根據《中華(hua)人民共和國(guo)密(mi)(mi)(mi)(mi)碼(ma)法(fa)》、《商用密(mi)(mi)(mi)(mi)碼(ma)管理(li)條例》等法(fa)律法(fa)規(gui)，國(guo)家(jia)密(mi)(mi)(mi)(mi)碼(ma)管理(li)局(ju)會同國(guo)家(jia)互(hu)聯網信息辦(ban)公室、公安(an)部，研究制定(ding)(ding)了(le)《關鍵信息基礎設施商用密(mi)(mi)(mi)(mi)碼(ma)使(shi)用管理(li)規(gui)定(ding)(ding)》（國(guo)家(jia)密(mi)(mi)(mi)(mi)碼(ma)管理(li)局(ju)、國(guo)家(jia)互(hu)聯網信息辦(ban)公室、公安(an)部令第5號(hao)）（以下(xia)簡稱《規(gui)定(ding)(ding)》），現就《規(gui)定(ding)(ding)》的有關內容(rong)解讀如(ru)下(xia)。
一、制定的必要性
（一）制(zhi)定(ding)(ding)《規(gui)定(ding)(ding)》是貫(guan)徹落實黨中央、國(guo)務(wu)院關(guan)于(yu)商(shang)用(yong)密(mi)(mi)(mi)碼管(guan)理決策部署的必然要(yao)(yao)求(qiu)(qiu)。《中華(hua)人民共和(he)(he)國(guo)密(mi)(mi)(mi)碼法》提出了“法律、行(xing)(xing)政法規(gui)和(he)(he)國(guo)家有關(guan)規(gui)定(ding)(ding)要(yao)(yao)求(qiu)(qiu)使(shi)用(yong)商(shang)用(yong)密(mi)(mi)(mi)碼進(jin)行(xing)(xing)保護的關(guan)鍵信(xin)息(xi)(xi)基(ji)(ji)礎(chu)設施，其運營者應當使(shi)用(yong)商(shang)用(yong)密(mi)(mi)(mi)碼進(jin)行(xing)(xing)保護，自行(xing)(xing)或者委托商(shang)用(yong)密(mi)(mi)(mi)碼檢測機構(gou)開展(zhan)商(shang)用(yong)密(mi)(mi)(mi)碼應用(yong)安(an)全性評估”的要(yao)(yao)求(qiu)(qiu)。《商(shang)用(yong)密(mi)(mi)(mi)碼管(guan)理條例》進(jin)一步(bu)明確關(guan)鍵信(xin)息(xi)(xi)基(ji)(ji)礎(chu)設施“同(tong)(tong)步(bu)規(gui)劃、同(tong)(tong)步(bu)建設、同(tong)(tong)步(bu)運行(xing)(xing)商(shang)用(yong)密(mi)(mi)(mi)碼保障系統”，以及依(yi)法依(yi)規(gui)使(shi)用(yong)商(shang)用(yong)密(mi)(mi)(mi)碼技術、產(chan)品、服務(wu)等要(yao)(yao)求(qiu)(qiu)。《關(guan)鍵信(xin)息(xi)(xi)基(ji)(ji)礎(chu)設施安(an)全保護條例》明確“關(guan)鍵信(xin)息(xi)(xi)基(ji)(ji)礎(chu)設施中的密(mi)(mi)(mi)碼使(shi)用(yong)和(he)(he)管(guan)理，還(huan)應當遵守相(xiang)關(guan)法律、行(xing)(xing)政法規(gui)的規(gui)定(ding)(ding)”。有必要(yao)(yao)制(zhi)定(ding)(ding)《規(gui)定(ding)(ding)》，按照商(shang)用(yong)密(mi)(mi)(mi)碼依(yi)法管(guan)理要(yao)(yao)求(qiu)(qiu)，細(xi)化關(guan)鍵信(xin)息(xi)(xi)基(ji)(ji)礎(chu)設施商(shang)用(yong)密(mi)(mi)(mi)碼使(shi)用(yong)管(guan)理要(yao)(yao)求(qiu)(qiu)。
