要点与释义：

1. 本规则是认证机构从事 ISMS 认证活动的基本依据和底线要求，认证机构可在此规则的基础上制定更加详细的 ISMS 认证管理制度、程序文件等。
2. 本规则适用于认证机构在中国境内开展的ISMS 认证活动，认证机构在境外开展的 ISMS 认证活动不适用本规则。
3. 认证依据包含《网络安全技术 信息安全管理体系 要求》（GB/T 22080）和/或《Information security, cybersecurity and privacy protection—Information security management systems—Requirements》（ISO/IEC 27001）的ISMS 认证活动，需要符合本规则的要求。
4. 特定领域的信息安全管理体系认证活动（如 ISO 27701 隐私信息管理体系认证等），认证依据不包含《信息安全管理体系要求》（GB/T 22080）或《Information security, cybersecurity and privacy protection—Information security management systems-Requirements》（ISO/IEC 27001）的，其认证活动需要符合本规则的 3.9、3.10、4.2 和 5.12.1 等条款。
5. 认证机构作为经营主体，应对开展的认证活动及其他行为负责。认证机构即使遵守本规则，但若存在其他违反法律法规的行为，仍需承担相应法律责任。

要点与释义：

1. 认证依据规定了管理体系应满足的要求。认证机构开展信息安全管理体系认证活动，需持有有效版本的信息安全管理体系认证依据标准。
2. 认证依据需要在管理体系认证证书中列明。认证机构发放的管理体系认证证书应列明现行有效的标准名称及标准号。如，信息安全管理体系认证所依据的现行标准为《网络安全技术 信息安全管理体系 要求》/《Information security, cybersecurity and privacy protection —Information security management systems—Requirements》，现行有效的标准号为GB/T 22080-2025/ ISO/IEC 27001:2022。

要点与释义：

1. 认证活动应围绕我国经济社会发展目标，重点服务于经济社会高质量发展（如，推动制造业转型升级、实施乡村振兴战略、推进生态文明建设、发展现代服务业、促进消费升级等）。认证机构不得擅自开展涉及国家安全、政治组织、社会民俗、民族宗教等领域的认证业务。
2. 认证机构应当建立健全风险防范机制，选择以储备金形式应对潜在风险的，需制定专门的储备金管理制度，明确储备金的计提标准、管理要求（包括专户存储、独立核算等）以及使用规范（包括使用条件、审批程序、补充机制等）。
3. 认证机构应确保参与 ISMS 认证活动的人员能力满足认证机构资质审批的相关要求。同时，认证申请评审人员、认证审核人员、认证决定或复核人员需要具备 GB/T 27021.1 和GB/T 25067中列明的相应知识和技能，以确保ISMS 认证的有效性。
4. 在拟开展的 ISMS 认证业务范围，需要具备至少 2 名专业领域审核员（专、兼职均可），专业领域审核员不能为 ISMS 实习审核员，ISMS 实习审核员不评定专业领域。在拟开展的 ISMS认证业务范围，专业领域审核员低于 2 人的，则不能开展该认证业务范围的 ISMS 认证活动。如，某认证机构拟在 03.02 电子商务业务范围开展 ISMS 认证，需要具备至少 2 名 03.02 电子商务领域的专业领域审核员。
5. 认证机构应当基于本规则附录A，适用时可细分认证业务范围及其风险级别，并依据本规则 3.6 条款列明的条件，建立基于风险的认证业务范围专业领域审核员的能力评定准则，评估审核员和技术专家的专业领域。审核员的专业领域可通过以下 5 种方式评定：
   1. 基于专业工作经历。通过此方式获得专业能力的，需要一定时间的全职专业信息安全工作经历。
   2. 基于专业技术职称。对于中风险认证业务范围，以 04.08信息与通信技术行业为例，如具有信息安全/网络空间安全中级及以上职称，可被评定为“04.08 信息与通信技术”认证业务范围的专业领域审核员。
   3. 基于专业审核经历。专业审核经历是指针对相应认证业务范围类别内的专业过程所实施 ISMS 认证审核的经历，如信息安全风险评估过程、信息安全风险处置过程、信息安全技术控制过程、数据中心物理安全控制过程、项目管理中的信息安全控制过程等。专业审核经历需要在取得 ISMS 正式审核员注册资格后在本认证机构内获得。专业审核经历需要在每次认证审核中，从首次会议到末次会议期间全程与专业领域审核员或技术专家在同一组进行实习，同时，专业实习的 ISMS 审核员按 ISMS 实 习审核员管理，其审核人日不计入该次 ISMS 认证审核的审核时 间，但计入其周期年内的现场审核天数。审核人日数以该次现场 审核专业过程的审核人日数计算。专业审核经历的次数，以参与 全程的初次认证审核第二阶段审核、监督审核和再认证审核计算，不包括初次认证审核第一阶段审核和特殊审核。参加该认证业务 范围的信息安全专业技术培训和考核时，培训可由认证机构自行 组织，但须考核合格，培训情况和考核结果需要留有证据。
   4. 基于专业技术工作。作为主要起草人参与制定信息安全标准的，所制定的信息安全相关标准应为国家标准或行业标准，所承担的角色应为主要起草人（前 5 名）；参与市厅级和高校以 上（含）级别科研项目的，所承担的角色应至少为技术骨干。
   5. 基于 ISMS 审核员注册应掌握的知识和技术，可以认定ISMS 正式审核员（不含实习）具备了低风险级别认证业务范围的专业领域审核员能力。
6. 对于不能满足本规则3.6 条款专业领域条件，但在本规则发布前已被认证机构评定为专业领域审核员的（留存有证据材料），同时满足以下条件的可以维持专业领域审核员资格：
   1. 本规则发布前，近 5 年在本机构作为专业领域审核员参与不少于 10 次专业审核经历；
   2. 本规则发布后经专业领域审核员重新见证评审。见证评审是见证人在初次认证第二阶段审核、监督审核或再认证审核中与被见证人同组，见证其对专业过程的审核能力。见证人应为经认证机构确认满足 3.6 条款要求的 ISMS 专业领域审核员，在被见证人能力不足时见证人应接管审核任务。见证人的见证时间不计入审核人日，但计入见证人和被见证人周期年内的现场审核天数。
7. 通过认可的认证机构可采用认可机构认可的方式扩展 ISMS 认证审核员的认证业务范围专业领域，但未经认可的认证业务范围应按 3.6 列明的条件开展相应认证业务范围的审核员专业领域评定。
8. 认证机构对认证活动中了解到的认证委托人/获证组织的保密信息，未经认证委托人/获证组织书面同意不得向第三方透露（包括无意透露），尤其是涉及国家秘密和商业秘密的信息。认证机构应制定认证活动保密制度，要求认证人员和技术专家签署保密协议。除认证委托人/获证组织自行公开或其与认证机构商定公开的信息外，所有信息均视为保密信息。

