先区分四笔账：咨询与项目统筹、安全建设整改、具备相应资质的测评机构实施的正式测评，以及上线后的持续运维。只看到其中一项的价格，通常不能代表完整项目成本。
先拆开，再比较报价
| 工作项 | 通常包含 | 主要价格变量 | 比较报价时要问 |
|---|---|---|---|
| 咨询与统筹 | 边界梳理、定级备案协助、差距分析、整改规划、制度与证据辅导 | 系统数量、等级、访谈与现场范围、已有材料质量 | 交付物是否列明？现场与远程工作各有多少？ |
| 安全建设整改 | 配置调整、架构优化、安全能力补充、管理流程落地 | 现状差距、产品复用率、云上或本地部署、集成与停机窗口 | 产品、实施、订阅和后续维护是否分别计价？ |
| 正式等级测评 | 由具备相应资质的测评机构独立实施并形成结论与报告 | 等级、系统规模、节点与机房、扩展要求、地区和排期 | 测评机构、范围、差旅和复测安排是否明确？ |
| 持续运维 | 巡检、漏洞与补丁、日志审计、备份验证、演练、自查和复测准备 | 服务频率、覆盖资产、响应级别、驻场或远程方式 | 一次性交付之后，谁负责持续执行和留存记录？ |
避免误解：“测评费”不等于“完成等保的全部费用”。咨询服务商、整改实施方与测评机构可能是不同角色，具体责任应写入书面方案。
同为二级或三级，报价为何差很多？
保护对象与系统数量
一个门户、多个业务系统，或共享底座上的多套应用，边界与测评对象可能不同。
目标等级与扩展要求
二级、三级的控制深度不同；云计算、移动互联、物联网和工业控制等场景还需判断适用要求。
部署与责任边界
本地机房、公有云、专有云、混合云或多云，会改变现场范围、材料来源和多方协同方式。
当前技术差距
身份鉴别、访问控制、日志审计、边界防护、数据保护等能力能否复用，直接影响整改量。
制度与运行证据
有模板但没有真实执行记录，仍需补做职责、审批、巡检、备份、演练和事件处置等闭环。
采购、变更与窗口
新增产品、网络改造、应用发布、停机审批和供应商联调往往是关键路径。
属地、行业与外部排期
备案受理口径、行业主管要求、专家评审及测评机构档期存在差异，需要纳入计划并留出反馈时间。
真正的关键路径在哪里？
- 边界确认常见卡点：业务与技术口径不一致
先回答“测什么”
系统名称、运营主体、业务与数据、网络和资产范围没有共识，后面的排期都不可靠。
- 备案协同常见卡点：材料反复、外部反馈
让材料保持一致
定级说明、拓扑、资产清单和备案表要相互对应，并结合属地反馈补充。
- 整改落地常见卡点：采购、变更、联调、留证
按依赖分批处理
短期配置项、管理流程和需采购或改造的事项分开安排，同时准备可核验的运行证据。
- 测评安排常见卡点：档期与发现项闭环
准备现场与复核
正式测评需要协调人员、环境和证据；发现项还可能进入整改和复核。
排期原则：可以为内部管理设置目标日期，但不应在未调研、未确认外部资源前承诺固定完成天数或测评结果。
提供这 8 项，就能少一轮往返
计划纳入的系统数量和业务用途
当前处于定级、备案、整改还是复测阶段
倾向等级及其判断依据是否已有
本地、托管、公有云、混合云或多云部署
主要用户、数据类型与外部接口概况
已有备案、测评、差距分析或制度材料
项目所在地区及必须满足的时间节点
业务、技术、采购与管理侧的项目联系人
信息安全提醒：首次询价只需提供概况。不要在公开表单或普通邮件中发送账号密码、密钥、真实 IP、漏洞细节、完整拓扑或未脱敏日志。
关于预算与周期
能不能先给一个“二级价”或“三级价”？
可以先给预算构成和需确认项，但单凭等级无法形成可靠总价。同一级别下，单系统与多系统、本地与多云、已有能力可复用与需要大规模整改的成本差异会很大。
已有云平台等保材料，为什么还要评估业务系统？
云平台材料可用于说明平台侧部分控制，但运营使用单位仍需对应用、账号权限、数据、网络配置、制度和运维责任进行评估。双方责任边界应明确。
赶时间时先做什么？
先冻结系统边界和责任人，梳理外部节点，再将整改项按“能立即处理、需要变更、需要采购”分组。这样比同时铺开所有事项更容易形成可信计划。
内容参考框架
- 《中华人民共和国网络安全法》关于网络安全等级保护制度的相关要求。
- GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》。
- GB/T 22240-2020《信息安全技术 网络安全等级保护定级指南》。
- GB/T 28448-2019《信息安全技术 网络安全等级保护测评要求》。
本文于 2026-08-31 复核，仅提供通用估算方法，不构成报价、工期承诺、正式定级或测评结论。实际范围、周期、费用及交付物以调研后的书面方案为准。