（二）制(zhi)定(ding)《規(gui)定(ding)》是(shi)保(bao)護(hu)關(guan)鍵信(xin)(xin)息(xi)(xi)基(ji)礎(chu)設(she)(she)施(shi)安全(quan)(quan)的(de)(de)重要舉(ju)措。目前，關(guan)鍵信(xin)(xin)息(xi)(xi)基(ji)礎(chu)設(she)(she)施(shi)運營者已開展商(shang)(shang)用(yong)(yong)密(mi)碼(ma)(ma)(ma)使(shi)(shi)用(yong)(yong)相(xiang)關(guan)工作，但(dan)由于缺乏(fa)管理法(fa)規(gui)制(zhi)度的(de)(de)具(ju)體指導(dao)和(he)約(yue)束，部分網絡(luo)與信(xin)(xin)息(xi)(xi)系(xi)統建設(she)(she)未深入分析商(shang)(shang)用(yong)(yong)密(mi)碼(ma)(ma)(ma)使(shi)(shi)用(yong)(yong)需(xu)求并體系(xi)化加以解決，機械(xie)堆疊商(shang)(shang)用(yong)(yong)密(mi)碼(ma)(ma)(ma)產品(pin)，或者簡單實施(shi)外掛式、補丁式改造(zao)，商(shang)(shang)用(yong)(yong)密(mi)碼(ma)(ma)(ma)應用(yong)(yong)的(de)(de)合規(gui)性、正確性、有效性難以保(bao)證；個(ge)別網絡(luo)與信(xin)(xin)息(xi)(xi)系(xi)統仍然(ran)使(shi)(shi)用(yong)(yong)未經檢測認證合格的(de)(de)商(shang)(shang)用(yong)(yong)密(mi)碼(ma)(ma)(ma)產品(pin)、服務或者未經審查鑒(jian)定(ding)的(de)(de)商(shang)(shang)用(yong)(yong)密(mi)碼(ma)(ma)(ma)技術(shu)，存在較(jiao)大安全(quan)(quan)隱患。有必要制(zhi)定(ding)《規(gui)定(ding)》，規(gui)范關(guan)鍵信(xin)(xin)息(xi)(xi)基(ji)礎(chu)設(she)(she)施(shi)商(shang)(shang)用(yong)(yong)密(mi)碼(ma)(ma)(ma)使(shi)(shi)用(yong)(yong)，保(bao)護(hu)關(guan)鍵信(xin)(xin)息(xi)(xi)基(ji)礎(chu)設(she)(she)施(shi)安全(quan)(quan)。
（三）制(zhi)(zhi)定(ding)(ding)《規(gui)定(ding)(ding)》是(shi)進(jin)一(yi)步滿足關鍵(jian)(jian)信息(xi)基(ji)(ji)礎(chu)設(she)施(shi)安全(quan)(quan)保(bao)(bao)(bao)護(hu)(hu)需求的(de)(de)實踐(jian)需要。關鍵(jian)(jian)信息(xi)基(ji)(ji)礎(chu)設(she)施(shi)保(bao)(bao)(bao)護(hu)(hu)工作部門指導關鍵(jian)(jian)信息(xi)基(ji)(ji)礎(chu)設(she)施(shi)運營者按照密(mi)碼管理相關法(fa)律法(fa)規(gui)要求開展商(shang)用密(mi)碼使用工作的(de)(de)過程中，結合實踐(jian)提出了一(yi)系(xi)列(lie)意見建(jian)議，包括進(jin)一(yi)步明(ming)確制(zhi)(zhi)度(du)、人員、經費保(bao)(bao)(bao)障(zhang)等(deng)(deng)方(fang)面的(de)(de)依(yi)據，規(gui)劃、建(jian)設(she)、運行等(deng)(deng)各階段(duan)的(de)(de)要求，運行安全(quan)(quan)管理、監(jian)督檢(jian)查等(deng)(deng)職責，與網絡安全(quan)(quan)等(deng)(deng)級保(bao)(bao)(bao)護(hu)(hu)、關鍵(jian)(jian)信息(xi)基(ji)(ji)礎(chu)設(she)施(shi)安全(quan)(quan)保(bao)(bao)(bao)護(hu)(hu)、數(shu)據安全(quan)(quan)保(bao)(bao)(bao)護(hu)(hu)、個人信息(xi)保(bao)(bao)(bao)護(hu)(hu)等(deng)(deng)工作的(de)(de)關系(xi)等(deng)(deng)。有必要制(zhi)(zhi)定(ding)(ding)《規(gui)定(ding)(ding)》，明(ming)確法(fa)規(gui)依(yi)據、細化制(zhi)(zhi)度(du)規(gui)定(ding)(ding)，推進(jin)有關工作要求更加精準落地實施(shi)。
