《商用密碼套用安全性評估管理辦法》是國家密碼管理局為了規範商用密碼套用安全性評估工作，保障網路與信息安全，維護國家安全和社會公共利益，保護公民、法人和其他組織的合法權益，根據《中華人民共和國密碼法》、《商用密碼管理條例》等有關法律法規而制定本辦法。
基本介紹
- 中文名：商用密碼套用安全性評估管理辦法
- 頒布時間：2023年9月26日
- 實施時間：2023年11月1日
- 發布單位：國家密碼管理局
頒布過程,辦法全文,
頒布過程
2023年9月26日，《商用密碼套用安全性評估管理辦法》已經2023年9月11日國家密碼管理局局務會議審議通過，現予公布，自2023年11月1日起施行。
辦法全文
第一條 為了規範商用密碼套用安全性評估工作，保障網路與信息安全，維護國家安全和社會公共利益，保護公民、法人和其他組織的合法權益，根據《中華人民共和國密碼法》、《商用密碼管理條例》等有關法律法規，制定本辦法。
第二條 本辦法所稱商用密碼套用安全性評估，是指按照有關法律法規和標準規範，對網路與信息系統使用商用密碼技術、產品和服務的合規性、正確性、有效性進行檢測分析和評估驗證的活動。
第三條 國家密碼管理局負責管理全國的商用密碼套用安全性評估工作。縣級以上地方各級密碼管理部門負責管理本行政區域的商用密碼套用安全性評估工作。
國家機關和涉及商用密碼工作的單位在其職責範圍內負責指導、監督本機關、本單位或者本系統的商用密碼套用安全性評估工作。
第四條 從事商用密碼套用安全性評估活動，向社會出具具有證明作用的商用密碼套用安全性評估數據、結果的機構，應當經國家密碼管理局認定，依法取得商用密碼檢測機構資質。
第五條 國家密碼管理局支持商用密碼套用安全性評估技術、標準、工具創新，完善商用密碼套用安全性評估標準體系，鼓勵設立商用密碼套用安全性評估行業組織，加強行業自律，維護行業秩序。
第六條 法律、行政法規和國家有關規定要求使用商用密碼進行保護的網路與信息系統（以下簡稱重要網路與信息系統），其運營者應當使用商用密碼進行保護，制定商用密碼套用方案，配備必要的資金和專業人員，同步規劃、同步建設、同步運行商用密碼保障系統，並定期開展商用密碼套用安全性評估。
第七條 重要網路與信息系統規劃階段，其運營者應當依照相關法律法規和標準規範，根據商用密碼套用需求，制定商用密碼套用方案，規劃商用密碼保障系統。
重要網路與信息系統的運營者應當自行或者委託商用密碼檢測機構對商用密碼套用方案進行商用密碼套用安全性評估。商用密碼套用方案未通過商用密碼套用安全性評估的，不得作為商用密碼保障系統的建設依據。
第八條 重要網路與信息系統建設階段，其運營者應當按照通過商用密碼套用安全性評估的商用密碼套用方案組織實施，落實商用密碼安全防護措施，建設商用密碼保障系統。
重要網路與信息系統運行前，其運營者應當自行或者委託商用密碼檢測機構開展商用密碼套用安全性評估。網路與信息系統未通過商用密碼套用安全性評估的，運營者應當進行改造，改造期間不得投入運行。
第九條 重要網路與信息系統建成運行後，其運營者應當自行或者委託商用密碼檢測機構每年至少開展一次商用密碼套用安全性評估，確保商用密碼保障系統正確有效運行。未通過商用密碼套用安全性評估的，運營者應當進行改造，並在改造期間採取必要措施保證網路與信息系統運行安全。
第十條 對商用密碼套用方案開展商用密碼套用安全性評估，應當包括以下內容：
（一）考量商用密碼套用需求的全面性、合理性和針對性，對照相關標準規範選取適用指標的準確性，以及不適用指標論證的充分性；
（二）分析商用密碼套用流程和機制是否具備可實施性、商用密碼保護措施是否達到相應的商用密碼套用要求、相關描述是否詳盡；
（三）論證商用密碼技術、產品和服務選用的合規性，密鑰管理的安全性，以及使用商用密碼解決安全風險的科學性；
（四）編制形成商用密碼套用安全性評估報告。
第十一條 對建設完成的網路與信息系統開展商用密碼套用安全性評估，應當包括以下內容：
（一）對照商用密碼套用方案，了解網路與信息系統基本情況，準確劃定評估範圍；
（二）確定評估指標及評估對象，論證編制商用密碼套用安全性評估實施方案；
（三）依據商用密碼套用安全性評估實施方案，開展現場評估，做好數據採集和信息匯總，研判商用密碼保障系統配置及運行情況；
（四）根據客觀憑據逐項對評估指標進行判定，編制形成商用密碼套用安全性評估報告。
第十二條 運營者開展商用密碼套用安全性評估活動，應當遵守法律法規、標準規範要求，遵循客觀實際、科學公正、誠實信用原則。委託商用密碼檢測機構開展商用密碼套用安全性評估的，不得對評估結果施加不當影響，並應當提供以下支持：
