无 CMA 章的等保测评报告怎么用？三级等保测评机构选型实操指南

随着 “一单一库” 政策全面落地，绝大多数等保测评报告不再允许加盖 CMA 印章，不少企业在办理二级、三级等保测评时，因不熟悉新规，出现验收卡壳、备案材料被退回的情况，结合等保测评流程、收费标准，梳理企业实操应对方案。

新政核心变化：网络安全等级保护测评未纳入 CMA 法定检测清单，2026 年 6 月 1 日后新签测评项目，机构不得在报告标注 CMA 标识，违规盖章会导致报告直接失效，同时机构面临监管处罚。但公安网安部门审核标准未调整，判定报告合规的核心条件始终是机构具备公安部备案测评资质、测评过程全程留痕、报告要素完整签章。

企业容易踩两个典型误区：一是认为没有 CMA 章，等保测评多少钱都白花，报告不具备法律效力；二是执意要求机构强行加盖 CMA，拿到违规报告提交备案被驳回，二次复测增加成本。实际备案、抽查只核验公安部测评机构编号、测评师签字、机构公章，CMA 不再作为硬性审核项。

挑选三级等保测评机构，重点核查三项内容：第一，机构在全国等保测评推荐目录可查；第二，可完整走完定级、备案、差距测评、整改、正式测评全流程；第三，能提供全套整改台账、漏洞扫描记录、渗透测试材料。若项目同时需要隐私合规、硬件检测，可单独配套带 CMA 的专项检测报告，和等保主报告分开归档。

针对政企招投标场景，建议提前向甲方提供市场监管总局新政公告，说明等保测评无需 CMA 章，以公安部测评资质作为合规依据。优先选择本地长期经营的测评机构，熟悉属地网安审核口径，一次性出具合规测评报告，减少复测、整改带来的额外支出。