尊敬的获证组织及相关方:

根据国家认证认可监督管理委员会 (CNCA) 发布的《信息安全管理体系认证规则》(CNCA-ISMS-01:2026，以下简称 "新版规则") 将于 2026年3月1日起全面实施。为确保贵组织平稳衔接新版规则要求，助力组织顺利申请、保持信息安全管理体系（以下简称“ISMS”）认证证书,保障认证活动合规有序、持续维护认证证书的有效性，现将新版规则中的重点变化内容及核心注意事项告知如下:

1.认证申请（5.1.2）

（1）取得合法主体资格及相关法律法规规定的行政许可，并处于有效期内；

（2）已按认证标准建立ISMS，且运行满三个月；

（3）因获证组织自身原因被原发证机构暂停、注销或撤销ISMS认证证书已满一年（适用时）；

（4）原ISMS认证证书发证机构被国家认监委撤销ISMS认证资质已满三个月（适用时）；

（5）当前未被行政监管部门责令停产停业整顿，未列入“国家企业信用信息公示系统”和“信用中国”发布的严重违法失信名单；

（6）ISMS一年内未发生重大及以上级别的网络安全事件； 注：网络安全事件级别依据GB/T 20986判定。

2.认证委托人提供文件资料（5.1.3）：

（1）认证申请，包括认证委托人的名称、地址、认证依据的标准、申请的认证范围、认证范围内人员数量及影响体系有效性的外包过程；

（2）法律地位的证明文件，当 ISMS 覆盖多个法律实体时， 应提供每个法律实体的法律地位证明文件；

（3）与申请认证范围所涉及的网络安全法律法规要求的行政许可文件、资质证书等（适用时）；

（4）组织机构及职责；

（5）生产/服务的流程、班次及轮班情况;

（6）ISMS 运行满三个月的证据；

（7）一年内所发生的网络安全相关的行政处罚以及整改情况（适用时）。

3.认证转换（5.2.3）

对于新的认证委托人，仅在同时满足下列情况的前提 下，ZXB可实施认证转换，否则应按照初次认证开展认证活动：

（1）ZXB具有认证委托人申请认证的ISMS认证范围的认可资格；

（2）认证委托人持有其他被认可的认证机构（原认证机构） 颁发的带认可标识的ISMS 认证证书（原认证证书）；

（3）原认证证书处于有效期内，未被原认证机构实施暂停或撤销；

（4）原认证机构认证业务正常运行，不存在认可资格到期、被暂停或撤销的问题；

（5）认证委托人向ZXB提供初次认证审核报告或最近 一次的再认证审核报告、监督审核报告、审核中发现的不符合及其纠正措施。

4.认证合同及费用支付方式（5.3.1）

通过申请评审的，认证机构应与每个认证委托人签订具有法律效力的认证合同，明确认证服务的费用、付费方式和违约条款，及认证委托人、认证机构和获证组织的责任。认证费用应由认证委托人向ZXB直接支付。

5.认证委托人与获证组织的责任（5.3.3/5.3.4）

认证委托人应遵守认证程序要求，如实提供相关材料和信息，配合认证行政监管部门的监督检查和ZXB对投诉的调查，及时向ZXB通报ISMS及5.1.2中条件的变更情况，承担选择的认证机构资质被撤销而带来的认证活动终止、认证证书无法使用的风险。

6.审核时间及审核安排（5.4/5.6/5.9.2）

(1)审核现场应按ZXB对认证委托人审核方案策划要求覆盖相应产品/服务、班次、多场所现场；（5.4.1、5.4.3）

(2)审核时间按人日计算，1人日为8小时，如果认证委托人工作日的实际工作时间不足8小时，则应延长现场审核天数以满足审核时间要求；（5.4.2.1）

(3)提前确认审核计划，确保审核现场处于生产/服务正常运行状态；（5.4.5.2、5.4.5.3）

(4)初次审核：分第一阶段审核和第二阶段审核。两个阶段审核时间间隔最短不少于5日，最长不超过6个月。如需要更长的时间间隔，应重新实施第一阶段审核；（5.6.1）

(5)第一次监督审核应在认证证书签发之日起12个月内进行。此后，监督审核间隔不应超过12个月；（5.4.1.4）

(6)为调查投诉、重大变更或重大及以上级别的网络安全事件时，ZXB将实施提前较短时间通知的审核。（5.9.2）

7.最高管理者参会及要求（5.5.3/5.5.4）

(1)认证委托人的最高管理者、ISMS 相关职能部门负责人应参加首末次会议，审核组应保留首末次会议签到记录、图片/音像证明材料。

认证委托人的最高管理者因故不能参加的，应书面授权其他高级管理层成员参会，向审核组说明缺席理由，并由审核组记录最高管理者缺席理由。

审核组应通过面对面访谈等形式，对认证委托人最高管理者在ISMS中发挥领导作用的情况进行重点审核，并保留现场图片/音像、审核记录等证明材料。最高管理者不熟悉组织自身信息安全方针、信息安全目标，未亲自参与并推动 ISMS 实施的，认证审核应不予通过。