   在认证审核前，认证机构应要求认证委托人识别并向认证机构告知其 ISMS 范围内的哪些信息资产不允许认证机构接触，或者认证机构在接触相关信息资产时应满足哪些要求，包括法律要求、相关方的要求和认证委托人自身的要求。认证机构应满足所有这些要求，否则不应在认证活动中接触认证委托人的相关信息资产。

   如果认证委托人事先没有禁止认证机构接触某一信息和相关资产，或未告知认证机构应满足的要求，但认证机构在认证过程中发现自己并不具备接触该信息资产的资格和条件，应立即向 认证委托人提出。审核组成员不宜在审核过程中以任何方式记录 认证委托人的保密或敏感信息。审核组在离开认证委托人现场前，宜请认证委托人检查和确认审核组携带的文件、资料和设备中未 夹带认证委托人的任何保密或敏感信息。

9. 认证机构应对认证活动的真实性负责。为确保认证有效性，认证机构应合理安排审核员的工作量，给审核员留出充足时间开展审核策划、审核准备、审核报告编制，以及对不符合的整改措施进行审查、验证，并有充足时间接受继续教育、培训，保持和提升能力。
10. 每个ISMS 审核员（包括实习审核员）在 1 个周期年内（从2026 年 3 月 1 日之后的任意起始日期开始计算，连续满 12 个月为一个周期年。例如，从 2026 年 3 月 16 日开始的周期年，截止日为2027 年 3 月 15 日），参加包括ISMS 在内的管理体系现场审核时间的总和不应超过 180 天。现场审核时间是审核时间的一部分，包括从首次会议到末次会议之间实施审核活动的所有时间。管理体系认证审核员超出 180 天参加的管理体系认证审核的认证结果，不具有证明作用。认证机构应对审核安排是否符合本规则 3.9 条款的情况进行持续监督，管理体系现场审核时间总和超过 180 天的审核员仍作为审核组成员参与现场审核的，该次现场审核无效，认证机构应重新组建符合本规则要求的审核组，在该次无效现场审核结束后 1 个月内完成对该认证项目的再次现场审核。通过再次现场审核的，该认证项目的认证证书才能持续有效，证书有效期与原证书相同。对于违反本规则 3.9 条款规定的，市场监管部门将按照减少遗漏认证规则规定的程序进行处理，对相关认证机构、审核员从严处理，包括但不限于暂停认证机构在“认证认可业务信息统一上报平台”上传管理体系认证证书信息，以及在“全国认证认可信息公共服务平台”（认e 云）展示其颁发的管理体系认证证书信息的权限。
11. 管理体系认证审核员，如果同时拥有产品认证检查员或服务认证审查员注册资质，开展产品认证和服务认证的现场审核时间不计算在管理体系现场审核时间 180 天内。
12. ISMS 认证审核员需要在同时满足以下情况并经本机构批准后，可被评定为本机构其他相应管理体系领域认证业务范围专业领域的技术专家：
    1. 经本机构管理体系认证业务范围专业领域技术专家能力评定，符合管理体系认证业务范围专业领域技术专家的能力要求。
    2. 未在相应管理体系认证领域注册为认证审核员或实习审核员。

       例如，某审核员为“04.08 信息与通信技术”认证业务范围的 ISMS 专业领域审核员，其没有ITSMS 审核员资格，在其具备能力并经认证机构评定的前提下，可作为 ITSMS 相关专业领域的技术专家，但其不能再被评为 ISMS“04.08 信息与通信技术”专业领域的技术专家。其作为审核员身份和技术专家身份每年参与管理体系现场审核时间的总和不得超过 180 天。

