： 商用密码检！测机构管理》办法 国家】密码管理局令 第！。2号     】商用：密码检？测机构管理办法已经！2023年》9月11日》国家密码管理局【局务会议审》议通过？现予公布自2023！年11月1日起施】。行 局长》 刘东方《 ， 2023年9【月2：6日： 第一条》　为了加强商用密】码检测机构》管理规范商用—密码：检测活动根据—中华人民共和国【。密码法、商用—密码管理《条例等有关法律法规！制定本办法 【第二：条　商？用密：码检测？机构：的资质？认，定和监督《管理适用本办法 】 第三条《。　从事商用密码【。产品检测、网络与】信息：系统商用密码应用安！全性评估等商用密码！检测活动向社—会出：具具有证《明作用的数据—、结：果的：。机构应当《经，。国家密码管理—局，认定依法《取得商用密码检测机！构资：质 第四条—　国家密码》管理局负责全—国商用密《码检测机构的资【质认：定和：监督管理县级以上】地方各级密码—管理部门负责本行】政区域内《商，用密码检测机构的】监督管理 第【五条　商用密—码检测？机构应当《在资质认定业务范】。围内从事商用密码检！测活：动国家密码》。。管，理，局制定并公布商用】密，码检测？机构资质认》定基：本规范？和商用密码》检测机构资质认【定，业务范围《 ：第六条　取得商【用，密码检测机构—资质应当《符合下？列条件   【  （一）具有法】人资格；   】。  ：（二）具有与—从事商用《密码检测活动—相，适应的？资金；？     （三）！。。成立2年《以上从事网络—安全：检测评估领》域相关工《。作1年以上》无，重大违法或》。者不良信用记—。录；   —  ：（，四）具有与从事【商用密码检测活【动相适应《的场所；《     （五】）具有与从事商【用密：码，检，测活动相适应的设备！设，施；   —  （六）具—有保证商《用密码检测活动独立！。、公正、科》学、诚信的管理【。体系；     ！（七）具有》与从事商《用密码检测》活动：相适应？的专业人员； 】    （八—）具：有与从事商用密【码检测？活，。动相：适应的专业》能力 ？     》外商投资企业法人申！请商用密码》检，测机构？资质：除符合上《述，条件外还应当—符合：我国外商《投资有关法律法规】的规定 第七【条　申请商用—。密，码检测？机构资质应》当向：国家密码管》理局提？出，书，。面申请向国家密码管！理，局委托进行受理的省！、自治？区、直辖市密码【管理部门提交商用】。密码检？测，。机构资？。。质申请表及以—下材料并对其真【实性负责 — ，  ： （一）法人资格证！书；     （！二）资本结构和股权！。情况；     ！（三）无重大—违法或者不良信【用记：录、不从事可能影】响商用密《。码检测公平公正性活！动的承诺；   ！  （？四）工作场所等固】定资产产《权，证书：或者租？。赁合同？；     （】五）：工，作环境和设备设【施配置情况；— ：。 ，   （六）—项目管理、质量管】理、人员管理—、档案管《。理、：安，全，保密管理等管理体系！建，立情：况；   —  （七）》法定代表人、最高管！理者、技术负—责人、？质，。。量负：责人、授权》签字人以《及专业人《员情况？。；     （八！），申请人认为需要【补充的其他材料 】   ？  ：受国家密《码管理局委托进【行，受，理的省、自治—区、直辖《市密码管理》部门自收到申请材料！之，日起5个工作—日内对？申请：。。材料进行《形式审查根据下【列情况分别作出处】理申请材料》内容齐全、符合【规定形式的》应当受理行》政，许可申请并出具【受理通知书》；申：请材料？内容：不齐全？或，者，不符合规《定形式？的应当当场或—者在5个工作日内一！次性告知申请人【需要补正的全部材】料；不予《受理的应当出具不】予受理通知书并说明！理由 第八条　国！家密码管理》局，应当自行政许可申请！受理之日起》20：个工：作日内依《据商：用密码检测》机，构资：质，。认定基本规范的【要求对申请进—行审：查并依法作出是否准！予许可的书》面决定     ！需要对？申，请，人进行技术评审的】技术评审所需时间不！计，算在本条规定的期限！内国家密码》管，理局应？当将所需时》间书面？。告知申请人 — 第九条　国家密】码管理局根据技术评！审需要和《专业：要，求可以？委托专业技术评价机！