3. 供应商安全评估的法规与标准基线

IoT供应商准入评估最容易犯的错误，是把“合规”当成一张单点清单：有ISO 27001证书就放行，签了保密协议就通过。真正可用的基线应当是一张多源要求映射网——国际标准给出供应链安全的通用控制框架，国家法律给出强制性义务与责任边界，等级保护给出可测评的技术与管理指标，而GDPR这类域外法规则在涉及欧盟数据主体时叠加额外约束。本节的任务，是把这五类来源拆解为可落到供应商准入条款上的具体要求，并说明它们之间的对应与冲突处理方式。

一、五类基线各自的“约束性质”不同

先分清它们的法律与技术属性，否则映射会失焦。ISO 27036（信息技术—安全技术—供应商关系的信息安全）属于国际标准/最佳实践，本身不具强制力，但它是供应链安全治理最系统的框架，分为四部分：27036-1概述与概念、27036-2通用要求、27036-3 ICT供应链安全指南、27036-4云服务安全指南。它强调在供应商关系全生命周期（立项、选择、签约、运行、终止）中嵌入信息安全要求，核心输出是“供应商信息安全要求清单”与“供应链风险视图”。

NIST SP 800-161（联邦信息系统与组织的供应链风险管理实践）属于美国联邦指南，其价值在于把供应链风险管理（C-SCRM）拆成治理、识别、评估、响应、监控五个环节，并给出与SP 800-53控制项的对应关系，特别适合用来构建“供应商分级+控制项映射”的工程化方法。

《网络安全法》《数据安全法》属于中国法律，具有强制约束力。《网络安全法》确立网络运营者的安全保护义务、关键信息基础设施（CII）运营者的额外义务，以及采购网络产品和服务可能影响国家安全的须经安全审查。《数据安全法》确立数据分类分级、重要数据目录、数据处理活动的安全义务与风险评估要求。GDPR属于欧盟域外法，只要IoT设备或平台处理欧盟数据主体的个人数据即可能适用，其核心是数据控制者/处理者责任划分、数据处理协议（DPA）、跨境传输机制与数据主体权利保障。等保2.0（GB/T 22239-2019）属于国家推荐性标准但被法规引用后具强制效力，是IoT系统定级、备案、测评、整改的直接依据。

二、把要求映射到供应商准入的四个维度

将上述来源落到供应商准入，可归纳为四个维度：组织与治理、数据与隐私、技术与产品、合同与持续监督。下图给出五类基线到这四个维度的映射关系，以及准入评估时的关键动作。

三、关键映射点与实操要点

ISO 27036 与等保2.0的对接。ISO 27036-2要求组织在供应商选择阶段明确“信息安全要求”，这与等保2.0中“安全管理制度—人员安全—系统建设管理—系统运维管理”的管理类要求高度重合。实操中可把等保三级的管理测评项作为供应商准入问卷的骨架，再用ISO 27036-3补充ICT供应链特有的要求，例如硬件来源可信、固件更新完整性、第三方组件清单（SBOM）。

NIST SP 800-161 的分级方法。它建议按供应商对业务的关键程度分级，对高关键供应商要求更严格的控制证据。IoT场景下可按“是否接触重要数据、是否可远程升级固件、是否处于CII链路”三个问题打分，把供应商分为A/B/C三级，A级要求提供渗透测试报告与SBOM，B级要求安全问卷与漏洞响应SLA，C级仅需基础合规声明。

法律义务的不可让渡性。《网络安全法》第二十一条、第三十一条与《数据安全法》第二十七条、第三十条规定的义务，不能通过合同全部转移给供应商。采购方仍是责任主体，因此合同中必须写入“供应商配合安全审查、提供必要技术文档、事件通报时限”等条款。涉及CII的采购，还须评估是否触发国家安全审查。

GDPR的叠加判断。判断是否适用，看三个要素：是否处理欧盟境内数据主体的个人数据、是否涉及提供商品或服务、是否涉及监控行为。若适用，供应商作为处理者必须签署DPA，明确处理目的、期限、安全措施与子处理者清单；跨境传输需有充分性认定、SCC或BCR等机制。IoT设备常涉及设备标识、位置、使用行为，容易被判定为个人数据，不能因“是设备数据”而忽略。

四、准入评估的最小可执行清单

把上述映射收敛为一份可直接使用的准入检查表，字段与判定标准如下（示例参数，实际阈值按组织风险偏好调整）：

综上，五类基线在供应商准入中扮演不同角色：ISO 27036提供关系治理框架，NIST SP 800-161提供分级与控制映射方法，网络安全法与数据安全法划定强制义务底线，GDPR按数据流向叠加隐私要求，等保2.0提供可测评的技术与管理指标。把它们映射到组织治理、数据隐私、技术产品、合同监督四个维度，并以“强制项一票否决、标准项限期整改、域外项按适用性满足”作为判定逻辑，才能形成既合规又可执行的IoT供应商准入基线。