【2026年】第 24 章法规与标准深读：一张图把法律和标准串起来

一、先建立地图：第 24 章讲什么

第 24 章分两大块：

24.1 法律法规：24.1.1 法与法律；24.1.2 法律体系；24.1.3 法的效力；24.1.4 法律法规体系的效力层级；24.1.5 系统规划项目管理中常用的法律。

24.2 标准规范：24.2.1 标准和标准化；24.2.2 标准分级与标准分类；24.2.3 我国标准的编号及名称；24.2.4 我国标准的有效期；24.2.5 国际信息技术服务标准；24.2.6 我国信息技术服务标准体系。

一句话记住这章的主线：法律是"强制的规矩"，标准是"协商的规矩"；前者从宪法往下分层级，后者从国际往下分级别；系统规划与管理师要知道自己的工作受哪些法律约束、参照哪些标准执行。

二、法律这一半：从"法是什么"到"效力层级"

24.1 的前三节讲基础概念——法与法律的区别、我国法律体系的构成、法的效力（一般从时间、空间、对人三个方面理解）。这三节考得少，你记住一个框架就行：我国法律体系由宪法、法律、行政法规、地方性法规、规章等不同层次的规范性文件构成。具体表述你翻教材 24.1.1 到 24.1.3 看一遍，不用背。

24.1.4 效力层级是高频点，第 123 篇讲过，这里把要点再钉一次：

• 纵向：宪法最高，依次是法律、行政法规、地方性法规、规章。按制定机关：全国人大及其常委会的法律，高于国务院及各部门、各地人大及政府的法规规章；国务院的行政法规，高于国务院各部门的规章和各地的地方性法规、规章；地方人大及其常委会的地方性法规，高于当地政府的规章。
• 横向：同一机关制定的，特别规定优于一般规定。
• 时间：同一机关制定的，新规定优于旧规定。
• 四种特殊情况：法律之间新的一般规定与旧的特别规定不一致，由全国人大常委会裁决；地方性法规、规章新的一般规定与旧的特殊规定不一致，由制定机关裁决；地方性法规与部门规章不一致、不能确定适用时，由国务院提出意见（认为适用地方性法规的决定在该地方适用，认为适用部门规章的提请全国人大常委会裁决）；部门规章之间、部门规章与地方政府规章不一致，由国务院裁决。

记忆抓手：纵向一条链、横向特别优先、时间新法优先、特殊情况看谁裁决。四句话背熟，效力层级这块的题就没有做不出来的。

三、八部常用法律速记表

24.1.5 列了系统规划项目管理中常用的法律，我按教材顺序做成一张速记表，这是这章最该背的东西：

三个记忆抓手：

抓手一：日期分组记。 2020 到 2021 年集中修订或施行的有四部——民法典（2020 年 5 月通过）、专利法（2021 年 6 月 1 日实施）、著作权法（2021 年 6 月 1 日施行）、数据安全法（2021 年 9 月 1 日施行）。专利法和著作权法同一天施行，好记。商标法 2019 年、网安法 2017 年、政府采购法 2014 年修正，各自独立。

抓手二：清单类考点。 发明创造三种（发明、实用新型、外观设计）、注册商标四类（商品、服务、集体、证明）、数据安全法四角度。这三个"几种几类"是选择题最爱考的。

抓手三：定位类考点。 "信息化法律法规领域最重要的法律基础"是民法典合同编；"第一部全面规范网络空间安全的基础性法律"是网络安全法；"数据安全领域最高位阶的专门法"是数据安全法。三个"最"字定位记准。

补一句：个人信息保护法（2021 年 11 月 1 日施行）教材 24.1.5 未单独列出，但它和网安法、数安法并称三法，考试可能涉及，日期和定位记住即可（第 123 篇讲过）。