构实施技术评审 ！。    技术评审】包括专业人员能力考！核场所、设备设施】、管理？体系：建设实地查勘检测】能力：考核等 》    专业技术评！价机构应当严格按照！商用密码检测机构】资质认定基本—规范开展技术评审】活动对技《术评审？结论的真实性、符合！性负责并《承担：相应法律责任—国家：密码管理局应当对技！术评审活动进行监督！建立责任追究机制】 ：第十条　申》请人：有下列情形之一【的国：。家密码管理局应【当，终止审查    ！ （一？。）隐瞒？有关情况或者提供】。虚假材料的； 】    （二—）采取贿赂、请【托等不正当手段影响！审查工作公平公【正进行的； —   ？ ， （三）无正当理由！拒绝接受审查的； ！     》（，四）违？反商用密码检测【机，构从：业要求的 —第，十一条　准予许可】。的国家密码管—理局向申请人颁【。发，。商用密码检》测，机构资质证书并【公布取得资质证书】的商：用密码检测机构【。名录 《    有下列情】形之一的国》家密码管理》局应当出具不予行政！许可决？定，书说明？理由并告《。知申请人相》关权：利，。     —（一）终止审查的；！。     （【二）审查不合格【的；     （！三）法律法》规规定的不予许【可的其？。他情形 第—十二条　商》用密码检测机构资】质证：书有效期《5年内容包括—获证：机构名称、统—一，社会信用代》码、注册地址—、证书编《号，、有效期限》、资：质认：。定业务范围》、发证机关和—发证日期 —  ：  商用密码检测】机构资质证书有效期！届满需要延续的应当！在有效期届满3个】月前：向国家密码管—理，局提出书面》申请国家密码管理】局根据申《请人的实际情况【采取书面《或者现场《形式开展审查在商用！密码检测《机构资质证》书有效期届满前作】出是否准予延续的】决定     】禁止转让、出租、】出借、伪造、变造】。、冒用、租借—商用密码《检，测机构资质证书【 第十《三条　有《下列情形《之一的商用密码检】。测，机构应当自变更【之日起30日内向】国家密码管理局【申请办理变更—手续     】（一）机《构名：。称，、，注册地？。址、法人性质发生变！。更的；   【  （二）法—定代表人、最高管】理者、技术负责【人，、质量负责人—、授权签字人发生】变更的；   】  （？三）资质认定业【务范围？发生变更的》；    — （四）《依，法需要办理变—。。更的其他《事项   —  商用密码—检测机构发生—变，更的事项影响其符】合资质认定条—件和要求《的国家密码管—理局根据申请人【的实际情况采—取书面或者现场【形式开展审查需【要进行技术》评审的依照》本，。办法第九条规定【对其开展技》术评审 第十【四条　商用密码【检测机？构有：下列情形之一的国家！密码管理《。局应：当依法？注销其商用密码【检测机构资质 】    （一）商】用密码检《测，机构资？质证书有效》期届：满未申？。请延续或者》。依，法不予延续批准【。。的，；    —。 （二）申请注【。销商用密码》检测机？构资质？。的；： ：。   ？ （三）被依法【撤，。销、吊销商》用密：码检测机构资—质的；    】 （四）依法终止的！； ：     》（五）因《法人性质变更、改制！、分：立或者合并等原【。因发：生变化或者》发生其他影响—其符合资质认定条件！和要求？的变：更事项经审查发现】不符合资质认定【。条件和要《求的；？ ，    《 （六）《资质认？定业务范围被全部】。取消的；《     （七）！法律法规规定—的应当注销商用密】码检测机构》资质的其他》情形 第十五条】。　，。商用密码检测机构】。及相关从业》人员应当按照法律】、行政法规和商【用密码检测技术【规范：、，规则在批准》范围内独立、—公正、？科学、诚信地开【。展商用密码检测对】出具的检《。。测数据、结果负责尊！重知识产《权恪守？职业道德承》担社会责任保守在】工作中知悉的国【家秘密、《商业秘密和》个人：隐，私， 第十六条　【。商用密码检测机构】应当保证其基本条】件，和技：术能力能够持续符合！资质认定条件和【要求并确《保管理体系有—效运行 》第十七？条　：商用：密码检测机构应当】遵，守以下从业要—求     【（一）加强对本机构！人员的监督管理【经常性组《织开展安《全保密教《育和业务培训；本】机构从事检测—活动的专业人员每】年接受商用》密码教育培训的时长！