NERC CIP的合规评估：标准、证据、审计（标准清单、证据、审计准备）

NERCCIP的合规评估：标准、证据、审计（标准清单、证据、审计准备）本文档提供：表1目录与定位表；表2CIP标准清单与当前生效版本判定表；表3BES网络系统影响分级判定表；表4证据类型与三个日历年保留叠加判定表；表515个月周期控制日期复算表；表6审计准备时间线与交付物表；表7RSAW叙述与抽样核对表；表8gate合规评估表；表9排查表；表10-a保留项表；表10-b删掉项表；表11决策规则表；表12示例变量表；表13来源表。

2026-11-05表1目录与定位表这一节的标题读完能拿到什么这一节在全文中的功能一、标准清单先锁当前生效版本，把2028年才强制的那批单独放表2CIP标准清单与当前生效版本判定表，示例CIP-003-9生效2026-04-01锁定每个标准当前该引哪一版二、BES网络系统先分高、中、低影响，分错后面证据全白做表3BES网络系统影响分级判定表，示例1500MW机组控制中心锁定影响分级与适用标准范围三、证据按“标准要求+审计周期”两个保留期取长，短的那个不算表4证据类型与三个日历年保留叠加判定表，示例密码变更记录3年+审计周期锁定每类证据该留多久四、15个月周期控制把日期算出来，临期补记录算缺失表515个月周期控制日期复算表，示例CIP-004培训15个月锁定周期控制的到期日与缺口五、审计准备提前12至18个月启动，gapassessment和mockaudit分两段表6审计准备时间线与交付物表，示例gap2026-12-31锁定审计准备倒排节点六、RSAW叙述写“做了什么”不写“应该做什么”，抽样前自己先算一遍表7RSAW叙述与抽样核对表，示例CIP-007R3补丁评估35天锁定叙述口径与自查动作七、gate评审四道门，退回项写清补件日期表8gate合规评估表，示例证据门2026-12-20放行或退回合规gate八、合规卡住了，按这七处打开原件对表9排查表，示例CIP-007补丁评估天数排查gate缺口九、完整版、精简版、极简版各保留哪些检查项表10-a保留项表、表10-b删掉项表选择版本检查项十、证据缺口撞上审计通知，按这四条规则裁表11决策规则表，示例CIP-007补丁评估缺口10天裁决补证据与审计通知的冲突十一、从空白证据库到gate放行，某合规经理走了一遍表12示例变量表，示例补丁评估天数余量复现案例推进十二、文末数据来源与核对路径表13来源表，示例证据保留口径核对来源动作按第一列在正文找对应那节，按第二列判断这节有没有要用的东西，按第三列判断这节是否对应当前卡住的位置。一、标准清单先锁当前生效版本，把2028年才强制的那批单独放合规经理打开内部“CIP标准适用清单”，CIP-003栏填的是CIP-003-8，CIP-012栏空白，CIP-002栏填CIP-002-5.1a。2026年CIP-003-9已从4月1日起生效，CIP-012-2从7月1日起生效，CIP-002-5.1a仍是当前强制版；FERC批准的CIP-002-7至CIP-013-3虚拟化修订版已于2026年5月26日生效但强制合规日期为2028年7月1日，CIP-014-4和CIP-015-1的日期更晚。适用清单把“已生效但未到强制日”和“当前强制”混在一起，审计时会拿错版本对证据。按表2逐标准核。表2CIP标准清单与当前生效版本判定表标准当前强制版本已批准但未到强制日的版本打开什么什么样算锁定不合格形态怎么改CIP-002CIP-002-5.1aCIP-002-7（2028-07-01强制）适用清单第2行当前强制列有版本号，未来列单列两列混填CIP-002-7拆成两列并标注强制日CIP-003CIP-003-9（2026-04-01生效）CIP-003-10（2028-07-01）适用清单第3行已生效版本在强制列仍填CIP-003-8更新为CIP-003-9并留旧版CIP-007CIP-007-6或7（按强制日确认）CIP-007-7（2028-07-01）适用清单第7行强制列与生效日一致填“CIP-007-7”但未到强制日改回当前强制版本CIP-012CIP-012-2（2026-07-01生效）—适用清单第12行版本号有值版本列空白补CIP-012-2CIP-013CIP-013-2CIP-013-3（2028-07-01）适用清单第13行强制列有版本填CIP-013-3改回CIP-013-2表2成品块输入：适用清单CIP-003栏、CIP-012栏、CIP-002栏；动作：逐标准取“当前强制版本”与“已批准未强制版本”分列对照；输出：在适用清单“当前强制”列填CIP-003-9、CIP-012-2、CIP-002-5.1a；判定：当前强制版本与生效日或强制日一致填“锁定”，填了未到强制日的版本填“版本超前”并退回改列。