再讲讲这八部法律和系统规划与管理师工作的对应关系，理解了对应，记起来就不是死记。一个信息系统项目从立项到运营，会依次碰到这些法律：立项采购阶段碰招标投标法和政府采购法（政务项目必走政府采购，企业项目常走招标）；签合同阶段碰民法典合同编（服务合同、建设合同的法律基础）；建设阶段碰专利法、著作权法、商标法（软件著作权、技术专利、产品商标的保护）；运营阶段碰网络安全法、数据安全法、个人信息保护法（系统安全、数据安全、个人信息合规）。你把八部法律按"项目生命周期"这条线串起来，每部法律"在什么时候用、管什么事"就清楚了，选择题问"某阶段应遵循的法律"也能答。这也是论文里写"合规依据"时的一个好思路——按项目阶段说依据，比堆一串法律名称显得有条理。

四、标准这一半：先把"标准"和"标准化"定义记准

24.2.1 开篇给了两个定义，都引自国家标准 GB/T 20000.1-2014《标准化工作指南 第 1 部分：标准化和相关活动的通用术语》：

标准："通过标准化活动，按照规定的程序经协商一致制定，为各种活动或其结果提供规则、指南或特性，供共同使用和重复使用的文件。"抓三个关键词——协商一致、共同使用、重复使用。

标准化："为了在既定范围内获得最佳秩序，促进共同效益，对现实问题或潜在问题确立共同使用和重复使用的条款以及编制、发布和应用文件的活动。"教材说标准化的主要效益在于改进产品、过程或服务的适用性，促进贸易、交流和技术合作；标准化工作的任务是制定标准、组织实施标准以及对标准的制定、实施进行监督。

教材还讲了标准的作用：保障人类健康和安全、保护环境、促进资源合理利用；增进相互理解；保障法规的有效实施；标准是经济社会活动的技术依据，是国家基础性制度建设的重要内容。

选择题考"标准的定义出自哪个国标"（GB/T 20000.1-2014）、"标准化工作的三项任务"（制定、实施、监督）、"标准的作用不包括哪项"。

五、标准化机构：记两个国际的

24.2.1 第二部分讲主要标准化机构，教材重点介绍了两个国际机构：

• 国际标准化组织（ISO）：教材说它是"世界上最大、最有权威性的国际标准化专门机构"，目的和宗旨是在全世界范围内促进标准化工作发展；主要活动是制定国际标准、协调世界范围的标准化工作、组织成员国和技术委员会进行情报交流、与其他国际组织合作研究标准化问题。
• 国际电工委员会（IEC）：教材说它是"世界上成立最早的国际性电工标准化机构"，负责电气工程和电子工程领域的国际标准化工作。

记忆抓手：ISO 最大最权威、IEC 成立最早管电工。选择题常考"最大最权威的国际标准化机构"（ISO）、"成立最早的国际电工标准化机构"（IEC）、"ISO 和 IEC 发布的标准属于什么级别"（国际标准）。这两个机构在信息技术领域经常联合发布标准，所以你会看到"ISO/IEC"这种联合前缀——20000、27001、38500 都是联合标准，这也解释了为什么第 129 篇那道真题里 27001 前面同时挂着两个机构的名字。看到联合前缀，级别照样是国际标准。

国内标准化机构教材也有介绍，记住国家标准由国家标准化主管部门统一管理即可。

六、分级、分类、编号、有效期

这四块第 129 篇讲过，这里合并成一段速记：

• 分级：国际标准、国家标准、行业标准、地方标准、团体标准、企业标准，按发布主体分。看前缀定级：ISO、IEC 国际；GB 国家；DB 地方；T/ 团体；Q/ 企业。
• 分类：按性质可分为强制性标准和推荐性标准。标准以推荐性为原则，少数强制。
• 编号：GB 为强制性国家标准，GB/T 为推荐性国家标准（T 是推荐的意思）。
• 有效期：标准有复审周期，到期复审，结论为继续有效、修订或废止。复审周期的具体年数翻教材 24.2.4 确认，不要凭印象。

