等保定级做完，下一步就是找测评机构。市面报价从2万到30万都有，差距不在“测评”本身，而在机构资质、测评项数量和整改配合度。选错机构，报告交到公安机关不被受理，等于白花钱。
先确认：什么样的机构出的报告才有效
只有列入网络安全等级保护测评机构推荐目录的机构，出具的测评报告才会被公安机关受理。选择前必须做3项核查：
- 查资质：要求对方出示等级保护测评机构推荐证书，核对有效期（一般3年）和机构编号
- 查范围：部分机构只具备二级测评能力，接三级会超范围，报告无效
- 查人员：项目组至少2名以上持证测评师，签字报告人须为在册人员
报价参考：二级与三级的费用区间
| 对比项 | 等保二级 | 等保三级 |
|---|---|---|
| 测评项数量 | 约100项 | 约200项以上 |
| 测评机构费用 | 2万-5万元 | 6万-15万元 |
| 整改投入（含设备） | 1万-3万元 | 5万-20万元 |
| 测评周期 | 2-4周 | 4-8周 |
| 测评频率 | 每2年一次 | 每年一次 |
二级报价低于1.5万元要警惕：大概率只做文档测评，现场核查和漏洞扫描会缩水，公安机关审核时容易被打回重测。
一个硬性规则：整改和测评不能是同一家
同一家机构不能既帮你做安全整改、又出具测评报告，否则报告不予采信。常见做法是找集成商做整改，另找一家有资质的机构做测评，两份合同分开签。
合作流程：从签合同到拿证明的5个节点
- 定级备案：在系统所属公安机关完成定级备案，拿到备案证明，这一步不收费
- 差距测评：机构出具差距分析报告，列出不合规项
- 整改建设：按报告采购安全设备、补齐管理制度文档，周期1-3个月
- 正式测评：现场核查加工具扫描，形成测评报告
- 报告提交：把测评报告报公安机关，完成年度闭环
3个常见误区
- 先找机构再定级。正确顺序是先定级备案、拿到备案证明后再测评，顺序反了报告无法受理。
- 只看谁便宜。测评项缩水、报告模板化会被公安机关退回，重测成本远高于省下的钱。
- 做完一次万事大吉。三级系统每年测评一次，系统架构发生重大变更时要重新测评。
