等保测评机构名录怎么用：三个能查与三个查不到

选测评机构时，很多单位的第一反应是要一份「推荐目录」。这个动作本身没错：先确认对方有没有资格，再谈价格和排期。问题在于，目录这套说法已经换过一次底，拿着旧口径去核验，核到的很可能是一份早就不用的名单。

名录这套说法，已经换过一次底

过去测评机构实行推荐目录管理：由省级以上等保办择优推荐，入围《全国网络安全等级测评机构推荐目录》，发《网络安全等级保护测评机构推荐证书》。这套做法后来被调整，国家网络安全等级保护工作协调小组办公室撤销了推荐证书，不再发布推荐目录，相关工作纳入国家认证体系。

现行的资格凭证是《网络安全等级测评与检测评估机构服务认证证书》，由经国家认监委批准的认证机构实施认证。公开渠道能查的，是获证机构名录与机构目录，不再是「推荐目录」。

机构门槛仍可参照《网络安全等级保护测评机构管理办法》（公信安〔2018〕765号）：注册资金 500 万元以上；有网络安全工作经历的技术和管理人员不少于 15 人，专职渗透测试人员不少于 2 人；且不得兼营可能影响测评公正性的安全产品开发销售或系统集成业务。能力要求与评估规范另有国家标准 GB/T 36959-2018 托底。

实操含义很直接：如果一家机构还在用「入围推荐目录」当资质证明，要么资料没更新，要么话术存疑。

名录能查到的三件事

• 机构主体。全称、统一社会信用代码、注册地址。要逐字比对，名称差一两个字、实际是关联公司或挂靠团队的情形并不少见。
• 认证范围与证书编号。看认证业务是否确为等级保护测评服务，证书编号与对方提供的扫描件是否一致。
• 证书状态。认证证书有有效期，期内要靠监督审核保持；审核不通过会被暂停甚至撤销，公示渠道会同步更新。所以「曾经有」和「现在有效」是两件事。

查的地方有三处，可以交叉印证：网络安全等级保护网的信息查询栏目（全国网络安全等级测评与检测评估机构目录）、公安部第三研究所认证中心的获证机构名录，以及属地省级公安网安部门的公示。核验建议自己做一遍，截图和口头承诺都不算依据。

名录查不到的三件事

名录是准入名单，不是适配名单。下面三件事，名录里一个字都没有：

• 来的是谁。中标的是机构，进场的是项目组。测评由持证测评师实施，可以要求提供本项目人员名单及测评师证书编号。
• 档期与配合。同期接了几个项目、现场能派几个人、整改期响应快不快，这些决定了你的项目会不会卡在排队上。
• 整改辅导的深度。有的机构出完报告就结束，有的会陪你过一遍不符合项、排一遍整改优先级。差别在报告出来之后才显现。

配合度怎么问：四个具体问题

比起「你们实力怎么样」，下面四句更容易问出真东西：

• 本项目派几个人进场，项目经理是否全程同一人？
• 现场测评预计几个工作日，需要我们哪些岗位配合、哪些材料提前备好？
• 报告出具后，整改期的技术答疑怎么安排，复测要重新走哪些环节？
• 近两年做过同行业、同等级的项目吗，报告按现行模板出具吗？

四个问题问完，对方的项目组织方式基本就清楚了。答得含糊的，多半是销售在前、交付在后。

周期怎么排：把测评嵌进整改节奏

等保的完整链条是定级、备案、差距摸底、整改、测评、复测。二级以上系统应在等级确定后 30 日内到公安机关备案；三级原则上每年测评一次，二级原则上两年一轮，具体以属地要求为准。

时间上，中小型系统从启动到完成测评，通常 1–3 个月；如果差距大、涉及改造，整体 3–6 个月也常见。别把测评排在整改之前：先测后改，等于把同一批不符合项留到复测再交一次学费。

排期时把三段时间分开算：材料准备与备案约 2–4 周，现场测评 3–10 个工作日，整改与复测视差距而定。这三段里只有现场测评是机构的时间，另外两段主要由本单位掌握。

三个常见误判

• 把「入围」当「授权」。入围只是进入可选范围，不代表对本单位、本系统就一定派得出合适的人。
• 把报价单当能力证明。费用区间通常在二级 2–5 万元、三级 5–10 万元一个系统，跨度过大说明口径不一，要问清含不含整改辅导、复测与差旅。
• 只比价格不比配合。低价进场、中途加项、报告拖延，最后买单的还是本单位。

落到操作上

先查名录确认主体与证书状态，再问项目组与排期，最后比报价里的服务边界。等保备案流程决定测评的起点，整改方案决定复测要花多久，测评报告出来之后怎么读也值得提前看一眼；费用怎么拆，可以对照费用构成逐项核。

名录解决的是「能不能做」，配合度解决的是「做得好不好」。两件事都问清楚，选型才算完成。