三年 120 个 CPE：CISSP 续证如何运作

每个三年周期需要 120 个 CPE——仅此而已：对持证会员而言，每年 40 个的最低要求 自 2022 年起已不存在。然而这个问题仍不断以几乎相同的形式反复出现：是每年 40 个 还是三年 120 个？从什么时候开始计算？播客算不算？社区的回答基本一致，但与之 并存的还有对早已失效的旧规则的记忆。本文整理持证者对此的理解；发生争议或遇到 审核时，ISC2 在 isc2.org 上发布的 CPE Handbook 仍是 准绳。

需要多少个 CPE，在多长的期限内？

社区讨论中一贯的答案是：每个三年周期 120 个 CPE。这个周期表现为一个整体， 而不是三段需要分别达标的年度份额。

计量单位很简单，每当有会员搞错时都会被重申一次：一小时活动折算一个学分。 2025 年的一个帖子在这一点上说得很明确——此前有会员称一门十一小时的培训可得 30 到 40 个 CPE：

“1 hour = 1 CPE so not entirely sure where the 30-40 comes from”

译文：“1 小时 = 1 个 CPE，所以我不太清楚 30 到 40 是从哪来的。”

原帖作者承认自己的估算来自一个对话式助手，并更正了申报。这是一个有用的提醒： 流传的量级必须回到实际花费的时间上。

这个数量看着吓人，但社区讨论并不把它描述成障碍：好几位会员毫不费力就累积到 250、400、467 甚至 490 个学分，其中一位用一句话概括了行之有效的做法：

“I tend to watch a one-hour webinar on my spare monitor most Fridays, as I finish up my workweek on the primary monitor.”

译文：“大多数周五我都会在副显示器上看一场一小时的网络研讨会，同时在主显示器上收尾一周的工作。”

对中文读者而言，有一点值得说明：讨论中记录到的所有 CPE 来源都是英文的。 网络研讨会、播客、大会、培训平台——三年的存档里没有引用任何中文来源。因此， 维持证书在实践上以能够顺畅地阅读和收听英文为前提。

每年 40 个 CPE 的最低要求还存在吗？

对持证会员来说不存在了——而这大概是社区讨论中最普遍的一处混淆。有一条评论 引用 handbook，为这场争论下了定论：

“ISC2 has a suggested annual minimum to help balance maintaining your certification, however, there is no annual requirement unless you hold the associate status.”

译文：“ISC2 给出了一个建议性的年度最低值，以帮助均衡地维持证书，但并不存在 任何年度义务，除非你持有的是 associate 身份。”

这条规则的沿革由一位自称为 ISC2 和 CISSP 编写考题已有十三年的会员讲述：

时期	所述规则
2020 年之前	每年必须 40 个 CPE，每个三年周期 120 个
2020 年	年度最低值下调至 20 个 CPE
2022 年起	取消年度最低值——只保留每周期 120 个

“Prior to 2020, you had to do 40 per year, with 120 per 3yr cycle. In 2020 they dropped it to 20/yr and then in 2022, they did away with it all together.”

译文：“2020 年之前，你必须每年做 40 个，每个三年周期 120 个。2020 年他们降到 每年 20 个，然后 2022 年干脆全取消了。”

同一个人认为这与其说是恩惠，不如说是风险，并预言年度约束的消失会让持证者变得 松懈，直到“第一批人”失去证书为止。混淆在现实中确实还在持续：直到 2026 年 5 月， 还有一位新晋持证者写道，他在寻找如何“以每年 40 个 CPE 或三年 120 个”来维持 自己的证书。

A 组和 B 组有什么区别？

划分方式很简单：A 组涵盖与信息安全各领域直接相关的活动，B 组涵盖更一般 的职业发展。在一个专门讨论如何快速积累学分的帖子里，典型策略是这样分享的：

“Category A: a combination of podcasts, CBTs, and reading white papers / articles. […] Category B: mostly work related stuff like leadership meetings”

译文：“A 类：播客、在线课程以及阅读白皮书或文章的组合。……B 类：主要是与工作 相关的东西，比如管理层会议。”

不过分类并非一锤定音。2026 年 1 月的一个案例提到，ISC2 未经通知就把 20 小时从 A 组重新归入 B 组——其中还包括 ISC2 自己通过电子邮件发给该会员的 两小时网络研讨会。另一位会员讲述，他把活动描述改写成明确与安全挂钩之后，成功 推翻了一次拒绝。这些帖子给出的建议是：可以申辩，但要带上材料。

“If you can show why they should count they will likely accept them.”