13. 人均每个审核员匹配的包括ISMS 在内的管理体系有效认证证书总数不应超过 50 张/周期年。
    1. 每个周期年内，认证机构持有的 ISMS 有效证书的数量不应超过 ISMS 认证审核员人数×50 张。
    2. 每个周期年内，认证机构持有的管理体系有效认证证书数量总计不应超过管理体系认证审核员人数×50 张。
    3. 上述 ISMS 认证审核员数量、管理体系认证审核员数量取本机构 3 月 31 日、6 月 30 日、9 月 30 日和 12 月 31 日注册的ISMS 认证审核员、管理体系认证审核员数量的平均值；新规则正式实施前，管理体系认证审核员人均证书数大于 50 张的认证机构，应采取相应措施，确保在新规则正式施行后的一年内（2027年 2 月 28 日前），其管理体系认证审核员人数与证书数的匹配情况满足新规则的要求。
    4. 管理体系认证审核员包括专职审核员和兼职审核员，不包括实习审核员。
    5. 有效认证证书数包括子证书数，即所有带证书编号的认证证书数量总和；1 张主认证证书附带 N 张子认证证书的，证书数量记为 1+N 张。
    6. 有效认证证书数包括统计时点下的认证证书状态为“有效”和“暂停”的证书数量。
14. 认证机构委派开展 ISMS 认证审核的所有审核员，均应取得 ISMS 审核员注册资格；对于不满足此条件并颁发认证证书的，应撤销相应认证证书，已委派的，应立即终止认证审核活动。
15. 认证机构不得在其网站、宣传册、广告等相关材料以及市场推广等活动中，宣传其认证证书可在国家认监委相关网站查询。

要点与释义：

1. 认证人员作为认证活动的实施者，应遵守认证认可相关的法律法规和政策要求，如《中华人民共和国认证认可条例》《认证机构管理办法》《信息安全管理体系认证规则》以及市场监管总局（国家认监委）发布的规范管理认证活动相关的公告、通知等文件。
2. 认证人员应具有诚实、正直、客观、公正等职业操守，不得在认证活动中弄虚作假、减少遗漏认证程序，并对作出的记录、出具的结论负责。
3. “国家认监委确定的认证人员注册机构”目前指中国认证认可协会（简称 CCAA）。开展 ISMS 认证的审核员，应取得 CCAA颁发的 ISMS 审核员注册证书。ISMS 审核员在实施审核时，其 ISMS 审核员注册证书应在有效期内且注册状态有效，注册执业机构应为安排认证审核任务的认证机构。
4. 审核员在接到认证审核任务后，应确认注册资格与认证审核任务是否匹配。若注册资格与认证审核任务不匹配，应及时与认证机构沟通，不得接受该项审核任务。1 个周期年内管理体系现场审核时间总和超过 180 天的审核员，该周期年内不得再接受管理体系审核任务。
5. ISMS 实习审核员，不得接受独自开展 ISMS 审核活动的审核任务；非 ISMS 专业领域审核员，不得接受对 ISMS 专业过程的审核任务。
6. 认证机构应公正开展认证活动，并对认证活动的公正性负责，不受商业、财务或其他方面的影响和干预。认证活动涉及的所有人员（无论专职还是兼职，审核员还是技术专家），应恪守公正，不得接受任何商业贿赂，不得损害认证活动的公正性。认证机构应建立相关机制确保认证活动涉及的所有人员，理解认证的公正性并保留相应证据，如签署公正性及保密声明等。
7. 审核员在注册证书有效期内，为持续具备从事 ISMS 认证工作相适宜的能力，应满足CCAA《管理体系审核员注册准则》关于继续教育的要求。

要点与释义：

1. 认证机构应结合自身管理要求，规定其信息公开的途径/方式。认证机构应确保其公开的信息准确、真实。认证机构应适时评审公开信息的有效性，必要时予以更新。
2. 认证机构应按照本规则规则条款：5.1.1 条款列明的内容进行信息公开，确保认证委托人在选择认证机构或签订认证合同前能够准确理解有关的认证要求，了解其所拥有的权利和义务以及应承担的责任。
3. 认证机构应通过其网站或者其他形式公布相关信息，对相关信息的真实性、有效性负责，并保证以不同形式公布的信息具有一致性和可追溯性。
4. 认证标准换版的规定可在认证标准换版时单独编制和公开。

要点与释义：

1. 认证委托人应取得合法主体资格，合法主体资格包括企业法人、合伙企业、个人独资企业及其分支机构，以及机关、事业单位、社会团体、民办非企业单位等。
2. 无合法主体资格的单位（如无营业执照的内设部门）申请认证，应以合法主体资格证照上载明的主体作为认证委托人。认证委托人申请签发子证书的场所，也应取得合法主体资格。
3. 因获证组织自身原因，ISMS 认证证书被暂停、撤销、注销满一年后，原获证组织方可向认证机构（包括原认证机构）重新申请认证。ISMS 认证证书暂停期满后被撤销的，按 ISMS 认证证书被暂停的日期起算满一年。ISMS 认证证书暂停后未办理恢复，认证证书有效截止日期后失效的，在其认证证书暂停满一年后方可向认证机构（包括原认证机构）重新提出 ISMS 认证申请。
4. 认证委托人被行政监管部门责令停产停业整顿的，应积极整改违法违规行为，消除相应后果。提出认证申请时，认证委托人应处于正常开展生产经营活动状态，且在 1 年内未发生重大及以上级别的网络安全事件。

要点与释义：

1. 生产/服务的流程、班次及轮班情况，包括：生产流程图、服务流程图，轮班的班次、人数、各班次的工作内容和工作时间信息等。
2. ISMS 运行时间的认定应基于多维度证据，包括但不限于：体系文件发布实施时间、体系文件实施记录、内部审核报告、管理评审记录、过程运行数据等。ISMS 有效运行满足 3 个月的证据可以是不同形式，由认证机构自行确定可接受的证据形式，但至少需要满足GB/T 22080/ISO/IEC 27001 要求的文件化制度实施已满3 个月。

