海外合规框架库
每个框架说清楚：它是报告、证书还是法律义务，谁出具、适用于谁、多久能完成、之后还要做什么。
先分清：报告、证书，还是法律义务？
同样被叫作“合规”，它们的出具方、适用条件和持续义务完全不同。
| 框架 | 成果类型 | 出具 / 监管方 | 地域 | 常见周期 |
|---|---|---|---|---|
| SOC 2 | 鉴证报告 | 独立 CPA 事务所（依 AICPA 准则） | 北美为主，全球企业采购普遍认可 | Type 1 约 2–4 个月；Type 2 另需 3–12 个月观察期 |
| ISO/IEC 27001 | 认证 / 证书 | 经认可的认证机构（如获 CNAS、UKAS、ANAB 认可） | 全球，欧洲与亚太认可度尤高 | 从启动到认证常见 4–9 个月 |
| CSA STAR | 认证 / 证书 | 云安全联盟（CSA）；Level 2 由认证机构或 CPA 执行 | 全球 | Level 1 数周；Level 2 通常与 ISO 27001 或 SOC 2 审核同步 |
| GDPR | 法律法规义务 | 欧盟成员国数据保护监管机构 | 欧盟 / 欧洲经济区（英国另有 UK GDPR） | 基础合规项目常见 2–4 个月 |
| ISO/IEC 27701 | 认证 / 证书 | 经认可的认证机构 | 全球，欧洲客户认可度较高 | 已有 ISO 27001 时常见 2–4 个月 |
| CCPA / CPRA | 法律法规义务 | 加州隐私保护局（CPPA）与加州总检察长 | 美国加州（另有约 20 个州出台综合隐私法） | 基础合规项目常见 1–3 个月 |
| ISO/IEC 42001 | 认证 / 证书 | 经认可的认证机构 | 全球 | 已有 ISO 27001 基础时常见 3–6 个月；从零开始约 6–9 个月 |
| 欧盟《人工智能法》 | 法律法规义务 | 欧盟委员会 AI 办公室与各成员国市场监管机构 | 欧盟 | 风险分类与差距评估约 1–2 个月；高风险系统合规需 6–12 个月以上 |
| 欧盟 CRA | 法律法规义务 | 各成员国市场监管机构；ENISA 负责漏洞报告平台 | 欧盟 | 产品安全差距评估约 1–2 个月；完整合规需随产品迭代持续投入 |
| CE / RED 网络安全 | 法律法规义务 | 各成员国市场监管机构；部分情形需公告机构 | 欧盟 / 欧洲经济区 | 网络安全评估与文件准备常见 1–3 个月，视产品复杂度和测试安排 |
| NIS2 | 法律法规义务 | 各成员国主管机构（经本国法律转化） | 欧盟 | 作为供应商满足客户要求，常见 1–3 个月 |
| HIPAA | 法律法规义务 | 美国卫生与公众服务部民权办公室（HHS OCR） | 美国 | 已有 SOC 2 或 ISO 27001 时，补齐 HIPAA 要求常见 1–3 个月 |
| PCI DSS | 评估 / 标签 | PCI 安全标准委员会制定；合格安全评估师（QSA）评估；卡组织与收单行执行 | 全球 | 视范围差异很大；SAQ 数周，QSA 现场评估常见 3–9 个月 |
| DORA | 法律法规义务 | 欧盟金融监管机构（EBA、EIOPA、ESMA）及成员国主管机构 | 欧盟 | 供应商侧合同与控制准备常见 1–3 个月 |
| TISAX | 评估 / 标签 | ENX 协会运营；ENX 批准的评估服务商执行评估 | 以德国和欧洲车企为主，全球供应链适用 | 已有 ISO 27001 时常见 3–6 个月；从零开始 6–12 个月 |
| 美国数据安全计划（DSP） | 法律法规义务 | 美国司法部国家安全司 | 美国（针对中国含香港和澳门、古巴、伊朗、朝鲜、俄罗斯、委内瑞拉） | 数据与访问路径评估约 2–6 周；整改视架构而定 |
| 中国个人信息出境 | 法律法规义务 | 国家互联网信息办公室（网信办）及省级网信部门 | 中国内地 | 标准合同备案常见 1–2 个月；安全评估周期更长 |
安全鉴证与认证
3SOC 2
从报告类型、覆盖范围、控制证据到独立 CPA 职责，判断中国出海企业面对 SOC 2 要求时的准备路径。
- 出具/监管
- 独立 CPA 事务所（依 AICPA 准则）
- 周期
- Type 1 约 2–4 个月；Type 2 另需 3–12 个月观察期
ISO/IEC 27001
了解 ISO/IEC 27001 的 ISMS、认证范围、风险管理、运行证据与独立认证机构的职责。
- 出具/监管
- 经认可的认证机构（如获 CNAS、UKAS、ANAB 认可）
- 周期
- 从启动到认证常见 4–9 个月
CSA STAR
云安全联盟 STAR 计划分为自评和第三方审核两个层级，基于云控制矩阵（CCM）。说明它与 SOC 2、ISO/IEC 27001 的组合方式和适用场景。
- 出具/监管
- 云安全联盟（CSA）；Level 2 由认证机构或 CPA 执行
- 周期
- Level 1 数周；Level 2 通常与 ISO 27001 或 SOC 2 审核同步
数据与隐私
3GDPR
从目标用户、数据流和企业角色出发，判断 GDPR 是否相关，以及隐私工作应先准备什么。
