2025年軟件測評領(lǐng)域的政策變化，對企業(yè)而言不是“多了一道手續(xù)”，而是一次合規(guī)邏輯的重置。Zui直接的變化來自“一單一庫”制度：通用軟件的功能、性能、安全等常規(guī)測評，已不再屬于CMA強制認證清單范圍。這意味著，企業(yè)如果繼續(xù)拿通用軟件測試項目去蓋CMA章，不僅報告在招投標中可能被直接認定無效，還可能因“超范圍蓋章”引發(fā)合規(guī)風險。對企業(yè)來說，第一個實際影響是“選什么資質(zhì)”的判斷必須更新。過去“有CMA章就穩(wěn)了”的慣性不再成立，CNAS認可依據(jù)ISO/IEC17025體系，不受“一單一庫”清單約束，在政企驗收和招投標中已成為更主流的合規(guī)憑證。企業(yè)需要重新審視自己手中的報告是否還在有效期內(nèi)、蓋章類型是否與當前政策匹配。第二個影響在成本端。2026年《軟件安全測評分級實施指南》推行“按需測評”，不搞全量“一刀切”。只碰錢、碰用戶隱私的核心模塊必須測，不涉及敏感數(shù)據(jù)、故障不影響整體業(yè)務(wù)的非核心功能，符合條件可以申請豁免。合規(guī)成本平均降幅可達40%，測評周期也相應(yīng)縮短。這對研發(fā)預(yù)算有限的中小企業(yè)是實質(zhì)性松綁，但前提是企業(yè)自己要先厘清功能模塊的風險等級，不能把“按需”誤解為“偷懶少測”。第三個影響是“場景綁定”更加剛性。AIGC標識合規(guī)、SBOM軟件物料清單、API安全測評等正在成為獨立測評類目，企業(yè)如果涉及生成式AI服務(wù)、開源組件密集的產(chǎn)品或?qū)ν釧PI接口，僅靠傳統(tǒng)的功能性能測試已經(jīng)不足以覆蓋合規(guī)要求。政策的影響不是均勻分布的，越靠近敏感數(shù)據(jù)和新業(yè)態(tài)的企業(yè)，感受到的合規(guī)壓力越明顯。企業(yè)應(yīng)對的核心，是從“臨時找機構(gòu)蓋章”轉(zhuǎn)向按產(chǎn)品類型和業(yè)務(wù)場景建立常態(tài)化的測評規(guī)劃