等保测评机构＂门槛＂12月1日抬高, 甲方挑机构,认准三把尺子

一、先想明白：新规不仅是给机构的，也是给甲方的

12月1日，GB/T 36959-2026《网络安全技术 网络安全等级保护测评机构能力要求和评估规范》正式实施，全部代替2018版。看到"测评机构能力要求"，多数人第一反应是：这是给测评机构定的规矩，跟我甲方有什么关系？

关系很大。测评是你花钱买的，机构是你选的——新规等于给你发了一套"挑机构的尺子"：以前你只能看"有没有证书"，现在你能看"测评师配比够不够、渗透团队什么建制、一年真做了多少个三级系统、漏洞报送有没有记录、技术主管干这行几年"。

飞哥认为：新规把"机构行不行"从一句口头承诺，变成了可以逐项核验的硬指标。谁会用这套指标，谁就能在招标、评审、签约时把话说清楚。

再看两个细节，就更能确认"这是给甲方的"：一是起草单位里除了测评机构，还有华夏银行、联通数字科技这类用户代表——标准不是机构给自己定规矩，是把甲方要的能力写进了条文；二是配套的CNAS-CI01-A018:2026《检验机构能力认可准则在网络安全等级保护测评领域的应用说明》已于2026年9月23日发布、2027年1月1日实施——12月1日国标落地后，机构认可体系明年还要再升一级，甲方挑机构的标准只会越来越硬。

二、一张证书不够用了：证书是"准入"，指标才是"水平"

先别误会——我不是说证书没用。公安部第三研究所认证发放的《网络安全等级测评与检测评估机构服务认证证书》＋网络安全等级保护网（djbh.net）机构名录，是行业多年标配：2021年起就有获证名录公开（证书编号SC2021开头），2026年各地招标文件（晋中、开平、佳木斯等）无一例外写"持有效证书、名录可查"。这是入场券，必须看。

但入场券只证明"能接这个活"，不证明"干得好"。证书背后是几十上百家机构，测评报告的深度、现场发现问题的能力，差别巨大。2026版新规做的，就是把"干得好不好"变成一组可查的数字。

提醒：下面五组数字都来自GB/T 36959-2026正式文本（老兵已逐条核验原文），不是二手解读——写进你的招标文件、评审表、合同条款，都有依据。

三、新规给甲方三把尺子

2026版把机构分Ⅰ/Ⅱ/Ⅲ级（这分级2018年就有，不是新事），但各级的硬门槛数字是实打实变了。对甲方来说，最有用的是下面三把尺子。

尺子一   测评师配比：防"挂名高级测评师"

新规要求：测评师总数，Ⅰ级≥15人、Ⅱ级≥30人、Ⅲ级≥45人；且高级、中级测评师有硬配比——高级≥2/3/5人、中级≥3/6/10人；还卡了岗位对应：测评技术员、测评项目组长、技术主管须分别取得初、中、高级测评师证书，即项目组长必须中级、技术主管必须高级。2018版只要求总数，2026版把"结构"卡死了。

对甲方的意义：投标时机构拿出的"高级测评师名单"，到底是不是干活的、是不是挂名，你要在开标后核人、签约后核到场。

甲方动作：要求投标文件列明项目组测评师名单＋等级证书编号＋在职证明；签约时锁定名单，现场测评时抽核持证人员是否在场。

尺子二    渗透建制＋漏洞报送：防"走过场"

新规把渗透能力从"人数"变成"建制"：Ⅰ级专职≥2人；Ⅱ级要有专门渗透测试小组≥5人且具备省部级（含以上）实战经验；Ⅲ级要有攻防实验室≥10人且具备国家级对抗经验。同时新规新增漏洞报送要求：Ⅱ级须具备向省部级漏洞管理平台（或工作机制）常态化报送高危及以上漏洞的能力，Ⅲ级对应国家级漏洞管理平台（或工作机制）。

对甲方的意义：机构说"我们能做渗透"，你让他拿漏洞报送记录出来看——平时不报漏洞的机构，现场渗透能力大概率是纸面的。

甲方动作：评审时要求提供近一年漏洞报送记录（平台＋条数）；合同约定渗透测试用攻防演练方法（模拟攻击链）做，而不是"扫一遍出报告"。

尺子三    规模＋资历＋覆盖：筛掉"新兵机构"

新规大幅抬高规模门槛：Ⅱ级机构每年三级及以上系统测评量≥150个（2018版只要30个），Ⅲ级≥300个（2018版80个）；其中新技术领域（云计算、大数据、物联网、移动互联网、工业控制系统等）测评量，Ⅱ级不少于3个类型、不少于50个，Ⅲ级覆盖全部类型、不少于100个，测评内容依据GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》、GB/T 28448-2019《信息安全技术 网络安全等级保护测评要求》的安全扩展要求。

同时卡"资历"和"覆盖"：Ⅱ级机构须具备重要行业部门或省级以上网络安全服务机构资格，参与省级监督检查/重要活动网络安全保卫3年及以上，并具备跨省（直辖市）信息系统的测评实施能力；Ⅲ级须国家级资格、参与国家级相关工作5年及以上，并具备全国联网信息系统的测评实施能力。技术主管从业年限：Ⅱ级满5年、Ⅲ级满10年。