2026年处于强制状态的仍是CIP-003-9和CIP-012-2这一批，虚拟化修订版要到2028年7月1日才强制，审计时按标准要求的生效版本对证据，版本填超前不等于合规。二、BES网络系统先分高、中、低影响，分错后面证据全白做资产清单第2行填“某1500MW机组控制中心”，第3行填“500kV变电站”，第4行填“100kV以下配电站”。CIP-002按15分钟影响和明线阈值分级：控制中心控制3000MW及以上或影响互联可靠性为高影响；1500MW及以上发电资源控制中心和500kV及以上变电站为中影响；不满足高、中条件的为低影响。资产清单只写了“控制中心”，没有写15分钟影响和MW阈值，分级依据不成立。按表3逐资产核。表3BES网络系统影响分级判定表资产打开什么看哪两列什么样算锁定不合格形态怎么改1500MW机组控制中心资产清单第2行控制MW、15分钟影响控制MW≥1500且影响栏有判定影响栏空白补15分钟影响判定500kV变电站资产清单第3行电压等级、影响判定电压≥500kV判中影响只写“变电站”无电压补电压和判定100kV以下配电站资产清单第4行电压等级、是否豁免有豁免依据或判低影响豁免依据空白补豁免判定表3成品块输入：第2行控制MW、第3行电压等级、第4行豁免依据；动作：取控制MW与1500MW对照，取电压与500kV对照，取豁免依据与“有或无”对照；输出：在资产清单“影响分级”列分别填“中影响”“中影响”“低影响或豁免”；判定：控制MW≥1500或电压≥500kV且判定有依据填“锁定”，阈值或豁免依据空白填“补判定”。高、中、低影响决定后续适用哪些CIP标准，影响分级错了，补丁、密码、培训、物理安全整套证据的适用对象都会错位。三、证据按“标准要求+审计周期”两个保留期取长，短的那个不算证据库索引第2行“CIP-007密码变更记录”保留起始2023-10，第3行“CIP-004培训记录”保留起始2024-01，第4行“CIP-008事件响应测试记录”保留起始2024-06。CIP标准对每个要求的证据保留期为三个日历年，同时每个标准另有条款要求证据覆盖自上次审计以来的完整周期，两个要求叠加，取较长者。索引只填了保留起始日，没有填“标准3年”和“审计周期”两个到期日中哪个更晚。按表4逐类核。表4证据类型与三个日历年保留叠加判定表证据类型标准保留期审计周期起点应保留至打开什么什么样算合格不合格形态CIP-007密码变更3个日历年上次审计2024-06-012027-06-01（取长）证据索引第2行到期日晚于审计周期起点只写“保留3年”未叠审计周期CIP-004培训记录3个日历年2024-06-012027-06-01证据索引第3行到期日与两个要求取长到期日填2027-01CIP-008测试记录3个日历年2024-06-012027-06-01证据索引第4行有到期日和依据依据列空白表4成品块输入：第2至4行标准保留期和审计周期起点；动作：标准保留期到期日与审计周期起点加审计周期后的日期对比，取较晚者；输出：在证据索引“应保留至”列填到期日；判定：应保留至不早于两个要求中较晚者填“合格”，只按3年截短填“保留不足”并延长。证据保留的两个期限是叠加关系，标准写3个日历年不等于只留3年，如果上次审计到下次审计的间隔超过3年，审计周期覆盖的那段也必须留足。四、15个月周期控制把日期算出来，临期补记录算缺失CIP-004培训记录上次完成2025-08-15，下次到期应为2026-11-15；CIP-002资产识别上次CIP高级经理批准2025-07-01，下次到期2026-10-01，已过35天；CIP-013供应链风险管理计划上次高级经理评审2025-09-20，下次到期2026-12-20，还剩45天。