二、總體思路
《規(gui)(gui)定(ding)》的(de)(de)制定(ding)細化(hua)《中華人(ren)民共和國(guo)密(mi)(mi)碼(ma)法》、《商用密(mi)(mi)碼(ma)管(guan)理條(tiao)例》關(guan)于關(guan)鍵(jian)信息基(ji)(ji)礎(chu)設施商用密(mi)(mi)碼(ma)使用管(guan)理的(de)(de)基(ji)(ji)礎(chu)性、原則(ze)性要(yao)求，明確劃(hua)分密(mi)(mi)碼(ma)管(guan)理部(bu)(bu)門、網信部(bu)(bu)門、公安(an)機(ji)關(guan)以(yi)及保護工作部(bu)(bu)門、運營者的(de)(de)職權義(yi)務，明確規(gui)(gui)劃(hua)、建設、運行(xing)等(deng)各(ge)階段(duan)的(de)(de)規(gui)(gui)范要(yao)求，明確制度、人(ren)員、經(jing)費等(deng)方面的(de)(de)保障(zhang)措(cuo)施，將關(guan)鍵(jian)信息基(ji)(ji)礎(chu)設施商用密(mi)(mi)碼(ma)使用管(guan)理各(ge)方面、各(ge)環節的(de)(de)要(yao)求以(yi)法定(ding)形式固化(hua)下來，力求做到做到責任明確、環節清(qing)晰(xi)、措(cuo)施完(wan)備。主(zhu)要(yao)體現了以(yi)下三(san)方面思路：
（一(yi)）堅持依法(fa)管理(li)原則(ze)。依據《中(zhong)華(hua)人(ren)(ren)民共(gong)和(he)國(guo)密碼法(fa)》、《中(zhong)華(hua)人(ren)(ren)民共(gong)和(he)國(guo)網絡(luo)安(an)(an)全法(fa)》、《中(zhong)華(hua)人(ren)(ren)民共(gong)和(he)國(guo)數(shu)(shu)據安(an)(an)全法(fa)》、《中(zhong)華(hua)人(ren)(ren)民共(gong)和(he)國(guo)個人(ren)(ren)信(xin)息保護法(fa)》、《商用(yong)密碼管理(li)條(tiao)(tiao)例》和(he)《關(guan)鍵信(xin)息基(ji)礎(chu)(chu)(chu)設(she)施(shi)(shi)(shi)安(an)(an)全保護條(tiao)(tiao)例》、《網絡(luo)數(shu)(shu)據安(an)(an)全管理(li)條(tiao)(tiao)例》等有關(guan)法(fa)律、行政(zheng)法(fa)規中(zhong)關(guan)鍵信(xin)息基(ji)礎(chu)(chu)(chu)設(she)施(shi)(shi)(shi)商用(yong)密碼使用(yong)相關(guan)要求，制定關(guan)鍵信(xin)息基(ji)礎(chu)(chu)(chu)設(she)施(shi)(shi)(shi)商用(yong)密碼使用(yong)管理(li)各(ge)項措施(shi)(shi)(shi)，并做好與相關(guan)政(zheng)策(ce)法(fa)規的銜接協(xie)調。
（二）明確(que)劃(hua)分各(ge)方職責(ze)。關(guan)鍵信息基礎設施(shi)商用密碼(ma)使用管(guan)理(li)涉(she)及(ji)單位多(duo)，其中，密碼(ma)管(guan)理(li)部門、網信部門、公安機(ji)關(guan)為管(guan)理(li)部門，保(bao)護工作部門為行業領(ling)域(yu)監督管(guan)理(li)部門，運營者為直(zhi)接責(ze)任主體，明確(que)劃(hua)分各(ge)方權(quan)力、義務和責(ze)任。
（三）科學(xue)規(gui)范(fan)(fan)監(jian)管(guan)制度。針(zhen)對關鍵(jian)信息基礎(chu)設(she)(she)施商用(yong)密碼使(shi)用(yong)管(guan)理涉及的(de)商用(yong)密碼技術、產(chan)品(pin)、服(fu)務(wu)(wu)等(deng)內(nei)容，圍繞規(gui)劃、建設(she)(she)、運行等(deng)各階段，提出具體規(gui)范(fan)(fan)要(yao)求，并明確運行安全管(guan)理、監(jian)督檢查(cha)、保密義(yi)務(wu)(wu)等(deng)管(guan)理事項。
