发证机构：中国网络安全审查认证和市场监管大数据中心（CCRC），执行新版规则 CCRCISVR01:2026
⚠️一级不能直接申报，必须逐级升级：三级→二级→一级，前提：持有【软件安全开发方向二级资质满1年】，证书有效期3年，每年监督审核，到期前3个月复审换证。
软件开发商重点：普通应用软件开发不算，项目必须体现安全需求、威胁建模、安全编码、安全测试、漏洞修复等安全开发环节。
一、一级硬性申报条件（软件安全开发方向）
1. 资质前置：已取得CCRC软件安全开发二级资质满1整年（以证书发证日期为准）；大陆独立法人，无网信、公安处罚、无重大安全事故。
2. 人员要求（2026严查社保人证合一）
近3个月连续社保≥30人；
≥10人持有CISP / CISAW软件安全开发方向证书，全部社保在本单位，严禁挂靠；
组织负责人≥4年IT领域管理经验；
技术负责人≥5年软件安全开发项目经验，优先高级CISP/CISAW高级；
配置足够安全需求、威胁建模、安全编码、安全测试岗位人员。
3. 项目业绩（近3年内，已完工验收）
同方向软件安全开发项目≥10个；
其中至少3个为政府、金融、能源等关键行业项目，建议包含百万级项目；
每个项目材料闭环：合同关键页、甲方盖章验收报告、发票、银行回款凭证；
必须留存过程文档：安全需求说明书、威胁建模文档、安全编码规范、代码审计记录、安全测试报告、漏洞处置记录、发布评审记录；
纯普通业务软件开发、无安全开发环节，直接判定业绩无效。
4. 体系与技术能力（一级特有高要求）
ISO27001正式证书，范围覆盖信息安全服务，体系有效运行≥12个月；
完整落地9大安全开发过程域：安全意识培训、安全需求、威胁建模、安全设计、安全编码、代码审计、安全测试、发布评审、安全版本响应；
建立变更控制委员会；配置安全开发工具链：代码扫描、漏洞扫描、威胁建模工具；具备独立安全测试环境/实验室；
全套制度：安全开发管理制度、保密制度、风险管理制度、版本管控、漏洞响应处置流程，并且有完整运行记录（内审、管理评审、培训记录、项目表单）。
5. 场地财务：固定长期办公场地；近3年财务审计报告，经营状况良好。
深圳方圆盛世企业服务，13年企业专业服务经验｜年度陪跑一站式服务。数据梳理➕风险排查➕申报全流程指导。提前整改规避隐患，助力企业稳妥拿下企业资质，解锁政策红利！项目咨价官方热线：400-090-3278
二、全套申报材料清单
1、企业基础资料
营业执照、公司章程、法人身份证；办公场地租赁/产权证明；近3年度审计报告；企业信用报告；无违法失信承诺书。
2、人员全套材料
组织架构图、人员花名册；近3个月社保缴费清单；全员劳动合同、保密协议；
CISP/CISAW证书扫描件；组织负责人、技术负责人简历；项目负责人履历；人员安全培训记录。
3、项目包（一级审核核心）
10个软件安全开发项目，每个项目：
合同关键页、甲方鲜章验收报告、发票、银行回款回单；
过程文档：安全需求、威胁建模、安全设计、代码审计记录、安全测试报告、漏洞修复记录、版本发布评审记录。
4、体系文件（一级重点，纸面文件无效，要有运行证据）
ISO27001证书；质量手册、程序文件；
软件安全开发全套作业指导书：需求阶段、设计、编码、测试、发布、漏洞响应；
变更控制委员会制度记录；内审报告、管理评审报告；培训记录、风险台账。
5、官方表单
CCRC官网下载《CCRC信息安全服务资质升级申请书》，盖章扫描。
三、完整办理流程（升级审核比初次更严格）
1. 差距整改筹备阶段（最耗时）
核查二级证书是否满1年；补齐社保、补充持证人员；筛选10个合规安全开发项目，补齐全套过程文档；完善ISO27001运行记录；搭建安全开发工具链、测试环境。
2. 线上提交升级申请
登录CCRC认证业务系统，上传全部电子版材料，缴纳官方认证费用。
3. 文件评审（文审）
评审员核查全部材料，出具不符合项，企业限期闭环整改；文审不通过，不能进入现场审核。
一级升级文审重点：项目过程文档完整性、安全开发流程落地证据、人员社保证书项目时间逻辑校验。
4. 现场审核（一级现场审核周期更长）
专家现场核查办公环境、安全测试实验室/工具；访谈管理层、安全开发、测试人员；抽查多套完整项目档案；实操提问威胁建模、代码审计、漏洞处置流程；输出不符合项，企业30天内完成整改验证。
2026新规：交叉核验社保、项目时间轴，项目验收时间、工程师社保时间逻辑冲突直接判定严重不符合。
5. 技术委员会评定、发证
复核全部材料与整改材料，通过后发放电子+纸质一级证书；不通过书面告知驳回原因。
6. 获证后维护
每年监督审核；人员重大变动、重大项目要向CCRC报备；证书不可出借挂靠；到期前3个月复审换证。
四、软件安全开发一级高频驳回坑点（2026新规重点）
1. 业绩方向错误：拿普通业务软件项目充当“软件安全开发”，缺少威胁建模、安全编码、安全测试过程文档，直接判定项目无效。
2. 项目证据链断裂：缺少甲方盖章验收报告、回款凭证；项目过程文档缺失；人员社保时间晚于项目实施时间，时间逻辑冲突。
3. 人员硬伤：CISAW证书不是【软件安全开发】方向；证书挂靠，社保不在本单位；技术负责人年限履历不达标。
4. 体系纸面化：制度写齐全，但没有内审、管理评审、项目实际运行记录；没有变更控制委员会记录；缺少安全开发工具与独立测试环境。
5. ISO27001问题：证书范围不覆盖信息安全服务，体系运行时长不足12个月。
五、两种办理路径
1. 自主升级：企业内部有安全开发、体系工程师，自行补齐人员、项目、全套文档，官网提交。成本主要为人员取证费+官方认证费；缺点：文档工作量巨大，一级审核标准高，容易反复整改。
2. 咨询机构辅导：咨询师做差距分析，辅导完善体系文件、项目过程材料、文审、现场审核辅导；人员、社保、项目业绩必须企业真实自有，不存在包办拿证，官方费用企业直接付给CCRC中心。
重要提醒：2026新规穿透核查项目、社保，造假直接拉黑，企业5年内禁止申报CCRC资质。
六、容易混淆的资质区分
1. CCRC软件安全开发一级：安全开发服务能力资质，用于投标承接软件安全开发类项目；≠软件著作权、≠CMMI，CMMI不能替代CCRC。
2. ISO27001：管理体系证书，是一级申报强制前置条件，但不能替代CCRC资质投标。
3. CISP/CISAW：个人证书，是申报人员门槛，不能直接当作企业资质。