周期控制是审计抽样的高发区，审计员会按15个月逐次复算到期日。按表5逐控制算日期。表515个月周期控制日期复算表周期控制上次完成日15个月到期日当前日余量或逾期打开什么什么样算合格CIP-004培训2025-08-152026-11-152026-11-05余10天CIP-004培训台账第2行到期日≥当前日CIP-002资产识别批准2025-07-012026-10-012026-11-05逾期35天CIP-002批准记录第3行到期日已过但有原因和补救日期CIP-013计划评审2025-09-202026-12-202026-11-05余45天CIP-013评审记录第4行到期日≥当前日表5成品块输入：三项上次完成日；动作：逐项加上15个月算到期日，与当前日对照；输出：在周期控制表“到期日”列填2026-11-15、2026-10-01、2026-12-20；判定：余量为正或逾期有原因和补救日期填“有依据”，逾期且无记录填“缺失”并补做。15个月到期日不是自然年末，是逐次滚动计算，审计抽样时会重新算一遍，算出来的到期日和你记录的对不上，逾期天数就是缺口。五、审计准备提前12至18个月启动，gapassessment和mockaudit分两段合规经理的审计准备计划只有一条“审计前90天整理证据”，没有gapassessment和mockaudit节点。实际审计准备需要在审计开始前6至18个月启动，gapassessment至少提前1年做基线，mockaudit至少在预期审计通知前2个月做性能测试，并留出足够时间生成新的合规证据。按表6倒排节点。表6审计准备时间线与交付物表节点倒排时间交付物打开什么什么样算合格不合格形态Gapassessment审计前≥12个月差距清单和整改计划准备计划第2行差距清单有标准和条款编号只写“自查”整改与证据生成审计前12至3个月新证据至少覆盖3个月准备计划第3行证据起始日早于审计通知前3个月整改完成日距审计不足1个月Mockaudit审计通知前≥2个月模拟RFI和DR回复准备计划第4行有模拟请求和回复记录未做mock审计通知后60天通知后60天内Level1请求和问卷回复准备计划第5行提交记录有日期提交日期空白审计通知后30天通知后30天内Level2请求回复准备计划第6行回复有日期回复空白表6成品块输入：准备计划节点；动作：按审计日倒排gap、整改、mock的截止日；输出：在计划表“倒排日期”列填日期；判定：gap≥12个月、mock≥2个月且证据覆盖≥3个月填“可执行”，任一节点缺失填“补节点”。审计通知90天前才到，通知后60天内交Level1、30天内交Level2，通知前没做过mock，临期补证据的时间窗口不足以覆盖审计周期。六、RSAW叙述写“做了什么”不写“应该做什么”，抽样前自己先算一遍CIP-007补丁管理RSAW叙述写“我们每35天评估一次补丁”，但补丁评估记录第3行上次评估2026-09-01、下次评估2026-10-06，间隔35天；第4行上次2026-10-06、下次实际2026-11-10，间隔35天；记录里有两处间隔超过35天但未标注。RSAW叙述只写了“每35天”，没有写具体日期和计算依据；审计抽样会按35天周期逐次复算，超期的就是发现项。按表7核叙述和自查。表7RSAW叙述与抽样核对表核对项打开什么看哪两列什么样算合格不合格形态怎么改叙述写实际动作RSAW叙述第3段动作、责任人、记录名有具体文件和岗位只写“定期评估”补文件号和岗位35天补丁评估自查补丁评估记录第3至5行上次评估、下次评估每段间隔≤35天两处间隔超35天未标注标注超期原因和补救抽样日期可复算补丁记录日期列日期、计算到期日到期日可逐次复算日期列缺1行补日期批准与授权链CIP高级经理批准记录批准人、日期批准人在任且授权有效批准人已离任无授权补有效批准表7成品块输入：RSAW叙述第3段、补丁评估记录第3至5行；动作：取叙述中的“每35天”与实际日期逐段对照；输出：在自查表“超期段”列填两处；判定：每段间隔≤35天或超期有标注填“通过”，超期无标注填“发现项”并在叙述中主动说明。RSAW叙述先写实际发生的动作、责任岗位和记录名称，再写日期和计算到期日；叙述里范围写宽了，审计员会顺着宽的范围追问，自找的问题比证据本身的问题更难收。