（一）對網路與信息系統的重要數據進行備份；
（二）提供完整有效的網路與信息系統設備清單和網路拓撲；
（三）提供詳細的網路與信息系統商用密碼套用方案、密碼相關管理制度和密碼配置、運行、維護記錄；
（四）提供商用密碼產品管理入口、網路交換設備接入連線埠等相關信息、數據接入分析條件，並配合進行數據採集；
（五）安排網路與信息系統相關網路管理員、系統管理員、密鑰管理員、密碼安全審計員、密碼操作員等做好配合；
（六）其他需要配合的事項。
第十三條 自行開展商用密碼套用安全性評估的網路與信息系統，其運營者應當符合以下要求：
（一）具有與開展商用密碼套用安全性評估活動相適應的設備設施；
（二）具有與開展商用密碼套用安全性評估活動相適應的項目管理、質量管理、人員管理、檔案管理、安全保密管理等規章制度；
（三）具有與開展商用密碼套用安全性評估活動相適應的專業人員；
（四）具有與開展商用密碼套用安全性評估活動相適應的專業能力。
自行開展商用密碼套用安全性評估形成的商用密碼套用安全性評估報告，應當符合相關國家標準、行業標準和有關規定的要求，由本單位密碼或者網路安全負責人簽字確認並加蓋本單位公章。
運營者應當對商用密碼套用安全性評估原始記錄和商用密碼套用安全性評估報告歸檔留存，保證其具有可追溯性。商用密碼套用安全性評估原始記錄和商用密碼套用安全性評估報告的保存期限不得少於6年。
第十四條 重要網路與信息系統的運營者應當在商用密碼套用安全性評估報告形成後30日內，將評估報告和相關工作情況按照國家有關規定報送國家密碼管理局或者網路與信息系統所在地省、自治區、直轄市密碼管理部門備案。
國家密碼管理局或者省、自治區、直轄市密碼管理部門對商用密碼套用安全性評估結果備案材料進行形式審查。形式審查未通過的，相關運營者應當重新提交備案材料。
國家密碼管理局可以對商用密碼套用安全性評估結果進行抽樣檢查。抽樣檢查不合格的，相關運營者應當重新開展商用密碼套用安全性評估。
省、自治區、直轄市密碼管理部門應當按季度向國家密碼管理局報送本地區商用密碼套用安全性評估工作開展情況。
第十五條 運營者發現密碼相關重大安全事件、重大密碼安全隱患或者特殊緊急情況的，應當及時向國家密碼管理局或者網路與信息系統所在地省、自治區、直轄市密碼管理部門報告，並啟動應急處置方案，必要時開展商用密碼套用安全性評估。
第十六條 縣級以上地方各級密碼管理部門、國家機關和涉及商用密碼工作的單位可以根據工作需要，對本地區、本機關、本單位或者本系統的重要網路與信息系統商用密碼套用安全性評估情況開展專項檢查。
第十七條 重要網路與信息系統的運營者違反《中華人民共和國密碼法》、《商用密碼管理條例》和本辦法規定，有下列情形之一的，由密碼管理部門責令改正，給予警告；拒不改正或者有其他嚴重情節的，處10萬元以上100萬元以下罰款，對直接負責的主管人員處1萬元以上10萬元以下罰款：
（一）重要網路與信息系統規劃階段，未對商用密碼套用方案進行商用密碼套用安全性評估的；
（二）重要網路與信息系統建設階段，未按照通過商用密碼套用安全性評估的商用密碼套用方案建設商用密碼保障系統的；
（三）重要網路與信息系統運行前，未開展商用密碼套用安全性評估的；
（四）重要網路與信息系統運行前，未通過商用密碼套用安全性評估且未進行改造的；
（五）重要網路與信息系統建成運行後，未定期開展商用密碼套用安全性評估的；
（六）重要網路與信息系統建成運行後，未通過定期開展的商用密碼套用安全性評估且未進行改造的；
（七）違反法律法規、標準規範要求開展商用密碼套用安全性評估的；
（八）不符合相關要求自行開展商用密碼套用安全性評估的。
第十八條 重要網路與信息系統的運營者違反本辦法規定，有下列情形之一的，由密碼管理部門責令改正；逾期未改正或者改正後仍不符合要求的，處1萬元以上10萬元以下罰款，對直接負責的主管人員處5000元以上5萬元以下罰款：
（一）對商用密碼套用安全性評估結果施加不當影響的；
（二）未為商用密碼套用安全性評估活動提供必要支持的；
（三）未按照要求進行商用密碼套用安全性評估結果備案的。
第十九條 從事商用密碼套用安全性評估監督管理工作的人員濫用職權、玩忽職守、徇私舞弊，或者泄露、非法向他人提供在履行職責中知悉的商業秘密、個人隱私、舉報人信息的，依法給予處分。
第二十條 本辦法施行前正在建設的重要網路與信息系統，其運營者應當加強商用密碼套用方案編制論證，建設完善商用密碼保障系統，並按照本辦法第八條規定開展商用密碼套用安全性評估。
本辦法施行前已經投入運行的重要網路與信息系統，其運營者應當按照本辦法第九條規定開展商用密碼套用安全性評估。
第二十一條 本辦法自2023年11月1日起施行。