8.终止审核情况（5.5.5）

发生下列情况的，审核组应向认证机构报告后终止审核：

(1)认证委托人对审核活动不予配合，审核活动无法进行；

(2)认证委托人的最高管理者或经授权的高级管理层成员缺席首、末次会议；

(3)认证委托人实际情况与申请材料有重大不一致；

(4)其他导致审核程序无法完成的情况。

9.再认证审核要求（5.8.1/6.2/5.12.4）

（1）认证证书期满前，获证组织申请继续持有认证证书的认证机构应依据审核方案实施再认证审核，以判断获证组织的ISMS 作为一个整体与 GB/T 22080/ISO/IEC 27001 的持续符合性和运行的有效性。

（2）再认证现场审核必须在原ISMS认证证书到期前完成，如有严重不符合，纠正和纠正措施的验证也应在原ISMS认证证书到期前完成，否则将不能授予再认证注册资格。只能通过重新进行初次认证审核获得认证证书；

10、不符合整改（5.10）

对于认证委托人未能在规定的时限内完成对不符合所采取措施的情况，ZXB将不做出授予认证、保持认证或更新认证的决定。

严重不符合的验证时限应满足以下要求： （1）初次认证：在第二阶段审核结束之日起 6 个月内完成； （2）监督审核：在审核结束之日起 3 个月内完成； （3）再认证：在原认证证书到期前完成。

11、认证证书有效期（6.2.1、6.2.3） 

认证证书有效期最长为3年。对于未能在原认证证书到期前完成再认证决定的，获证组织的 ISMS 认证证书到期后自动失效，直至获得新签发的再认证证书，新签发的再认证证书的终止日期不超过上一认证周期终止日期再加 3 年（证书有效期不足3年）。

12.认证证书的暂停(7.2)

  获证组织有以下情形之一的，ZXB在调查核实后 5日内暂停其认证证书，并保留相应证据：

（1）ISMS 持续或严重不满足认证要求的，包括 ISMS 文件与实际业务运作严重脱离；

（2）不满足 ISMS 适用的法律法规要求，且未采取有效纠正措施的； 

（3）受到与网络安全相关的行政处罚，且尚未完成整改的；

（4）发生重大及以上级别网络安全事件，反映获证组织 ISMS 运行存在重大缺陷的；

（5）拒绝配合市场监管部门的认证执法监督检查，或者提供虚假材料或信息的；

（6）持有的与 ISMS 范围有关的行政许可文件、资质证书等过期失效的；

（7）不能按照规定的时间间隔接受监督审核的；

（8）未按相关规定正确引用和宣传获得的认证证书和有关信息，包括认证证书和认证标志的使用；

（9）不承担、履行认证合同约定的责任和义务的；

（10）被有关行政监管部门责令停业整顿的；

（11）发生与网络安全相关重大舆情的；

（12）主动请求暂停的；

（13）监督审核时发现的严重不符合的纠正措施未能在3 个月内完成验证的；

（14）其他应暂停认证证书的。

ZXB可根据暂停的原因和性质确定暂停期限，暂停期限最长不得超过 6 个月。

13.认证证书的撤销(7.3)

获证组织有以下情形之一的，ZXB在获得相关信息并调查核实后5日内撤销其认证证书，并保留相应证据：

（1）被注销或撤销法律地位证明文件的；

（2）被“国家企业信用信息公示系统”和“信用中国”列入严重违法失信名单的

（3）认证证书的暂停期限已满，但导致暂停的问题未得到 解决或有效纠正的；

（4）经行政监管部门确认因获证组织违规而造成重大及以上级别网络安全事件的；

（5）ISMS 没有运行或者已不具备运行条件的；

（6）其他应撤销认证证书的。

14.认证证书的注销(7.4)

获证组织主动申请不再保持认证证书时，ZXB应确认在不存在暂停或撤销情形后，注销其认证证书，并保留相应证据。

15.认证证书和认证标志的使用（6.1）

（1）获证组织可以在认证证书有效时使用ISMS认证证书和认证标志，并接受ZXB的监督管理。认证证书处于暂停期间、被撤销或注销后，不得继续使用认证证书和认证标志。

（2）获证组织应当在广告等有关宣传中正确使用 ISMS 认证标志，不得在产品上仅标注 ISMS 认证标志，只有在注明获证组织通过 ISMS认证及认证机构名称的情况下，方可在产品包装上标注 ISMS 认证标志。

16.后续安排

本次 ISMS认证规则对双方要求更明确，望贵组织提前筹备，配合我机构完成相关审核与认证工作。随函附《信息安全管理体系认证规则》（CNCA-ISMS-01:2026）全文及释义，可详细查阅。

ZXB将通过官网公告、培训宣讲等形式持续提供支持，助力ISMS体系运行有效。

本次规则过渡期为 2026 年 1 月 15 日至 2 月 28 日，过渡期内ZXB将完成认证人员规则学习及内部管理文件修订，保障认证工作合规开展。2026 年 3 月 1 日起，ISMS认证活动将严格执行ISMS 新版规则要求，新发认证证书相关信息均按ISMS 新版规则实施，且已发ISMS 认证证书将于 2029 年 3 月 1 日前完成换发。

若对新版规则内容存在疑问，也可随时联系我机构市场部，联系电话：010-68639676。我机构将全程协助贵组织平稳过渡至新版规则要求，保障贵组织合法合规开展认证活动，助力贵组织持续提升管理体系运行的有效性与规范性。

感谢广大获证组织长期以来的信任与支持！

众信标(北京)认证有限公司
2026年2月3日