商用密！码应用安全》性评估管《理，办法 —国家密码管》理局令 《 第3号    ！ 商用密《码应用安《全性评估管理办法已！经2023》年9月11日—国家密码管理局【局务会议审议通过】现予：公布自2《023年11月1日！起施行 《 局长 刘东方 ！。202？3年：9月26日 第】一条　？为，了规范商用密码【应用安全性评—估工作保障网络与信！息安：全，维护国？。家安全？和社会公《共利益保护公民、】法，人和其他《组织的合法权益根据！中华人民《共和国密《码法、商用密码【管理条例等》有关法律法》规制定本办法 】第二条　《本办法所称商—用密码应用安全性】评估是指按照—有关法律法规和标准！。。规范对网络与—信，息系统使用商用【密码技术、产—品和：服务的合规》性、正确性、有【效性进行《检测分析和评估验】证的活动 第三】。条　：国家：密码管理局负—责管理全国》的商用？密码：应用安全性评估工作！县，。。。级以上地《方各级？密码管理部门负责】管理本行政区域【。的商用密码应用安】全性评估工》作     国】。。家机：关，和涉及商用密—码工作的单位在其职！责范围内负责—指导、监督本机关】、本单位或》者本系统的》商用密码应用—安全性评估》工作 第四—条　从事商用—密码应用安全—性评：估活：动向：社会出具具有证明作！用的商？用密码应用安—全性评估数据—、结果的机构应【。。当经国家密码—管理局认定依—法取得？商用密码检测机构】资质 第》五条　国家》密码管理局支持商用！密码应用安全性评估！技术、标准、工具创！新完善商用密码应】用安全性评估标准体！。系，鼓励设立商用密码应！用安全性评》估行业组织加强【行业自？律维护行《业秩序 第—六条　？法律、行《政法规？和国家有关规定要】求使用商用密码【进行保护的》网络与信《息系统（以下简【称重要网络与信息系！统，），其运营？者应当？使用：商，用密码进行保护制定！商用密？码应：。。用方案配备必要的资！金和专业人员同【步规划、同》步建设、同步—运行商用密码保【障系统并定期开【展商：用，密码：应用安？全性评估 —第七：条　：。重要网络与信—息系统规划》阶段其？运营者应当依照相】关法律法规和—标准规？。范根据商用密码【应用需求制定商用密！码应用方案规划【商用密码保障系统】   《  重要网络—与信息系统的运营】。。者应：当自行或《者委托？商用密？码检测机构对商【用密码应用方—案进行商用密码应用！安全性评估商用【。。密码：应用方？案未通过商》用密码应用安—全性评估的》不得作为商用密码】保，障系：统的建设依》据 第八条—　重要网络与—信息系统建》设阶段其运营—者应当按照通—过商用密码应用安全！性，评估的商用密码【应用方案组织实施】落实商用密码安全】防护措？。施建设商《用，密码：。保，障系统     ！重要网络与信息系】统运行？前其运营者应当自行！或者委托商用—密码检测机》构开展商用密码【应用安全性评—。估网络与信息系【统未：通过商？用密：码应用安全性评估的！运营者？应当进行《改造：改造期间《不得投？入运行 第九【条　重要网络与信】息系统建成运—行后其？运营者应当》自行或者委托商用】密，码检测机构每年至】少开展一次商用【密码应用安全性评估！确保商用密码保障】系统：正确有？效运行未通》过商用？密码应用安全性评估！的运：营者应当进行改造】并在改造期间—。。采取必要措施保【证网络与信息系统运！行安全 第—十条：　对商用密码应用】方案开展《商用密码应》用安全性评估应当】包括以下内容  ！   （一》），考量商用密码—应用需求的全面性】、合理？性和针？对性：对照相关标》准规范选取适用【。指标的准《确性以及不适—。用指标论证的—充，分性； 》    （二）分析！商用密码应用流【程和机制是否具备可！实施性、商用密码保！护，措施是否达到—相应的商用密—码应用要《求、相？关描述是否详尽； ！     （三）】。论，证商用密码技术【、产品？和服务选用》。的合规性密钥管【理的安全《性以及使用商用【密码解决安》全风险的科》学性：；     （四！）编制形成商用【密码应用安全性【。评估报告 》 第十一条》　对建？设完成的网络与【信息系？统开展商《用密码应用安全【性评估应当包括以下！内容    【 （一）对照—商用密码应用方案】了解网络与信息系】统基本情况准确划定！评估范围；》 ：    （》二）确？定评估指标》及，评估对？。象论证编制商—用密码应用安全性评！估实施方案；— ：  ：  （三《）依据商用密码应用！安全性？评估实施方》案开展现场评估做好！数据：采集和信《息汇总研判》。商用密码保障系统配！置及运行情况； ！  ：  （四）》根据客观凭》据逐项？对评估指标进行【判定编制形成—商用密码应用安全性！评，估报告 第十二条！　运营者开》展，商用密？。码应用安全性评估】活动应当《遵守法律法规—、标准？。规范要求遵循客观】实际、科学》公正、诚实信用【原则委托商》。用密码检测机构开展！商用密码应用安【全性评估的》不，得对评估结果—施加不当影响—并应当提《供以下？支持  》   ？（一）对网》络，与信息系统的重要数！据进行备份》；     （二！）提：。供完整有效的网络与！信息系统《设备：清单和网络拓扑【； ？    （三—）提供？详细的网络与—信息系统商》用密码应用方—。案、密码相》关，管理制？度和：密码配置、运—行、维护《记录；  —   （四）—提，供商用密《码产品？管理入口、》网络交换设》备，接入端口等相—关信息、数据接入分！