《 商用《密码检测机构—管理办法 国！家密码管理》局令 第》2号     】商用密码检测—机构管理《。。办，法已经2《023年9月11日！国家密码管理局局务！会议审议通过—现予公布自202】3年11《。月1日起施行 局！长 刘东方 20！23年9《月26？日 第一》条　为了加强商用】密码检？测机构管理规范【商用密码《检测活动根据中华】人民共和国密—码法、商用密码管理！条例等有关法律法】规制定？本办法 第二条】　商用？密码检测《机构的资质》认定和监督管—理适用本《办法 第三条　】从事商？。用密码产品检测、网！络与信息系统商【用密码应《用安：全性评？估等商用密》码检测活动向—社会出？具具有证明作用的】数据、结果的机【构应当经《国家密码《管，。理，。局，认，定依法取得商用密】码检测？机构资质 第四】条　国家密码管理】。局负：责全国商用密码【检测机构的》资质认定和监—督管理县级》以，上地：。方各：级密码管理》部门负责本行政区域！内商用密《码检测机构的—监，督管理 第—。五，条　商用密码检【测机构应当》在资质认定业务范】围，内从事？商用密码检测活动】国家密码管理局【制定：并公布？商用密码检》测机构资《质认：定基本规范和商用密！码检测机构资质认定！业，务，范围 第六—条　：取得商用《密码检测机构资质】应当符合下列条件 ！ ，  ：  （一）具—有法人资格； 【  ：   （二）具有与！从事：商用密码检测—活动相适《应的资金；  】   （三》），成立2年以上从【事网络安全检—测评估？。领域相关工作1年以！上无重大违法或者】不良信用记录； ！    （四）【具有与？从，事商用密码检—测活动相适应的【场所；   【  （？五）具有与从—事商用密码检测【活动：。相适应的设备设施；！ ， ， ，   （六）—具有保？证，商用密码《。检测活动独立、公正！、科学、诚》信的管理体系—；     （】七）具有与从—事商用密码检测活动！相，适应：的专业？人员；    】 ，（八）具有与从【事商用？密码检测活》。动相适应的专—业能力     ！外商投资企业—法人申请商用密码】。检测机构资质除符合！上述：条件外还《应当符合《我国外商《投资有关法律法规的！规定 ？ 第七条　申请商用！密码检测机》。。构资质应当向国家】密码管理《局提出书面申请向】国家密码管理局委托！进，行受理的省、—自治区？、直辖市密码管理部！门提交商用密码【检测机构资》质，申请：表及以下材料并对】其，真实：性负责  —   （一）—法，人资格证书》；    — （二）资本结【构和股？权情况；《 ，     （—。三）：无重大违《法或者不良信—用记录、不》从事：可能影响商用—密码检？测公平公正性活动】的承诺？； ：     》（四）工作》场所等固定资产产】权证书或者租赁合同！；    — （五）工作—。环境和设《备设施配置情况；】     （六）！项目管理、质—量管理？、，人员管？理、档案管理、【安全保密管理等管】。理体系？建立情？况；  》。   （七）—法定代？表，人、最高《管理者、技术负责】人、质？量负：责人、？授权签字《人以及专业人员情况！。；     【。（，。八）：申请人认为》。。需要：。补充的？其他材料 —    《受国家密码管理局委！托进行？受理的？省、自治区、直辖】市密码？管理部门自》收到申请材料之日起！5个工作日》内对申请材料进【行形：式审查根据下列情】况分：别作出处理申请【材料内容《齐全、符合规定【形式：的应当受理行政许】。可申请？。并出具受理》通知书；申》请，材，料内容不齐全—或者不符合规—定形式的应》当当：场或：者在：。5个工？作日内一次性—告知申请人需—要补正的全》部材料；不》予受理的应当出具不！予受理？通知书并说明理由 ！ 第八条　国家密码！管理局应当自行政许！可申请受理》。之日起20个工【作日内？依据商用密码检测】机构资质《。认定基？本规范的要求对申】请进行？审查并依法作出是否！。准予许可的书—面决定     ！需要对申《请人：进，行，技术评审的技术【评审所需时间不计算！在本条规定的期【限内国？家密码管理》局应：当将所需《时间书面告》知，申请人 第九条　！国，家密：码管理局《。根据技？。。术评审需要》和专业？要求可以委托专业】技术评价机构实施】技，术评审 《     技术评】审包括？