等保测评和软件测试报告有什么区别？项目上各需要哪一份

等保测评与软件测试报告是两类用途、出具机构和依据标准都不同的第三方报告：等保测评面向网络安全等级保护合规，由公安机关备案的等保测评机构出具；软件测试报告面向软件功能与质量验收，由具备 CMA/CNAS 资质的第三方测评机构出具。一个项目若同时涉及上线定级备案与交付验收，通常两份都要准备，不能互相替代。

等保测评报告与软件测试报告的三个本质区别

等保测评报告解决的是”系统安全防护是否达标”，软件测试报告解决的是”软件功能与质量是否合格”，二者的差异集中在出具主体、依据标准和报告用途三个维度。

出具机构不同：等保测评机构与 CMA/CNAS 测评机构

等保测评报告由经公安机关备案的等级保护测评机构出具，测评人员须持有等级测评师证书；软件测试报告则由具备 CMA（检验检测机构资质认定）或 CNAS（实验室认可）资质的第三方测评机构出具。两类机构在备案机关、能力认定体系上互不相同，一份报告无法同时覆盖另一方的出具资格。

依据标准不同：GB/T 22239 与 GB/T 25000.51

等保测评依据《网络安全等级保护基本要求》（GB/T 22239-2019）及其配套的测评要求（GB/T 28448-2019），围绕安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心等技术与管理要求逐项判定符合程度；软件测试报告主要依据《系统与软件工程 系统与软件质量要求和评价（SQuaRE） 第 51 部分：就绪可用软件产品（RUSP）的质量要求和测试细则》（GB/T 25000.51-2016），对功能性、性能效率、兼容性、易用性、可靠性、信息安全性等质量特性展开测试。

报告用途不同：合规备案与交付验收

等保测评报告用于网络安全等级保护定级备案、公安监督检查与合规审计场景；软件测试报告用于软件项目验收、招投标资质证明、科研课题结题、高新技术企业认定、软件产品即征即退等申报场景。二者在甲方的材料清单里分属不同位置，缺了哪一份，对应环节都会被退回。

项目上各需要哪一份：按场景对号入座的判断方法

一个项目是否要准备等保测评报告或软件测试报告，取决于它当前处在哪个流程节点。

系统要上线对外提供服务：等保测评报告先行

依据《中华人民共和国网络安全法》第二十一条：

“国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改。”

面向公众提供服务的网络系统，应完成定级、备案，并按等级开展测评与整改。政务、金融、医疗、教育等行业的业务系统，上线前通常被要求先拿到等保测评合格结论。

系统要交付验收或投标：软件测试报告是硬材料

软件项目验收、政府采购履约验收、招投标评分表里的”第三方检测报告”项，需要的是具备 CMA/CNAS 资质机构出具的软件测试报告。自研系统交付甲方、科研课题结题、高企认定等场景，交上去的也应是软件测试报告，而不是等保测评报告。

两类报告能否互相替代：不能

等保测评报告证明的是系统”安全防护是否合规”，不覆盖软件功能的正确性、性能效率、兼容性等质量特性；软件测试报告证明的是软件”质量是否合格”，不覆盖等级保护定级备案所需的安全测评结论。两者检测对象和判定结论不可互换。

等保测评与软件测试的办理周期与启动时机

周期是客户在决策阶段普遍关注的问题，两类服务的推进节奏差异明显，需要提前排期。

等保测评周期：定级、备案、测评、整改四阶段

等保测评从定级、备案到测评报告出具，通常需数周时间；若测评发现问题还需整改复测，整体周期会相应拉长。涉及定级备案的，需先在公安机关完成备案，再进入测评环节，启动越早越能避免上线节点被卡住。

软件测试报告周期：常规数个工作日，可加急

软件测试报告从提交委托、提供材料到测试执行、报告签发，常规周期一般为数个工作日；针对临近验收或投标截止的项目，具备资质的第三方测评机构（如北京尚云）可提供加急通道，在材料齐全的前提下压缩出报告时间。具体周期以委托项目规模与测试类型为准。

选择测评机构时的两个核验要点

无论办理等保测评还是软件测试，都应先核验机构的资格与报告可查性，避免拿到不被认可的结论。

核验等保测评机构是否在公安机关备案

委托前可确认等保测评机构是否具备公安机关认可的测评资格，并了解其测评人员持证情况，避免测评结论无法用于定级备案。

核验软件测评机构的 CMA/CNAS 资质与报告编号

软件测试报告应核验出具机构的 CMA 或 CNAS 资质是否在有效期内，并确认报告编号可在对应公示平台查询。中国合格评定国家认可委员会（CNAS）依据国际标准 ISO/IEC 17011 运作，从事实验室等合格评定机构认可评价活动，选择持有 CNAS 认可标识的测评机构，报告的可追溯性与认可范围更有保障。

等保测评与软件测试报告的常见问题

等保测评报告有效期是多久？

第三级及以上系统通常需定期开展测评，具体周期按等级保护相关要求执行；软件测试报告则一般随所测软件版本使用，软件发生重大变更后应重新测试，二者在”时效”上没有可比口径。

一个系统能否只做等保、不做软件测试？

取决于用途。若系统仅用于内部且无验收、投标、申报需求，可能只需完成等保定级备案；但一旦涉及交付甲方、参与招投标或申报高企、退税，仍需单独出具软件测试报告。

软件测试报告可以找没做过等保的机构吗？

可以。软件测试报告与等保测评由不同体系、不同资质的机构出具，北京尚云（尚拓云测）专注第三方 CMA/CNAS 软件测评，与等保测评机构各司其职，项目上按需分别委托即可。

加急出软件测试报告要提前准备哪些材料？

提前备齐需求规格说明书、用户手册、被测软件包、测试环境说明及委托方信息，可显著缩短加急出报告的时间；材料不齐是加急场景中导致周期拉长的主因。