七、gate评审四道门，退回项写清补件日期版本清单、影响分级、证据保留、周期日期、审计准备、RSAW叙述六块填完后过gate。四道门按表8顺序过。表8gate合规评估表门打开哪张表看哪一列什么样算合格本案例状态补件日期与责任人版本门表2第2至6行当前强制版本每个标准有强制版本和强制日CIP-012栏空白2026-12-05补CIP-012-2，合规经理分级门表3第2至4行影响分级每资产有阈值和判定依据第2行影响栏空白2026-12-10补判定，资产管理员证据门表4第2至4行应保留至取长且≥审计周期CIP-004到期日偏短2026-12-20延长保留，证据管理员周期门表5第2至4行到期日余量为正或逾期有依据CIP-002逾期35天无记录2026-12-15补批准和原因，合规经理表8成品块输入：四道门状态；动作：逐门取合格条件与当前状态对照；输出：在gate记录表填“版本门退回、分级门退回、证据门退回、周期门退回”；判定：四门全部合格且补件日期有值填“放行”，任一退回填“停gate”并跟踪。八、合规卡住了，按这七处打开原件对gate状态“停gate”，按表9从第1行CIP-007补丁评估天数开始逐项排查。表9排查表检查点打开什么数什么/取什么合格条件本案例状态换哪条路CIP-007补丁评估天数补丁评估记录第3至5行每段间隔天数≤35天两段超35天标注原因并补评估CIP-004培训周期CIP-004培训台账第2行上次日加15个月到期日≥当前日余10天按期完成CIP-002批准周期CIP-002批准记录第3行上次日加15个月到期日未过或有依据逾期35天无记录补批准和原因CIP-013评审周期CIP-013评审记录第4行上次日加15个月到期日≥当前日余45天按期评审CIP-012版本适用清单第12行当前强制版本有版本号空白补CIP-012-2证据保留到期日证据索引第2至4行到期日取长且覆盖审计周期CIP-004偏短延长保留RSAW叙述范围RSAW叙述第3段动作和文件有具体文件号只写“定期”补文件号和岗位表9成品块输入：第1行补丁评估天数、第2至4行周期日期；动作：逐行打开对应记录取数值与合格条件对照；输出：在排查记录表填“补丁两段超35天、CIP-002逾期35天、CIP-012空白、CIP-004保留偏短”；判定：七行均合格填“可重新提交gate”，任一行不合格填缺口项和补件日期。九、完整版、精简版、极简版各保留哪些检查项对外接受区域实体审计选完整版，内部年度自查时间受限选精简版，个人学习或非合规岗位选极简版。按表10-a保留、表10-b删掉。表10-a三套场景保留项表版本适用场景保留检查项重跑动作不能妥协的底线完整版区域实体审计、对外报送表2至表9全部检查项整改后重跑全量CIP-002分级有阈值依据、15个月周期可复算精简版内部年度自查且时间受限表2版本列、表3影响分级、表5三项周期日期、表7补丁35天自查整改后只重跑退回项当前强制版本不错填、周期到期日可查极简版个人学习或非合规岗位表2CIP-003-9和CIP-012-2行、表5CIP-004培训行、表7补丁评估间隔不跑保留期叠加，直接看三处版本号和到期日有值表10-a成品块输入：版本行；动作：按场景选版本并抄保留项；输出：gate记录版本列填版本名；判定：保留项有值且底线项有值填版本名，任一空白退回选版本。公式增减：本主题不设独立公式，周期控制按15个月逐次加算，证据保留取标准3年和审计周期两个到期日的较晚者。表10-b三套场景删掉项表版本删掉检查项完整版保留表2至表9全部检查项精简版表4证据保留叠加的第3至4行精简版表6gapassessment和mockaudit节点精简版表7批准与授权链精简版表9第5至7行极简版表3、表4、表6、表8、表9极简版表5CIP-002和CIP-013行表10-b成品块输入：版本行；动作：按版本逐行核删掉项；输出：版本检查单勾掉对应项；判定：保留项有值且删掉项未进本次评估，版本检查单签字。十、证据缺口撞上审计通知，按这四条规则裁CIP-007补丁评估两段超35天、CIP-002批准逾期35天，补齐记录需要约10个工作日；同时区域实体可能在未来90天内发审计通知。按表11四条规则裁。