要点与释义：

1. 申请评审时，认证机构应评估自身是否具备实施认证的能力，包括获批的认证业务范围、现有审核员能力、认证决定人员及其他认证人员能力、满足认证委托人其他要求的能力等。
2. 其他被认可的认证机构，是指已取得认可机构授予的 ISMS认可资格的认证机构。本释义所述认可机构为全球认可合作组织多边互认协议（GLOBAC MRA）签约成员，或国际认可论坛多边互认协议（IAF MLA）签约成员（2029 年 1 月 1 日之前有效），且签署ISMS 认证机构认可互认协议。
3. 认证转换时，认证机构应收集认证委托人最近一个认证周期内的认证资料，包括初次认证或最近一次的再认证审核报告及最近一次的监督审核报告，所有在这些审核中发现的不符合及其纠正措施。

要点与释义：

1. 认证机构在 2026 年 2 月 28 日前已签订的认证合同可继续执行，但 2026 年 3 月 1 日（含）后开展的认证活动应符合本规则的要求。2026 年 3 月 1 日（含）后新签订的认证合同应满足本规则 5.3 的要求。
2. 认证委托人应向认证机构直接支付认证费用，不得通过第三方支付。认证委托人的上级单位（如认证委托人所属的集团公司、事业单位、社会团体或机关）或下级单位向认证机构支付费用是可接受的形式。个体工商户作为认证委托人时，可以由经营者向认证机构支付认证费用，其他类型的认证委托人的认证费用不得由个人支付。
3. 2026 年 2 月 28 日前已签订的认证合同中约定的付款方式不满足新版规则要求的，认证机构应与认证委托人及时签署补充协议或重新签署认证合同，明确 2026 年 3 月 1 日后认证费用由认证委托人直接支付给认证机构。
4. 认证机构应在合同中约定认证委托人隐瞒真实信息的责任，以及因认证机构批准资质注销或被撤销导致获证组织 ISMS 认证证书无法有效保持的责任和经济赔偿。

要点与释义：

1. 一个认证周期内的审核方案中，应包括至少两次监督审核。监督审核的安排应同时满足以下要求：
   1. 第一次监督审核应在证书签发之日起 12 个月内进行，第二次监督审核应在认证证书签发之日起 24 个月内进行；
   2. 两次监督审核的时间间隔不应超过 12 个月，即本次监督审核的开始日期距上一次监督审核的结束日期不超过 12 个月；
   3. 除再认证的年份外，监督审核每个日历年需要进行 1次。
2. 在具体实施认证审核过程中，认证机构可根据认证委托人ISMS 的实际情况对审核方案进行必要的调整。
3. 认证范围内的主要信息安全风险所涉及的典型过程/活动、产品和服务是指该过程/活动、产品和服务的实现过程涉及的主要信息安全风险，同时也能涵盖认证范围内的其他过程/活动、产品和服务的实现过程涉及的主要信息安全风险，认证机构应记录确定典型过程/活动、产品和服务的理由。原则上，至少应在同一认证业务范围分类内选取典型过程/活动、产品和服务，选取的典型过程/活动、产品和服务应具有代表性。
4. 认证委托人存在多班次生产/服务情况的，认证机构应根据各班次的生产/服务内容，以及认证委托人对各班次的控制水平，策划对不同班次的审核。
5. 不同班次的生产/服务的内容、过程相似的，每次的ISMS 审核应审核至少一个班次的生产/服务活动现场；不同班次的生产/服务的内容、过程不相似的，每次审核应覆盖生产/服务实现的不同内容、过程的各班次。

要点与释义：

1. 对于市场监管总局（国家认监委）或认可机构未明确审核 时间要求的管理体系，信息安全管理体系不能与其实施结合审核，也不能通过结合审核的方式减少审核时间。
2. 现场审核时间的人日数计算最终结果含有小数的，应调整为就近的半人日数。如 5.3 人日应调整为 5.5 人日，5.2 人日应调整为 5 人日。

要点与释义：

1.认证机构建立的多场所组织认证抽样规则，应包括多场所抽样的应用条件。可应用抽样的多场所，抽样数量计算结果出现小数点均应进位，如可抽样多场所数量为 3，按要求监督审核的 抽样量计算结果为 1.04，抽样量应为 2。

2.认证机构根据各场所有效人数、ISMS 风险级别以及审核时间增减条件等，计算出总的现场审核人日，将总的现场审核人日分配到不同的场所；分场所审核人日的计算方法也可参见 5.4.2， 采用此方法计算时现场审核时间不得少于依据附录 B 所确定的现场审核时间的 50%。

要点与释义：

1. 审核组成员是指组成审核组的审核员、实习审核员和技术专家，不包括可能一同进入认证委托人现场的观察员、翻译或其他外部人员。审核组中的审核员应承担审核任务和责任。
2. 当认证委托人所属的认证业务范围包括不同分类的，ISMS 专业人员的专业能力应覆盖该认证委托人的全部认证业务范围分类。 3.每次审核均应有专职审核员全程参加，包括初次认证审核的第一阶段。当发生突发情况或不可抗力时，认证机构可更换专职审核员，但应确保审核过程全程有专职管理体系审核员参加。
3. ISMS 单体系审核时，审核组中应至少有 1 名ISMS 专职审核员参与全程审核。ISMS 和其他管理体系结合审核的，审核组应至少有 1 名结合审核涉及的管理体系领域的专职审核员参与全程审核。例如，ISMS 与ITSMS 结合审核的，审核组应至少有一名ITSMS或ISMS 专职审核员。
4. 专业实习的ISMS 审核员在积攒专业审核经历时，与 ISMS 专业领域审核员全程同组的，其在审核中的活动和审核发现由ISMS专业领域审核员负责；与技术专家全程同组的，需要在审核组内指派一名ISMS 审核员对其在审核中的活动和审核发现负责。
5. 对于多场所的审核活动，不要求专职审核员参与每一个场所的现场审核。颁发子证书的场所的现场审核活动，应有专职审核员全程参加。