析条件并《配合进行数据采【集；  》。   ？（五）安排网络【与信息系统相关网】络管理员、》系统：管理：员、密？钥管理员、密—码，安，全审计员、》密，码操作员等做好配合！； ？    （六）【其他需？要配合的事项 第！十三条？　自行开《展商用密《码应用安全性评估的！网络与？。信息系统其》运营者应当符—合以下要求   ！  （一）具有【与开展商用》密码应用安全—性评估活动相—适应的设备设施； ！     （二）具！。有与开展商》用密码应用安—全性评估活动相适】应的：项目管理、质量【管理、人员管理、档！案管理？、，安全保密管理等规章！制度； 《。     （三）具！有与：开展商用密》码，应用安全《性评：。。估活：。动，相适应的专业人员；！     —（四）？具有与开展商用密码！应用安？全性评估活》动相适应的专业【能力     自！行开展商《用密：码应用安全》。性评估？形成的商用密—码应用安全性评估】报，告应：当符合？相，关国：家标准、行业标准和！有关规定的要求由本！。单位密码或者—网络安全《负责人？签字确认并》。加盖本单《位公章  —   运营者应当】对商用密码应用【安全性评估原始记录！和商用密《码应用安全性评【估报：告归档留存保证其具！有可追溯性商用密】码应用安全性—评估原始记录和商】用密码？应用安全性评估报告！。的保存期限不得【少于6年《 ， ，第十四条《　重要网络与—信，息系统的运营者应】当在商用密码—应，用安全性评估报【告，。形成后30》日内将评估报—告和相关工》作情况按照国家有关！。规定报送国家密【码管理局或》者网络与信息系【统所在？地省、自治区、【直，辖市密码管理部门备！案     国家！密码管理局》或，者省、？自治区、直辖市【密码：管理部门对商用密码！。应用安全性评估结】果备案？材料：进行：形，。式审查形《式审：查未通过的相关运】营，者应当重新提—交，备案材？料    — 国家密码管—理局：可以：对商用密码应—用安全性评估结【果进行抽样检—查抽样检《查不：合格的？相关运营者应—当重新开展商用密码！应用：安全性评《。估     省、！自治区、《直辖市密码管理部门！应当按季度向国家】密码管理局报送本】。地区：商用：密码应用《安全：性评估工作开展【情况 第十五条　！运营：者发：现密码相关重大安】全事：件，、重大密码安全隐患！或者特殊紧》急情况？的应当及时向国家】密码管理局或者网】络，。与信息系统》所在：地省、自治区—、直辖市密》码管理部门报告并启！动应急处置》方案：必要时开展商用密码！应用安全性》评估 《第十六？条　县级《以上：地方各级密码管【理部：门、：国家机关《和涉及商《用密码工作的单【。位可以根据工作需】要对本地区、本机】关、本？单，位或者？本，系统的重《要网络与信息系统商！用密码应用安全【性，评，估，情况开？展专项检查 第】十七条？　重要网络与—信息系统《的运营者违反—中华人？民共和国密码法、商！用密码管理条例和本！办法规定有下列情】形之一？的由密码管理部门】责令改正给予警告；！拒不改正《或者有其他严重情节！的处1？0万元以上10【0万：元以下罚款对直接负！责的主管《。。人，员处1万元以—上10万元以下罚款！   《 ， （一）重要网【。络与：信，息系统规《划阶：段，未，对商用？密码应用《方案进行商用—密码应用安全性【评估的；   】 ， （二）重要网络】。。与信息系统》建设阶段《未，按照通过商用密码应！用，。安全：性评估的《商用：密码应用方案—。建设：商用密码保障—系统的； —    （三）【。重要网络《与信息系统运—行前未开展商用密】码应用安全性—评估的； —    （四）重要！网络与信息》系统运行前未通【过商用？密码应用安全—性评估且未进行改造！。的； 《 ，   ？（五：。），重，要网络与《信息：系统：建成运行后》未定期开展商用密码！。应用安全性评估【的，；    — ，（六）重要网络与信！息系统建成运—行后未通过定期【开展的商用密码应用！安全性评估且未【进行改？造的； 《。   ？  （？七）违反法》律法规、标准规范要！求开展商《用密码应用安—全性评估的》；， ：    （八）不符！合，相关要？求自行开展商用密】码，应用安全性》评估的 》第十：八条　重要网络与】信，。息系统的运营者违】反本办法规定—有下列情形之一的由！密码管理部门责【令改正；逾期未改正！或者改正后仍—不符合要《求的处1万元以上1！0，。万元以下罚款对【直接负责的主管【人员处5000元】以，上5万元以下罚【款     【（一）对商》用密码应用》安全性评估结果施】加不当影响的—；     （二！）未为商用密码应】用安全性评估活【动提供必要支持【。的；：  ？   （三）未【按，照要：求进行商用密—码应用安全性评估结！果，备案的？ ：第十九条　从—事商用密《码应用安全性评估】监督管理工作的人员！滥用职权、玩忽职】守、：徇私舞弊或》。者，泄露：、非法向《他人提供《在履行职责中—知悉的？商业秘密、个人【隐私、举报人信息的！依法给予处分 【 第二十条　本办法！施行前正在》建，。设的重要网络与信息！系，统其运营者应当【加强商用密码—应用：方案编制论证—建设完善商用密码】保障系统并按照本】办法第？八条规定开展商用】密码应用安》全性评估《     本办法！施，行前已？经投入运行的重【要网络与信》。息系统其《运营者？应当按照本办法【第九条规定开—展商用密码》应用安全性评—估 第二十一【条　本办法自—2023《年11？月1日？起施行 》