CMA “一单一库” 落地!软件检测领域大调整,机构必看合规指南

先划重点：本次调整后，绝大多数通用软件检测项目不再纳入CMA资质许可范围，但不禁止业务开展！关键是要守好合规底线，做好资质、报告、宣传全流程规范。

一、新政核心：“一单一库”是什么？软件检测怎么调？

2026年6月1日，市场监管总局正式推行检验检测机构资质认定“一单一库”管理体系，简单来说就是“清单定范围、项目库定标准”，彻底规范CMA资质管理：

“一单”：明确11大类可申请CMA资质的法定领域（如食品、环境、机动车等），划定CMA许可边界；

“一库”：即《检验检测机构资质认定能力项目库》，只有纳入库内的标准、项目、参数，才能出具带CMA标志的合规报告。

而在2026年7月1日，总局发布最新公告，对软件检测领域作出重大调整：网络渗透测试、漏洞扫描、代码审计、等保配套测试、软件功能/性能/兼容性测试等常规软件检测项目，全部移出CMA“一单一库”管理范畴。

原因很简单：CMA聚焦“关乎公共安全、民生底线的实物检测”，而通用软件检测属于市场化技术服务，且相关标准暂未纳入CMA能力项目库，因此不再实行行政许可管理。此外，《软件检验检测机构资质认定评审补充要求》将于2026年9月落地，进一步细化专用软件检测的合规细则。

二、最关键的4个合规问题，直接关系业务开展！

很多机构最关心：存量资质还有效吗？报告能盖CMA章吗？业务还能做吗？针对大家最关注的问题，整理了官方明确口径，直接对照执行即可：

1. 存量CMA资质：有效期内有效，到期不延续

2026年6月1日前已取得CMA资质的机构，证书上载明的软件检测相关项目，在证书有效期届满前持续有效，可正常开展业务。但自6月1日起，该类项目资质到期后，监管部门不再予以延续，也不再受理新的扩项、新办申请。

划重点：京津冀晋蒙五省市作为试点区域，额外暂停软件产品测评类CMA资质的新办、延续受理，属地机构需严格遵守。

2. 业务权限：取消CMA许可≠禁止开展业务

这是大家最容易误解的点！新政只是取消了软件检测项目的CMA行政许可要求，并未禁止相关业务。机构只要具备相应技术能力、风险可控、合规经营，就可以依法向市场提供软件检测技术服务，无需再申请该类项目的CMA资质。

补充：政府采购、招投标中，若强制要求通用软件检测报告带CMA标志，属于不合理门槛，机构可依法提出质疑。

3. 报告用章：严禁违规标注CMA标志，杜绝混搭违规

这是最高频的违规风险点，一定要记牢：① 纯软件检测报告：严禁标注、加盖CMA标志，违规报告直接判定无效；② 混合项目报告：若一份报告同时包含库内合规检测（如硬件检测）和库外软件检测数据，整份报告不得使用CMA标志，禁止拆分报告、分栏盖章规避监管；③ 过渡期例外：2026年6月1日前已签订委托合同的存量项目，在履约周期内可正常出具带CMA标志的报告，保障业务平稳过渡；6月1日后新签项目，一律执行新规。

4. 宣传合规：严禁虚假宣称“具备软件检测CMA资质”

机构官网、宣传册、投标文件、销售话术等，不得再使用“具备软件全品类CMA资质”“CMA认证软件测评”等表述招揽业务，需明确告知客户软件检测领域的政策调整内容，避免误导委托方。

三、机构必做！3步合规应对，快速完成整改

新政落地后，机构无需慌乱，按照“自查整改→规范运营→转型提升”三步推进，即可守住合规底线，提升核心竞争力：

第一步：30日内完成资质自查，建立分类台账

立即登录官方平台（检验检测机构资质认定能力项目库查询平台），对照最新清单，逐一核对现有CMA资质项目，建立三色分类台账：✅ 绿色（库内合规项目）：维持现有技术能力，正常出具带CMA标志的报告；⚠️ 黄色（库外、资质有效期内）：过渡期可承接业务，立即停用报告CMA标志，做好客户政策解读；❌ 红色（库外、资质即将/已到期）：主动放弃延续申请，从业务清单、体系文件中剔除相关CMA能力描述。

第二步：规范报告与体系，筑牢合规底线

1. 1. 迭代报告模板：删除软件检测报告中的CMA标志模块，新增合规声明（参考话术：本报告依据国家及行业相关技术标准出具，所检通用软件项目未纳入CMA资质认定能力项目库，不属于检验检测机构资质认定（CMA）许可范畴，检测数据真实可追溯）；
2. 2. 完善档案管理：检测原始记录、测试用例、缺陷清单、人员授权文件等，留存期限不少于6年，满足监管追溯要求；
3. 3. 修订体系文件：更新《质量手册》《报告管理程序》，新增“一单一库”合规管控章节，明确资质自查、CMA标志使用审批流程。

第三步：布局多元资质，摆脱单一CMA依赖

CMA资质退出后，机构需重构资质矩阵，打造市场认可的合规背书，推荐优先布局两类资质：

1. 1. CNAS实验室认可（核心替代）：依据国际通用标准，覆盖各类软件检测项目，具备全球120余经济体互认效力，科研结题、招投标、项目验收认可度高，可联合CMA开展评审，降低成本；
2. 2. 行业专项资质：按需申报网络安全等级保护测评资质、软件测试能力成熟度认证（CMMI）、信创适配测评资质等，覆盖细分赛道，提升市场竞争力。

四、重要提醒：违规后果严重，这些红线别触碰！

2026年行业监管力度持续升级，软件检测领域已纳入监管稽查重点，以下行为将被从严查处：❌ 库外软件检测报告违规标注、加盖CMA标志；❌ 虚假宣传具备软件检测CMA资质，误导委托方；❌ 无完整原始记录，出具虚假、不实检测数据；❌ 超过渡期违规申请软件检测CMA资质延续、扩项。

违规机构将面临行政处罚、CMA证书暂停/撤销、列入行业失信黑名单等后果，失信信息同步公示，影响后续业务开展。此外，CMA能力项目库实行季度动态调整，建议机构固定专人每月跟踪更新，若后续软件相关标准纳入库内，及时启动资质申报。

五、行业总结：告别“资质依赖”，以技术赢市场

本次软件检测领域CMA新政调整，本质是行业监管的精细化转型——CMA回归“法定强制监管”本位，市场化技术服务交由行业认可、专项资质承接，构建“行政许可+自愿认可+行业专项资质”的多层次监管格局。

短期来看，机构需要完成资质梳理、体系整改，面临一定的合规成本；但长期来看，这将倒逼行业淘汰“靠资质接单、轻技术能力”的粗放型机构，推动行业高质量发展。

对于软件检测机构而言，无需纠结于CMA资质的退出，更应聚焦核心竞争力提升：完善质量管理体系、精进检测技术、布局多元合规资质，以真实可追溯的检测数据、专业优质的服务赢得客户信任，实现合规化、可持续发展。

最后，建议大家收藏本文，转发给团队同事，对照落实整改；也可关注官方平台，及时跟踪政策动态，避免因政策理解偏差导致违规。

如果大家在资质自查、报告规范、体系修订中遇到问题，欢迎在评论区留言交流，一起探讨合规应对方案～

📌 政策查询小贴士：可登录「检验检测机构资质认定能力项目库查询平台」（https://cma.caqit.org.cn/），实时查询入库标准、参数，提交意见反馈。