摘要

  • GovTech将要求管理关键系统或政府敏感数据的供应商在2027年底前达到 Cyber Essentials 和/或 Cyber Trust Mark 要求。
  • 这是一项面向供应商的未来要求，并非新制定的法律；公开讲话没有列明认证映射、适用合同或核验办法。

对承接政府系统的企业来说，下一道网络安全考核可能先出现在采购环节，而不是法条里。新加坡宣布，GovTech将要求管理关键系统或政府敏感数据的供应商在2027年底前达到 Cyber Essentials 和/或 Cyber Trust Mark 要求。Tan Kiat How于10月14日在 SG Cyber Safe for Enterprises 活动上公布了这一安排。讲话描述的是未来的供应商要求，没有宣布一部新法律，也没有说期限已经生效。

这一区别决定了问责落在哪里。采购条件可以影响哪些企业能以合同方式运营或支持公共服务；法律义务则来自另一套制度。公开表述划出了适用边界——关键系统或敏感政府数据——但没有说明哪些合同和供应商会被纳入，也没有交代分包商如何处理、现有合同怎样过渡、是否有例外，以及不达标会有什么后果。只能说这些内容没有出现在这段讲话中，不能据此断言其他文件也没有规定。

两种认证并非同一把尺。CSA将 Cyber Essentials 定位为基础级认证，面向较小型组织，有效期两年；CSA指定认证机构的独立评估员会审查并核验组织的自评。Cyber Trust采用风险分层，共有五个准备度等级，每级涵盖10至22个领域；认证有效期三年，并每年审计，由独立评估员审查文件、核验实施情况和有效性。2025版把云、运营技术和AI安全纳入两种认证的范围，超出传统IT安全。

讲话没有说明不同供应商应选哪一种认证，也没有指定何种访问权限对应哪个 Cyber Trust 等级。CSA另有面向ICT供应商的 Cyber Essentials 子计划，适用于 SMEs Go Digital 中获预先批准的供应商；MDDI讲话并未说GovTech会采用这一子计划。

Tan Kiat How还提到CSA对关键实体及支持基本服务的网络安全服务商设有另一条要求。这与GovTech面向政府供应商的安排是不同轨道，不应混为一谈。

认证能让买方比较供应商的安全控制，但它只是在某个时点对照既定标准取得的证据，不代表某一政府系统持续安全。真正的执行问题，是GovTech如何把供应商实际承担的职责对应到合适标准，并在服务期间持续核验。

来源