一个补充：下级标准不得与上级标准相抵触，行业标准可以比国家标准更细更严，但不能放松。这条和法律的效力层级是同一个道理——上位规范定底线，下位规范只能在底线之上细化，不能突破底线。法律和标准在"分层"这件事上逻辑是一致的，你把两边放在一起记，会发现第 24 章其实就一个核心思想：规矩有层级，下不越上。

七、国际信息技术服务标准：三组对应

24.2.5 讲国际信息技术服务标准，考点集中在几组"国际标准与我国等同采用标准"的对应关系上：

• ISO/IEC 20000：IT 服务管理体系国际标准，我国等同采用为 GB/T 24405。
• ISO/IEC 27001：信息安全管理体系国际标准，我国等同采用为 GB/T 22080。注意这个 22080 是信息安全管理体系，不是等保，等保基本要求是 GB/T 22239。
• ISO/IEC 38500：IT 治理国际标准，教材第 11 章提到过它与治理框架并列。

这三组里，22080 与 22239 的区分是历年失分重灾区，务必记死：写等保用 22239，22080 是管理体系。两个号只差一个数字，但对应的是两套完全不同的体系。

八、我国信息技术服务标准体系：ITSS 全景

24.2.6 讲我国信息技术服务标准体系，核心是 ITSS——信息技术服务标准库。这块前面 ITSS 专题讲过很多，我把考点收拢：

ITSS 是什么：我国信息技术服务领域的标准库，覆盖 IT 服务的规划设计、部署实施、服务运营、持续改进、监督管理全生命周期。它是一个"库"，不是一个单一标准。

ITSS 与 GB/T 24405 的关系：ITSS 不等于 GB/T 24405。24405 是 ISO/IEC 20000 的等同采用（IT 服务管理体系）；ITSS 是我国自己的标准库，运维能力成熟度是 GB/T 28827 系列，IT 治理是 GB/T 34960 系列。这个区分是真题考过的（2022 年真题问"完全属于 IT 服务管理的标准"，答案是 24405、ISO/IEC 20000 这一组）。

运维服务能力成熟度四级：基本级、拓展级、改进（协同）级、提升（量化）级；与资质等级同一套编号，数字越小等级越高——一级最高（提升级）、四级最低（基本级）；初次申请从四级或三级起、逐级晋升；基本级与拓展级以 GB/T 28827.1 为基础；模型维度是能力管理、人员、过程、技术、资源。

信息系统监理标准：GB/T 19668 系列——.2 基础设施工程、.3 运行维护、.4 信息安全、.5 软件工程、.6 应用系统数据中心工程、.7 监理工作量度量。注意：监理在系规里是 GB/T 19668 这套信息技术服务监理标准，建筑行业那套"四控三管一协调"不是系规考点。

两个方向相反的成熟度：ITSS 运维能力成熟度四级、一级最高；数据管理能力成熟度（GB/T 36073）五级、五级最高。同时出现时别搞反。

九、一张图：法律和标准怎么合在一起

把两半合起来看，你会发现它们在系统规划与管理师的工作里是这样分工的：

• 法律回答"什么必须做、什么不能做"——网安法要求落实等级保护、数据安全法要求数据分类分级、个保法要求个人信息处理合规、招投标法和政府采购法约束项目采购、民法典合同编约束服务合同、专利著作权商标法保护知识产权。
• 标准回答"怎么做才规范"——等保基本要求（22239）告诉你各等级怎么建、24405 告诉你服务管理体系怎么建、28827 告诉你运维能力怎么评、19668 告诉你监理怎么做、36073 告诉你数据管理怎么评。
• 两者的衔接点：等级保护是法律确立的制度、标准给出的要求；标准以推荐性为原则，但少数（如等保）因法律要求而强制。