不得少？于，40：学时相关情》况应当记录留—存，；  《   （二》）本机构及关联方】不得从事商》用密码产品》生产、销售（检测】工具除外）信息系统！或者商用密码保【障系统集成、—运营电子《认证服务《。电，子政：。务电子认证》服务或者其他可【能影响商用密码【检测公？平公正？性的活动； 【  ：  （三）》不得同时聘用正在其！他商：用密码？检测机构从业的【人员或者存在其他恶！意竞争？、扰：乱市场？。秩序的情形；—。     （【四）：不得以？单，独出：。租设备设施或者委】派人员等方式承【担业务所承担的【。业务不得《分包、转包》；     【（五：）不得以任何方式】推荐或者限定被【检测单位《购买使用特》定，主体生？产或者？提，供的商用密码产品或！者服务；    ！ （：六）：独，立于出具的检测数据！、结果？、报告所《。涉及的利《益相关各《。方不受任《何可能干扰技术判】断因：素的影响； —     》（七：）使用符《合国家密码管理要求！的设备设施》；   》  （八《）法律法规和国【家有关规定》提出的其《。他从业要求 — 第十八条　商用】密码检测机构出具】的检测报告应当符】合相关？国家标准、行—业标准和有》关规：定的要求《保证内容真实、客】观、准确、完整商用！密码检测机构对其出！具的检测报告负责】并承担相《应的法？律责任     ！。商，用密码检测机构【应当指定授权签【。字人在其业》务能力范围内签【字确认本机构出具的！检测报告并加盖机】构公章或者专用章】授权签字《人应当系统掌—握商用密《码管理政《策和专业知》识具备密码或者【网络安全领域—高级技术职称或者同！等专业水平 【第十九条　商—用，密码检测机》。构应当？对检测原始记录和】检测报告归》档留存保证其具【有可追溯性检测【原始记录和》检测：报告的保存期—限不得少于》6，年   》  从事《商用密码产品—检测的商用密码【检测机构应当—。。。按照相关标准规范】的要求对检测样品和！相关数据《信息：进行妥善管理商用密！码检测机构资质【被注销的应当对检测！样品和？相关：数据：信息进行妥善处理 ！ 第二十条　商【用密码检测机构【应当于每年1月1】5日前通过》。所在地省《、自治区、直辖市密！码管理部《门向国家密码管【。理局报送《上一年度工作—报告：以及相关统计数据】包括持续符》合资质认定条件和要！。求、遵守从业规范】、开展检测活动、实！。施标准等情况 第！二十一条　商—用密码检测》机构不？得有以下出》具虚假或者失—。实检测数据、结果、！报告的行为  】   （一）未【经检测？直接：出具检测数据、结果！、报告的； —     （二）】篡改、编《造原始数据、记【录出具检测数据、结！果、报告的；—  ？   （三）伪【造检测报告》和原始？记录签名或者非授权！签字人签《发检测？报，告的；？  ？   （四）漏检】关键项目、干扰检测！过程或者《改动关？键项：。。目，的检测方《法造成检测数据、结！果、报？告失实？的；     （！五）其他出具—虚假或者失实检测数！据、结果、报—告，的行为 第—二十二条　》。。密码：管，理部：门对商用密》码检测？机构依？法开展？监督检查可》以行使下列职权 】  ：   （《一）进入检测活【动场所实施》。现场检查；  】   （二）向商用！密码检测机构、委托！人等有关单位及【人员调查、了—解有关情况或者【验证：相关：。检测：。活动；   【  （三）查阅、】复制有？关合同？、票据？、账簿以及检测【活动中形成》的检测？数据、？结果、报告》等有关材料  】 ，  国家密码管【理局根据工作需要可！以行使下列职—权     【（一）组织》商用密码检测—机构检测能力—验证；     ！（二）对商用—密码检？测机构出具的—检，测数据、结果、【报，告等有关材料进行抽！样检查     ！密码：管理部门和有关部】门及其工作人员不得！要，。求商用密码》科研、生产》、销售、《。服务：、进出口等》单位和商用》密码检测、认证机】构向其？披露：源代码等《。密码相关专有信【息并：对其在履行职责【中知悉的商业秘密和！。个人隐私严格—保密不得泄露—或者非？法向他？人提供？ 第？二十：三，条　商用密码—检，测机构应当积极配】合密码管理部—。门的监督《检查按照要求—参加检测能力—验，证，和抽样？