三、主要內容
《規定》共25條。主要內容包括：
（一）總體要(yao)求。一是(shi)規(gui)定(ding)(ding)適用范圍，即依據法律法規(gui)和(he)國家(jia)有關規(gui)定(ding)(ding)認定(ding)(ding)的關鍵信息基礎設施的商(shang)用密(mi)碼使(shi)用管理(li)(li)，適用本規(gui)定(ding)(ding)。二是(shi)明確管理(li)(li)部(bu)(bu)(bu)(bu)門(men)職責，涵蓋國家(jia)密(mi)碼管理(li)(li)部(bu)(bu)(bu)(bu)門(men)、國家(jia)網(wang)(wang)信部(bu)(bu)(bu)(bu)門(men)、國務院公安(an)部(bu)(bu)(bu)(bu)門(men)，以及(ji)縣(xian)級(ji)以上地方各級(ji)密(mi)碼管理(li)(li)部(bu)(bu)(bu)(bu)門(men)與同級(ji)網(wang)(wang)信部(bu)(bu)(bu)(bu)門(men)、公安(an)機關。三是(shi)明確保(bao)護工(gong)作部(bu)(bu)(bu)(bu)門(men)職責，包括監督管理(li)(li)本行(xing)業(ye)、本領域關鍵信息基礎設施商(shang)用密(mi)碼應用，加(jia)強規(gui)劃和(he)指導，報送有關情況等。
（二(er)）運營者(zhe)責(ze)任(ren)。一是(shi)(shi)明確(que)運營者(zhe)總體責(ze)任(ren)，即落實關(guan)鍵(jian)信息基(ji)礎(chu)(chu)設施商用(yong)(yong)密(mi)(mi)碼(ma)(ma)(ma)使用(yong)(yong)“三同(tong)步(bu)(bu)一評估(gu)”原則(ze)，同(tong)步(bu)(bu)規劃、同(tong)步(bu)(bu)建(jian)設、同(tong)步(bu)(bu)運行商用(yong)(yong)密(mi)(mi)碼(ma)(ma)(ma)保障(zhang)系(xi)統，并定(ding)(ding)期開展商用(yong)(yong)密(mi)(mi)碼(ma)(ma)(ma)應用(yong)(yong)安(an)全性評估(gu)。二(er)是(shi)(shi)分別規定(ding)(ding)運營者(zhe)的制度、人(ren)員、經(jing)費保障(zhang)責(ze)任(ren)，包括建(jian)立商用(yong)(yong)密(mi)(mi)碼(ma)(ma)(ma)使用(yong)(yong)、應急處置、重大事(shi)件報告等(deng)制度，配備(bei)符合要(yao)求的密(mi)(mi)碼(ma)(ma)(ma)相關(guan)專(zhuan)業(ye)人(ren)員并進行安(an)全背(bei)景審查(cha)，定(ding)(ding)期組織密(mi)(mi)碼(ma)(ma)(ma)相關(guan)業(ye)務(wu)技能(neng)培訓，以及(ji)將(jiang)商用(yong)(yong)密(mi)(mi)碼(ma)(ma)(ma)使用(yong)(yong)和應用(yong)(yong)安(an)全性評估(gu)經(jing)費納(na)入(ru)網絡(luo)安(an)全和信息化經(jing)費安(an)排等(deng)，從而為(wei)關(guan)鍵(jian)信息基(ji)礎(chu)(chu)設施商用(yong)(yong)密(mi)(mi)碼(ma)(ma)(ma)使用(yong)(yong)奠定(ding)(ding)堅實基(ji)礎(chu)(chu)。
