等保测评报告到手,先核这四样再付尾款

我在IBM做了 10 年信息安全，现在独立做企业合规。

一家公司做完等保测评，报告送到手上，财务问能不能付尾款，负责人翻到封面就卡住了：章不止一种，证书名字有两个，哪一样不对都得退回去重做。

等保测评报告怎么验收，很多老板是在付尾款那一刻才第一次认真翻。测评做了几周，报告发过来厚厚一本，多数人先翻结论页，看到结果就签字付款。等这份报告要拿去备案、投标或者交客户尽调，才发现封面少了一样、盖章页不对，退回来重出。

这一篇把验收往前挪一步：报告到手，先核四样，核完再付尾款。四样都不需要懂技术，行政或项目经理拿一张表就能核，收件当天做得完。

一、报告被不认，卡住的往往不是内容

先分清两件事。等保测评是《中华人民共和国网络安全法》确立的网络安全等级保护制度下的法定义务——做了要出报告，而且报告要能交得出去。ISO/IEC 27001 是国际标准加自愿性认证，企业不做不违法，只是在招投标和客户尽调里常被要求。这两条线不能混着写，所以本篇只讲等保测评报告这一份文件的交付验收。

一份报告能不能被认，看的是三件事：谁有资格出、用什么形式出、这个项目有没有登记。结论页写得好不好，是第四件事。前三件有一件对不上，后面写得再细也用不上。

这三份依据各管一段，混着用就会把话写错。
《中华人民共和国网络安全法》确立网络安全等级保护制度，等保测评的法定义务从这里来。现行有效版本是 2025-10-28 修正、2026-01-01 起施行的那一版（主席令第六十一号，依据见参考出处第 1 条）；修正时调整过条文顺序，本文只作制度依据、不引具体条号。
《网络安全等级保护测评机构管理办法》（公安部第十一局，公信安〔2018〕765 号，2018-03-23 发布并实施）第十六条写的是：出具等级测评报告时，测评机构应加盖等级测评专用章。未加盖专用章的报告，视为无效。

公安部第三研究所（认证中心）的《网络安全服务认证技术规范（等级保护测评）》（TRIMPS-JSGF-003:2024）在报告规范性要求里写的是：测评机构代码章和防伪标识同时使用的报告，即视同为实施认证。注意，它说的是“两样都有，就算认证过了”，不是“少一样就无效”。技术规范原文里没有“无效”两个字。“未加盖专用章的报告，视为无效”这句话，出自 765 号文第十六条，说的是等级测评专用章，跟防伪标识不是一回事。两套文件各管一段，不能把 765 号文的“无效”挪到防伪标识头上，拼成“没贴防伪标识，报告无效”——这句话两份文件里都没有。

还有一份常被拿来凑依据，其实管不着报告效力：《TRIMPS 认证标志管理办法》（2024-03-01 发布实施，trimps.net.cn 官方 PDF）只讲标志本身的防伪属性，比如银色镭射、一标一码、服务认证标志加施在报告封面醒目位置。它说明标识长什么样、放在哪，不决定报告效力。

不核会怎样？报告交到备案、投标、客户尽调那一步被退回来，机构得重新走出报告和登记的手续，尾款、整改、投标节点跟着一起等。核这几样不花钱，卡住之后再补才花钱。

二、四样，按翻报告的顺序核

顺序按纸面来，从封面翻到附件，不用来回跳。每一样都写清看哪里、什么算合格、不合格找谁。

第一样 · 封面：测评机构代码章与防伪标识

这是什么：封面是这份报告的身份页。TRIMPS-JSGF-003:2024 要求，获证机构出具的报告，封面要有测评机构代码章和防伪标识；《TRIMPS 认证标志管理办法》里写明，这种标志一标一码、每枚对应一个唯一编码，服务认证标志加施在报告封面醒目位置。

