《關於調整網路安全專用產品安全管理有關事項的公告》是網信辦於2023年4月17日發布的公告，宣布自2023年7月1日起停止頒發《計算機信息系統安全專用產品銷售許可證》，此前已經獲得銷售許可證的產品在有效期內可繼續銷售或者提供。
基本介紹
- 中文名：關於調整網路安全專用產品安全管理有關事項的公告
- 發布單位：國家網際網路信息辦公室、工業和信息化部、公安部、財政部、國家認證認可監督管理委員會
發布歷程,檔案全文,內容解讀,
發布歷程
2023年4月17日，網信辦發布《關於調整網路安全專用產品安全管理有關事項的公告》。
檔案全文
關於調整網路安全專用產品安全管理有關事項的公告
2023年第1號
為加強網路安全專用產品安全管理，推動安全認證和安全檢測結果互認，避免重複認證、檢測，依據《中華人民共和國網路安全法》、《關於發布〈網路關鍵設備和網路安全專用產品目錄（第一批）〉的公告》（2017年第1號）、《國家認監委工業和信息化部公安部國家網際網路信息辦公室關於發布承擔網路關鍵設備和網路安全專用產品安全認證和安全檢測任務機構名錄（第一批）的公告》（2018年第12號）、《關於統一發布網路關鍵設備和網路安全專用產品安全認證和安全檢測結果的公告》（2022年第1號），現將調整網路安全專用產品安全管理有關事項公告如下：
一、自2023年7月1日起，列入《網路關鍵設備和網路安全專用產品目錄》的網路安全專用產品應當按照《信息安全技術網路安全專用產品安全技術要求》等相關國家標準的強制性要求，由具備資格的機構安全認證合格或者安全檢測符合要求後，方可銷售或者提供。
具備資格的機構是指列入《承擔網路關鍵設備和網路安全專用產品安全認證和安全檢測任務機構名錄》的機構。
國家網際網路信息辦公室、工業和信息化部、公安部、國家認證認可監督管理委員會發布更新《網路關鍵設備和網路安全專用產品目錄》、《承擔網路關鍵設備和網路安全專用產品安全認證和安全檢測任務機構名錄》。
二、自2023年7月1日起，停止頒發《計算機信息系統安全專用產品銷售許可證》（簡稱銷售許可證），產品生產者無需申領。此前已經獲得銷售許可證的產品在有效期內可繼續銷售或者提供。
三、自2023年7月1日起，停止執行《關於調整信息安全產品強制性認證實施要求的公告》（原國家質檢總局、財政部、國家認證認可監督管理委員會2009年第33號）和《財政部工業和信息化部質檢總局認監委關於信息安全產品實施政府採購的通知》（財庫〔2010〕48號）。
四、國家網際網路信息辦公室會同工業和信息化部、公安部、國家認證認可監督管理委員會統一公布和更新符合要求的網路關鍵設備和網路安全專用產品清單，供社會查詢和使用。
特此公告。
國家網際網路信息辦公室
工業和信息化部
公安部
財政部
國家認證認可監督管理委員會
2023年4月12日
內容解讀
2023年5月，國家網際網路信息辦公室有關負責人就《公告》相關問題回答了記者提問。
問：請介紹一下《公告》發布的背景？
答：1994年，《計算機信息系統安全保護條例》規定國家對計算機信息系統安全專用產品的銷售實行許可證制度，公安部自1997年開始實施產品銷售許可行政審批工作。2008年，原國家質檢總局、國家認監委發布《關於部分信息安全產品實施強制性認證的公告》，將13種信息安全產品納入強制性認證管理範圍；2009年，又聯合財政部發布《關於調整信息安全產品強制性認證實施要求的公告》，將信息安全產品強制性認證要求調整為在政府採購法範圍內實施。2010年，財政部、工業和信息化部、原國家質檢總局、國家認監委聯合印發《關於信息安全產品實施政府採購的通知》，再次明確使用財政性資金採購信息安全產品的，應當採購經國家認證的產品。這兩項制度對規範管理網路安全產品發揮了重要作用，但管理內容有交叉，在一定程度上存在重複認證檢測情況。
2017年6月實施的《網路安全法》明確規定“網路關鍵設備和網路安全專用產品應當按照相關國家標準的強制性要求，由具備資格的機構安全認證合格或者安全檢測符合要求後，方可銷售或者提供。國家網信部門會同國務院有關部門制定、公布網路關鍵設備和網路安全專用產品目錄，並推動安全認證和安全檢測結果互認，避免重複認證、檢測”。為落實《網路安全法》有關規定，國家網信辦會同工業和信息化部、公安部、國家認監委等部門相繼發布網路關鍵設備和網路安全專用產品目錄，確定承擔安全認證和安全檢測任務的機構，明確認證檢測結果統一發布流程，制定《信息安全技術 網路安全專用產品安全技術要求》強制性國家標準。
