GB／T 36959-2026 配套解读中文版 测评机构能力指标逐条说明.docxVIP

GB/T36959-2026配套解读中文版测评机构能力指标逐条说明

网络安全等级保护测评是强依赖机构综合能力的第三方技术服务。测评结论直接支撑备案审核、行业监管与整改决策，因此“谁有资格做、做到什么程度算合格”必须由可观察、可取证、可复核的指标来约束。GB/T36959承担的正是这一功能：把笼统的机构实力拆解为一组能被文件审查、现场核查和项目追溯所验证的能力项。

实践中，机构的能力短板很少表现为完全不会做，更多表现为能力分布不均衡：骨干能打硬仗，但人员储备不足，项目并行时质量塌陷；工具齐全，但规则库长期不更新；报告写得漂亮，原始记录却支撑不了结论。指标的价值就在于把这些隐性风险显性化，让评估从听介绍、看材料转向看证据、做抽样、可复现。

以下按能力域逐条展开。为便于阅读，文中对指标作了归并与通俗化表述，条款顺序与编号以正式文本为准；涉及具体数量下限、时限要求的内容，应在申报前对照原文核对，不宜以本文表述替代。

一、能力指标体系的整体架构

这套指标不是一张平铺的清单，而是按能力域、能力项、证据点三层组织：能力域回答机构靠什么持续交付，能力项回答具体要具备什么，证据点回答拿什么证明。三层递进，任何一层缺失都会让评估结论失去支撑。

（一）判定逻辑

指标普遍采用符合、基本符合、不符合的分档思路，并配合关键项一票否决。关键项指一旦缺失即无法保证结论可信的要求，例如机构独立性、测评师持