解决什么风险：编号跟这份报告对不上，说明它没挂到机构那套认证流程上。交到客户或主管部门手里，对方多半会问一句：这份报告哪来的？

怎么落地：让交付人把纸质报告封面拍一张、把防伪标识编号抄下来，和报告编号记在同一行；编号有几位、按什么规则编不用自己推，照着抄对得上就行。项目经理核对，收件当天完成。

怎么验收：封面两样都在，标识编号能对应到这份报告，拍照归档。缺一样，当天向机构要，不进入付款流程。

第二样 · 盖章页：等级测评专用章

这是什么：盖章页这枚等级测评专用章，和封面那枚代码章是两枚不同的章，各管一件事。

依据与后果：765 号文第十六条写得很直接，未加盖专用章的报告，视为无效。整个办法里，“视为无效”只出现这一次，说的就是这枚章。

怎么落地：翻到报告签章页，看章名全称对不对；同时看报告是不是按统一模板出具，该办法第十五条要求按统一模板出具等级测评报告，并针对被测评网络分别出具。行政收件时拍照，项目经理复核。

怎么验收：章名逐字对得上、每个被测评网络各有自己的报告、模板是现行版本。三项里缺一项，退回补正。

最容易出错的，是把两份文件里的两句话拼成一句，写进台账或合同。一份管行政效力，一份管认证判定，分开看。

表 1 · 两句话各归各的文件，第一列是常见说法，第二列才是原文。第二行那种拼法，两份文件里都没有；官方术语是“防伪标识”，与测评机构代码章并用。技术规范全文仅公开转载页可核，官方站未检索到公开全文，故本文只写规范名、不写条号。

第三样 · 附件里的机构证：名字、编号、有效期

这是什么：机构那本服务认证证书，证明它有资格做这类测评。

这里有个真会踩的坑，名字改过。现名《网络安全服务认证证书等级保护测评服务认证》，旧名《网络安全等级测评与检测评估机构服务认证证书》。公安部第三研究所认证中心 2024-04-28 那份《关于更换新版等级保护测评服务认证证书样式的说明》讲得很清楚：新版证书自 2024-03-27 起启用，换的是样式和名称，走自然过渡，旧版证书在有效期内仍然有效。说明里还有一句更该记住：证书有效性以中心唯一官方网站查询结果为准。

一本证的两个名字，不是两本证并行。看到旧名先别急着判不合格，查有效期；看到现名也别急着放行，查编号。

解决什么风险：名字、编号这类字段当场就能核，写错一个字，整份材料的可信度就打折。2026-06-01 更新的《网络安全等级保护测评机构服务认证获证机构名录》列了 237 家，编号以 SC 开头、中间带年份段，还有跳号。别拿编号连不连续判断真伪，查名录才作数。

怎么落地：让机构提供证书复印件。行政照抄全称与编号，证书有效性到发证机构也就是三所认证中心的官网查，机构名单在等保网或同一份官网名录里对一遍。别只看对方发来的截图，也别把认监委网站的截图当成唯一凭据。

怎么验收：全称逐字一致、编号以 SC 开头、名录里对得上、官网查询显示证书在有效期内。旧名证书只要还在有效期内，一样算合格。

查证这条路，2026 年改过口径，别按老经验办。市场监管总局 2026 年第 28 号公告自 2026-09-30 起施行：认证机构要在自有网站提供免费、实时的证书有效性查询，不能再把国家认监委网站当自己的查询入口；证书按哪套认证规则出具，决定认监委网站能不能查到基本信息。落到这本证书上，有效性以三所认证中心官网为准，认监委网站只作补充。2024 年那份换证说明里就写了“以中心唯一官方网站查询结果为准”，2026-09-30 施行的这份公告，把这条做法写成了所有认证机构都要守的规矩。

时效注：765 号文原文里还写着“推荐证书”“推荐目录”，2021-11-19 起这套东西已经改成服务认证证书和获证机构名录。条文没动，只是名字换了，翻到老材料里的旧称，自己翻译一下就行。信安联〔2021〕32 号公告里载的是当时的证书名称。