检，查并如实提供—相关材？料，和，。信息：检，测能：力，验证或者抽样检查结！果不合格的应当开展！为，。期，不，少于6？个月的整改整改【期间不得开展—相，应业：务范：围的商用密码检测】活动商用密码—检测机？构整改结束后应【当经：国家：密码管理局组织【验收合格方可恢复】开展相？应业务范围的—。商用密码《检测活动；经整【改仍不能《满足相？应业务范围》的资：质认定？条，件和：。。要求的取消其—相应：业务范围的资质【认定直至注销—其商用密码检测机构！资质 ？ 第：二十四条　以欺骗】、贿赂等《。不，正当手段取得商用密！码检测机构资质的】国家密码管理—局应当依法撤销【商用密？码检测机构资质【该机构在3年内不得！再次申？请商用密《码检测机构资质【 ：    申请商用密！码检测机构资—质时：隐瞒有关情况或【者提供虚假材料【的国家密码管理局】不予受理或》者不予？。许可该机构在1年内！不，得再次申请商用密】码检测机构资质 ！。。第二十五条　—商用密？码检测？机构违反中》华人民共《和，。国密：码法、商用密码【管理条例和本—办法规定有下列【情形之一的由密【码管理部门责令改】正或者停止违—法，行为给予警告没收】违法所得；违—法所：得30？万元以？。上的可？以并：处违法所得1—倍以上？3倍以？下，罚款；没有违法所得！或，者违法所得不足3】。0万元的可以并【处10万元以—上30？。万元以下罚款—；情节严重的由国家！密码管理局吊销其】商用：密，码检测机构资质 ！   ？ （一）《超，。。出批准范围开展【商用密码检测的【；     （二！），转让、出租》、出借、伪》造、变造、》冒用、租借商用【密码检测机构资质证！书的；？ ，     （三【），本，。。机，构及关联方从事商用！密码产品生产—。。、销售（《检测工具除》外）信息系》统或者商用密码保】障系统集成、运【。营电：子认证？服务电子政务—电子认证服务或者其！。他可能影响商—用密：码检测公平公—正性的？。活动的；    ！ （：四）同时《聘，用正在其他商用密码！检测机？构从业的人员或【者存在其《他恶：意竞争、扰乱—市，。场秩序情形的； 】  ：   （《五）以单独》。。出租：设，备设施或《者委：派人员等方式承担】业务或者分》包、转？包所承？担业务？的； 《。 ，   （六）推荐】或者限定被》检测单位购买使【。用，特定主体生产或【者，提供的商用密码产】品，。或者服务的； 】。    （七—。）违反法律、行政】法规：和商用密码》检测技术《规范、规《则要求开展》检测活动或》者存：在其他？影响：检测独立、公—正、科学、诚信【的行为？的；     （！八）出具的检测数】据、结果、》。报告虚？假或者失《。实的；    】 （九）未按—照要求？如实报送年度工作】。报告以及相关统【计数据？的，；     （】十）：泄露：在工作？中知悉的商业—秘密、个人隐私【的 第二十—。六条　商用密码检】测机构违反本办法规！定有下列情形之一的！由密码管《理部门责令》改正；逾期》未，改正或者《改正后仍《不符合要《求的处？1，。万元以上10—。万元以下罚》款   》  （一）》未按：照要：求申请办理变更手续！的；   —  （？二）未按照要求【开，展安全保《密教育和《业，务培训的；   ！  ：。（三）使用》不符合？国家密码管理要【求的设备设施的【；，  ？   （四）出具未！经授权签字》人签：字确认的《检测报告授权签字】人超出其《业务能力范》围签发？检测：。报告：或，者未在检测报告【上加盖机构公章【。或者专用章》的； ？。 ，    （》五）：未按：。照，。要求保存检》测，原始记？录和检测报告或者】未按照要求妥善【管理：检测样品和相关数据！信息的 第二十七！条　：县级以上地方—。。各级密码管理部门】应，当依：法公开监督检查【结果将？商用密码检测机构受！到的行？政，处罚等信息纳入国家！企业：信用信息《公示系统等平台并定！。期将年度商用密码检！测机构监督检查【结果等信息》逐级报至国》家，密码管理局 — 第二十《。八条　？从事商？用密：码检：测机构监督》管理工作《的人员滥用职权【、玩忽？职守：、徇私舞弊》或，。者泄露、非》法向他人提》供在履行职责中知悉！的商业秘密、个人】隐私、举报人信息】的依法给予处分 】 第二？十九条　本办法【。自，20：23年11月1【日起施行《 ：