一、主體資格條件?18734859001（缺一不可）
1. 合法注冊：持有有效營業執照（或事業單位 / 社團法人證書），具備獨立法人資格。
2. 無失信 / 黑名單：未列入嚴重違法失信名單、信息安全監管黑名單。
3. 無重大處罰：近 12 個月內未因信息安全、數據合規、網絡安全被主管部門行政處罰。
4. 行業資質（適用時）：金融、醫療、電信、支付等需提供行業許可；處理個人信息需滿足《個保法》合規要求。
?
二、體系建立與運行條件（核心硬性門檻）
1. 按新版標準建立 ISMS：依據 ISO/IEC 27001:2022 建立文件化信息安全管理體系。
2. 有效運行≥3 個月：體系正式發布并穩定運行滿 3 個月，有完整運行記錄（日志、培訓、整改等）。
3. 完成風險評估與處置：
? 識別信息資產并分級；
? 做風險評估（漏洞、影響）；
? 出具風險評估報告、風險處置計劃、適用性聲明 SoA。
4. 內審 + 管理評審：
? 至少1 次完整內部審核，覆蓋認證范圍，不符合項閉環；
? 最高管理者主持1 次管理評審，評價體系有效性。
?
三、文件與記錄條件（審核必查）
1. 體系文件齊全：安全方針、手冊、程序文件、風險評估 / 處置文件、SoA、記錄表單。
2. 運行記錄完整：權限管理、訪問日志、備份記錄、培訓記錄、事件處理、應急演練、變更管理等可追溯。
3. 文件與現場一致：制度必須落地，杜絕 “寫一套、做一套”。
?
四、現場與人員條件
1. 高層支持：最高管理者批準方針、分配職責、提供資源，審核必訪談高管。
2. 人員能力：關鍵崗位掌握信息安全職責與流程，核心人員接受體系培訓。
3. 控制措施落地：訪問控制、密碼策略、日志留存、數據加密、備份恢復、物理安全、供應鏈安全等按附錄 A 控制項有效實施。