第四样 · 项目手续：登记与异地备案

这是什么：机构干这个项目之前，在系统里报过；跨省做的，还要给本地公安机关报过。

依据：765 号文第十九条，测评项目采取登记管理，机构应于测评项目合同签订后或测评活动实施前 5 个工作日内，通过项目管理系统填报测评项目基本情况，不得于项目完成后补录；第二十二条规定，属于异地测评项目的，机构应从项目管理系统生成测评项目基本情况表，并于项目实施前报送或传至被测评网络备案公安机关。

解决什么风险：报告将来要拿去备案、投标、交客户尽调，项目登记记录就是它的出处。补录的、没登记的，后面很难解释。

怎么落地：收报告时一并要两样材料，项目登记信息的截图或回执；机构是外省的，再要异地测评项目基本情况表。项目经理归档到这个项目文件夹。

怎么验收：登记时间早于测评实施、异地项目有报送材料、材料上的系统名称与被测网络对得上。

一个细节别漏：该办法第二十条写，省级以上等保办应在 5 个工作日内审核确认，逾期未审核确认的，项目管理系统默认审核通过。收件时查到登记记录，还要看一眼审核状态是人工确认还是逾期默认，台账里分开记一笔。

表 2 · 四样核对表，可直接抄进收件单。第 3 项：证书有效性查发证机构官网，机构名单在等保网或三所认证中心名录里对；认监委网站只作补充，别当唯一凭据。

这四样核完，只说明报告本身能交得出去。备案是另一道手续，材料怎么交、还要补什么，以属地主管部门答复为准。别把核完四样当成备案自动通过。

把四样写进合同，付款前就不用掰扯。可以直接用这句（这是合同里的约定措辞，和法律上的“视为无效”不是一回事）：报告交付时须同时提供封面测评机构代码章与防伪标识、盖章页等级测评专用章、机构服务认证证书复印件（现名或有效期内的旧名）、项目登记及异地测评备案材料；缺任一项视为未完成交付，由乙方在约定工作日内补正，补正费用由乙方承担。尾款节点挂在四样核完之后，别挂在报告发过来之后。

三、按自家情况做到哪一步

表 3 · 分档决策表。分档是实操建议，不是法定分档；费用以合同约定和报价单为准，涉及备案口径的以属地主管部门答复为准。等保测评报告的费用量级拆解见本合集第 45 篇。

四、一个咂摸点

我做了 10 多年信息安全合规和系统运维，独立做企业合规之后，见过不少老板把验收当成看结论。这个合集前面写怎么选机构，后来有读者追问证书名字，又有人追问封面那两样，指向的是同一件事：这些字段散在三套体系里。机构和人员归 765 号文管，证书与标志归认证中心管，名录又是滚动更新的单独一份；2024-03-27 名字改过一次，2026-09-30 连上哪个网站查都统一到了发证机构官网。企业手里拿到的是一份报告，监管和认证那边管的是一整套流程，中间得有人把两套说法翻译一遍。凭印象把两句话拼成一句，很常见，不是谁不细心。

所以最该先核的，不是报告内容写得对不对，是这份报告算不算一份交付。内容错了能改，身份错了，从一开始就没有那份能交出去的文件。翻封面那十分钟，比后面补手续那两周便宜得多。

报告是给别人看的，章是给别人认的。

后面还有几块要拆：银行外包的数据安全条款、客户尽调要备哪些材料、等保应急预案怎么演。哪块想先看，后台留言说一声。

这个合集已经整理了五十多篇，等保、ISO、安全问卷、测评验收，遇到具体环节先来翻翻。四样核对我整理成了一页表，后台发“报告”两个字领。

相关阅读：《等保测评机构怎么选：先看两张证，报告才有人认》（第 47 篇）、《买安全服务，合同里这五条不写清楚，等于白花钱》（第 44 篇）、《等保测评报告拿到手，上面的“不符合项”该怎么关》（第 27 篇），同合集可翻。

