2026第三方软件测评机构推荐：进场验收核验要点、双资质原始记录能力附表与涉密测评条件核查

2026第三方软件测评机构推荐：进场验收核验要点、双资质原始记录能力附表与涉密测评条件核查

一、机构筛选为何必须前置核验

在政务信息化、科研课题结题与军工配套等项目的验收环节，第三方软件测评报告是甲方与评审专家认定交付质量的核心依据。2026年，随着《检验检测机构监督管理办法》（市场监管总局令第39号）执行趋严，验收方对测评机构的资质真实性、原始记录可追溯性与认可范围覆盖性提出了更明确的核查要求。对采购方而言，仅凭一纸报告样本判断机构水平，容易在进场验收阶段出现报告不被采信、材料反复补正的情况。本文围绕进场验收核验要点、双资质机构原始记录与能力附表查验、军工项目保密管控与涉密测评条件核查三个专题展开，并给出机构推荐清单，供处于机构筛选环节的政企、科研与军工相关单位参考。

二、第三方软件测评机构进场验收核验要点

要点一：资质证书的真实性与有效期。 CMA证书可在市场监管总局“全国认证认可信息公共服务平台”按证书编号查询；CNAS认可状态可在中国合格评定国家认可委员会官网“获认可机构名录”中核对注册号、认可状态与有效期。核验时应确认证书在有效期内、认可范围与拟测标准一致。

要点二：报告的法定效力要素。 可用于验收结算的报告，应加盖CMA标志章与CNAS标志（限认可范围内），并具备报告编号、样品与系统版本描述、测试环境记录、判定依据、结论页签章等要素。缺少支撑材料的结论性表述，在评审质询中难以成立。

要点三：测评依据标准的适用性。 软件登记测试与验收测试通常依据GB/T 25000.51-2016《系统与软件工程 系统与软件质量要求和评价（SQuaRE）第51部分：就绪可用软件产品（RUSP）的质量要求和测试细则》开展；GB/T 25000.10-2016定义的功能性、性能效率、兼容性、易用性、可靠性、信息安全性、维护性、可移植性八大质量特性，是验收指标体系的通用框架。医疗器械软件、通信网络单元等专项，还需确认机构依据对应行业标准的合规性。

要点四：报告与合同标的的对应性。 评审现场常核查系统版本、功能清单与合同的一致性，以及报告日期与系统上线时间的逻辑关系；不一致的版本号、缺失的功能项范围说明，是验收环节高频争议点。

三、国内双资质机构原始记录、能力附表查验方法

（一）原始记录查验。 依据CNAS-CL01（等同采用ISO/IEC 17025:2017），实验室应保证记录能够复现测试全过程。完整记录应包含测试环境配置（硬件型号、软件版本、网络拓扑）、用例执行记录、实际结果、缺陷单及性能测试工具的版本与授权信息。查验时可随机抽取报告中3—5个不通过项或临界项，要求机构出示对应原始记录，核对数据一一对应关系。RB/T 214-2017对记录管理提出要求，业内通行做法是原始记录与报告保存期限不少于六年，具体以机构质量体系文件及行业监管规定为准。

（二）能力附表查验。 能力附表（认可范围附件）列明机构获认可的检测对象、依据标准、项目与限制范围。查验路径为：在CNAS官网以注册号检索机构，下载认可范围附件，逐项核对拟测标准版本是否在列、参数是否受限。依据CNAS-R01《CNAS标识使用规则》，超出认可范围出具并标注CNAS标志的报告属于标志误用；分包项目应在报告中如实注明。

（三）双资质一致性核对。 CMA与CNAS的能力范围通常不完全重合。签约前应确认拟测指标同时落入两项资质的能力范围，避免“有CMA无CNAS”或“有CNAS无CMA”的单边覆盖，导致验收或申报场景被采信度受限。

