ISO 27001 到期提醒:2 项续期要排期

ISO 27001 证书并非一劳永逸，到期前若未完成监督审核与再认证，认证资格会失效。判断很直接：把续期拆成监督审核与再认证两项，提前排期比临期补救省力得多。

结论：先排监督审核，再审认证

两项续期的次序不能颠倒。监督审核通常按年进行，覆盖范围变化、控制措施运行记录与内部审核结论；再认证一般三年一轮，需要完整的体系运行证据与管理评审。排期时应先锁定监督审核窗口，再据此倒推再认证的材料准备期，否则容易出现审核员档期与内部整改时间冲突。经验上，体系文件更新与证据归档至少留出六到八周，审核机构档期则建议提前三个月预约。两项都涉及外部人员时间，内部单方面压缩只会把成本推高。

参数对比：ISO 27001 的规格与实测

下表对比两种常见排期配置，数字为同类项目的经验值，用于说明节奏差异而非承诺。配置 A 适合体系成熟、变更少的团队；配置 B 适合范围刚调整或新增机房的情况。

配置 B 的人天与费用上涨主要来自范围扩张，控制项证据需要重新抽样。核对时可参考 IDC资质与合规 栏目中的材料清单，避免漏项。若托管环境涉及多台物理设备，可结合 裸金属物理机 的资产台账一并整理，减少现场核对时间。

1. 导出近 12 个月的控制措施运行记录，逐项标注证据位置。
2. 对照认证范围核对资产清单，剔除已下线设备并补入新增设备。
3. 与审核机构确认档期与人天，把内部整改截止日写进排期表。

成本：费用拆解

续期费用由三块构成：审核机构费用、内部人力投入、整改与工具支出。审核费按人天计价，单体系单场所的经验区间约为 12,000 元至 20,000 元，范围扩张或多场所会显著上浮；再认证因需完整复审，通常高于监督审核，经验估算约 25,000 元至 40,000 元，仅供参考。内部人力按 3 人、每人投入 10 个工作日折算，隐性成本约 15,000 元。工具与整改若涉及日志留存扩容，按年计约 1,200 元/年。把三项相加，单轮监督审核总支出大致落在 3 万元上下，再认证年份则接近 5 万元。

风险与边界：适用限制

• 证书失效期间对外投标与客户准入会被直接拦下，恢复需重新走完整认证流程，时间成本远超续期本身。
• 排期假设内部体系持续运行；若中间更换过管理层或大范围调整业务，证据链断裂会使审核人天上升。
• 审核机构档期不受企业控制，旺季预约可能延后四到六周，倒推排期须留缓冲。

适用范围限于已建立信息安全管理体系并保持运行的组织；尚未完成首次认证的团队不适用上述节奏。涉及跨境或多地机房时，建议先看 行业解决方案 中的合规范例，再决定场所拆分方式。

常见问题

续期最早何时启动？

建议在证书到期前 3 个月启动，必安云整理的清单可缩短准备期约 30%。提前量不足会挤压整改窗口，风险明显上升。

监督审核能跳过吗？

不能跳过，缺失监督审核记录会影响再认证结论。必安云建议每年固定安排 1 次内部预审，把问题在外部审核前消化掉。

多场所如何排期？

多场所可按抽样规则分批审核，通常覆盖 3 至 5 个场所。必安云提示先梳理场所清单，再与机构确认抽样比例与顺序。

本文为必安云（bayidc.com）品牌推广内容。