要点与释义：

1. 生产或服务处于正常运行，是指产品或服务实现过程的主要环节正常进行。认证机构应在编制审核计划前，与认证委托人确认审核期间拟实施审核的生产或服务是否处于正常运行，现场审核不应安排在无生产/服务现场活动的时间段。
2. 审核计划应注明兼职审核员和技术专家的工作单位。兼职 审核员以及技术专家暂无工作单位的，可依据社保缴纳单位填写，如果未缴纳社保的，填写无。兼职审核员以及技术专家退休的， 填写退休单位并注明已退休。
3. 认证机构与认证委托人确认审核计划的方式，可包括邮件或其他沟通途径，认证机构应留存沟通记录。

要点与释义：

1. 审核组应以中文记录审核过程，图片/音像只能作为记录的补充。
2. 认证委托人的最高管理者，是指认证委托人申请认证范围活动的主要负责人或决策者，可以是一个人或一组人。认证委托人仅对其某个组成部分申请认证的，最高管理者可以是该组成部分的负责人。
3. 认证委托人对审核活动不予配合的情形，是指由于认证委托人的原因导致审核组无法按计划开展审核活动，或无法获取有效审核证据。
4. 认证委托人实际情况与申请材料有重大不一致，是指认证委托人实际情况（如认证委托人的组织机构、场所、活动、认证范围内人员数量、产品和服务类型、管理体系运行时间等）与本规则 5.1.3 条款要求的申请材料不一致，对审核方案有重大影响，导致审核组无法按原来的策划开展审核活动。
5. 如果认证机构因为未获得认证委托人的允许或无法满足适用的要求而不能接触相关信息资产，那么认证机构应对审核和认证所受到的影响进行评估并采取相应的措施（例如终止审核、缩小审核和认证的范围等）。

要点与释义：

1. 初次认证审核分为两个阶段审核，认证机构应在第一阶段审核结论的基础上策划安排第二阶段现场审核。
2. 认证委托人获得了经认可机构认可的其他认证机构颁发的有效ISMS 认证证书，是指认证委托人持有其他认证机构颁发的带认可标识的ISMS 认证证书，该认证证书处于有效状态，且本次申请的认证范围不超出带认可标识的ISMS 认证证书上的认证范围。
3. 未进行第一阶段现场审核的，审核组应在第二阶段现场审核时关注认证委托人申请信息和文件资料的真实性，发现存在认证委托人实际情况与申请材料有重大不一致的虚假情况的，应终止审核，认证机构确认申请信息和文件资料存在虚假情况的，应终止认证活动。
4. 审核组应汇总第一阶段和第二阶段收集的审核证据，综合审核组所有成员的审核发现，做出初次认证的审核结论。

要点与释义：

1. 获证组织认证范围覆盖多个活动、产品和服务涉及的主要信息安全风险的，在一个认证周期内的监督审核应覆盖所有主要信息安全风险所涉及的典型过程/活动、产品和服务。
2. 获证组织的认证范围包括季节性生产/服务活动的，监督审核策划时应考虑其季节性生产/服务情况，必要时应分多次进行监督审核。

要点与释义：

认证机构应关注获证组织的认证证书到期时间，提前进行再认证审核的策划安排，确保留有足够的时间在认证证书到期前完成再认证现场审核。不能在认证证书到期前完成现场审核的，认证机构应按初次认证开展认证活动，满足 5.6.2.2 的情况下第一阶段审核可不在认证委托人现场实施。

要点与释义：

1. 认证机构应明确扩大认证范围的必要审核活动，包括文件审核和现场审核（适用时）。扩大认证范围审核活动的范围和深度，取决于申请评审和审核方案策划的结果。
2. 特殊审核与监督审核同时进行的，应注意审核结论与审核目的的对应关系，同时保证特殊审核的充分性和监督审核的完整性。
3. 发生涉及获证组织 ISMS 认证范围的投诉、重大及以上级别的网络安全事件、变更或有需要跟踪被暂停的认证证书的，认证机构在评估认证有效性可能遇到的威胁后，可安排提前较短时间通知的审核。

要点与释义：

1. 对于轻微不符合，认证机构可要求认证委托人在规定的时限内进行原因分析并完成整改，也可要求认证委托人制定整改计划，并结合下一次现场审核进行验证，认证机构的处理方式应符合其自行制定的管理要求。
2. 关于严重不符合的验证时限，应满足以下要求：

1. 初次认证审核的严重不符合在 6 个月内未完成验证的，认证机构应在验证期限截止后 30 日内重新实施一次第二阶段审核；
2. 监督审核的严重不符合在 3 个月内未完成验证的，表明获证组织 ISMS 运行有效性存在问题，认证机构应暂停或撤销认证证书；
3. 再认证审核的严重不符合未在认证证书到期前完成验证的，认证证书到期自动失效。获证组织再次申请认证的，认证机构应按初次认证开展认证活动，满足 5.6.2.2 的情况下第一阶段审核可不在认证委托人现场实施。

