关于ISMS和ITSMS认证要求的告客户书

2026-10-08

尊敬的GAC客户及各相关方：

国家认证认可监督管理委员会（CNCA）于 2026 年 1 月 14 日正式发布了《信息安全管理体系认证规则》（CNCA-ISMS-01:2026）和《信息技术服务管理体系认证规则》（CNCA-ITSMS-01:2026）（以下简称规则），新规则将于2026年3月1日起正式实施。上述新规则分别是ISMS和ITSMS认证活动的基本依据和底线要求，也是地方认证监管部门对获证组织及认证机构认证监管的重要依据。

为确保各获证客户顺利过渡并持续符合新规则的要求，保证认证过程的合规性与贵司认证证书的持续有效性，GAC现将各获证客户/认证申请组织需重点关注的事项整理并告知如下：

（说明：ISMS和ITSMS两类认证的通用要求，申请任一体系均需满足。注明来源的为对应体系的专属要求，仅需根据所申请的认证体系，满足对应条款即可。）

一、认证申请条件（新版《规则》5.1.2）

1. 申请认证的组织需具备合法主体资格，持有相关法律法规要求的行政许可（如适用），且许可处于有效期内。

2. 申请组织应依据认证标准建立 ISMS/ITSMS，并确保其运行时间不少于三个月。

3. 若获证组织因自身原因被原发证机构暂停、注销或撤销ISMS/ITSMS认证证书，需满一年后方可重新申请（如适用）；若原ISMS/ITSMS认证证书发证机构被国家认监委撤销ISMS/ITSMS 认证资质，需满三个月后方可申请（如适用）。

4. 申请组织目前未受到行政监管部门的停产停业整顿处罚；未被列入“国家企业信用信息公示系统”或“信用中国”公布的严重违法失信名单。

5.申请组织一年内未发生重大及以上级别的网络安全事件；注：网络安全事件级别依据GB/T 20986判定。（仅ISMS适用）。

二、认证合同签署、费用支付及相关责任

1. 认证申请组织必须与认证机构签订合法有效的认证合同，并严格依照合同约定，直接向认证机构支付相应的认证费用。申请组织的上级单位（如申请组织所属的集团公司、事业单位、社会团体或机关）或下级单位向认证机构支付费用是可接受的形式。（新版《规则》5.3.1）

2. 认证申请组织应严格遵循认证程序的各项要求，真实、准确地提供所需材料和信息，积极配合认证行政监管部门的监督检查以及认证机构对投诉的调查工作，及时向认证机构通报相应管理体系及认证申请条件的变更情况。并承担选择的认证机构资质被撒销而带来的认证活动终止、认证证书无法使用的风险。（新版《规则》5.3.3、5.3.4）

三、认证审核过程相关内容

1、审核策划及安排

1）认证审核应在申请组织的现场实施，包括初次认证审核以及认证周期内的每年度的监督审核、再认证审核和特殊审核。（新版《规则》5.5.1）

2）初审审核：初次认证审核需分两个阶段进行，即第一阶段审核和第二阶段审核。两个阶段审核的时间间隔不得少于 5 日，且不得超过 6 个月。若超过 6 个月，则需重新开展第一阶段审核。（新版《规则》5.6.1）

3）监督审核：初次认证及再认证后的首次监督审核，须在认证证书签发之日起 12 个月内完成。后续每次监督审核的间隔时间不得超过 12 个月。（新版《规则》5.4.1.4）

4）再认证审核：再认证审核必须在获证组织的现场进行，并且要确保在认证证书到期前完成审核工作。（新版《规则》5.8.2）

5）提前较短时间通知的审核：为调查投诉、突发事件，对变更做出回应或对被暂停的客户进行追踪，可能需要在提前较短时间或不通知获证组织的情况下进行审核。（新版《规则》5.9.2）

6）现场审核的安排应确保认证申请组织的生产或服务(ISMS)/信息技术服务(ITSMS)处于正常运行状态。（新版《规则》5.4.5）

2、审核实施过程

1）认证申请组织的最高管理者以及ISMS/ITSMS相关职能部门负责人务必参加首、末次会议。若最高管理者因故无法参会，需由获得其书面授权的其他高级管理层成员代为出席。同时，认证机构需妥善保存首、末次会议的签到记录以及图片、音像等证明材料。（新版《规则》5.5.3）

2）认证申请组织的最高管理者应通过与审核组进行面对面访谈等方式，充分证明其在ISMS/ITSMS中切实发挥了领导作用，并留存现场图片、音像以及审核记录等相关证明材料。若最高管理者对组织的信息技术服务方针、信息技术服务目标不熟悉，或未亲自参与并推动ISMS/ITSMS的实施，认证审核将不予通过。（新版《规则》5.5.4）

3、审核终止情况（新版《规则》5.5.5、5.6.2.4)