- 出具/监管
- 欧盟成员国数据保护监管机构
- 周期
- 基础合规项目常见 2–4 个月
ISO/IEC 27701
ISO/IEC 27701 是隐私信息管理体系（PIMS）标准，2025 版已成为可独立认证的标准。说明它与 GDPR、ISO/IEC 27001 的关系，以及适合哪些出海企业。
- 出具/监管
- 经认可的认证机构
- 周期
- 已有 ISO 27001 时常见 2–4 个月
CCPA / CPRA
加州《消费者隐私法》及其修订案的适用门槛、消费者权利、“出售与共享”判断，以及 2026 年起生效的网络安全审计、风险评估和自动化决策新规。
- 出具/监管
- 加州隐私保护局（CPPA）与加州总检察长
- 周期
- 基础合规项目常见 1–3 个月
AI 治理
2ISO/IEC 42001
ISO/IEC 42001 是首个可认证的人工智能管理体系标准。说明它适用于谁、要求什么、与欧盟《人工智能法》和 ISO/IEC 27001 的关系，以及认证路径。
- 出具/监管
- 经认可的认证机构
- 周期
- 已有 ISO 27001 基础时常见 3–6 个月；从零开始约 6–9 个月
欧盟《人工智能法》
欧盟《人工智能法》按风险分级规制 AI 系统。梳理禁止性实践、高风险系统、透明度义务和通用目的 AI 模型义务，以及 2026 年 AI Omnibus 调整后的最新时间表。
- 出具/监管
- 欧盟委员会 AI 办公室与各成员国市场监管机构
- 周期
- 风险分类与差距评估约 1–2 个月；高风险系统合规需 6–12 个月以上
产品与网络安全
3欧盟 CRA
CRA 对“带数字元素的产品”设定全生命周期网络安全要求。漏洞与事件报告义务已于 2026 年 9 月 11 日起适用，全面义务 2027 年 12 月 11 日起适用。
- 出具/监管
- 各成员国市场监管机构；ENISA 负责漏洞报告平台
- 周期
- 产品安全差距评估约 1–2 个月；完整合规需随产品迭代持续投入
CE / RED 网络安全
自 2025 年 8 月 1 日起，联网无线设备进入欧盟须满足 RED 授权条例（EU）2022/30 的网络安全、个人数据保护和防欺诈要求，协调标准为 EN 18031 系列。
- 出具/监管
- 各成员国市场监管机构；部分情形需公告机构
- 周期
- 网络安全评估与文件准备常见 1–3 个月，视产品复杂度和测试安排
NIS2
NIS2 扩大了欧盟关键与重要实体的网络安全义务，并要求它们管理供应链风险。说明哪些出海企业直接受约束，哪些会通过客户合同间接受到影响。
- 出具/监管
- 各成员国主管机构（经本国法律转化）
- 周期
- 作为供应商满足客户要求，常见 1–3 个月
行业要求
4HIPAA
HIPAA 适用于受保实体及其业务伙伴。说明医疗科技和 SaaS 企业何时成为业务伙伴、BAA 要求什么、安全规则的三类保护措施，以及为什么没有“HIPAA 认证”。
- 出具/监管
- 美国卫生与公众服务部民权办公室（HHS OCR）
- 周期
- 已有 SOC 2 或 ISO 27001 时，补齐 HIPAA 要求常见 1–3 个月
PCI DSS
PCI DSS 是卡组织通过合同强制执行的数据安全标准。说明商户与服务提供商的等级、QSA 评估与 SAQ 自评的区别，以及如何通过缩小持卡人数据环境降低合规成本。
- 出具/监管
- PCI 安全标准委员会制定；合格安全评估师（QSA）评估；卡组织与收单行执行
- 周期
- 视范围差异很大；SAQ 数周，QSA 现场评估常见 3–9 个月
DORA
DORA 自 2025 年 1 月 17 日起适用于欧盟金融实体，并通过第 30 条合同条款和关键 ICT 第三方监管影响其技术供应商。说明出海 SaaS 与云服务商需要准备什么。
- 出具/监管
- 欧盟金融监管机构（EBA、EIOPA、ESMA）及成员国主管机构
- 周期
- 供应商侧合同与控制准备常见 1–3 个月
TISAX
TISAX 是德国汽车行业的信息安全评估与结果交换机制，基于 VDA ISA 问卷。说明评估等级、评估目标、流程和中国汽车供应链企业的常见准备路径。
- 出具/监管
- ENX 协会运营；ENX 批准的评估服务商执行评估
- 周期
- 已有 ISO 27001 时常见 3–6 个月；从零开始 6–12 个月
跨境数据
2美国数据安全计划（DSP）
依据第 14117 号行政令，美国司法部规则（28 CFR Part 202）禁止或限制向包括中国在内的受关注国家相关主体提供美国人批量敏感个人数据。2025 年 10 月 6 日起尽调、审计和报告要求全面适用。
- 出具/监管
- 美国司法部国家安全司
- 周期
- 数据与访问路径评估约 2–6 周；整改视架构而定
中国个人信息出境
根据《个人信息保护法》和《促进和规范数据跨境流动规定》，按出境数量与类型选择数据出境安全评估、个人信息出境标准合同或个人信息保护认证。《个人信息出境认证办法》自 2026 年 1 月 1 日起施行。
- 出具/监管
- 国家互联网信息办公室（网信办）及省级网信部门
- 周期
- 标准合同备案常见 1–2 个月；安全评估周期更长