要点与释义：

1. 初次认证审核第一阶段、初次认证审核第二阶段、监督审核、再认证审核、特殊审核结束后，认证机构均应向认证委托人提供书面审核报告。第一阶段的审核报告可不包括本规则第5.11.3 条款中的全部内容。
2. “应描述与审核类型要求一致的审核发现、审核证据（或审核证据的引用）以及审核结论”是指：
   1. 初次认证审核第一阶段的审核报告，应覆盖本规则5.6.2.1 条款要求内容；
   2. 初次认证审核第二阶段的审核报告，应覆盖本规则5.6.3.2 条款要求内容；
   3. 监督审核的审核报告，应覆盖本规则5.7.3 条款要求内容；
   4. 再认证审核的审核报告，应覆盖本规则5.8.2 条款要求内容；
   5. 扩大认证范围审核的审核报告，应覆盖拟扩大的 ISMS认证范围（包括增加的过程/活动、产品、服务、场所及有效人数）以及获证组织 ISMS 实施情况；扩大认证范围与监督审核结合实施的，还应满足本条释义（3）的要求；
   6. 提前较短时间通知审核的审核报告应与审核目的要求一致。
3. 审核组长对审核报告所有内容的真实性、准确性承担责任。
4. 认证审核报告应描述认证委托人（或获证组织）受到的与网络安全相关的行政处罚情况，及相关原因分析和整改措施的有效性。不同审核类型描述的信息所覆盖的时期不同：
   1. 初次认证审核：审核前一年内的；
   2. 监督审核：自上次审核结束至本次审核之间的；
   3. 再认证审核：认证证书有效期内的。
5. 除审核报告外，认证机构应妥善保存在认证审核过程中收集的、用于证实审核报告所陈述信息，特别是审核发现和结论的证据，如审核记录等。

要点与释义：

1. 在中华人民共和国境内开展的所有类型的 ISMS 认证，认证决定过程必须在中华人民共和国境内实施，且必须由中华人民共和国境内的工作人员做出。
2. 认证决定过程包括对审核报告等认证记录的复核，并做出认证决定，该过程可由一个人或一组人完成；如果是一组人，其中做出最终认证决定的人员应为认证机构的专职认证人员；认证机构可选择兼职技术专家为认证决定提供技术支持。
3. 授予、更新、扩大认证范围的决定，必须基于对审核的发现、不符合及其验证结果等信息的综合评价，并有充分证据证明已满足本规则第 5.12.2 条款的所有要求。
4. 认证机构宜在获证组织的认证证书到期前完成再认证审核的认证决定，使再认证证书与原证书无缝连接；在获证组织的认证证书到期前未完成再认证决定的，认证机构应注意后续认证活动的时效性。重点关注以下情形：
   1. 再认证审核开具轻微不符合的，轻微不符合的关闭（对纠正措施计划的评审和接受）和认证决定，可在原认证证书到期后 6 个月内完成。
   2. 再认证审核开具严重不符合的，严重不符合的关闭（对纠正措施有效性的验证）需要在证书到期前完成，认证决定应在原认证证书到期后 6 个月内完成。
   3. 在原认证证书到期后 6 个月内仍未完成认证决定的，获证组织应重新申请认证。重新申请认证时，认证机构应按初次认证审核开展认证活动。
5. 对于监督审核，如满足本规定第5.12.6 条款的要求，可以不单独进行“保持认证的认证决定”，可根据审核组提供的监督审核报告及其中“建议保持认证”的审核结论，保持对获证组织的认证。
6. 对监督审核不单独进行“保持认证的认证决定”的前提是，认证机构建立了文件化的监督审核的监视机制，并保留实施了监视的证据。
7. 监督审核的发现可能导致认证证书暂停或撤销时，认证机构应按本规则 5.12 条款的要求进行认证决定。监督审核的结论涉及认证证书变更的（如扩大认证范围、变更证书信息等），认证机构也应按本规则 5.12 条款的要求进行认证决定。

要点与释义：

1. 认证机构应建立文件化的认证证书和认证标志管理制度，且该制度应符合国家认监委关于认证证书和认证标志管理的相关要求，如《认证证书和认证标志管理办法》等，避免误导公众或侵犯公共利益。
2. 认证机构应结合监督审核和再认证审核，现场查看获证组织对认证证书和认证标志的使用情况。同时，认证机构应根据掌握的获证组织的认证证书状态变化情况，对获证组织正确使用认证证书和认证标志履行告知和监督义务。
3. 获证组织仅可在认证证书处于有效状态的情况下使用该认 证证书，如认证证书处于暂停期间、被撤销或注销后，认证机构 应要求获证组织不得使用认证证书和认证标志；认证证书被暂停、撤销或注销的，获证组织应及时对正在使用的认证证书和认证标 志进行处理，如包装或宣传材料等不可再继续使用认证证书和认 证标志的信息，原印制有认证证书和认证标志信息的包装或宣传 材料等应妥善处理。
4. 信息安全管理体系认证标志和证书信息，仅可在产品可以分割的包装（指包装可以从产品上移除且不会导致产品分解、碎裂或损坏）上使用，需使用中文注明获证组织通过信息安全管理体系认证及认证机构名称，以免与产品和服务认证标志混淆而误导公众。

要点与释义：

1. 本规则实施前签发的有效期超过 3 年的再认证证书，可以继续使用至该认证证书到期；本规则实施后，新签发的再认证证书有效期不得超过 3 年。
2. 存在以下情况的，认证机构不能按照再认证签发认证证书：
   1. 原证书到期前未完成再认证现场审核的；
   2. 原证书到期前未完成严重不符合的整改和验证的；
   3. 原证书到期后6 个月内未完成再认证审核的认证决定的。
3. 本规则实施后，认证机构颁发的 ISMS 认证证书，证书编号应遵循本规则附录C的编号规则，且该证书编号应具有唯一性。
4. 本规则实施前颁发的认证证书，证书编号不符合本规则附录C编号规则的，认证机构可结合监督审核和再认证审核更换认证证书，换证时须按本规则附录C的编号规则对认证证书重新编号。
5. 认证机构应在 2029 年 3 月 1 日前完成所有不符合本规则附录C的编号规则认证证书的换证工作。
6. 认证证书上载明的获证组织名称、统一社会信用代码和注册地址应与其合法主体资格证明文件载明信息保持一致；ISMS 认证范围应在其合法主体资格证明文件载明的业务范围内。
7. 认证机构应在认证证书上注明认证证书状态的查询方式，确保利益相关方和社会公众能查询到该认证证书状态的有效信息。

