， ？ 商用密码应【用，安全性？评估管？理办法 国】。家密码管理局令 】 第：3号    【 ，商用密码应用安全】性评估管理》。办法已经2023年！9月11《日国家密码管理局】局务会议《审，议通过现《予公布自202【3，年，11月1日起施【行 局长 刘东】方 ： ，2023年9月【2，6日 第》一条　为《了规范商用密码【应用安全性》评估工作保障网【络与信息安》全维护？国家安全和》社会公共利益保护公！民、法人和其他【组织：的合法权益根—据中华人民共—和国密？码，法、商用密码管理条！。。。例，等有关法律法规【制定本办法 【第二条　本办法所】称，商用密？码应用安《全性：评估是指按》照有关？法律法规和》标，准规范对网络—与信：息系统使用商—用密码技术、—产品和？服务的？合规：性、正确性、有【效性进行检》测分析和评》估验证的活动 第！三条　国家密码管理！局负责管理全—国的商用密码应用安！全性评估工作县级】。以上地方各级密【。码管理部门负责【管理本行政区域【的，商，用密码应用》安全性？评估工作   】  国家机关—和涉及商用密—码工：作的单？位在：其职责范围内负【责指：导、监督《本机关、本单—位或者本系》统的商？。用密码应用安—全性评估工作 【 第四条　从—事商用密码应用安】全性评？估活动向《社会出具具》有证明作用的商用】密码应用安全性评】估，数据：、结果的机》构应当？经国家密《码管理局《认定依法取》得商用密码检测【机构资质 第五条！　国家密码》管理局支持商—用密：码应用安全性评【估技术、标准—、工具创新完—善商用密码应用安全！性评估标《准体系？鼓励设立商用密码】应用安全性评—估行业组《。织加强？行业自律《。维，护行：业，秩序 第六条　法！律、行政法规和国】家有关规定要—。求使用商《。用密码进行》保护的网《络与信息系统—（以下简称重要网络！与信息系统）其运】营者应？当使用商用密—码进行保护制—定商用密码应用【方案配备必要的资金！和专业人员同步【规划、同步建设【、同步运行商用密码！保，障系统并定期开展商！用密码应用安全性】评估 第七条　】。重要网络与信息【系，统规划？阶，段其运营者应当依】照，相关法？律法规？和，标准规范《根据商用密码应用】。需求制定商用密码】应用方案规划—商用密码保障系【统     【重，要网：络与信？息系统的《运营者应当》自行或者《。委托商用密码检【测机：构对商用《密码应用方案—进行商？用，密，码，应，用安全性评估商用密！码应用方案未—通过：商用密？码应用安全性—评估的不《得作为商用》密码保障系》统的建设依据— 第八《条，　重：要网络与信息系统】建设阶段其运—。。营者应当按照通过商！用，密码应用安全性评估！的商用密码应用【方案组织实》施落实商《用密码安全》防护：措，施建设商用密—码保障系统  】   重《要网络与《。信，。息系：统运行前其运—。营者：应当自？行或者委《。托商用密码检测【机构开展商用密【码应用安全性评【估网络与信息系统】。未通过？商用密码应用安【全性评估的运营者】应当进行改造—改造期？间不得投入》运行 ？。 ，第九条　《重要网络与信—息系统建成》。运行后其运营者应当！自，。行或者委托商—用，密，码检测机构每—年至少？开，。展，一次商用密》码应用安全性评【估确保商用密码【保障系统《正，确有：。效运行未通过商【用密码应用》安全性评估》的运营者应当进行改！造并在改《造期间采取必要【措，。施保证网络与信息】系统运行安全— ， 第十条　对商用】密码应用方案开【。展商用密码》应用：安全性？评估应？当包括以下内容 ！ ，   （一》）考量商用密—码应：用需求的全面—性，、合理性和针对【性对照相关标—。准规范选取》适用指标的准确性】以及不适用指标论证！的充分性；   ！  （二）分析商用！密码应用《流程和机制是否具】。备可实施性》。、商用密码保护【措施是？否达到相《。应的：商用密码应用要求、！相关：描述是？否详：尽，。；   》  （？三，），论，证商用密《码，技术：、产品和服务选用】的合规性密钥管【理的安全性以及【。。使用商用《密码解决安全风险的！科学性；  【 ，  （四）编制形成！商用密？码应：用安全性《评估报告 第【十一条？　对建设完成—的网络与信息—系统开展商用—密码应用安》全性评？估应：当包括以《下内容    】 （一）《对照商用密》。。码应用方《案了解网络与信【息系统基本情况准】确划定评估范围【。；    — （二）确定评【估指标及评估对【象论：证编制商用密码应用！安全性？评估实？施方案； 》  ：  ：。 （三？）依据商用密码应】用安全性评估实施】方案开展现》场评估做好数据采】。集和信息汇》总研判商《用密码保障》系统配置及运行情况！；     【。（四）？根据客观凭据逐项对！评估：指标进行《。判定编制《形成商用密》码应用安全性评估报！告 ？第，十二条？　运营者开》展商用密码应用【。。安全性评估活—动应当？遵守：法律法规、标准规范！。要求遵循客观实际、！科学公？正、诚实《信用原则委托—商用密码检测机【构开展商《用，密码应用《安全：性评估？的不：得，对评估结果施加不】当影响并应当提【供以下？支持 ？     （一【）对网络与信息系】统的重？要，数据进行备份；【  ？   （二）—提供：完整有效的》网络：与信息系统设备清】单和网络拓扑； 】     （三）提！供详细的网络与信】息，系统：商用密码应用方案、！密码相关管理—。制度和密码配置、运！行、维护《记录；  —   （四）提【供商用密码》产品：管，理入口、网络—。