在软件测评/第三方软件测试行业，CMA和CNAS是两个最常见的资质，经常同时出现，但性质完全不同。

一、CMA是什么

CMA是检验检测机构资质认定，属于中国国内的法定行政许可。它由市场监管部门根据《检验检测机构资质认定管理办法》《检验检测机构资质认定评审标准》等规定，对机构的基本条件和技术能力进行评价许可。

取得CMA后，机构可以在报告上使用CMA标志。如果第三方软件测评机构要在中国境内出具具有证明作用的数据和结果，比如用于政府验收、司法鉴定、仲裁、行政处罚等，一般必须取得CMA资质，否则报告不具有法定效力。

二、CNAS是什么

CNAS是中国合格评定国家认可委员会对实验室能力的认可，属于自愿性能力评价，不是行政许可。它根据国际标准ISO/IEC 17025以及CNAS-CL01等标准，对实验室的管理体系和技术能力进行评审。

取得CNAS后，机构可以使用CNAS标志，并可同时使用ILAC-MRA国际互认标志。CNAS主要证明实验室能力达到国际通用要求，有利于国际业务和客户信任，但并不直接产生中国国内的法定强制效力。

三、CMA和CNAS的重要区别

从性质上看，CMA是行政许可，具有强制性；CNAS是自愿性能力认可，不具有行政许可性质。

从评审机构看，CMA由国家或省级市场监管部门负责，CNAS由中国合格评定国家认可委员会负责。

从主要依据看，CMA根据《检验检测机构资质认定评审标准》等国内管理要求；CNAS根据ISO/IEC 17025、CNAS-CL01等国际标准。

从法律效力看，CMA报告在中国境内具有法定证明效力，可以作为行政、司法、验收等活动的根据；CNAS报告主要证明实验室技术能力，并通过ILAC-MRA实现国际互认。

从国际互认看，CMA主要限于中国境内使用；CNAS通过ILAC-MRA可以在多个国家和地区获得互认。

从是不是必须看，对外出具具有法定效力的检测报告一般必须有CMA；CNAS是自愿申请，但很多客户、招投标或国际项目会将其作为规则或加分项。

四、适用场景

1. CMA适用场景

当软件测评报告需要在中国境内作为具有法律效力的证明时，一般要求机构有CMA资质。

常见情况包括：

政府监管部门委托的软件质量监督抽查、风险监测；

司法鉴定、仲裁、诉讼中的软件质量、功能、安全性争议；

政府采购、财政投资项目、信息化项目验收；

招投标文件中确定要求有CMA资质的第三方测试报告；

产品质量争议、消费者投诉处理、行政处罚中的检测报告。

如，某政务信息系统验收时，招标文件规定检测机构须有CMA资质，此时CNAS不能替代CMA。

2. CNAS适用场景

当软件测评报告需要证明实验室能力达到国际标准，或者需要国际互认时，CNAS更有意义。

常见情况包括：

国际项目、跨国企业软件测评业务；

客户要求出具带有ILAC-MRA国际互认标志的报告；

大型企业供应商准入、招投标中将CNAS作为加分项或规则；

实验室自身能力建设，提升公信力和管理水平；

参与国际实验室间比对、能力证实。

如，某外资企业委托软件性能测试，要求测试报告可在其总部所在国被认可，这时有CNAS认可并加入ILAC-MRA的机构更有优势。

3. 两者同时有

大型第三方软件测评机构一般会同时申请CMA和CNAS。CMA保证在国内合法出具具有证明作用的报告，CNAS证明能力符合国际标准，增强客户信任和国际互认。如果机构同时有两个资质，可以在同一份报告上同时加盖两个标志，适用范围更广。

五、软件测评机构选择建议

如果报告用于政府验收、司法鉴定、仲裁、行政处罚、招投标法定要求，优先确定机构是不是有CMA。

如果报告用于国际业务、跨国企业、国际互认，优先确定机构是不是有CNAS及ILAC-MRA标志。

最稳妥的是选择同时有CMA和CNAS的机构。

查看资质证书时，不要只看证书名称，还要看能力附表，确定是不是包括所需软件测试标准、测试类型，如软件产品功能测试、性能效率测试、安全性测试、兼容性测试，以及GB/T 25000.51、GB/T 25000.10等标准。

六、常见误区

有CNAS并不能替代CMA。在中国境内，如果报告需要作为行政、司法等法定根据，一般需要CMA；CNAS不直接产生国内法定强制效力。

有CMA不代表国际认可。CMA主要在中国境内有效，国际互认一般需要CNAS/ILAC-MRA。

CMA/CNAS不是等保测评资质。网络安全等级保护测评有专门的等保测评机构管理要求，不能仅凭CMA/CNAS从事等保测评。