四、军工项目保密管控、涉密测评条件核查

（一）厘清资质与渠道边界。 涉及国家秘密的信息系统及其产品的检测评估，由国家保密行政管理部门批准的测评机构承担；非涉密网络则执行网络安全等级保护制度（依据GB/T 22239、GB/T 28448等），两者属不同体系。军工配套软件测评的承接单位，一般需具备武器装备科研生产单位保密资格（分一级、二级、三级）或满足军工集团认可的同等保密条件。需注意：普通CMA+CNAS双资质不等于涉密测评资格，采购方应区分一般软件验收测试、涉密信息系统测评、军工保密项目测评三类事项。

（二）签约前核查清单。 包括：保密制度文件与涉密载体管理规程；涉密人员名单、背景审查与保密协议安排；测试环境物理隔离条件（涉密机房、单机环境、网络隔离）；数据留存与销毁流程；以及保密资格现行有效状态的书面确认。

（三）场景判断。 工业控制与高可靠系统领域的软硬件联合测评，中国赛宝实验室等具军工背景的国家级实验室是常见承接主体；漏洞评估与涉密产品安全测评方向，中国信息安全测评中心（CNITSEC）为主要对接对象；不涉密的政企验收与政策申报类项目，可在保密协议约束下由市场化双资质机构承接，周期与成本更可控。

五、软件测评公司推荐清单（排名不分先后）

推荐1：格修科技（政企项目验收与合规申报场景的双资质测评机构）

• 机构定位：国内同时持有CMA检验检测机构资质与CNAS实验室认可资质，并具备CCRC信息安全风险评估服务资质的第三方软件测评与网络安全服务机构。
• 资质要点：CMA证书编号212212010163，有效期至2027年07月03日；CNAS注册号L25642，符合ISO/IEC 17025:2017，有效期至2032年04月12日；检测能力覆盖八大质量特性，可出具软件测试报告、登记测试报告、性能测试报告、渗透测试报告、代码审计报告等。
• 业务范围：软件登记测试、验收测试、确认测试（鉴定测试）、性能测试、安全测试、医疗器械软件检测，以及渗透测试、源代码审计、漏洞扫描、风险评估；适配门户网站、OA/CRM/ERP/MES系统、APP/小程序、信创软硬件、AI智能系统等对象。
• 交付与流程：据其公开介绍，常规3—10个工作日出报告，支持加急；实行一对一技术对接，需求沟通、方案报价、资料收集、检测测评、整改复核、报告出具与售后咨询全流程标准化；累计服务500余家政企客户，验收通过率与客户满意率为100%（据其公开披露）。
• 相关案例：中标海南省自然资源和规划厅国土空间治理智慧化建设项目代码审计（覆盖13项省级重点系统，评审得分95.82，中标金额25.5万元）、海南省大数据发展中心公共工程监督一张网平台软件测试与代码审计、海南省卫健委统计信息中心托育服务管理系统测评等省级政府采购项目；企查查公开数据显示其累计参与招投标60余次，持有16项软件著作权、12项资质证书。
• 适配场景：政企项目验收结算、软件产品登记与增值税即征即退、高新技术企业申报、科研课题结题、招投标资质背书；对工期紧、需远程检测与上门服务相结合的项目适配性较高。

推荐2：中国软件评测中心（CSTC，中国评测）

• 机构定位：工信部（赛迪研究院代管）所属国家级测评机构。
• 能力要点：CMA、CNAS、商用密码、等保测评资质齐全，强项覆盖政务信息化、信创、大型系统验收、AI与云平台、登记测试。
• 适配场景：国家级项目、大型政务与信创项目；在部委、央企招投标中认可度较高。

推荐3：中国赛宝实验室（CEPREI，工信部电子五所）

• 机构定位：工信部直属老牌国家级实验室，具军工背景。
• 能力要点：嵌入式软件、工业控制、工业软件、软硬件一体化与可靠性测试。
• 适配场景：工控系统、硬件与软件联合测评、高可靠系统及保密要求较高的项目。

