过去十年，软件测评行业习惯了用一枚印章换取项目通行证。

招投标文件里，"需提供CMA资质检测报告"是最常见的硬性条款；项目验收会上，盖着CMA红章的报告往往能让验收流程一路绿灯。对甲方而言，印章意味着权威背书；对测评机构而言，印章意味着准入门槛；对软件厂商而言，印章意味着合规通行证。

然而，2026年7月1日，全国检验检测机构资质认定能力项目库完成第一次版本更新，GB/T 25000.51、GB/T 25532等主流软件测评国家标准被全部移出能力库。这意味着，通用软件测评报告加盖CMA印章的时代，正式落幕。

这不是行业的倒退，而是一次深刻的规范化重塑。当印章的光环褪去，软件测评行业终将回归其最本质的价值——技术本身。

政策落地以来，行业内出现了不少误读和传言。有些是因为信息不对称，有些则是出于利益考量刻意放大焦虑。在此，我们对三大高频误区逐一拆解。

4.1 误区一：软件测评业务不能做了？

正解：业务完全可以正常开展。

"一单一库"政策取消的是通用软件测评的CMA盖章资格，不是软件测评业务本身。软件测评机构仍然可以正常承接软件功能测试、性能测试、安全测评、信创适配等各类业务，只是输出形式从"带CMA标识的报告"变为"第三方技术测评报告"。

第三方技术测评报告同样具备完整的技术含量和专业价值。报告可附带完整的测试方案、测试用例集、原始测试数据、缺陷证据链、漏洞复现截图、机构CNAS实验室能力证明、人员资质与设备配置说明。

在以下场景中，第三方技术测评报告完全可以正常使用：

• 软件著作权登记

• 科研课题结题验收

• 企业内部质量验收

• 信创自查与适配验证

• 等级保护前置测评

• 产品选型与技术评估

4.2 误区二：CNAS可以直接替代CMA？

正解：二者不能互相替代，效力完全不同。

很多人以为，CMA不能用了，那用CNAS顶上去就行。这是对两种资质性质的根本误解。

为便于理解，我们将CMA、CNAS与第三方技术报告做一个全面对比：

简单来说，CMA是"政府发的通行证"，CNAS是"行业给的能力证书"，第三方技术报告是"市场认可的专业服务"。三者定位不同、效力不同、适用场景不同，不存在简单的替代关系。

需要特别提醒的是，如果招投标文件继续强制要求软件测评报告提供CMA章，属于设置不合理门槛。根据"一单一库"政策精神，相关招标、采购或委托方不应将清单以外的检验检测能力取得资质认定作为招标采购条件。供应商有权依法提出质疑，该条款甚至存在导致项目废标的风险。

4.3 误区三：以后软件测评永远没有CMA了？

正解：阶段性暂停，未来将以新规则重新开放。

软件测评CMA不是被永久取消，而是进入了"旧标准退出、新标准待建"的过渡期。

如前所述，《软件检验检测机构资质认定评审补充要求》拟于2026年9月1日实施。待配套标准完成重新入库之后，软件领域CMA资质将重新开放申报。

可以预期的是，新的软件测评CMA体系将更加专业、更加贴合软件行业特点，评审要求也会更加严格。这对真正有技术实力的机构而言，反而是一次提升行业门槛、淘汰低质供给的机会。

政策的靴子已经落地，接下来的关键是如何应对。不同角色的市场主体，面临的挑战和行动方向各不相同。

5.1 甲方与招标采购单位：从"看章"到"看活"

对甲方和招标采购单位而言，最大的转变是验收逻辑的重构——从过去"看有没有章"转向未来"看干得好不好"。

第一，尽快修订招标文件模板。全面排查招标文件中"软件测试报告需CMA盖章"这类条款，及时删除或调整。继续保留这类条款，不仅不符合最新监管规定，还可能引发供应商质疑，甚至导致项目废标。

第二，项目验收重心由印章转向过程。重点审核测试方案的科学性、测试用例的覆盖度、缺陷记录的完整性、第三方机构的CNAS技术能力等实质内容。强化履约验收的过程管理，不再单纯依赖一枚印章做判断。

第三，建立报告质量评估体系。可以从测试方案评审、测试过程见证、缺陷可复现性验证、数据完整性核查等维度，建立一套软件测评报告的内部质量评估标准。用体系化的质量管控替代对单一印章的依赖。

5.2 系统集成商与软件厂商：停止找章，主动质疑

对系统集成商和软件厂商而言，最需要警惕的是"惯性思维"带来的合规风险。

第一，停止寻找违规加盖CMA的软件测评报告。政策已经明确，7月1日之后通用软件测评报告不得加盖CMA标志。继续寻找"能盖章的机构"，不仅浪费时间和金钱，更重要的是——拿到的报告本身就是无效的，一旦在投标或验收环节被查出，后果不堪设想。

第二，遇到强制CMA的不合理条款，主动提出质疑。如果招标文件中仍然出现"软件测评报告必须CMA"的要求，可以依据市场监管总局2026年第14号公告及相关政策，依法提出质疑。这既是维护自身权益，也是推动招标规范化的积极行动。