论文和案例里写"合规依据"时，就按"法律定必须、标准定规范"这个逻辑写一句，专业感立刻上来。

给你三道模拟题，把这章练一遍：

模拟一：关于我国信息技术服务标准体系，下列说法正确的是（）。A. ITSS 就是 GB/T 24405 的简称；B. GB/T 24405 是 ISO/IEC 20000 的等同采用标准；C. ITSS 运维服务能力成熟度分五级，五级最高；D. GB/T 22080 是网络安全等级保护的基本要求。 判断：A 错，ITSS 是标准库、不等于 24405；B 对；C 错，ITSS 运维成熟度四级、一级最高；D 错，22080 是信息安全管理体系，等保是 22239。答案 B。

模拟二：下列关于标准的说法，正确的是（）。A. 标准的定义出自 GB/T 20000.1-2014；B. 标准以强制性为原则；C. 国际电工委员会是世界上最大、最有权威的国际标准化机构；D. GB/T 中的 T 表示强制性。 判断：A 对；B 错，标准以推荐性为原则；C 错，最大最权威的是 ISO，IEC 是成立最早的电工标准化机构；D 错，T 是推荐。答案 A。

模拟三：下列关于常用法律的说法，错误的是（）。A. 专利法规定的发明创造包括发明、实用新型和外观设计；B. 注册商标包括商品商标、服务商标、集体商标和证明商标；C. 数据安全法自 2017 年 6 月 1 日起施行；D. 民法典合同编是信息化法律法规领域最重要的法律基础。 判断：A 对；B 对；C 错，2017 年 6 月 1 日是网安法，数安法是 2021 年 9 月 1 日；D 对。答案 C（题目问错误的）。注意这道题问的是"错误的"，做题时先圈出"错误"二字，别惯性找对的。

三道题覆盖了标准体系、标准基础、常用法律三块，每一道都是"对照事实、快速排除"的做法。你自己做的时候如果某个选项判断不出来，说明那个知识点还没记牢，回到对应的小节再看一遍。这一章的复习方法就是：做题暴露漏洞、回表补漏洞、再做题验证，两轮下来基本就没有盲区了。

十、这一章在三科里怎么考

综合：每年十来道，全是记忆题——法律日期与定位、清单类（三种发明创造、四类商标）、效力层级、标准定义出处、机构、分级编号、三组对应、ITSS 四级、监理标准。

案例：不直接考，但答安全、采购、服务管理类题时引用法律名称和标准名称是加分项。

论文：合规依据段用得上，只引名称不引条款号。

十一、五个易错点，考前钉死

1. 22080 不是等保，等保是 22239。
2. ITSS 不等于 24405，24405 是 ISO/IEC 20000 等同采用。
3. ITSS 运维成熟度四级、一级最高；数据管理成熟度五级、五级最高。
4. 监理是 GB/T 19668 系列，不是"四控三管一协调"。
5. 网安法修订后生效日期考点仍答 2017 年 6 月 1 日，除非题干明确问"修订后"。

十二、本讲核心记忆清单

• 第 24 章：法律法规 + 标准规范；法律强制、标准协商
• 效力层级：宪法 > 法律 > 行政法规 > 地方性法规 > 规章；特别优于一般；新优于旧
• 八部法律：民法典合同编（最重要基础）、招投标法、政府采购法、专利法（三种）、著作权法、商标法（四类）、网安法（2017 年 6 月 1 日）、数安法（2021 年 9 月 1 日）
• 标准与标准化定义出自 GB/T 20000.1-2014；标准化三任务：制定、实施、监督
• ISO 最大最权威、IEC 最早管电工
• 分级看前缀；GB 强制、GB/T 推荐
• 三组对应：20000 对 24405、27001 对 22080、38500 治理；等保 22239
• ITSS 标准库：28827 运维四级一级最高、34960 治理、19668 监理

十三、明日预告

明天是真题站——真题速评 023：云服务模式怎么答，以 2025 年下半年案例回忆版试题二为例。第 132 篇说过第 5、6 章是案例的上升股，明天就拿回忆版那道"应用规划内容、方法产出物、云服务模式"的题，把三问的答法完整走一遍，让你对新题型有实打实的手感。明早见，不见不散。