2026年1月28日发布的第1号修改单，把旧版CSMS体系认证环节取消了，统一合并为"信息安全保障要求"资料审查。以前大家习惯用CSMS这个词，现在正式文件里要用"信息安全保障要求"，用旧术语提交材料会被退回整改。下文涉及体系审核的部分全部按这个新术语来讲。
时间红线碰一下。2026年7月1日以后新申请型式批准的车型，信息安全合规是CCC证书前置条件，没商量。已拿证车型2027年7月1日前必须补上。存量在产车型最晚2028年1月1日全面合规。
第一步，差距分析
找一家有CMA资质的检测机构，对着GB 44495条文逐项做差距分析。重点查三块。
一是车端安全架构，TBOX有没有硬件加密模块，**有没有入侵检测能力，OTA升级通道有没有**校验和防回滚机制。这三项有一项没做硬件预埋，大概率要改硬件方案。
二是"信息安全保障要求"有没有建立起来，漏洞管理流程、安全事件响应预案、供应商安全管理制度，不是写一份文件就完了，得跑出运行记录。
三是跟CCC其他板块的接口，公告参数里软件版本号、加密芯片型号跟信息安全这块能不能对得上，公告和CCC参数不一致是高频被退原因。
差距分析报告出来以后开发团队根据差距清单做整改。耗工期最凶的是国密算法改造。TBOX硬件没有预埋SM2/SM3/SM4加速模块，光靠固件升级去跑国密算法，性能大概率撑不住，实测加解密延时超过标准阈值，还是得换硬件。硬件一换公告参数跟着变，BOM、软件基线、配置管理全得联动更新。
并行操作方面，差距分析做完、体系文件初稿出来以后，可以提前预约实验室摸底预测试，不用等全部整改完毕再排队工位，能省一到两个月的窗口期。
第二步，摸底测试
整改完成以后不要直接上正式测试，先做一轮摸底。摸底报告只有内部研发参考价值，没有法律效力，不能用于CCC申报。正式申报必须用检测机构出具的全套CMA盖章VTA报告，这一点很多企业搞混，拿着摸底报告就去提交材料，直接被打回来。
摸底测试可以在同一家检测机构做，也可以换一家交叉验证。实车测试环节比如OBD接口安全扫描、无线通信抓包必须到现场，远程过不了。通信安全、OTA安全、数据安全这几块是高风险区，摸底阶段翻车最多的也是这些地方。
2026下半年到2027年7月1日红线前是送检高峰，头部实验室的加急工位费用上浮三到五成，但能压缩测试周期，属于可控周期手段。
第三步，申请受理
向CQC提交产品认证申请书。这里有一个很多企业踩过的坑, 材料不齐直接不受理。以下四件缺一不可，完整的风险评估TARA报告、全套供应链安全协议、外文资料加盖翻译公章的中文译本、进口车还需要UN R155等效评估报告。
申请材料里的车型配置必须跟送测车辆完全一致，包括软件版本号、ECU硬件料号、TBOX型号。写了A实际送B的CQC直接退回，重新排队。
第四步，正式VTA测试
VTA测试分三大块，信息安全保障要求审核、信息安全基本要求测试、信息安全技术要求测试，全部覆盖，没有可跳过的项目。
渗透测试是必检项，检测机构的渗透团队会按CMA盖章的测试方案对整车攻击面做全面探测。TBOX、**、IVI、OBD、USB口是优先级最高的攻击入口。发现高危漏洞必须完成整改并通过复测，拿到全套盖章归档材料。
一轮通过跟三轮整改之间能差出一到两个月，国密算法性能和OTA**校验是翻车重灾区。
第五步，工厂审核
VTA全部通过、拿到正式合格报告以后，发证机构安排工厂现场审核。审核员进厂看三样东西，信息安全管理制度有没有落地运行且产生记录、供应商安全协议有没有逐家签署并且是最新版本、生产线上信息安全关键件的管控有没有做并且可追溯。
工厂审核跟整车CoP审核一起做，不单独审信息安全。
第六步，CCC证书签发
测试报告和工厂审核报告齐全，CQC评审通过以后把信息安全合规记录嵌进整车CCC证书，随整车证书一并签发。再强调一遍，不存在单独一张44495证书，信息安全合规是整车CCC证书里的一条技术条款。
这里顺便提一下，零部件比如TBOX供应商不能单独走整套44495认证流程，只能配套整车厂提交技术台账，没有独立认证通道。
二、拿证以后的持续义务
每年一次CoP年度监督。生产一致性控制计划里必须有信息安全专项管控章节，缺了或者写了没执行，直接开不符合项。
变更申报方面，TBOX供应商换掉、通信模块型号变了、国密算法实现方式改了、**软件架构大版本升级，必须申报并做局部复测才能更新证书参数。只改外观内饰不涉及电控单元的不用报。
15个工作日上限。发生高危信息安全漏洞或者车联网攻击事件，15个工作日内必须向CQC书面报备并提交完整处置闭环材料。超期不报直接判定严重不符合，触发证书暂停。这个时限很硬，不存在事后补报。
文档存档必须做到车型停产满10年，电子档案异地多备份、支持**度检索，单机本地存储且无法快速调阅历史台账的，年审直接开不符合项。
CCC证书五年到期续证时，如果GB 44495在这五年内发布了修改单、新增了测试工况，必须完成VTA补差复测，不合格不予续证。
GB 44495汽车信息安全认证流程是什么，可联系蓝亚技术检测认证机构顾问：13632500972（Benson）
