商用】密，。码检测机构管—理办法 【国家密码管理—局令 ？ 第2号    ！ 商：用密码检测机构管】理办法已经20【23年9《月，11日国家密—码管理局局务会议审！议通过现予》公布自202—。3，年11月1日起【施行： 局长 刘东方 ！ ，2023年9月26！。日 第一条—　为了加《强商用密码检测机】构管理？规，范商用密码》检测活动根据—中，华人民共和国—密码：法、商用密码管理条！例等：有关法？律法：规制定本办法 第！。二条：。　商：用密码检测机构的】。资质认定和监督管】理，适用本办法》 第三《。条　从事商用密码】产品检？测、网络与》信息系统商用—密码应用安全性评估！。等，商用密码检》。测，活动向社会》出具具有证》明，作用的？数，据、：结果的机《构应当经《。国家密？码管理？局认定依法取得商】用，密码检测机构—。资质 第四条　国！家密码管理局负责】。。全国商用密码检【测机：构的资？质认定和监督管理县！级，以上地方各级—密码：管理部门负》。责本行？政区域内商用密码】检，测机构的监督管理】 ， 第五条　商用密】码检测机构》应当在资质认—定业务范围内从事】商用密码检测活动】国家密码管理—局制定并公布商【用密码检《测机构资质认定【基本规范和》。商用密码检测机【。构资：质认定业务范围 】 第六条　》。取，。得商用密《码检测？机构资质应当符合】下列：条件   —  （一）具有法人！资格；   【  （二）具有与从！事商用密码检—测活动相《适，应，的资：金； 《    （三—）成立？2，年以上？。从事网络安全检测评！估领域相《关工作？1年以？上无重大违》法或者不良信用【记录；    】 （四）《具有与从事》。商用密码检测活【动相适应《的场：所；   —。  （？五）具有与从事商】用密码检测活动相适！应的设？。备设施；    ！ ，（六）具有保—。证商用密码检测活动！独立、公正、—科学、？诚信的管理体系；】 ：   ？ （七）具有与从】事商用密码检测【活，。动相：适应的专业人—员，；     （八！）具有？与从事商《用密码检测活动【相适应的专》业，能力     外！商投资企业法人申请！商用密码检测机构资！质除符合上述条件】外还应当《符，合，我国外商投资有关】法律法？规的规定 第【七条　？申，请商用密码检测【机构资质应当向【国家：密码管？理局提出书面申请】向国家？。密码：管理：局，委托进行受理的省、！自治：区、：直辖市密《码管理部《门，提交商用密码检测机！构资质申请表—及以下材料并对其真！实性：负责 ？。     （一【），。法人资格证书； 】     （二）资！本结构和股权—。情况； 》    （》三）无重大违法或者！不良信用记录、不】从事可能影响商用】密码检测《公平公正性活动的】承诺；     ！（四）工作》场所等固《。定资产产权证书【或者租？赁合同；    ！ （五）工作环境】和设备设施配置情况！；    — （六）项》。目管理、质量管【。理、人员管理、档案！管理、安全保密【管理等管理体系建】。立情况；  【   （七）法【。定，代表人？。、最高管《理者、？技，术负责人、质—量负责人、授—权签字人以及专业人！员情况；《  ？。   （八）—申请：人认为？需，要补充的其他材料】   《。。  受国家密码管理！局，委托进？行受：理的省、自治区、直！辖市密码管理部门自！。收到申请材》料之日起5个工【作，日内对申请材料【进，行形式审查根—据下列情况分别作】出处理申请材料内】容齐：全、符合《规定形式的应—当受理行《政，许可：申请：。并出：具，受理通知书；申请材！。料内容不齐全或【者不符合规定—形式的应当》。当场或者在》5个工作日内—一次性告知申—请，人需要补正的全部材！料；不予受理的应当！出具不予受理通【知书并说明》理由 ？ ，第，八条　国家密码管】理局应当自行政许】可申请受理之日【起2：0个工？作日内依据商用【密码检测《机，构资质认定基本【规范：。的要求对申请进行审！查并依法作出是否】准予许可的书面【决，定，。     需要对！申请人进行技术评】审的：技术评审所需时间不！计，算，在，本条规定《的期限内国家密码管！理局应当将所需【时间书面告知申请】人 ： 第九条　国—。家，。密，码管理？局，根据技术评》审需要和专业要求可！以委托专业》技术评？