交换设备接入端口等！相关：信息、数据接—。入分析条件并—配合进行数据采【集；     】（五）安《排网络与信息系统相！关网络管理员、系】统管理？员、密钥管理—员、密码安全审【计员：。、密码操《作员等做好配—合； ？    《 （六？）其：。他，需要：配合的事项 — 第十？三条　自行开展商】用，密，码应用安全性评估】的网络与信息系统】其运营者应当—符合以下要求—     —（一：）具有？与开展商用》密码应用安全性【评，估活：动相适应的设备设施！；    — （：二，）具有？与开展？商用：密，码应用安全》性评：估活动相适应的项】目管理、质量管理、！人员管理、档—案管：理、安全保密管理】等规章制度；  ！。   （《三）具？有与开？展商用密码应用安】全性评估活动相【适应的？专，业人员；    ！ （四）具有与【开展商用密码应用安！。全性评估活动相适应！的专业能力 【    自行开展】商用密码应用安全】性，评估：形成的商《用密码应用》安全性评估报告【应当符合相关国家标！准、行业标准和有】关规定？的，要求由本单位密【码或者网络》安全负责人签字确】认并加盖本单位公章！     运营】者应当对商用密码应！用安全？性评估原始记录和】商用密？码应：用，安全性评《估报告归档留存保】证其具？有，可追：溯，性，商用密码应》用安全？性，评估：原始记录和商用密】码应用安《全性评估报告的保存！期限不得少于6【年 第《十四条　重要网络】与信：息系：。统的运营者》。应当：在，商用：密码应用安》全，性，评估报告形成后3】0日内将评估—报告：和相关工作情—况按照国《家有关规定报送【国家密码《管理局？或者网络与信息系】统所：在地：省、自治区》、直辖市密码管理】部门备？案     国家！密码管理局或者省、！自治区、《直辖市密码管—理部门？对商用密码应用安全！性，评估结果《备案材料进》行形式审查》形，式，审查未通过》的相关运《营者应当重新—提，交备案材料   ！  国家密码管【理局可以对商用密码！。应用安全性评估【结果进行抽样检【查抽样检查不合格】的相关运营者—应当重？新开展商用密码【应用安全性》评估 《    省》、自治区、直—辖市密码管理部门应！当按季度向国—家密：码管：理，局报：送本地区商用—密码应用安》全，性，评估工作开展情况 ！ 第十？五，条　运营者发现【密码相关《重大安？全，。事件、重大密码【安全隐患或者特【殊紧：急情况的应》当及时向国》家密码管理局或【者网络与信》息，。系统所在地省、自】治区、？直辖市密码管—理部门报《告并启动应急—处置方案必要时开】展商用密码应用安】全性评估 》 第十六条》　县级以上地方各】级密：码管理？部门、？国家机关《和涉及？商用密码工》作的单位可以根【。据工作？需要对本地区—、，本，。机关、本单》位或者本《系统的重要网络【与信息系统商用密】码应用？安全性评《。估情况开展》专项检查 —第十七条　重要网络！与信：息系统的运营者【违反：中华人民《共和国密码法、【商用密？码管理条例》和本：办，法规定有下列情形之！一的由密《码管理部门责令改】正给予警告；拒【不改正？或者：有其他严重情节的处！10万元以上100！万元以下罚款对【直接负责的主管【人员：处1万元《以上10万元以下】罚款    【 （：。一）重要网络与信息！系统规划阶段未对商！用密码应用方案进行！商用密码《应，用安全性《评估的？；    — （二？），重要网络与信—。息，。系统建设阶段未【按照通过商用密【码应用安《。全性：评估的商用》密码应用方案建【设商用密码保障【系统的？；    — （三）《重要网络与》信息：系统运行前未开展】商用密码《应用安全《性评估？。的；     （！四）重？要网络与信息系【统运行？前未通过商》用密码应用安全性】。评估且未《。进行：改造的？； ：     》（五）重要网络与信！息系统建成运行后】未定期开展商用【密码应用安全性评估！的； 《。    （六）重】要网络与《信息系统建成运【行后未？通过：定期开展的商—用密码？。应用安全性评—估且：未进行改造》的，；     （】七）违反法律法规】、标准规范要—。求开展商用密码【应用安？全性评？估，的；   —。  （八）不符【合相关要《求自行开《展商用？。。密码应用安》全性评估的 — 第十八条》　重要网络与信息】。系统的运《营者违反《本办法规定有—下列：。情形之一的》由密码管理部门【责令：改正；逾期未改【正或者？改正：后仍不符合》。要求的处《1万元以《上10万元以下罚款！对直接负责的主管】人，员处5？000元以上—5万：元以下罚《款     （】一）对商用密—码应：用安全性评估结果施！加不当影响的； 】     》（二）？未为商用密》码应用安全性评估活！动提供必要支—持的；   【 ， （三）《未按照？。要求进行商用密【码应用安全性评【估结果备案的 【 第十九条　—从事商用密码应用安！全性评估监督管理】工作的人员滥—用职权、玩》忽职守、徇私舞弊或！者泄露？、非法向他人提供在！履行职责中知—。悉的商业秘密—、个人隐私》、，举报：人信息的依法给【予处分 第二十条！　本办法施》行前正在建设的重要！。网，络与信息系统其【运营：者应当加强商用密码！应用：方案编制《论证建设完》善商用密码保障【系统并按照本办法第！。。八条规定开展商用密！。码应用安《全性评估 —    本办法施行！前已：经投入运行的—重要：网，络与：信息系统其》运营者应当按照本办！法第九条规定开展】商用：密码应用安全性评】估 ？第二十一《条　本办法》自20？23年11》月1日起施行 】