对甲方的意义：年测评量是"真干过多少活"最硬的证明——数字吹不了牛；资历年限是"这行干了多久"的官方口径；跨省/全国联网能力直接回答"你的系统它能不能测"。

甲方动作：招标资格条款直接写"近一年三级及以上等保测评业绩≥XX个＋省级资历3年＋具备跨省测评能力"；评审时让机构列近一年测评项目清单（脱敏），看系统类型是否覆盖你的场景。

加餐    一把更快的尺子：学历结构，1分钟筛掉纸面机构

新规卡了人员学历下限：本科及以上比例，Ⅰ级≥70%、Ⅱ级≥80%、Ⅲ级≥90%（新规4.3.2.3、4.4.2.3、4.5.2.3）。这条是"三把尺子"之外最快的过滤项——学历结构造假成本高、核查简单，投标文件里翻一眼人员学历结构表，比看一百行承诺书都有用。

甲方动作：评审时要求提供人员学历结构表（本科及以上人数÷总人数），当场可算、当场可筛。

四、甲方实操三步走：招标前、评审时、签约后

招标前：资格条款怎么写

下面是可直接参考的资格条款写法（按新规条文组织，招标时可加在"特定资格要求"里）：

1）资质准入：投标人须持有公安部第三研究所认证发放的《网络安全等级测评与检测评估机构服务认证证书》，且证书在有效期内，可通过网络安全等级保护网（djbh.net）全国机构目录查询核实。2）能力门槛（GB/T 36959-2026）：投标人测评师总数不少于30人，其中高级测评师不少于3人、中级测评师不少于6人；具备专门渗透测试小组不少于5人。3）业绩证明：投标人近一年内完成第三级及以上等级保护测评服务不少于50个（提供合同或报告清单）。4）漏洞报送：投标人具有向省级及以上漏洞管理平台常态化报送高危及以上漏洞的记录。5）级别与覆盖匹配：投标人能力级别及其新技术领域覆盖（云计算、大数据、物联网、移动互联网、工业控制系统等）须与被测系统定级及类型匹配——低级别机构即便持证，也可能不具备相应安全扩展要求的测评能力。

要点：门槛按Ⅱ级机构要求写，既卡掉小机构，又给市场留了充分竞争空间；"漏洞报送"这条最能筛掉"只做纸面测评"的机构。

评审时：六项核验清单

签约后：合同里锁四件事

1. 锁项目组：
   合同附测评人员名单（姓名＋证书号），更换须甲方书面同意，防止"投标用高手、进场换新手"。
2. 锁方法：
   约定重大隐患发现须采用攻防演练/模拟攻击链方式验证——新规4.4.3.2.3 f项、4.5.3.2.3 f项原文就这么写（白话讲就是"用漏洞利用、权限提升、横向测试真打一场"，不是扫一遍出报告）；渗透测试前书面风险告知＋授权。
3. 锁数据与报告：
   约定测评数据按新规要求加密存储、最小权限、备份恢复；重大网络安全事件按新规须及时报告公安机关——这条写进合同，机构不敢瞒你。
4. 锁合规（新规4.6行为规范）：
   合同明确约定机构不得分包/转包测评项目、不得限定你购买指定网络安全产品、不得故意隐瞒问题或弄虚作假——这是标准明文禁止的行为，写进合同就是甲方最硬的追责抓手。这不是纸面条款：2022年就曾有机构因现场飞行审查发现"测评业务大量外包"等严重不符合项，被公安部三所认证中心暂停证书。

五、两个提醒：别被带偏，也别误读

提醒一：证书不是一劳永逸。新规第5章规定：资质满3年须进行能力复评（覆盖第4章全部要求），证书有效期内还有期间评估、抽查。所以别信"XX证书终身有效"的说法——招标前、签约前让机构提供最新资质状态，超3年没复评的，资质存疑。这条和4.3"签约前"配成一套：合同锁的是履约，资质查的是入场——两步都做了，机构才算真正"够格又可靠"。

提醒二：删注册资金≠放松。2026版删了2018版的注册资金门槛（Ⅰ级500万、Ⅱ级/Ⅲ级1000万），但这不是放松，是从"看注册资本"转向"看能力指标"——资金门槛没了，能力门槛反而更高。所以下轮招标，别听"门槛放松了"的传言降资格要求、压预算——门槛高了预算砍太狠，招来的就是纸面机构。

澄清一句：机构分级不是新制度（2018版就有Ⅰ/Ⅱ/Ⅲ级、初/中/高级、初次/期间/复评），真正新的是测评师配比、年测评量、漏洞报送这些数字，加上技术主管从"论文课题制"转向"从业年限＋职称制"。

飞哥认为：证书＋名录是底线，测评师配比、渗透建制、漏洞报送、规模资历、覆盖能力才是分水岭。

六、3句话转给甲方相关负责人

"12月1日起测评机构新国标实施，选测评机构的尺子变了——以前看证书，现在看测评师配比、渗透能力、漏洞报送和规模资历。"

"招标要在资格条款里加上新规的能力门槛（测评师30人/高级3人起步、渗透小组5人、漏洞报送记录、省级资历3年），把'有证但没实力'的机构挡在门外。"

"合同里锁定项目组名单和测评方法，明确禁止分包转包、限定购买指定产品；新规把重大事件报告义务写进了标准，我们合同里也加上。"

工具包领取

公众号后台回复「工具包」和邮箱地址，获取工具包与模板；拿不准的，老兵帮你过一遍清单，看看你漏没漏、多没多。

仅提供咨询建议，不承接需资质的测评业务。

这篇对你有用的话，四个动作支持一下：