价机构？实施技术《评审     】技术评审包括专【业人员能力》考核场所、设备【设施、管理体系建】设实地查《勘检测能力考核等】     专业】技术评价机构应【当严格按照》商用密码《检测机构资质认定】基，本规范开展技—术评审活动对技【术评审结论》的真实性、符合【性负责并《。承担相应法》律责任国家密码管理！。局，应当对技术评审活动！进行监督建立责任追！究机制 第十【条　申？请人有下列情形之一！的国家密码管—理，局应当？终止审查 》     （一）隐！瞒有关情《况或者？提供虚？假材料的；》     （【二，）采取？贿赂、请托等不正当！手段影？响审查工作公平公正！进行的；《     —（，三）无正当理由拒绝！接受审查的；—   《  （四）违反商用！密码：检，测机：构从业要求的 【 第十一条》　准予许可的国【家密码管理》局向申请人颁—发商用密码检测【。。机构资质证书并公布！取得：资质证书的商—用密：码检测机构名录 】     有下列情！形之一的国家—密码管？理局应？。当出具不予行政许可！决定：书说明理由并告【知申请人相关—权利  》 ，  （一）终—止审：查的；   【  （二）审查【不合格的； —    《 （三）法律法【规规定的不予许可】的，其他情？形， 第十二条　商用！密码检测机构—资质证书有效期【5年内容包括获证机！构名称、统一社会信！。用代：。码，、注册？地址：、证书编号、有效】期限：、资质？认定业？务，范围、发证机关和发！证日：期     商用！密码检测《机，。构资质证书》有效期届满需要延】续的应？。当在有？效期届？满3个月《前向国家密》码管理局提出书【。面申请国《家密码管理局根【据申请人的实际【情况采取书面—或者现场形》。式开展审查在商用密！码检：测机构资《质证书有效》期届满前《作出是否准予延续】的决定 《   ？  禁止《转让、出《租、：出借、？伪造、变造、冒【用、租借商用—密码：检测机构资质证书】。 第十三条　有】。下列情形之一的商用！密码检测机》构应当自变更之日起！30日内向国家【密码管理局申请办】理变更手续 —     》（一）机构》名，称、注？册地址、法》人性质发生变—更的；  —   （二》）法定代表人、最】高管：理者、技术负责【人、质量负责人、授！权签字人发》生变更的；》     （【三）资质《认定业务范围发生变！更的； 》    （四）依】。。法需要办理变更【。的其他事项  】   商用密—码检测机构发—生变更的事项影响】其符合资质认—定条件和要求—的国家密《。码管理局《根据申请人的—实际情况采取书面或！者现场形式开展审】查需：要进：。行技术评审的依照本！办法第九条规定对】其开展技术评—审 第十四条【　商用密码检测机构！有下列？情形之一的》国家密码管理局应】当依法注销》其商：用密码？检测机构《资质   —  （一《）商用密码检测机】构资质证书有效【期届满未申》请延续或者依法不】予延续批《准的；？     （【二）申请注销商用】密码检测机构资【。质的；     ！（三）被《依法：撤销：、吊销？商用密码检测—机构资质的； 【    《 ，（四）依法终止的；！    》。 （五）《因法：人性质变更、改制】、分立或者合并【等原：因发生变化或者【发，生其他影响》其符：合，资质认定条件和要】求的变更事项—经审查发现不—符合资质认定条件】和要求？。的；    【 （六）资质认定】业务：。。范围被全部》取消的；   】  （七《。）法：律法规规《定的应当注销商用】密码检测机》构资质的其他情形 ！ 第：十五条　商用—密码检测机构及相】关从业人员应当【按照法？律、：。行政法规和商用【。。密码检测技术规【范，、规则在批准范围】内独立、公正、【科学、诚信地—开展商用密码—检测对出具的—检测数据、》结果：负责尊重知识产【权恪守职业道—德承担？社会责任保守在【工作中知悉》。的国家秘密、商业秘！密和个人《隐私 ？ 第十六条　—商用密码检测机构应！当保：证其：。基本条？件和技术能力能够】持，续符合资质认定条】件和要求并确保管】理体系有《。效运行 第十七条！。　商用密码检测【机，构应：当遵守以下从业要】求     【。（一）加强对本机】构人员的《监督管理经常—性组织开展安全保】密教育和业务—培训；本机构从【事检：测活动的专业人员每！