本页说明
GB/T 22080-2025用于信息安全风险和信息安全管理体系，本页说明信息资产、风险评估与风险处置、适用性声明SoA、Annex A控制、信息安全事件和持续改进。
适用对象与条件
- 信息资产、业务过程、系统、人员和供应关系
- 信息安全风险、风险所有者和处置计划
- 适用性声明SoA与Annex A控制
- 信息安全事件、业务影响和改进措施
主要要求与方法
信息资产识别和风险评估
信息资产识别和风险评估
风险处置计划与SoA编制
风险处置计划与SoA编制
Annex A控制实施和有效性评价
Annex A控制实施和有效性评价
法规与认证要求
事件响应、绩效监视、内部审核与改进
方法、条件与注意事项
标准与法规用途
GB/T 22080-2025用于信息安全风险和信息安全管理体系，本页说明信息资产、风险评估与风险处置、适用性声明SoA、Annex A控制、信息安全事件和持续改进。
关联认证项目
- [制造业企业ISO/IEC 27001信息安全](/services/certification/management-systems/iso-iec-27001-information-security/iso-iec-27001-information-security-manufacturing-organisations)：GB/T 22080-2025规定信息安全风险和信息安全管理体系的组织范围、过程运行、绩效评价与持续改进要求，用于制造业企业ISO/IEC 27001信息安全的体系建立和认证审核。 - [工程建设与工业服务企业ISO/IEC 27001信息安全](/services/certification/management-systems/iso-iec-27001-information-security/iso-iec-27001-information-security-construction-and-industrial-service-organ)：GB/T 22080-2025规定信息安全风险和信息安全管理体系的组织范围、过程运行、绩效评价与持续改进要求，用于工程建设与工业服务企业ISO/IEC 27001信息安全的体系建立和认证审核。 - [食品、医疗与消费品企业ISO/IEC 27001信息安全](/services/certification/management-systems/iso-iec-27001-information-security/iso-iec-27001-information-security-food-medical-and-consumer-product-organis)：GB/T 22080-2025规定信息安全风险和信息安全管理体系的组织范围、过程运行、绩效评价与持续改进要求，用于食品、医疗与消费品企业ISO/IEC 27001信息安全的体系建立和认证审核。 - [集团、多场所与供应链组织ISO/IEC 27001信息安全](/services/certification/management-systems/iso-iec-27001-information-security/iso-iec-27001-information-security-groups-multi-site-and-supply-chain-organi)：GB/T 22080-2025规定信息安全风险和信息安全管理体系的组织范围、过程运行、绩效评价与持续改进要求，用于集团、多场所与供应链组织ISO/IEC 27001信息安全的体系建立和认证审核。
适用对象
信息资产、业务过程、系统、人员和供应关系；信息安全风险、风险所有者和处置计划；适用性声明SoA与Annex A控制；信息安全事件、业务影响和改进措施。
技术资料
信息资产清单和风险评估方法；风险登记册、处置计划和SoA；Annex A控制实施证据；信息安全事件、监测、审核和改进记录。
实施程序
信息资产识别和风险评估；风险处置计划与SoA编制；Annex A控制实施和有效性评价；事件响应、绩效监视、内部审核与改进。
实施证据
风险登记册；SoA与Annex A控制证据；事件和改进台账。
结果与交付
信息安全管理体系文件；风险评估与风险处置档案；适用性声明SoA；事件响应和控制有效性记录。
持续要求
GB/T 22080-2025的信息安全管理体系文件、风险评估与风险处置档案、适用性声明SoA、事件响应和控制有效性记录按发布机构的现行信息持续维护。
官方来源
国家市场监督管理总局、国家标准化管理委员会发布了GB/T 22080-2025《网络安全技术 信息安全管理体系 要求》，[查看官方详情](https://openstd.samr.gov.cn/bzgk/std/newGbInfo?hcno=886C4EE1A50A26626A7BAD8571301CEC)。
需要结合哪些资料
- 信息资产清单和风险评估方法；风险登记册、处置计划和SoA；Annex A控制实施证据
参考依据与来源
国家市场监督管理总局、国家标准化管理委员会发布GB/T 22080-2025《网络安全技术 信息安全管理体系 要求》。
编号：GB/T 22080-2025；名称：网络安全技术 信息安全管理体系 要求；发布机构：国家市场监督管理总局、国家标准化管理委员会；状态：现行。
国家市场监督管理总局、国家标准化管理委员会官方详情页GB/T 22080-2025列明的实施对象、评价活动和记录内容。
用途：信息安全风险和信息安全管理体系；对象：信息资产、业务过程、系统、人员和供应关系、信息安全风险、风险所有者和处置计划、适用性声明SoA与Annex A控制、信息安全事件、业务影响和改进措施；成果：信息安全管理体系文件、风险评估与风险处置档案、适用性声明SoA、事件响应和控制有效性记录。
国家市场监督管理总局、国家标准化管理委员会官方详情页结果怎样使用
- 信息安全管理体系文件
- 风险评估与风险处置档案
- 适用性声明SoA
- 事件响应和控制有效性记录
使用结果时需要结合的事项
- ISO/IEC 27001认证；信息安全风险治理；客户与供应链安全审查
哪些判断还不能确定
- 信息资产、业务过程、系统、人员和供应关系
- 信息安全风险、风险所有者和处置计划
认证常见问题
01GB/T 22080-2025管理哪些对象？
信息资产、业务过程、系统、人员和供应关系、信息安全风险、风险所有者和处置计划、适用性声明SoA与Annex A控制、信息安全事件、业务影响和改进措施 本页说明信息资产、风险评估与风险处置、适用性声明SoA、Annex A控制、信息安全事件和持续改进。
02GB/T 22080-2025需要哪些资料？
信息资产清单和风险评估方法、风险登记册、处置计划和SoA、Annex A控制实施证据、信息安全事件、监测、审核和改进记录 资料按照风险登记册、SoA与Annex A控制证据、事件和改进台账形成索引。
03GB/T 22080-2025如何实施？
信息资产识别和风险评估、风险处置计划与SoA编制、Annex A控制实施和有效性评价、事件响应、绩效监视、内部审核与改进 实施记录覆盖信息资产、业务过程、系统、人员和供应关系、信息安全风险、风险所有者和处置计划、适用性声明SoA与Annex A控制、信息安全事件、业务影响和改进措施。
04GB/T 22080-2025形成哪些成果？
信息安全管理体系文件、风险评估与风险处置档案、适用性声明SoA、事件响应和控制有效性记录 成果用于ISO/IEC 27001认证、信息安全风险治理、客户与供应链安全审查。