等保三级认证是哪个机构颁发：分清备案与测评主体

等保三级认证没有统一发证的国家级单一机关，备案证明由系统所在地设区市级公安机关网安部门出具，测评报告由列入全国等级测评推荐目录的第三方测评机构出具，整套等保三级合规材料以备案证明加测评报告作为合规凭证，适用边界为国内上线运营、需要落实等级保护三级要求的信息系统，境外部署、仅内网封闭运行且不对外提供服务的系统不适用这套流程，测评执行标准为GB/T22239-2019《信息安全技术网络安全等级保护基本要求》。

等保三级备案证明出具主体

备案是等保三级流程里法定监管环节，你完成系统定级之后，需要携带定级报告、系统材料前往属地设区市公安局网络安全保卫部门提交备案申请，材料审核无误后，公安网安部门发放备案回执也就是备案证明，这份材料代表系统在监管侧完成登记，不代表系统安全达标。公安部门不直接做技术检测，不会出具测评合格证明，只承担监督、备案核查、事后检查的职能。

等保三级测评报告出具主体

出具等保三级测评报告的主体是纳入全国网络安全等级保护测评机构推荐目录的第三方测评机构，目录由国家等保办统一维护对外公示，你可以在中国网络安全等级保护网查询名录，不在目录内的机构出具的测评报告，多数招标、监管核验场景不认可。这类机构需要经过省级或者国家等保办审核推荐，具备等级测评资质，按照GB/T28448-2019《信息安全技术网络安全等级保护测评要求》开展现场检测、漏洞核查，测评结论分为符合或者不符合，测评通过后出具正式测评报告。

很多主体容易混淆两份文件，把测评报告当成证书，等保制度本身不存在带国徽的“等保三级证书”，行业里俗称的等保三级认证，是备案证明加上合格测评报告组合而成的合规材料包。

挑选测评机构时，优先核对所在省份对应的目录名单，部分地区省级等保办会单独公示省内可承接业务的机构，跨省份测评机构承接项目，需要确认当地公安网安部门是否接纳外地机构出具的报告，部分地区对异地测评机构存在受理限制。

测评机构只是技术检测方，没有审批备案的权限，测评报告合格不等于自动拿到备案回执，你必须先完成定级备案，再安排测评，部分单位颠倒顺序，先测评再备案，会出现备案审核驳回，测评报告无法使用的情况。

行业内还有一类安全服务公司，仅做等保整改咨询、安全加固，没有进入测评目录，这类公司不能出具正式测评报告，只能帮你整改系统，整改完成依旧要找目录内测评机构实施检测。

核验材料真伪有两条路径，备案回执可以联系受理备案的公安网安窗口核验，测评报告可在测评机构官网或者等级保护网核对机构资质编号，避免使用不在目录内机构出具的无效报告。

三级系统一旦发生核心业务模块、服务器部署位置、访问边界改动，就算还在一年周期内，也需要重新测评并同步更新备案信息，否则原有测评报告的采信效力会下降。