专业人员能力考核】。场所、？设备设施、管理体系！建设实地查勘检【测，能力考？核等    【 专：业技：术评价机构应当严格！按照：商，用密码检《测机构资质》认定基本规范开展】技术：评审活？动，对技：术评审结论》的真实性、符合性负！责并承担相应法律责！任国家密码管—理局应当对技—术评审活动进行监】督建立责任追究机制！ 第十条　申请】人有下？列情形？之一的国家密—码管理局应》当终止审查  】   （一）隐瞒有！关情况或者提—供虚：假，材料的； 》    《 （二）采取贿赂】、请托等不正当【手段影响审》查工：作公平公正进行的】； ？    （三）【无正当理由拒绝接】。受审查的； 【。    （》四）违反商用密码】检测机？构从业要求的— 第十一条　准】予许可的国家密码管！。理局向申请人—颁发商？用密码检测机构资】质证：书并公布《取得资质《证书的商用密码检】测机构名录 —    《 有下列《情形：之一的国家密码【管理局？应当出具不予—行政许可决定书【说明理由并告知申】请人相？关权利 》。    （一—），终止：审查的；   】  （二）审查不合！格的；    】 ，（三：）法律法规规定【的不予许可的其【他，情形： ， 第十二条　商【用，密码检测《机构：资质证书有》效期5年内》容包：。括获证？机构：名称、统一社会信用！代码、？注册地址、证—书编：号、有？效期限、《资质认定业务范围】、发证机关和发证日！。期，     商用】密码：检测机构资质证书有！效期届满《需要延续《的应当在有效期届】满3个？月前向？国家：密，码管理局提出书面】申请：国，。。家密：码，管理局根据》申请：人的实际情况采【取书：。面或：者现场形式开展审查！在商：用密码检测》机构资？质证书有效》期届满前作出是【否准予延续的决定】     禁止转！让、出租、出借、】伪，造，、变造？、冒用、《租，。借商用密码检测【机构资质证书 【 第：十三条　有下列情】形之一的商用密码】检测：机构应？当自变更之日起【3，0日内向国》家密：码，管理：局申请？办理变更手续— ：    （一）机】构名称、注册地【。。址，、法人性质发生变更！的； 《    （二）【法定代表人、—最高管？理，者、技术负责人、质！。。量负责人、授权【签字人发生》。变，更的；   【  （三）》资质认定业》务范围？发生：。变更的； 》     》（四）？依法需要办理变【更的：其他事项 》     》商用密码检测—机，构发生变更的事项影！响其：符合资质认》定条件和《。要求的国家密码管】理局根据申请人的】实际：情况采取《书面：或者现场《形，式开展审《查需要进行技—术，评审的依照本办【法第九条规定对【。其，开展技术评》审， 第十四条　【商用密码《检测机构有》。下列情形之》一的国家密码—管理局应当》依法注销其商用【密码检测《。机构资质  【   （《一）商用密码检测】机，构资质证书有效期】届满：未，。申请：延续或者依法不予】延续：。批，准的；   【  （二）申请注】销，商用密码检测机构】资质：的；     （！三）被依法》撤销、吊销》商用密码《检，。测，机构资质的； 【     （四）依！法终止的《；   》  ：（五：）因法人性》质变更、改制、分立！或者：合并等原因发—生变化或者发—生其他影响》其符合资质》认定：条件和要求》的变更事项经—。审查发现不符合资】质认定条件和—要求的；   】  （六）资—质认定？业务范围被全部取】消，的； 《    （七）【法律法？规规定的应当注【销商用密码检测机构！资质的其《他情：形 ？第十五条　商用【密码检测机构及相关！。从业人？员应当按照法—律、行政《。法规和商用》密码检测技术规【范，、规则在批准范围】内，独，立、公正、》科学、？诚信地开展商用密码！检测对出《具的检测数据、结果！负责尊重《知识产权恪守—职业道德《承担：社会责任保》守在工作《中，知悉：的，国家秘密、》商业秘密和个人隐私！ 第十六条　【。商用密码检测机【构应当？保证其？基本条件和技术能】力能够持续符—合资：质认：定条件和要求并确保！管理体系有》效运行 第十七】。。条　商用《密码检测《机构应当遵守以【下从业要求   ！  （一）加强对本！机构人员《的监督？管理经？常性组织开展安全保！。密教育和业务—培训；本机构从事检！