CCRC八大类别怎么选？一张表对号入座，别等材料准备错了才返工
2026-10-08 · 出口认证 · 阅读约6分钟
提示：普华智科 / CertFastLine 普华认证｜CCRC信息安全服务资质专栏 · 第2期
先说结论： CCRC信息安全服务资质分八大类别，每个类别查的是不同的服务能力。选错类别的代价不是"多花点钱"，而是整套材料推倒重来——因为人员构成、项目证据、技术工具、体系文件全都按类别来配。这篇给你一张"对号入座表"：先看你公司在卖什么、合同里写的是什么，再决定报哪一类、哪个级别。
一、先搞清：CCRC 的八大类别
CCRC（中国网络安全审查认证和市场监管大数据中心）的信息安全服务资质，按服务内容分为八大类别：
| # | 类别 | 做什么 | 典型企业 |
|---|---|---|---|
| 1 | 信息系统安全集成 | 安全需求界定、安全设计、建设实施、安全加固 | 系统集成商、安全设备商 |
| 2 | 信息系统安全运维 | 安全巡检、监控、加固、漏洞通告、事件响应 | IT运维/驻场服务商 |
| 3 | 信息安全风险评估 | 威胁与脆弱性分析、风险定级、整改建议 | 等保测评/安全评估机构 |
| 4 | 信息安全应急处理 | 应急计划、事件响应、恢复处置 | 攻防演练、应急服务商 |
| 5 | 软件安全开发 | 用安全开发流程控制软件风险 | 自研软件企业 |
| 6 | 信息系统灾难备份与恢复（资源服务类） | 提供灾备资源（机房/设备/云资源） | IDC、云服务商 |
| 7 | 信息系统灾难备份与恢复（技术服务类） | 灾备方案设计、演练、切换 | 灾备方案商、集成商 |
| 8 | 网络安全审计 | 对系统安全性、可靠性、经济性进行检查评价 | 安全审计/咨询服务商 |
提示：说明：灾备在部分资料里合并表述为"灾难备份与恢复"一类，实际按资源服务类和技术服务类两个方向分别评价；另有个别机构列有"工业控制系统安全"方向。具体以 CCRC 最新实施规则为准。
二、三步对号入座
选类别不是"哪个好考选哪个"，而是从你已有的业务里倒推——因为审核看的是真实能力。
第1步：看你实际在卖什么
先回答一个问题：过去1-2年，客户付钱买你的"服务"是什么？
- 卖安全设备+安装调试、做安全方案 → 安全集成
- 帮客户维护安全设备/平台、做巡检监控 → 安全运维
- 做等保测评、定级备案、安全评估 → 风险评估
- 做攻防演练、安全事件响应 → 应急处理
- 有自研软件产品、有开发团队 → 软件安全开发
- 提供机房/云资源做灾备 → 灾备（资源服务类）
- 做灾备方案设计、演练切换 → 灾备（技术服务类）
- 做安全审计、合规检查 → 网络安全审计
第2步：看你手里有什么证据
CCRC 的核心是"用证据证明你真的做过"。所以第二步不是看你想做什么，而是看你手里的合同和项目长什么样：
| 你手里的东西 | 更匹配的类别 |
|---|---|
| 设备采购+安装调试合同 | 安全集成 |
| 运维服务/驻场/年度维护合同 | 安全运维 |
| 测评、评估、定级类合同 | 风险评估 |
| 演练、应急响应类合同 | 应急处理 |
| 软件项目合同+研发记录 | 软件安全开发 |
| 机房租赁、云资源合同 | 灾备（资源服务类） |
| 灾备建设、方案设计合同 | 灾备（技术服务类） |
| 审计、检查类合同 | 网络安全审计 |
第3步：看人员和技术工具
每个类别对人员岗位能力和技术工具的要求不同：
- 安全运维：运维、监控、应急响应岗位，要能对应上工具（监控平台、漏扫等）
- 安全集成：安全设计、实施、加固岗位
- 风险评估：评估方法论、测评工具
- 软件安全开发：安全编码、代码审计能力
人数上，三级一般需要 6 人的配套团队，且核心人员社保要在申报主体（这条最容易翻车）。
三、级别怎么定：先三级，别一步到位
每个类别都分三级、二级、一级（一级最高、三级最低）。
| 等级 | 大致门槛 | 适用场景 | 参考周期 |
|---|---|---|---|
| 三级 | 6人团队 + 1个以上项目 + 体系文件 | 中小项目投标、入门资质 | 约1-2个月准备 |
| 二级 | 约20人 + 多个项目 + 注册资金通常500万 | 多数政府/央企项目要求 | 约2-3个月准备 |
| 一级 | 高级能力 + 丰富案例 + 技术工具 | 大型/省级项目、行业标杆 | 约3-4个月准备 |
四、最容易选错的四种情况
- 按"好考"选，不按业务选。 比如公司明明做运维，却因为"集成听起来高级"去报安全集成——结果项目证据全是运维合同，对不上。
- 一个类别报不上，就换另一个试。 类别之间不是难度差异，而是能力方向差异。换类别不解决证据问题。
- 主体不一致。 项目挂在分公司、人员社保在总公司、合同签在关联公司——审核时对不上，直接卡。
- 以为"公司成立久就能报高级别"。 级别看的是能力和案例，不是成立年限。
五、一张自测表：你该报哪一类
按顺序对一遍：
- ⬜ 我能说清过去1-2年客户付钱买的核心服务是什么
- ⬜ 我手里有与这个服务对应的合同/项目（或可整合的内部项目）
- ⬜ 我能凑出该类别的配套团队（三级一般6人），且核心人员社保在本主体
- ⬜ 我有能证明技术能力的工具/平台/方法（哪怕不完善）
- ⬜ 我愿意投入做一套能落地的体系文件
五条都对上，类别基本就定了。任何一条打不上，先补这条，再谈报哪个类别。
最后的话
CCRC 的类别选择，本质是"把你已经在做的事，翻译成审核认得的语言"。选对了，材料是"整理"；选错了，材料是"重做"。先盘业务和证据，再定类别和级别，这一步做对，后面省一大半力气。
如果盘不清自己该报哪一类、哪一级，找一个懂审核逻辑的人帮你逐条过一遍，比你自己试错便宜得多。
▍不确定自己该报哪一类？在评论区留言或私信我，备注"CCRC类别自测表"，我发你一份逐条对照清单
普华智科 / CertFastLine 普华认证｜出口认证 & 检测 & 管理体系咨询 本文为合规科普参考，非法律意见