网络安全等级保护测评机构管理办法 第一章 总则 第一条为加强网络安全等级保护测评机构以下简称“测评机 构”)管理，规范测评行为，提高等级测评能力和服务水平，根据《中 华人民共和国网络安全法》和网络安全等级保护制度要求，制定本办 法。 第二条等级测评工作，是指测评机构依据国家网络安全等级保 护制度规定，按照有关管理规范和技术标准，对已定级备案的非涉及 国家秘密的网络含信息系统、数据资源等)的安全保护状况进行检测 评估的活动。 测评机构，是指依据国家网络安全等级保护制度规定，符合本刃 法规定的基本条件，经省级以上网络安全等级保护工作领导(协调)小 组办公室以下简称“等保办”)审核推荐，从事等级测评工作的机构。 第三条 测评机构实行推荐目录管理。测评机构由省级以上等保 办根据本办法规定，按照统筹规划、合理布局的原则，优推荐。 第四条测评机构联合成立测评联盟。测评联盟按照章程和有关 测评规范，加强行业自律，提高测评技术能力和服务质量。测评联盟 在国家等保办指导下开展工作。 第五条测评机构应按照国家有关网络安全法律法规规定和标准 规范要求，为用户提供科学、安全、客观、公正的等级测评服务。 第二章测评机构甲请 第六条申请成为测评机构的单位以下简称“申请单位”)需向省 级以上等保办提出申请。 国家等保办负责受理隶属国家网络安全职能部门和重点行业主 管部门的甲请，对甲请单位进行审核、推荐监督管理全国测评机构 省级等保办负责受理本省(区、直辖市)甲请单位的甲请，对甲请 单位进行审核、推荐;蓝督管理其推荐的测评机构。 第七条甲请单位应具备以下基本条件： 一)在中华人民共和国境内注册成立，由中国公民、法人投资或 者国家投资的企事业单位； (二)产权关系明晰，注册资金500万元以上，独立经营核算，无 违法违规记录； 三)从事网络安全服务两年以上，具备一定的网络安全检测评估 能力; 四)法人、主要负责人、测评人员仅限中华人民共和国境内的中 国公民，且无犯罪记录 (五)具有网络安全相关工作经历的技术和管理人员不少于15 人，专职渗透测试人员不少于2人，岗位职责清晰，且人员相对稳 定； 六)具有固定的办公场所，配备满足测评业务需要的检测评估工 具、实验环境等； 七)具有完备的安全保密管理、项目管理、质量管理、人员管理、 档案管理和培训教育等规章制度： 八)不涉及网络安全产品开发、销售或信息系统安全集成等可能 影响测评结果公正性的业务(自用除外）; )应具备的其他条件。 第八条申请时，申请单位应向等保办提交以下材料： (一)网络安全等级保护测评机构推荐申请表； 二)近两年从事网络安全服务情况以及网络安全服务项自完整文 档和相关用户证明； 三)检测评估工作所需实验环境及测评工具、设备设施情况； 四)有关管理制度情况; (五)申请单位及其测评人员基本情况 六)应提交的其他材料。 第九条 等保办收到申请材料后，应在10个工作日内组织初审。 对符合本办法第七条规定的申请单位，应委托测评联盟对其开展测评 能力评估。 测评联盟组织专家，根据标准规范对甲请单位开展能力评估，出 具测评能力评估报告，并及时将能力评估情况反馈等保办。 能力评估不达标的，等保办应告知申请单位初审未通过。 第干条初审通过的甲请单位，应组织本单位人员参加测评师培 训。考试合格的，取得测评师证书。 测评师分为初级、中级和高级。申请单位应至少有15人获得测 评师证书，其中高级测评师不少于1人，中级测评师不少于5人。 第十一条 等保办组织专家对人员培训符合要求的申请单位进行 复核。复核通过的，颁发《网络安全等级保护测评机构推荐证书》。 第十二条测评机构实行自录管理，国家等保办编制《全国网络 安全等级保护测评机构推荐自录》，并在中国网络安全等级保护网网 站发布并及时更新。 省级等保办应及时将本地测评机构推荐情况报国家等保办。 第十三条省级等保办每年年底根据测评工作需求制定下一年度 测评机构推荐计划，并报国家等保办审定。 省级以上等保办受理测评机构申请的时间为每年三月份。 第干四条测评联盟应组织专家对新推荐测评机构的首个测评项 自实施情况进行跟踪评议，并将结果及时报等保办。等保办组织进行 综合审查。 第三章测评机构和测评人员管理 第十五条测评机构应与被测评单位签署测评服务协议，依据有 关标准规范开展测评业务，防范测评风险，客观准确地反映被测评对 象的安全保护状况。 测评机构应按照统一模板出具网络安全等级测评报告，并针对被 测评网络分别出具等级测评报告。 对第三级以上网络提供等级测评服务的，测评师人数不得少于4 名，其中高级测评师、中级测评师应各不少于1名。 第十六条测评机构应当指定专人管理测评专用章，制定管理规 范，不得滥用。 出具等级测评报告时，测评机构应加盖等级测评专用章。未加盖 专用章的报告，视为无效。 第干七条测评师上岗前，测评机构应组织岗削培训培训合格 的，由测评机构配发上岗证，上岗证发放情况应于发放后5个工作日 报等保办。测评机构应当对测评师开展等级测评业务情况进行考核 并留存相关记录。 未取得测评师证书和上岗证的，不得参与等级测评项目。测评师 一年内未参与测评活动的，测评联盟应注销其证书。 情况报等保办注册。测评机构不得采取挂靠或者聘用兼职测评师开展 测评业务。 第干八条测评机构应采取管理和技木措施保护测评活动中相关 数据和信息的安全，不得泄露在测评服务中知悉的商业秘密、重要敏 感信息和个人信息;未经等保办同意，不得擅自发布、披露在测评服 务中收集掌握的网络信息、系统漏洞、恶意代码、网络攻击等信息。 第干九条测评机构提供测评服务不受地域、行业、领域的限制。 测评项自采取登记管理。测评机构在实施测评项自之前，须将测评项 自信息及时、准确地填报到网络安全等级保护测评项自登记管理系统