這次五部門聯合發布《公告》，統一網路安全專用產品認證檢測制度，停止頒發《計算機信息系統安全專用產品銷售許可證》，停止執行政府採購領域信息安全產品強制認證要求，是落實《網路安全法》關於推動安全認證和安全檢測結果互認規定的重要舉措，對統一網路安全產品安全要求、提升產品整體安全防護能力，減輕網路安全企業負擔、營造良好產業發展環境，發展強大網路安全產業、增強國家網路安全能力具有重要意義。
問：哪些網路安全專用產品需要按照《公告》要求開展安全認證或者安全檢測？
答：2017年，國家網信辦會同相關部門發布了《網路關鍵設備和網路安全專用產品目錄（第一批）》，包括數據備份一體機、防火牆、WEB套用防火牆、入侵檢測系統、入侵防禦系統、安全隔離與信息交換產品、反垃圾郵件產品、網路綜合審計系統、網路脆弱性掃描產品、安全資料庫系統、網站恢復產品等11類網路安全專用產品，並通過性能指標界定了範圍。列入這個目錄且在性能指標要求範圍內的網路安全專用產品，需要按照《公告》要求進行安全認證或安全檢測。
目前，國家網信辦正會同工業和信息化部、公安部、國家認監委等部門，根據技術發展情況和監管要求，參考有關國家標準，動態調整《網路關鍵設備和網路安全專用產品目錄》。請大家密切關注國家網信辦後續發布的有關公告。
問：哪些認證檢測機構是具備資格的機構？
答：具備資格的認證檢測機構是指《國家認監委 工業和信息化部 公安部 國家網際網路信息辦公室關於發布承擔網路關鍵設備和網路安全專用產品安全認證和安全檢測任務機構名錄（第一批）的公告》中認證檢測範圍包含網路安全專用產品的機構。
國家網信辦將會同相關部門建立健全認證檢測機構監督管理制度，對認證檢測機構定期開展評估，不符合工作要求的，依法依規進行處罰。各認證檢測機構不得要求企業對多種檢測項目開展捆綁檢測。企業發現認證檢測機構違規行為的，可以向國家網信辦舉報。
問：安全認證和安全檢測依據什麼標準？
答：網路安全專用產品依據GB 42250《信息安全技術 網路安全專用產品安全技術要求》強制性國家標準開展安全認證和安全檢測。
認證檢測過程中也將參考與之相配套的、針對具體產品類別的國家標準。全國信息安全標準化技術委員會已發布一系列具體產品類別的國家標準，如GB/T 20281-2020《信息安全技術 防火牆安全技術要求和測試評價方法》、GB/T 20275-2021《信息安全技術 網路入侵檢測系統技術要求和測試評價方法》、GB/T 28451-2012《信息安全技術 網路型入侵防禦產品技術要求和測試評價方法》、GB/T 30282-2013《信息安全技術 反垃圾郵件產品技術要求和測試評價方法》、GB/T 20278-2022《信息安全技術 網路脆弱性掃描產品安全技術要求和測試評價方法》等。
問：產品生產者是否還需要申請《計算機信息系統安全專用產品銷售許可證》？
答：自2023年7月1日起，《計算機信息系統安全專用產品銷售許可證》停止頒發，產品生產者無需申領。
問：政府採購領域如何執行《公告》要求？
答：2023年7月1日之前，在政府採購活動中採購網路安全產品的，仍然執行原規定，即國家信息安全產品認證在政府採購法規定的範圍內強制實施，各級國家機關、事業單位和團體組織使用財政性資金採購信息安全產品的，應當採購經國家認證的信息安全產品。
2023年7月1日起，在政府採購活動中採購網路安全產品的，不需產品提供國家信息安全產品認證證書。政府採購活動中不得要求或者採取加分等措施變相要求投標產品同時滿足安全認證合格和安全檢測符合要求。
問：安全認證和安全檢測結果如何發布？
答：認證檢測機構會直接通過網路關鍵設備和網路安全專用產品認證檢測結果發布系統報送安全認證合格或者安全檢測符合要求的網路安全專用產品清單，有關主管部門審核後，由國家網信部門會同工業和信息化部、公安部、國家認監委統一公布，供社會查詢和使用。
問：2023年7月1日起，產品生產者是否需要同時進行安全認證和安全檢測？
答：不需要。安全認證合格或者安全檢測符合要求，具有同等市場準入效力，產品生產者不必重複申請。同一款產品在有效期內重複申請的，國家網信辦不再公布認證檢測結果。
2023年7月1日起，列入《網路關鍵設備和網路安全專用產品目錄》的網路安全專用產品應至少符合以下條件之一，方可銷售或者提供：一是依據《公告》要求，按照《信息安全技術 網路安全專用產品安全技術要求》等相關國家標準強制性要求，由具備資格的機構安全認證合格或安全檢測符合要求的；二是此前已經獲得《計算機信息系統安全專用產品銷售許可證》，且在有效期內的。
未列入《網路關鍵設備和網路安全專用產品目錄》的其它相關產品，如法律法規沒有特殊規定，可按照市場需求銷售或者提供。