这是「中小企业合规避坑指南」的第 55 篇。

我是向内笃定，做了 10 年信息安全，现在独立做企业合规。这个号写两条线：普通人怎么防坑，中小企业怎么避开合规路上的坑。

参考出处

1. 《中华人民共和国网络安全法》：2025-10-28 第十四届全国人民代表大会常务委员会第十八次会议通过《关于修改〈中华人民共和国网络安全法〉的决定》，同日以主席令第六十一号公布，自 2026-01-01 起施行（中国网信网 cac.gov.cn 主席令与修改决定全文、中国人大网 npc.gov.cn）。该法确立网络安全等级保护制度；修改决定末句写明该法作相应修改、对条文顺序作相应调整后重新公布，本文只作制度依据、不引具体条号

2. 公安部第十一局《关于印发〈网络安全等级保护测评机构管理办法〉的通知》（公信安〔2018〕765 号，2018-03-23 发布并实施）。本文所引第十五条、第十六条、第十九条、第二十条、第二十二条均对全文逐字核对，全文经贵阳市公安局官网转载页留存，存档见 outputs/核验存档/2026-11-09-贵阳公安-公信安2018-765号全文.txt

3. 公安部第三研究所（认证中心）《网络安全服务认证技术规范（等级保护测评）》（TRIMPS-JSGF-003:2024）报告规范性要求：测评机构代码章和防伪标识同时使用的报告，即视同为实施认证。该规范全文经公开转载页核对，官方站未检索到公开全文，本文只写规范名、不写条号

4. 公安部第三研究所《TRIMPS 认证标志管理办法》（TRIMPS-MR-9-01 C/0，版本号见官方 PDF 每页页眉；2024-03-01 发布实施，trimps.net.cn 官方 PDF）：银色镭射防伪、一标一码具有可追溯性、服务认证标志加施在报告封面醒目位置。该文件仅说明标志防伪属性与加施位置，不作报告效力依据

5. 公安部第三研究所（认证中心）《关于更换新版等级保护测评服务认证证书样式的说明》（官网标注文号：公三所认[2024]04号，文末落款 2024-04-28；官网页面发布时间为 2024-06-24，本文按落款日期引用，trimps.net.cn）：新版证书 2024-03-27 起启用，采用自然过渡，旧版证书在有效期内仍然有效；证书有效性识别以中心唯一官方网站查询结果为准

6. 公安部第三研究所认证中心《网络安全等级保护测评机构服务认证获证机构名录》2026-06-01 更新版，共 237 家，末位证书编号 SC202427130010242（trimps.net.cn）。证书有效性查询以发证机构官网为准；机构名单可在等保网或三所认证中心名录核对

7. 中关村信息安全测评联盟《关于启用〈网络安全等级测评与检测评估机构服务认证证书〉的公告》（信安联〔2021〕32 号）：2021-11-19 起撤销网络安全等级测评机构推荐证书，相关工作纳入国家认证体系；公告所载为当时的证书名称

8. ISO/IEC 27001:2022 为国际标准、自愿性认证，本文仅作性质对照，不作为合规动作依据；等保为法定义务，两者不互替

9. 市场监管总局（国家认监委）2026 年第 28 号公告《市场监管总局关于加强认证信息报送和认证证书信息查询管理的公告》（2026-09-09 发布，2026-09-30 施行，cnca.gov.cn）：第二条要求认证机构通过自有网站提供免费、实时、便捷的证书有效性查询，不得以提示引导、链接跳转等方式将国家认监委网站作为自身证书有效性的查询方式；第三条区分按认监委规则与按机构自行制定规则出具的证书，后者按该机构提供的查询方式查询

10. 中国政府采购网 2026-09-28《昆明市应急管理和安全生产、防灾减灾救灾科技信息化保障服务项目（一标段）二次澄清说明》（项目编号 KMZC2026-G3-02386-YTZX-0031）：本次为证书样式及名称改版，采用自然过渡；有效期内新版《网络安全服务认证证书等级保护测评服务认证》与《网络安全等级测评与检测评估机构服务认证证书》二者效力等同。本文证书新旧名称逐字据此与三所官网核对

11. 本文配图由 AI 生成