载]对认证机构而言，换版意味着以ISO/IEC27006-1:2024为基准重新审视其认证运作：通用要求由CC01:2015约束，ISMS专项要求由CC170:2024约束，操作性认可安排由SC170:2024规定，三者缺一不可。换版背景与转换期设定本次换版由国际标准的升级直接触发，转换期以27006-1:2024发布为起点共24个月，认证机构须在2026年3月31日前完成转换[2]。2024年3月ISO发布27006-1:2024，代替27006:2015及其2020修改单；2024年5月IAF发布IAFMD29:2024规定转换要求；CNAS于2024年9月30日发布实施CC170:2024与SC170:2024，并自同日起受理已认可机构的转换申请[3]。转换期安排同时约束认可机构与认证机构：认可机构须在2026年3月31日前完成对认证机构的转换；认证机构须在相同期限内完成对获证客户的转换，并在获得新版认可后于初次、再认证审核中改按新版规范实施[2]。新版主要变化解读新版的变化并非简单修订，而是结构调整与技术要求的双重更新。六大类变化中，对认证机构实际运作影响最大的是能力要求、审核时间与远程审核三项。[该类型的内容暂不支持下载]人员能力要求细化与提升新版对审核人员的能力门槛明显提高。7.1条细化了能力准则（对应CC01附表A.1的扩展），审核员的学历要求由旧版“具备中等教育”调整为“具备等同大学教育水平的专业教育或培训”；同时调整了审核员的工作经历、培训经历与审核经历要求，并调整了技术专家的工作经历要求[2][4]。这对认证机构的能力评价系统与培训计划构成直接挑战。审核时间确定规则更新9.1.4确定审核时间的要求新增了对附录B与附录C的引用，附录B《审核时间》由资料性附录转为规范性附录，并新增附录C《审核时间计算方法》[2]。由于审核时间直接决定审核人日、报价与合同，这一变化可能引发认证机构与获证客户之间的合同调整，是销售与报价流程最需要关注的变化[3]。远程审核规则放宽新版取消了对远程审核部分的占比限制。旧版要求ISMS审核中远程部分不超过总现场审核时间的30%，新版取消了该上限，允许最高100%的审核以远程方式实施，具体比例由“针对客户使用远程审核的风险分析”确定[5]。这对缺乏实体场所或实体场所较少的组织尤为适用，认证机构需建立远程审核的风险评估机制。去除冗余与结构调整新版删除了5.2、7.1.3、、9.4等条款中与ISO/IEC17021-1:2015重复的内容，使措辞与通用准则更紧密对齐，避免要求重叠与解释歧义[2]。文件同时转为ISO/IEC27006多部分系列的第1部分，并更新了规范性引用（删除ISO19011、新增ISO/IEC27000，更新27001与17021版本）及部分术语（新增“控制”“外部环境”“信息安全”等）[4]。公正性新增禁止内部评审5.2.1新增明确规定：认证机构不应为寻求认证的客户ISMS提供内部信息安全评审，进一步收紧了公正性管理要求，认证机构需核查自身服务边界以避免利益冲突[2]。对认证审核实践的影响换版不是文件层面的技术修订，而是要求认证机构在销售、审核、认证文件、能力管理与客户沟通五个环节落实变更。若处理不及时，将直接影响初次与再认证审核的合规性。下表汇总新版与旧版的主要条款对照要点，可作为差距分析的基础。条款领域CNAS-CC170:2024（新版）CNAS-CC170:2015（旧版）→变化公正性（5.2.1）不应为客户ISMS提供内部信息安全评审新增条款审核员学历（7.2）等同大学教育水平的专业教育或培训由“中等教育”提升审核时间（9.1.4）引用规范性附录B，新增附录C计算方法附录B由资料性转规范性远程审核允许最高100%远程，按风险分析确定取消原30%上限附录D按ISO/IEC27001:2013附录A更新控制评审表原按27001:2005（GB/T22080-2008）认可转换安排与实施要求认证机构须在转换期内完成认可转换，转换方式可选择专项转换评审或结合例行评审实施转换，无论何种方式均需提交申请与评价表及证明材料[2]。CNAS对转换评审的方法按IAFMD29:20244.1条执行：以技术性文件评审为主，评审认证机构的差距分析、转换计划、相关变更文件与实施证据，且至少需要1.0人日的转换评审时间；仅在文件评审不足以确认时安排对机构总部的办公室评审，见证评审不作要求[2]。评审活动是否实施要求文件评审否—技术性文件评审是审查差距分析、转换计划、变更文件与实施证据转换额外时间是至少1.0人日总部办公室评审适用时文件评审不足时安排，现场或远程见证评审否—转换评审结论为“通过”或“不予通过”：通过的机构，CNAS换发该领域认可证书附件；不予通过的可调整后重新申请。转换通过后，CNAS后续认可评审与见证评审将选取按新版规范实施的认证审核项目[2]。认证机构落地行动清单结合IAFMD29与CNAS转换要求，认证机构宜按以下顺序推进转换工作：差距分析：对照CC170:2024与CC170:2015，识别销售/报价、审核过程、认证文件、能力管理与客户沟通的变更需求。文件程序调整：修订审核程序、能力准则、认证文件模板与合同文本，使其满足新版要求。人员能力更新：按新学历与经历要求更新能力准则，组织审核员、认证决定人员、申请评审等职能人员的培训与评价，保留记录。客户沟通与合同调整：告知获证客户转换安排与截止期限，因审核时间变化调整合同。提交转换申请：填报《CNAS-CC170和CNAS-SC170换版的认可转换申请与评价表》及证明材料（纸质版与电子版）。确认在截止期前完成：确保转换评审通过并完成客户转换，避免2026年3月31日后认可资格被处置。结论与建议结论：CNAS-CC170:2024的核心变化是把ISMS认证机构认可要求升级至ISO/IEC27006-1:2024，突出能力要求提升、审核时间规则更新、远程审核放宽与去冗余四类实质变化，并以2026年3月31日为转换硬期限。影响：认证机构若未按时完成转换，将面临认可资格被处置的风险；审核时间确定规则的变化会传导至报价、合同与审核实施，需优先处理。建议：认证机构应尽早启动差距分析，优先调整审核时间测算、人员能力准则与客户沟通安排，采用专项转换评审或结合例行评审完成转换，切勿拖延至截止期临近。参考来源[1]中国合格评定国家认可委员会：《\hCNAS-CC170:2024《信息安全管理体系认证机构要求》》，2024-10-28发布。[2]中国合格评定国家认可委员会：《\h关于CNAS-CC170和CNAS-SC170认