译文：“如果你能说明它们为什么应该计入，他们多半会接受。”

实际影响是：写活动描述时，要想着日后有人要在没有上下文的情况下判断，你申报的 这一小时是否真的属于安全领域。

从什么时候起可以开始累积学分？

只能从取得证书之日起，也就是 endorsement 获批并且年费缴清之后。

“You can’t collect CPE until after your certification date which is when it is fully endorsed”

译文：“在取得证书之日以前你无法累积 CPE，而这个日期就是 endorsement 完全通过 之时。”

这个坑是实实在在的。一位考生讲述自己“损失”了一次 RSA 大会和在等待 endorsement 期间取得的三项证书：这些都无法申报。既然 已报告的 endorsement 处理时长 在提交材料后为三周到六周半——如果经验被深入审查还会更久——那就意味着存在一段 学习投入不计数的窗口期。由于缴费是触发条件的一部分， AMF 的运作方式 直接决定了学分从何时开始累计。

对于同时持有多项 ISC2 证书的人，讨论描述的是学分各自独立计算，但只要主题同时 覆盖两套知识体系，同一个 CPE 可以在两边都申报；由 ISC2 举办的活动据称会自动 计入两边。

多出来的 CPE 可以结转到下一个周期吗？

只能部分结转。社区描述的结转只涉及在周期最后六个月内获得的学分，并提到有 40 个的上限——在据此制定计划之前，这个数字需要在 CPE Handbook 中确认。

至于实际含义，大家的看法一致：如果周期临近结束，凑够 120 个之后也不要停止申报 活动。在这最后一段窗口里挣到的并不会白费。

审核是怎么进行的，哪些证明材料会被接受？

CPE 审核被描述为随机抽取，且对形式不苛求。一位会员讲述自己因为一门在线 课程上的半个学分而多年来第一次被抽中审核，由此认为抽取完全不是定向的。

讨论中提到的证明材料	所述结果
播客收听应用的截图	被接受
大会期间所发帖子的截图	被接受，35 个学分获认可
结业证书、收据	被接受
只是说明做了什么	有时就够了

“'proof' doesn’t have to be formal… sometimes (gasp) they’ll take whatever you tell them you did”

译文：“‘证明’不一定要正式……有时候（说出来都吃惊）你说自己做了什么，他们就 认什么。”

被描述的良好做法始终一致：用一个电子表格记录日期、标题、小时数和链接；平台提供 证书时就下载下来；对播客和阅读写上两三行摘要。“没必要比这更详细，除非你的申报 被抽中审核。”这里的审核不要与 endorsement 审核混为一谈，后者针对的是申请当时的 职业经验。

让一个周期就这么过去会有什么后果？

先是暂停，然后失去证书。而社区讨论对后续的说法毫不含糊：在那些失去 CISSP 又 重新需要它的会员当中，所有人都不得不重考完整的考试。有四份经历提到这一点， 其中包括一位 2002 年持证、2020 年放任其失效的会员，以及一位 2014 年持证、在 新冠时期之后没能跟上节奏的会员。重考就意味着重新支付一次考试费用：各方报出的 金额见CISSP 考试价格专页， 而资深从业者为何会考砸，则见 为什么有人考不过 CISSP。

讨论中最常见的两种补救处境——“我在周期第三年，0 个 CPE，还剩十个月”和“我 120 个 里只有 1 个学分”——结局都不错：回复里详细列出了快速补救的办法，主要是连轴看 网络研讨会和参加大会。 社区整理的免费来源 其实仅靠这些本身就足以覆盖整个周期。不过最常被重复的建议仍然是最简单的那条：尽早 开始，哪怕八个月就把 120 个学分做完，剩下的周期过得从容一些。