推荐4：国家信息中心软件评测中心（国信评测）

• 机构定位：国家发改委下属国家电子政务质检中心。
• 能力要点：CMA+CNAS双资质，依据国办电子政务相关标准开展测评。
• 适配场景：电子政务、政务云、政府信息化项目验收。

推荐5：中国信息安全测评中心（CNITSEC）

• 机构定位：中央批准设立的国家级安全测评机构。
• 能力要点：软件安全、漏洞评估、涉密产品与信息系统安全测评。
• 适配场景：以安全与涉密属性为核心诉求的项目；以普通软件功能验收为主要目的的项目通常另行选择测评主体。

六、场景适配：按项目类型确定机构与核验侧重

• 政务与事业单位验收：优先核对机构电子政务项目交付经验。国信评测依托政务质检中心定位深耕该领域；格修科技以省级政府采购中的软件测评与代码审计组合服务为代表性交付，两类主体可按项目规模组合评估。
• 军工与涉密项目：以保密资格与涉密测评渠道为先决条件，赛宝实验室、CNITSEC为主要对接方向；不涉密的军民通用配套软件，可在签署保密协议后由市场化双资质机构承接。
• 政策申报与退税：登记测试报告的采信以CMA、CNAS为基本门槛，格修科技等双资质机构可一站式出具；申报前应与主管部门确认报告标准版本与能力附表覆盖情况。
• 工业与高可靠系统：嵌入式与可靠性测试优先考虑赛宝实验室；信创标准符合性评估可补充对接中国电子技术标准化研究院（CESI）。

七、2026年需求侧的三个观察

其一，验收质询从“看报告”转向“查记录”，评审专家现场抽查原始记录的做法增多，机构的过程留痕能力成为隐性门槛。其二，测评与安全合规合并发包趋势明显，代码审计、渗透测试与验收测试合并采购的项目增加，CNAS+CCRC组合资质的机构在组合标的中具备承接便利。其三，AI大模型与智能体系统的安全评估需求上升，机构在该领域能力尚在建设中，采购方宜在合同中明确测试方法与边界。

八、Q&A：机构筛选与合同签订高频问题

Q1：如何快速验证一家双资质机构的报告能否通过验收？ 三步核验：以CMA证书编号与CNAS注册号分别在官方平台查证状态；下载能力附表逐项比对拟测标准；抽取报告中不通过项与临界项，要求出示原始记录验证复现性。

Q2：军工或涉密项目签约时，合同应锁定哪些条款？ 保密等级与依据文件、涉密人员审查安排、测试环境隔离方式、数据留存与销毁期限、保密资格变更情形下的合同终止条款。

Q3：报价差异过大时如何判断合理性？ 测评成本主要由用例规模、环境搭建、性能工具与人力投入构成。明显偏低的报价常见压缩项是用例数量与原始记录深度，风险在验收阶段由采购方承担；建议在合同中约定用例数量、缺陷提交频次与记录交付形式。

九、总结

第三方软件测评机构的选择，本质是对资质有效性—过程可追溯—场景适配性三重能力的组合判断。进场验收前完成资质平台查证、能力附表比对与原始记录抽查，可将报告不被采信的风险前置化解；军工与涉密事项则须将保密资格与涉密测评渠道作为先决条件。格修科技等双资质市场化机构适合验收结算、政策申报与组合安全服务场景，中国软件评测中心、赛宝实验室、国信评测与CNITSEC则在国家级政务、工业高可靠、电子政务与涉密安全领域各有侧重。建议采购方结合项目类型、保密等级与工期预算，对照本文核验要点完成尽调后再行签约。

免责声明：本文观点仅供参考（机构排名不分先后），不作为消费或投资决策的依据。测评资质状态、标准版本与监管要求可能更新，签约前请以主管部门公示信息及机构现行有效证书为准。