依据新版认证规则，若出现以下情形，审核工作将被终止：

1）认证申请组织不配合审核活动，致使审核无法正常开展；

2）认证申请组织的最高管理者或其授权的高级管理层成员未出席首、末次会议；

3）认证申请组织的实际情况与申请材料存在重大不符;

4）认证机构通过第一阶段审核发现相关申请信息和文件资料存在虚假情况的，应终止认证活动；

5）其他导致审核程序无法完成的情况。

四、认证证书和认证标志的保持和管理

1.认证证书的有效期（新版《规则》6.2.1、6.2.3）

认证证书的有效期最长为3年。本规则实施后（2026年3月1日起），新签发的再认证证书有效期也不得超过3年。

对于未能在原认证证书到期前完成再认证决定的，获证组织的认证证书到期后自动失效，直至获得新签发的再认证证书，新签发的再认证证书的终止日期不超过上一认证周期终止日期再加3年。

2.认证证书编号规则（新版《规则》附录C）

认证证书编号由认证机构代码、发证年份号、管理体系简写、顺序号、认证周期、认可机构代码和子证书号构成。

五、获证后保持（新版《标则》5.3.4）

获证组织应遵守认证程序要求，如实提供相关材料和信息，通过认证后持续有效运行管理体系，配合认证行政监管部门的监督检查，在广告、宣传等活动中正确使用认证证书、认证标志和有关信息，及时向认证机构通报管理体系及“认证申请条件”中条件的变更情况，承担选择的认证机构资质被撤销而带来的认证证书无法使用的风险。

六、认证记录保存（新版《规则》10.5）

获证组织应留存认证证书有效期内相应的认证记录，至少包括：

1）认证合同；

2）审核计划；

3）首、末次会议签到表；

4）不符合报告及原因分析和纠正措施；

5）审核报告；

6）暂停、撤销通知（适用时）。

七、认证证书的暂停、撤销和注销

1.认证证书的暂停（新版《规则》7.2）

获证组织有以下情形之一的，认证机构应在调查核实后5日内暂停其认证证书，并保留相应证据：

1）管理体系持续或严重不满足认证要求的，包括文件与实际业务运作严重脱离；

2）不满足管理体系适用的法律法规要求，且未采取有效纠正措施的；

3）受到与网络安全相关的行政处罚，且尚未完成整改的（ISMS适用）；受到与信息技术服务相关的行政处罚，且尚未完成整改的（ITSMS适用）；

4）发生重大及以上级别网络安全事件，反映获证组织ISMS运行存在重大缺陷的（ISMS适用）。

5）拒绝配合市场监管部门的认证执法监督检查，或者提供虚假材料或信息的；

6）持有的与相应管理体系认证范围有关的行政许可文件、资质证书等过期失效的；

7）不能按照规定的时间间隔接受监督审核的；

8）未按相关规定正确引用和宣传获得的认证证书和有关信息，包括认证证书和认证标志的使用；

9）不承担、履行认证合同约定的责任和义务的；

10）被有关行政监管部门责令停产停业整顿的；

11）发生与相应管理体系相关重大舆情的；

12）主动请求暂停的；

13）监督审核时发现的严重不符合的纠正措施未能在3个月内完成验证的；

14）其他应暂停认证证书的。

2.认证证书的撤销（新版《规则》7.3）

获证组织有以下情形之一的，认证机构应在获得相关信息并调查核实5日内撤销其认证证书，并保留相应证据：

1）被注销或撤销法律地位证明文件的；

2）被“国家企业信用信息公示系统”和“信用中国”列入严重违法失信名单的；

3）认证证书的暂停期限已满，但导致暂停的问题未得到解决或有效纠正的；

4）经行政监管部门确认因获证组织违规而造成重大及以上级别网络安全事件的（ISMS适用）；

5）ISMS/ITSMS没有运行或者已不具备运行条件的；

6)其他应撤销认证证书的。

3.认证证书的注销（新版《规则》7.4）

获证组织主动申请不再保持认证证书时，认证机构应确认在不存在暂停或撤销情形后，注销其认证证书，并保留相应证据。 

为有效贯彻新版《规则》，我们将有序更新相关认证信息，包括但不限于：认证合同、认证证书模板、其他可能使用的文件。

关于认证证书编号规则的变更，我们将在2029年3月1日前，结合监督审核/再认证审核为获证组织更换认证证书。

附上《信息安全管理体系认证规则》（CNCA-ISMS-01:2026）/《信息技术服务管理体系认证规则》（CNCA-ITSMS-01:2026）及其释义文件，敬请详细查阅。

感谢一直以来对GAC的信任与支持，如有任何疑问，欢迎随时与GAC进行联系。

GAC新事业运营中心联系电话：0571-85067852。

附件：

1.《信息安全管理体系认证规则》（CNCA-ISMS-01:2026）

2.《信息技术服务管理体系认证规则》（CNCA-ITSMS-01:2026）

3.《信息安全管理体系认证规则》释义

4.《信息技术服务管理体系认证规则》释义

浙江公信认证有限公司

2026年02月05日