表11决策规则表如果看到什么执行动作判定失效条件退路周期控制到期日已过且无记录立即补做并保留补做日期，不回溯倒签补做后审计周期仍不连续在RSAW叙述中主动说明缺口和补救当前强制版本填成未强制版本改回当前强制版本，未强制版本单列改回后与合同或内部程序冲突程序文件同步修订并留版本历史证据保留到期日短于审计周期延长保留至取长后的日期历史证据已被销毁用可用记录补叙述并说明销毁原因审计通知已到且Level1窗口不足60天先交可提交部分，缺口列补交日期补交日期超出30天Level2窗口申请短期延期并同步补证据表11成品块输入：四行条件列；动作：逐条取观察值对照；输出：在gate记录填停门项和退路；判定：条件列有值且动作列有记录，失效条件出现时退路有具体动作。矛盾陈述：审计通知窗口可能在未来90天内打开，通知后60天内要交Level1、30天内要交Level2；CIP-007补丁评估两段超35天和CIP-002批准逾期35天需要补记录，补齐约10个工作日；证据保留的到期日又要同时覆盖标准3年和审计周期。实质分析：如果先等通知再补，10个工作日会压缩Level1和Level2的提交窗口；如果现在补，补出来的记录日期无法回溯覆盖已过期的周期段。权衡规则：现在补做并保留补做日期，同时把两段超期和CIP-002逾期写入RSAW叙述作为主动说明；证据保留到期日统一延长到审计周期覆盖的日期；Level1和Level2的提交模板提前准备，通知一到只填日期和附件。退路：历史记录已无法补齐的段落，用当时可得的维修工单、变更单或访谈记录作为辅助证据，并在叙述中标注证据类型的替代关系。十一、从空白证据库到gate放行，某合规经理走了一遍示例案例，细节为合理设定。某合规经理拿到内部CIP适用清单和证据索引，手里有资产清单、补丁评估记录、培训台账、CIP-002批准记录、CIP-013评审记录。起点是CIP-003栏填CIP-003-8、CIP-012栏空白、CIP-002批准逾期35天、CIP-007补丁评估两段超35天。分步操作：先打开表2，取CIP-003-9生效日2026-04-01、CIP-012-2生效日2026-07-01，适用清单当前强制列改为CIP-003-9和CIP-012-2，CIP-002-7至CIP-013-3单列“2028-07-01强制”。再打开表3，1500MW控制中心控制MW≥1500判中影响，500kV变电站判中影响，100kV以下配电站补豁免依据后判低影响或豁免。打开表4，密码变更记录和培训记录应保留至2027-06-01。打开表5，CIP-004培训到期2026-11-15余10天，CIP-002批准到期2026-10-01逾期35天，CIP-013评审到期2026-12-20余45天。打开表7，补丁评估记录两段超35天未标注。第一次转折。信号：CIP-003栏仍填CIP-003-8。假设：旧版还能用。试了什么：核对生效日，CIP-003-9从2026-04-01起已生效。新信息：当前强制版本不是CIP-003-8。换哪条路：当前强制列改CIP-003-9，旧版保留在版本历史，不删除。第二次转折。信号：CIP-012栏空白。假设：CIP-012可能不适用。试了什么：核对CIP-012-2生效日2026-07-01，控制中心之间实时运行数据交换在适用范围内。新信息：CIP-012-2已生效且适用。换哪条路：补CIP-012-2，并在证据索引中增加控制中心间数据交换的保护证据条目。第三次转折。信号：CIP-002批准逾期35天。假设：审计时解释一下就能过。试了什么：核对15个月周期，到期日2026-10-01，当前2026-11-05。新信息：逾期是既成事实，解释不能替代证据。换哪条路：立即补CIP高级经理批准并保留补做日期，同时在RSAW叙述中主动说明逾期和补救日期。第四次转折。信号：CIP-007补丁评估两段超35天。假设：补丁记录整体是连续的，两段超期不影响。试了什么：逐段复算间隔，第3行到第4行35天，第4行到第5行实际间隔超过35天且无标注。新信息：审计抽样会逐段算，超期无标注就是发现项。换哪条路：在两段超期处标注原因和补救评估日期，RSAW叙述写实际间隔和补救动作，不写“每35天”的概括句。终点产出：gate记录四道门填“版本门通过、分级门通过、证据门退回、周期