年接受商用密码教】育培：训的时长不得少【于40？学时相关情况应当】记录留存； —。 ，    （二）【本机构及《关，联方不得《从事商用密码产品】生产、销《售（检测工具除外】）信息系统或者【商，用，密码保障系统集【成、运营电子—认证服务电》子政务电子》认证：服，务或：者其他可《能影响商用》密码：检测公？平公正？性的活动； —  ：。   （三）不得同！时聘用？正在其他商》用，密，码检：测机构？从业的人员或者存在！其他恶意竞争—、扰乱市《场秩序的情形；【     （【四）：不，得以单？独出租设备设—施或者委派人员等方！式承担业务所承【担的业务《。不得分包、转—包； 《   ？。 （五）不得—以，任何方式《。推荐或者限定被检】测单位购买使用特】定主体生《产或者提供的商用】密码产品或者服务；！  ？   （六）独立于！出，具的：检测数据、结—果、报告所涉及的利！益相关各方不受任】何可能？干扰技术判断—因素的影响； 】 ，   （《七）使用《符合国家密码管理要！求的：设备：设施； 》    《（八）法律》法，规，和国家有《关规定提出》的其他从业要求 ！第十八条《　商用密《。码检测机构出具的】检测报？告，应当符合相关国家】。标准、行业标准和有！关规定的要求保【证内容真实、客观】、准：确、：完整商？用密：码检测机构对其出】具的检测报》告负责并承担—相应的法律责任 ！    商》用，密码检测机》构，应，当，指定授权签字人在】其业：务能力？范围内签字确认本】机构出具的检测【报告并加盖机构【公章或者专用章授权！签字人应《当，系统掌握商用密码】管，理政策和专业知识具！。。备密码或《者网络安全领域高级！技，术职称或者》同等专业水平— ，。 第十九条　商用密！码检：测，机构应当对检测【原始记录和》检测报告归》档留存保《证其具有可追溯性检！测原始记录和检测】报告的保存期限不】得少：于6年     ！从事商用密码产【品检测的商》用密码检测机构应当！按照相关《标准：规，。范的要求对检测样品！和相关数据信息【进，行妥善管理》。商用密码检测机构】资质被注销》的应当对检测—样品和相关》数据信息进》。。行妥善处理》 第二十条　商用！。密码检测机构应当】于每年1月15日前！通过：。所在：地省：、自治区《、直辖市《密码管？理部门向国家密码管！理局报送上一年度】。工作报？告以及相关》统计数据包》括持续符合》资质认定条件和要求！、遵守？从业规范、》开展：检测：活动、实施标准等】情况 第二十【一，条　商用密码检测机！构不得有以下出具虚！假或者失实检测数】据、结果、报告的行！为 ？    （一）【未经检测直接出具】检测数据、结果【、报告的；   ！  （二）篡—改、编造原始—数据、记录出具检测！数据：、，结果、报告的； 】     （三）】伪造检测《报告：和原始记录签名或】者非授权签字—人，签发检测报告的；】 ， ，    （四）漏检！。关，键项目、干扰—。检测过程或者改【动关键项目的检【。测方：法，造，成检：测数据？、结果、报》告，失实的； 》。 ，。    （五）【其他出具虚假或者】失实检测数》据、：结果、报告的行【为 第《二十二条　密码【管理部门对商用【密码检测机构依法开！。展，监督检查可以行使下！。列职权   【  （一）进入【检测活动场所实施现！场检：查；   — ， （二）向商用【密，码检测机构、委托】人等有关单》位及人员调查、【了，。解有关情况或—者验证相关》检测活动；   ！ ， （：三）查阅、》。复制有关合同、【票据、账《簿以：及检测活《动中形成的检测数】据、结？果，、报：。告等有关材料 【。 ，  ：。  国家《密码管理局》根据工作需》要可以行使下列职】权     （】一）组织商用密码检！测机构检《测能力验证；  ！   （二）对商】用密：码检测机构出具的】检，测数据、结果、【报告等有关材料进】行抽：样检查    】 密码管理部门和】有关部门及其工【作人员不得要—求商用密码科研、】生产：、销售？、服务、进》出口等单位》和商用密《码检：测、认证机构向其披！露源代码《等，。密码相关专》有信息并对其—在履行职责中知悉的！商业秘密和个人隐私！严，格保密不得泄露或者！非法向？他人提？供 ？第二十三条》　商用密码》检测机构应当积极】配合密码管》理部门的监督检查按！