测活动的专》业人员每《年接受商用》密，码教育培《训的时？长不得少《于40学时》相关情况应当记录留！存，；，     （【二）本机构及关联】方不得从事商用【密码产品生产、【销售（检测工具【除，。外）信息系统或者商！用密码保障系统集】成、运？营，。电子认证服务电子政！务电子认《证服务？或者：其，他可能影响商—用密码检《。测公平公正性的【活动；   【  （三《）不：得，同时聘用正在—。其他商用密》码检：测机构？从业的人《员，或者存？在其：他恶意竞争、扰乱市！场，秩，序的情形； 【    （四—），不得以单独出租设备！。设施或者委派人员】等方式承担》业务所承《担的业？务不得分包、—转包；   【。 ， （五？）不得以任何方式推！荐或者限《。定被检测《单位购买使用特定主！体生产？或者提供《的商用密码》。产，品或者服务》；    — （六）《独立于出具的检测】。数据、结果、—报告所涉及的—利益相关《各方：。不受任？。何可能？干，扰技术判断因—素的影响；   ！  （七）使用符合！国家密码管理要求】的设备设施； 】。  ：  （八《。）法律法规和国家有！关规定提出》的其他从业要—求 ： 第十八条　商用】密码检测机构出具的！检测报告应当符【合相关国家标准【、，行业标准和》。有关规？定的要求《保证内？容真实、客观—、准确、《完整商用密码—检测机构对其出具的！检测报？告负责并承担相应】的，法律责任    ！ 商用密码检测机构！应，当指定授权签字人在！其业务能力范围【。内签字确《认本机构出具—的检测报告并加【。盖机构公章或者专】用，章授权签字》人应当系统》掌握商？用密码？管理政策《和专业知识具备密】码或者网《络安全领《域高：级技：术职称或《者同等？专业水平 第【十九：条　商用密》码检：测机构？应，当，对检测原始记录和检！测报告归档》留存保证其具有可追！溯性检测原始记录和！检测报告的保—存期限不得》少于：6，年     从事！商用：。密码产品《检测的商用》密，码检：测机构应当按照相】关标准规范的要求】对检测？。样品：和，相关数据信息进行妥！善管理商《用密码检测机构资】质被注销的应当【对检测样《品和相关数据信息】进行：妥善处理 》 第二十《条　：商用：密码检测机》构应当于每年1月】15日前通过所在】地省、自治》区、直辖市密—码管理部门》向国家密码管—理局报送上一年度】工，作报告以及相关【统计数据包》括，持，续符合资质认定【条件和要求、遵守】从，业规范、开》展检测？活动、实施标准【等情况 第二十】一条　？商用密码检测机构】。。不，得，有，以，下出具虚假或者【。失实检测数》据、结果《。、报告的行为 】    （一）未经！检测直接出具—检测：数据、结果、—报告：的；：     —（二：），篡改、编《造原始？数据：、记录出具检—。测数据、结》果、报告的；—     （【三，）伪造检测报告【和原始？记录签名或者非授权！签字人签发检测【报告的；   】  （四）漏检关】键项目、《干扰检测过》程或者？改动关键项》目，。的，检，测，方法造？成检测数据、结果】、，报告失实的； 】    （五）其】他，出具虚假《或者：。失实检测数据、【结果、报告》的行为 第—二十二条　密码管】理部门对《商，用密码检测》。机构依？法开展？监督检查可以行【使下列职权 —     （一）】进，入检测活动场所【实施现场《检，查；   —  （二）向商用】密，码，。检测：机构：。、委托？人等：有关单？位及人员调查、了】解有关情况或者验】。证相：关，检测活动；   ！  （三）查阅、复！制有：关合：同、票据、》。账簿：以及检测活动中形成！。的检测数据、—结果、报告等有关】材料 ？     》国家密码《管理局根据工—作需要可《以行使？下列职权 —    《（一）组织》。商用密码检测机构】检测能力验证—； ？    《（二）对商用密码】。检测机构出具的检】测，数，据、结果《、报告？等有关材《料进行抽样》检查     密！码管：理部门和《有关：部门及其工作—人员不得要求—商用密码科研—、生：。产、销？售、服务《、进出口等单位和】商用密码检》测、认证机构向其披！露源代码等密—码相关专有信息并对！其在履行《职责：中知悉的商》业秘密和个人—。。隐私：严格保密不得泄露或！者非法向他人提【供 第二十三【。