要点与释义：

1. 认证机构可根据需要，确定是否制定本机构信息安全管理体系认证标志。自行制定管理体系认证标志的，应建立管理体系认证标志的管理制度，明确认证标志式样、使用要求等。
2. 认证机构自行制定的信息安全管理体系认证标志，须确保其合法性，应符合本规则第 6.1 条款的相关要求。

要点与释义：

1. 认证机构应建立文件化的认证证书暂停、撤销和注销管理制度或程序文件，制度或程序文件应包括获证组织认证证书暂停、撤销和注销的适用情形及处理流程，适用情形应包括本规则第 7.2.1 条款、第 7.3 条款和第 7.4 条款中列明的情形。
2. 认证机构不得随意暂停、撤销和注销获证组织的认证证书。认证机构应按本规则规定的暂停、撤销和注销情形以及认证机构的管理制度，执行认证证书的暂停、撤销和注销，并保留暂停、撤销和注销相关记录性资料。

要点与释义：

1. 认证机构应对获证组织的行政许可文件、资质证书等持续有效情况开展调查核实，并在合同中约定获证组织应及时通报的相关变化情况。
2. 对适用暂停认证证书的情形，认证机构应在调查核实后的 5 日内暂停认证证书。若认证机构在作出暂停决定前，已确认该暂停情形在调查核实后 5 日内彻底消除且无再发生风险，可不予暂停；若暂停决定已作出，则须认证机构正式验证并确认暂停原因已消除后，方可恢复认证证书。
3. 第一次监督审核未能在认证证书签发后 12 个月内开展的，以及第二次监督审核未能在第一次监督审核按期结束后 12 个月开展的，认证机构应暂停认证证书。认证证书因不能按期接受第一次监督审核被暂停，在暂停期间认证证书状态恢复，第二次监督审核未能在认证证书签发之日起 24 个月内开展的，认证机构应暂停认证证书。
4. 获证组织可根据自身需求与认证机构协商一致，提前进行再认证审核。获证组织选择提前再认证的，认证机构应确保在认证周期内的每个日历年有一次监督审核或再认证审核，且提前再认证审核时间距离上一次监督审核不应超过 12 个月，否则应暂停认证证书。
5. 认证证书被暂停后，认证证书状态应由有效变更为暂停。认证机构应公开认证证书的暂停起止日期，通知并要求获证组织暂停期间不得使用认证证书和认证标志。
6. 认证机构应根据暂停的原因和实际情况确定暂停期限，暂停期限最长不得超过 6 个月，暂停截止日期不应超过证书有效期。
7. 暂停期内，认证机构确认暂停原因已消除的，应恢复获证组织的认证证书，证书状态由暂停变更为有效，并告知其可以恢复使用认证证书和认证标志。暂停期限已满，暂停原因仍未消除的，应按照本规则第 7.3 条款的规定撤销认证证书。

要点与释义：

1. 对于适用撤销认证证书的情形，认证机构应在获得相关信息并调查核实后 5 日内撤销认证证书，认证证书状态由有效（或暂停）变更为撤销，通知并要求获证组织停止使用认证证书和认证标志。
2. 撤销的认证证书失效，且不可恢复。

要点与释义：

1. 获证组织主动申请不再保持认证证书时，认证机构应确认该认证证书是否存在暂停或撤销情形。存在暂停或撤销情形的，应撤销其认证证书，证书状态由有效变更为撤销；不存在暂停或撤销情形的，应注销其认证证书，证书状态应由有效变更为注销。认证机构应通知并要求获证组织停止使用该认证证书和认证标志。
2. 注销的认证证书失效，且不可恢复。

要点与释义：

1. 认证机构应建立文件化的申诉（投诉）处理制度或程序文件，规定申诉（投诉）提交渠道、受理条件、调查处理程序、审核和批准程序、时限要求及结果告知方式等，并指定专人负责处理。认证机构应通过其网站或者其他形式公开申诉（投诉）渠道（如受理邮箱、电话等）。
2. 认证机构处理申诉（投诉）时，不得存在歧视、区别对待等情形。认证机构须对申诉（投诉）人和申诉（投诉）事项的相关信息严格保密，申诉（投诉）处理人员应签署保密承诺书等。

要点与释义：

1. 认证机构应履行公开认证证书信息的主体责任，公布认证证书信息的自有查询方式。公开的认证证书信息应包括：获证组织名称及统一社会信用代码、认证范围、认证依据、证书编号、签发日期和有效截止日期、是否被认可及认可机构名称等。认证证书暂停的，还应公开暂停起止日期；认证证书撤销、注销的，还需公开撤销、注销日期。
2. 认证机构的自有查询方式，不得仅链接跳转至国家认监委官方查询平台，如“全国认证认可信息公共服务平台（认 e 云）”等；否则，不能认为是认证机构的自有查询方式。