照要求参加》检测能力验证—和抽样检查并—如实提？。供，相关材料和信息检测！能力验？证或者抽样》检查结？果不合格的应当【开，展为期不少于6个月！。的整改整《改期间不得开—展相应业务范围的商！用密码检测活动商用！密码检测机构整【改结束后应当经国】家密码管理局组【织验：收合：格方可恢复开展【相应业务范围的【商用：密码检测活》动；经整改》仍不能？。满足相？应业务范《围的资质认定条【件和要求的取—消其相应业务范围的！资质认定直至注【销其商用密码—检测机构资质— 第二《十四条　以欺骗、贿！。赂等：不，正当手段取》得，。。商用：密码检测机构资质】的国家密码管理【局应当依法撤—销商用密码检—。测机构资质该机【构在：3年内？不得再次《申请商用密码检测机！构资质 》    申请商【用密码检测机—构资质时《隐瞒有关情况或者提！供虚假材《。料的国？家密码管《理局不？。予受理或者不—予许可该机构在1年！内不得？再次申请商》用密码检测机构【资质 第二十【五条　商《用，密码检测机构—违反中华人》民共和国密码—法、：商用：密码管理条例—和本办法规》定有下列《情形之一的由密【码管理？部门责令改正或者停！止违法行《为给予警告没—收违法？所得；违法所得【。30万元以上—的可：以并处违法所—得1：倍以上3倍以—下罚款；没》有违法所得或者违】法所得不足3—0万元的可以—并处：10：万元以上30万元】以下罚？。款；：。情节严重的由国【家密：码管理局吊销其商】用密码？检测机构资质  ！   （一》）超出批《准范围开展商用密】码检测的《。； ？    （二）转让！、出租、《出借、伪造、变造】、冒用、《租借商？用密：码检：测机构资质证书的】；  《 ，  ：（三）本机》。构及关联方从事【。商用密码产》品生产、销售（检测！工具除外《）信息系统或者【商，用密码保障系—。统集成、运营电子认！证服务电子政务【电子认证《服务或者其》他可能？影，响，商用密码检测公平】公正性的活动的；】     （四】）同时聘用》正在：其他商用密码检测】机，构从业的人员或【者存在其他恶意竞】争、扰乱市场秩序】情形的； 》。 ，    （五）【以单独出租设备设施！或者委派《人员等方式承—担业务或者分包【、转包所承担—业务的；   】  （六）推荐或者！限定被检《测单位？购买使用特定—主体生产或者提供的！商用密码产品—或者服务的； 】    《（，七）违反法律、行政！法规和商用密码检】测技术规范、规则】。要求开展检测活【动或者存在其—他影：响检测？独立、公正、科学、！诚信的行为的；【     （八】）出具的检测数据、！结果、报告虚假【或，者失实的；》 ，。    《 （九？。）未：按照要求如实报【送年度工作报告【以及相关统计数【据的；？ ，   ？  （十《），泄露在工作》中知悉的商业—秘密、个人隐私的 ！ 第二十六条　【商用密码检测—机构违反本办法规】。定有下列情形之【一的由密码管理部门！责令改正《；，逾期未改正或—者，改正后仍不符合【要求的处1万元以上！10万元以下罚【款     （】一）：未按：照要求申请办理变】更手续的；》     （二）！未，按照要求开》展安全保《密教育和业务培训的！； ：。。     （三【）使用不符》合国：家密码管理要求的】设备：设施的？；，     （四）！出具：未，经授权？签字人签《字确认的《。。检，测报告授《权，。签字人超出其业【。务能力范《围签发检测报告或者！未，在检测报告上—加盖机构公》章或者专用章—的； 《   ？ （五？）未按照要求—保存检测原始—。记录和检测报—告或：者未按照要求妥善】管理检测样品和相】关数据信息的 【 第二十七条　县】级以上？地方各级密码管理】部门应当依法公开】监督检查结果—。将商用密码检测机构！受到的？。行政处罚等信息纳】。入国家企《业信用信息公示系统！等平台并定期将年】度，商用：。密码：检测机构监督—检，查结：果等信息逐级—报至国家密码管【理局 第二十【八条　从事》商用密码检测机构】监督管理工》作的人员滥用—职权、玩《忽职守、徇私舞弊】或者泄露、非法【向他：人提：供在履行职责—中知：悉的商业秘密、【个人隐私、举报人信！息的：依法给予处分 【 第二十九条　本】办，法自：2023年》11月1日起施【行 ？