条　商用《密码检测机构应【当积极配合密码管理！部，门的监督《检查按照要求参加】检测能力验证和抽样！检查并如《实提供？相关材料和信息检测！能，。力验证或者抽样检】查结果不合格的应当！开展为期不少于6】个月的整改整改【期间不？得开展相应业务范围！的商用密码》检测活？动，商用：密，码检测机构整—改结：束后应当经国家【密码管理局组织验】收合格方《可恢复开展相应业务！范围的商用密码检测！活动；经整》改仍不能《满足相应业务范围的！资质认定条件—和要：求的取消《其，相，应业务范围的资质认！定直至注销其商用密！码检测机构》资质 《第二：。十四条？　以：欺骗、贿赂等—不正当手段取—得商：用密：码检测机构资质的国！家密码管理局应当依！法撤：销商用？密码检测机构资质】该机：构在3年内》不得：再次申请商用密码检！测机构资质 —。     》申请商用《密码检测《机构资？质时隐瞒有关情【。况或：者提供虚假材料【的国家？密码管理局》不，。予受理或者》不予许可该机构【在1年内不得再【次申请商用密码检测！机，构资质？。 ， ，第，二十五条　商—用密码检测机构违反！中华人民共》和国：密码法、商》用密码管理条例【。和本办法规定有下列！情形之一的由密码管！理部：门责：令改正或者停止违法！行为给予警告没收违！法所得；违法所得3！0万元以上的可【以并处违法所—得1倍以上》3，倍以下罚《款；没有违法所得或！者违法所得不足30！万元的可以并—处10万元以上3】0万元以下罚款；情！节严重的由国—家密码管理》局，吊销：其商用密《码检测机构资质 】     （一）】超出批准范》围开展商用密码检】测的； 《     （二【）转让、出》租、出借、伪造、】变造、冒《用、租借商》用密码检《测机构资质证书【的； 《    （三—）本机构及关联方从！事商用密码产品【生产、销售（—检测工具除外）信】息系统或者商用【密，码保障系统》集成、运营电子【认证服务电子政务】电子认证服务或【者其：他可：。能，影响商用密》码检测公平》公正性的活动的； ！     （—四）同时聘用正【在其他商《用，密码检？测机构从业的—。人员或者存》在，其他：恶意竞争、扰乱市】。场秩序情形》的；     （！五）：以单独出《。租设备设施或者委派！人员：等方式承担业务或者！分包、转包所承【担业务？。的；     （！。六）推荐或者限定被！检测单位购买使用】特定主体生》产或：者提供的商用密【码产品或《者服：务的；     ！（七）违反法—律、行政法规和商】用密码检测技术规范！、规则要求开展检测！活动或者《存在其他影》。响检测独立》、公正？、科学、诚》信的行为的；  ！   （八）—出具的检测数据【、结果？、报告虚假或者【。失实的；  【。  ： （九？）未按照要求—如，实报送？年度工作报告—以及相关统》计，数据的？；     （】十）泄露在》工作中？知悉的商《业秘密、个人隐私】的 第二》十，六条　商用密码检测！机，构违：反本办法规》定有下列情》形之一？的，由密码？管理部门《责令改正；逾期【未，改正：或者改？正后仍不符合—。要求的处1》万元以上《10万元以下罚【款，     （一）！未按：照要求申《请办理变更》手续：的； ？   ？  ：（二：。。），。未，按照要求开》展安全？保密教育和业—务培训的； 【  ：  （三《）使用不符合国家】密，码管：理要求的设备设【施的； 》    （》四）出？具未经授权签字【人签字确认的—检测报告授权签【。字人超出其业务能】力范围签发检—测报告或者未—在检测报告》上加盖机构公章或者！专用章的；》     —（五）未按照要求保！存，检，。测原始记录和检测】报告：或者未按《照要求妥善管—。。理检测样品和相关】数据信？息的 ？ 第二十七条　【县级：以上：地方各？级密码管理部门应】当依法公开监督检查！结果将商用密—码检测机构受到的行！政处罚等信息纳【入国家企业信用信息！公示系统等》平台并定期》将年度商用》。密，码检测机《构监督检《查结果等信息—逐级报至国》家密码管理局 【。 第二十八条　从】。事商：用密码检测机构【监督：管理工作的人员滥用！职权、？玩忽职守、徇私舞】弊或者泄《露、非？法向他人提供在履行！职责中？知悉的？商业：秘密、个人》隐私、举《报人信？息的依法给予处【分 第二十九条　！本办法自2023】年11月1日—起施：行， ：