要点与释义：

1. 认证机构应制定文件化的认证记录、认证资料归档留存制度或程序文件，对认证全流程（包括认证申请、申请评审、方案策划、现场审核、认证复核与决定、认证证书签批及监督审核、再认证等环节）形成的记录、报告等资料进行归档，确保认证全过程可追溯。
2. 认证证书有效期正常届满的，认证记录、认证资料归档留存时间为有效期届满之日起 2 年以上；认证证书在其有效期内被注销或撤销的，认证记录归档留存时间为认证证书被注销或撤销之日起 2 年以上。归档留存期间需采取有效的防损毁、防篡改等措施，以满足监督检查、法律纠纷举证及认证有效性追溯等需求。
3. 认证记录的真实性要求认证记录内容必须与认证活动实际开展情况一致，杜绝虚假或误导性信息；准确性要求数据、时间、人员、结论等关键信息精准无错误；完整性要求认证记录覆盖认证全流程，所记录的信息完整无遗漏。认证记录包括但不限于本规则第 10.2 条款列明的 11 项内容。
4. 根据《认证机构管理办法》，在认证证书有效期内，认证活动参与各方盖章或者签字的认证记录、认证资料等，应当保存具有法律效力的原件。本规则 10.3 条明确了签字、盖章的记录至少包括所列明的 6 项内容。
5. 认证机构采用电子化认证记录的，建议根据《电子签名法》等法律法规的规定，委托电子认证服务提供者为其电子签名、数据电文（如电子化认证记录、认证资料）的真实性、可靠性进行验证，并提供电子认证证明。经电子认证的电子签名、数据电文，视为具有法律效力的原件。
6. 认证记录应使用中文，使用其他语言的认证记录应附中文译文，认证机构对译文的准确性负责。
7. 以电子文档形式保存认证记录的，应采用不可编辑的方式，确保记录一旦生成即无法被修改；能被修改的电子文档形式不能视为不可编辑的方式。
8. 认证机构应要求获证组织留存认证证书有效期内相应的认证记录，包括本规则第 10.5 条款列明的 6 项内容，可以纸质文件或电子文档形式保存，以电子文档形式保存的，应采用不可编辑的方式。

要点与释义：

1. 信息安全管理体系认证标准换版，认证机构应按照国家认监委后续发布的认证标准换版工作要求执行。
2. 认证机构应建立文件化的内部审核程序，确保每年至少开展一次针对 ISMS 认证活动的内部审核。内部审核应覆盖 ISMS认证活动的所有环节，包括本规则的执行情况，完整保留内部审核记录并形成报告。
3. 认证机构应配合国家认监委组织开展的同行评议工作。认证机构在接受同行评议时，需保持开放协作态度，确保评议流程顺利推进；针对评议过程中发现的不合规认证活动，须在规定时限内制定整改方案并落实纠正措施，通过持续改进机制维持认证活动的规范性和有效性。
4. 认证机构可为组织提供《网络安全技术 信息安全管理体系要求》等标准的宣贯、实施指导等技术服务，但须严格遵循“指导而非替代”原则，禁止直接参与组织内部管理体系文件编制、内审、管理评审等核心管理环节，尤其严禁通过编造虚假记录等帮助组织通过认证。
5. 参与某组织 ISMS 技术服务的人员（如咨询顾问、培训讲师等），在服务结束后 2 年内不得参与对该组织的 ISMS 认证审核或其他认证活动。
6. 在中华人民共和国境内开展 ISMS 认证活动的认证机构，须严格履行数据安全与网络安全法律责任，依据《数据安全法》和《网络安全法》等法律法规的规定，对认证活动中收集、生成的信息和数据在境内实施本地化存储管理。

要点与释义：

1. 本规则将ISMS 认证业务范围划分 30 个中类，认证机构应基于表A 开展 ISMS 认证活动，适用时认证机构可在表 A 的基础上，对认证业务范围进行特征分析与风险级别划分，确定细分的认证业务范围类别及其风险。无论何种理由，均不能将表 A 中的高风险认证业务范围调整为低风险。
2. 认证机构应建立认证业务范围及风险划分的文件化的管理制度或程序，并留存认证业务范围类别及风险划分的记录及结果。

要点与释义：

1. 对于中风险认证业务范围，附录B明确了认证审核活动的审核时间；对于低风险认证业务范围，审核时间可在此基础上适当减少，但减少量不能多于

附录B所列审核时间的 10%，认证范围如有其他减少审核时间的理由，可以适当减少审核时间，但总的减少审核时间不得超过 附录B所规定审核时间的 30%；对于高风险认证业务范围，审核时间需要在此基础上增加，增加量不能少于 附录B所列审核时间的 10%。

1. 有效人数可以不同于社保缴纳的人数，计算认证审核时间时，认证机构应先确定认证委托人的有效人数。
2. 认证机构应建立文件化的有效人数确定方法。确定有效人数时，应考虑认证委托人 ISMS 认证范围内涉及的所有人员，相似或重复过程以及雇佣大量非熟练人员的情况，减少人数应符合 ISO/IEC 27006-1 的相关规定。认证委托人 ISMS 认证范围内涉及的所有人员，包括兼职人员和部分处于认证范围内的雇员，以及倒班工作、行政工作和全部类别的办公室职员。如果是季节性运营的情况（如收获活动、度假村或度假旅馆等），计算有效人数应以高峰期的人员为计算基础。认证机构应留存确定有效人数的记录。

要点与释义：

1. 认证证书标号需要满足本规则附录C编号要求。认证机构确需保留其原认证证书编号的，可在认证证书上同时体现原认证证书编号。
2. 认证机构批准号流水号为 1000 以下的内资认证机构，编号规则中的认证机构代码为认证机构批准号后三位数字批准流水号；认证机构批准号流水号为 1000（含）以上的内资认证机构，编号规则中的认证机构代码为认证机构批准号后四位数字批准流水号。
3. 按照

5.2.3 的要求实施认证转换的，新认证证书的编号可延续原认证证书的认证周期。