《网络数据安全风险评估办法》自2026年8月20日起施行后，第三方数据安全评估机构迎来一轮集中的服务认证申报窗口。中国网络安全审查认证和市场监管大数据中心（CCRC）同步实施的《数据安全风险评估服务认证规则》（CCRC-DSC-DSRA-001:2026B/0），将 GB/T 45389-2025《数据安全技术 数据安全评估机构能力要求》 与 GB/T 45577-2025《数据安全技术 数据安全风险评估方法》 列为认证依据。 在多项申报材料中，最受机构关注、也最容易在初审阶段被要求补正的，是与认证范围相适应的数据安全风险评估人员配置及能力证明材料。 本文从资质申报的角度，梳理人员能力项的审核逻辑，以及 CCRC-DSA 数据安全评估师在其中的适配位置。 一、资质申报中，“人员能力”审什么 按照《数据安全风险评估服务认证规则》，申请组织在提交认证申请书、注册证明、自评价结果之外，须同步提交“与申请认证服务范围相适应的数据安全风险评估人员配置及能力证明材料”。 结合 GB/T 45389-2025 的相关要求，该部分材料通常重点核验以下内容： 审核维度 材料要点 团队规模 从事数据安全评估相关工作的人员数量满足标准要求 持证人数 评估团队中具备数据安全、数据安全评估、信息安全等相关资质证书的人员数量 角色分工 单项评估项目组是否配置项目负责人、技术负责人和评估人员 培训经历 相关人员是否经过数据安全评估专门培训 能力证明 能否独立开展资产识别、风险分析、报告编制等技术工作 需要说明：不同认证机构（CCRC、国家网信办数据与技术保障中心、泰尔认证、公安部第三研究所）在备案规则中对持证人数、职称要求、证书种类的细则有差异。例如 CCRC 口径严格依照国标执行，不设高级职称硬门槛；其他机构可能在专职人数或职称结构上另有细化。具体以申报机构受理窗口的认定为准。 二、为什么 DSA 是适配度较高的证书选项 在“数据安全、数据安全评估、信息安全等相关资质证书”这一宽泛范围内，机构可选择的证书种类较多。但从评估岗的能力模型出发，证书的适配度并不相同。 CCRC-DSA 数据安全评估师由中国网络安全审查认证和市场监管大数据中心依据国家标准 GB/T 42446《网络安全从业人员能力基本要求》 推出，面向开展数据安全检测和风险评估、数据出境风险评估以及数据安全咨询服务的相关人员。 其能力框架与资质申报中的人员审核项高度对应： • 法规标准层：覆盖《数据安全法》、数据出境评估办法、GB/T 41479 等核心依据； • 评估方法层：对齐 GB/T 45577-2025 的五阶段流程（准备—调研—识别—分析评价—总结）； • 技术实操层：数据分类分级、资产识别、威胁与脆弱性分析、401项评估内容落地； • 交付物层：风险评估报告编制、整改建议、出境合规路径研判。

换言之，DSA 的训练目标本身就是“能够独立或协同完成一次数据安全风险评估”，这与认证机构在现场评审时对评估员的能力预期基本一致。因此，在人员能力证明材料中列示 DSA 持证人员，受理老师在比对“持证资质—岗位职责—项目角色”三者关系时，所需补充说明较少。 说明：DSA 是否属于某次申报中的有效持证清单，仍以当次受理机构的认定结果为准，建议在申报前与受理窗口做一次预沟通。 三、机构申报前的人员配置建议 结合多批申报案例，给出四条可操作的准备建议： 1. 提前一个申报周期启动人员培养 DSA 培训至考试出证需要完整的班次周期。若等到认证申请被受理后、受理老师要求补正人员材料时才启动报名，通常会错过当批评审节点。 2. 按项目角色而非人头凑数 认证审核不仅看持证人数，还看角色覆盖。单项评估项目组一般要求至少包含项目负责人、技术负责人和评估人员，且职责分工在内部制度与项目档案中可追溯。送培时应有意区分“未来项目负责人”与“评估员”的培养路径。 3. 证书组合与岗位说明书联动 建议机构建立一份《评估人员能力台账》，将每位持证人员的证书编号、培训记录、参与项目、担任角色归档备查。现场评审时，这份台账往往比单张证书复印件更有说服力。 4. 避免挂靠与短期用工 审核环节会核验劳动合同、社保记录与项目参与痕迹。借证、短期合同、非本单位全职人员，在真实项目抽样时极易被识别。 四、十月班安排：年内最后一期集中取证 对计划在 2026 年末至 2027 年上半年提交认证申请的机构而言，十月班是衔接申报节奏的关键窗口。

环节 时间 培训 10月31日、11月1日、11月7日、11月8日（共4天） 考试 11月9日 发证机构 中国网络安全审查认证和市场监管大数据中心（CCRC） 授课形式 线上直播，支持回放 课程模块覆盖政策法规与标准体系、五阶段评估流程、数据全生命周期风险识别、数据出境合规与 DSM 认证实务，结课时学员可独立完成一份符合 GB/T 45577 结构的评估报告草稿。 企业团报可按“项目负责人 2–3 人 + 技术骨干 5–8 人 + 评估员若干”的结构分批送培，与现有 CISP、CISAW 等持证人员形成互补，避免能力结构单一。 五、结语 数据安全风险评估服务资质的本质，是对“机构能否稳定交付合规评估成果”的第三方背书。场地、工具、案例可以在短期内补齐，但一支经过系统训练、持证上岗的评估团队，需要提前规划、持续积累。 将 DSA 纳入机构人员能力建设的常备选项，既是应对当前认证申报的需要，也是在《网络数据安全风险评估办法》常态化施行背景下，建立长期服务能力的务实选择。 招生顾问：马老师 电话：13391509126