第三方软件测试机构有哪些资质？CNAS、CMA、CCRC分别管什么？
这三个缩写不在同一个维度上：CMA 管“能不能合法出具公证数据”，CNAS 管“实验室技术能力达不达标”，CCRC 管“信息安全服务做得好不好”。 一家机构有三张证，不代表任何一份报告都同时被三套体系背书；反过来，缺其中一张，也不影响它做某类业务。
还有一个前提必须先讲：2026 年 6 月 1 日市场监管总局“一单一库”实施后，通用软件测试的CMA路径已经结构性退出，很多网上流传的“CMA 是硬门槛”的说法已经过时。这一点会直接影响你怎么选机构、怎么写招标条款。
软件测试资质
二、CMA：管“合法出具公证数据”，但软件领域已大幅收缩
1.原本管什么？
CMA 是行政许可类资质，获证机构出具的检测报告具备法律效力，是报告被行政监管、司法采信的前提。过去软件测评机构普遍把 CMA 当作“国内通行证”。
2.现在变成什么样？
市场监管总局 2026 年第 14 号公告对资质认定实施“一单一库”管理，自 2026 年 6 月 1 日施行：“一单”即《检验检测机构资质认定事项清单》，涵盖产品质量检验、食品检验、司法鉴定检测、生态环境监测等 11 大类法定领域；“一库”即《检验检测机构资质认定能力项目库》，是评审的法定直接依据，做到“单外无许可、库外不认定”。
一单一库
对软件的直接后果：
所以 CMA 现在“管”的是： 特定行业软件若属于 11 大类法定领域、且采用已入库标准（如部分行业标准），仍可依法标注；纯软件报告违规加盖CMA属超范围用证。
三、CNAS：管“实验室能力”，是当下软件测评的主路径
1.管什么？
CNAS 依据 ISO/IEC 17025（国内对应 CNAS-CL01）评价实验室的管理体系与技术能力，软件领域还有专门的应用说明 CNAS-CL01-A019《检测和校准实验室能力认可准则在软件检测领域的应用说明》，适用于所有从事软件测试的实验室。这套体系覆盖公正性保密、人员能力、设施环境、设备溯源、方法选择、原始记录、报告签发等全过程要求。
2.边界在哪？
关键不是“有没有 CNAS 证书”，而是证书附件里的认可范围：获认可的能力范围见证书附件，附件是证书的组成部分。所以核验时要确认认可范围是否覆盖软件产品的功能、性能、信息安全等特性。
3.为什么现在更重要？
CNAS 属自愿性认可，不按 CMA 的“一单一库”划线，报告在 ILAC 国际互认体系内具有互认效力，在科研结题、政企验收、招投标场景中认可度较高，被普遍视为 CMA 收缩后的核心替代路径。
四、CCRC：管“信息安全服务能力”，不覆盖普通功能/性能测试
1.管什么？
CCRC 信息安全服务资质是对信息安全服务机构提供安全服务的资格评价，涵盖法律地位、资源状况、管理水平、技术能力等要求，共 8 个服务方向：安全集成、安全运维、风险评估、应急处理、软件安全开发、灾难备份与恢复、工业控制系统安全、网络安全审计；每个方向分一、二、三级，一级最高、三级最低，证书有效期3年，获证后每年接受监督审核。
2.与软件测评的关系？
如果项目涉及渗透测试、漏洞扫描、代码审计、风险评估，CCRC 对应方向的资质会影响报告能否被甲方和监管采信。但它不覆盖通用软件的功能测试、性能测试，那些属于 CNAS/CMA 体系下的检测活动。与软件最相关的方向通常是“软件安全开发”（安全开发流程管理、代码审计、漏洞测试能力）和“风险评估”。
CNAS/CCRC
另外，CCRC 体系下还有面向技术机构的“能力评估”类活动，从标准理解、人员技术、工具使用、技术管理、安全合规等维度评价，颁发安全能力评估证书。这类证明与服务资质性质不同，别混为一谈。
CMA在通用软件测试领域已基本退场，CNAS是当前报告合规效力的核心凭证，CCRC则是在涉及安全服务时的专项能力证明。 选机构时，先上CNAS官网核对《认可范围附件》里有没有“软件测试”，再根据项目是否涉及渗透、代码审计等安全服务，判断是否需要机构同时具备CCRC资质。资质对上了，报告才站得住脚。
标签：软件测试资质、CMA/CNAS/CCRC