第三，提前布局信创项目合规应对。在信创项目中，软件功能测试、性能压力测试、渗透测试、安全评估等均不再加盖CMA章。厂商应提前与甲方沟通政策变化，在项目启动阶段就明确验收标准和报告形式，避免临到验收才发现"章不对"。

5.3 第三方测评机构：规范输出，证据说话

对第三方测评机构而言，这是一次从"资质驱动"向"能力驱动"转型的契机。

第一，合同文本增加说明条款。在委托合同中明确约定：本报告为第三方技术测评报告，不适用CMA资质认定，报告使用范围有明确边界。写清楚报告的性质和边界，既能规避客户纠纷，也能保护自身合规。

第二，交付同步输出完整证据包。报告不再靠印章背书，就要靠证据说话。除了测评结论本身，还应同步交付测试方案、测试用例集、测试原始记录、缺陷截图、漏洞复现步骤、性能测试数据等完整证据链。证据越充分，报告的公信力就越强。

第三，全面自查报告模板。对所有通用软件测评报告模板进行排查，禁止印刷、加盖CMA标识。同时，建议在报告显著位置注明"本项目未纳入资质认定范围"，避免使用方产生误解。

第四，关注9月补充要求动态。密切跟踪《软件检验检测机构资质认定评审补充要求》的发布进展，提前做好体系建设和人员准备。新规则落地后，有实力的机构应第一时间申报，抢占新一轮资质高地。

5.4 信创软件测评场景：特别说明

鉴于信创产业的特殊性，这里单独说明政策对信创软件测评的具体影响。

信创项目中的软件测评，主要包括以下类型：

• 功能测试：验证软件功能是否符合需求规格说明。受影响——不再盖CMA章，使用第三方技术测评报告。

• 性能压力测试：测试系统在高并发、大数据量下的性能表现。受影响——不再盖CMA章，使用第三方技术测评报告。

• 渗透测试：模拟黑客攻击，发现系统安全漏洞。受影响——不再盖CMA章，使用第三方技术测评报告。

• 安全评估：对系统整体安全状况进行综合评估。受影响——不再盖CMA章，使用第三方技术测评报告。

• 信创适配验证：验证软件在国产CPU、操作系统、数据库等环境下的兼容性。受影响——不再盖CMA章，使用第三方技术测评报告。

那么，信创项目中哪些场景可以使用第三方技术报告呢？

实际上，信创自查、等保前置测评、产品选型测试、内部质量验收、课题结题等场景，都可以正常使用第三方技术测评报告。这些场景的核心需求是"了解产品质量状况"，而非"取得法定证明文件"，第三方技术报告完全可以满足。

只有在涉及法定监管、行政监督、司法举证等特定场景下，才需要CMA资质的报告。而这类场景在信创项目中占比极低，且通常有专门的法定检测渠道。

站在行业发展的视角看，软件测评CMA盖章时代的落幕，不是终点，而是新起点。

过去十余年，软件测评行业确实存在"重资质、轻能力"的倾向。一枚CMA印章的含金量，有时甚至超过了测试过程本身的技术含量。这导致了一些行业乱象——有的机构靠"挂证""挂设备"维持资质，有的报告"盖章就行、内容不管"，有的项目"验收看章、不看质量"。

"一单一库"改革，本质上是在纠正这种错位。把CMA资质收回到真正需要法定监管的领域，把市场化检测服务放归市场，让"看得见的手"和"看不见的手"各司其职。

对软件测评行业而言，这意味着：

第一，行业竞争从"资质竞争"转向"技术竞争"。当印章不再是准入门槛，客户选择测评机构的标准将回归到技术能力、服务质量、行业口碑等实质性因素。真正有技术实力的机构，将在新一轮竞争中脱颖而出；靠资质吃饭、技术薄弱的机构，将面临淘汰。

第二，招标验收体系倒逼升级。甲方不能再用"有没有CMA章"这个简单粗暴的标准来做判断了，必须建立更专业、更细致的评估体系。这反过来会推动整个软件采购和验收体系的规范化升级——从"形式合规"走向"实质合规"。

第三，信创产业与"回归技术"高度契合。信创产业的核心要求是自主可控、安全可信。这种"可信"，不应该来自一枚行政许可印章，而应该来自完整的测试流程、可复现的原始数据、真实可核验的缺陷证据。当软件测评回归技术本质，恰恰与信创产业对"真安全、真可靠"的内在追求高度一致。

信创软件的质量，不能靠印章来背书，而要靠一套科学、严谨、可验证的测试体系来保障。从这个角度看，CMA盖章时代的落幕，对信创产业不是坏事，而是好事——它倒逼我们用更扎实的技术手段，来守护自主可控的底线。

报告的公信力，不再来自一枚印章，而来自完整测试流程、可复现的原始数据、真实可核验的缺陷证据。

这是软件测评行业应有的样子，也是它终将抵达的方向。