（三(san)）商用(yong)密(mi)(mi)碼(ma)(ma)使(shi)(shi)(shi)用(yong)具(ju)體(ti)要(yao)(yao)求(qiu)(qiu)。一是(shi)明(ming)確(que)商用(yong)密(mi)(mi)碼(ma)(ma)技(ji)術、產(chan)品、服務使(shi)(shi)(shi)用(yong)要(yao)(yao)求(qiu)(qiu)。規(gui)定關鍵信(xin)(xin)息基礎設(she)施使(shi)(shi)(shi)用(yong)的商用(yong)密(mi)(mi)碼(ma)(ma)產(chan)品、服務應(ying)當(dang)經檢測認證(zheng)合格，使(shi)(shi)(shi)用(yong)的密(mi)(mi)碼(ma)(ma)算法、密(mi)(mi)碼(ma)(ma)協議、密(mi)(mi)鑰(yao)管理機制等商用(yong)密(mi)(mi)碼(ma)(ma)技(ji)術應(ying)當(dang)通過國(guo)家密(mi)(mi)碼(ma)(ma)管理部門(men)審查鑒定。二是(shi)明(ming)確(que)數(shu)據安(an)全保(bao)(bao)護、個(ge)人信(xin)(xin)息保(bao)(bao)護要(yao)(yao)求(qiu)(qiu)。強調關鍵信(xin)(xin)息基礎設(she)施應(ying)當(dang)使(shi)(shi)(shi)用(yong)商用(yong)密(mi)(mi)碼(ma)(ma)對其(qi)存儲、使(shi)(shi)(shi)用(yong)、傳輸的核心數(shu)據、重要(yao)(yao)數(shu)據和(he)個(ge)人信(xin)(xin)息進行保(bao)(bao)護。三(san)是(shi)細化規(gui)劃、建設(she)、運(yun)行等階段商用(yong)密(mi)(mi)碼(ma)(ma)使(shi)(shi)(shi)用(yong)要(yao)(yao)求(qiu)(qiu)以(yi)及過渡安(an)排、商用(yong)密(mi)(mi)碼(ma)(ma)應(ying)用(yong)安(an)全性評估要(yao)(yao)求(qiu)(qiu)。建立起關鍵信(xin)(xin)息基礎設(she)施商用(yong)密(mi)(mi)碼(ma)(ma)使(shi)(shi)(shi)用(yong)的程序閉環。
（四）監(jian)督檢查及法(fa)律責(ze)(ze)(ze)(ze)任(ren)(ren)。一是規(gui)定(ding)商用(yong)密碼運(yun)行安全管(guan)理(li)(li)責(ze)(ze)(ze)(ze)任(ren)(ren)。明(ming)(ming)確了建設國家級與行業級商用(yong)密碼運(yun)行安全管(guan)理(li)(li)基礎設施的(de)責(ze)(ze)(ze)(ze)任(ren)(ren)。二是規(gui)定(ding)密碼管(guan)理(li)(li)部(bu)門(men)和保(bao)護工(gong)作(zuo)部(bu)門(men)的(de)監(jian)督檢查職權，同時申明(ming)(ming)運(yun)營(ying)者的(de)配(pei)合義務(wu)(wu)與管(guan)理(li)(li)部(bu)門(men)的(de)保(bao)密義務(wu)(wu)。三是規(gui)定(ding)運(yun)營(ying)者的(de)違(wei)法(fa)情形及法(fa)律責(ze)(ze)(ze)(ze)任(ren)(ren)，包括違(wei)反(fan)商用(yong)密碼使用(yong)要求、違(wei)反(fan)安全審查要求、違(wei)反(fan)監(jian)督管(guan)理(li)(li)配(pei)合義務(wu)(wu)、違(wei)反(fan)商用(yong)密碼保(bao)障責(ze)(ze)(ze)(ze)任(ren)(ren)等(deng)。四是規(gui)定(ding)監(jian)督管(guan)理(li)(li)人員的(de)違(wei)法(fa)情形及法(fa)律責(ze)(ze)(ze)(ze)任(ren)(ren)。
（五(wu)）其(qi)他(ta)事(shi)項。規定了(le)對關鍵信息基礎設施商用密碼使用的(de)制度銜接，以(yi)及本規定的(de)施行時間。
附正文：
關鍵信息基礎設施商用密碼使用管理規定
第一條 為規范關(guan)鍵信息基礎設施商用密碼(ma)使(shi)用，保護關(guan)鍵信息基礎設施安(an)(an)全(quan)，根據(ju)(ju)《中(zhong)(zhong)(zhong)華(hua)人(ren)(ren)民(min)共(gong)(gong)和(he)(he)國密碼(ma)法(fa)(fa)》、《中(zhong)(zhong)(zhong)華(hua)人(ren)(ren)民(min)共(gong)(gong)和(he)(he)國網絡安(an)(an)全(quan)法(fa)(fa)》、《中(zhong)(zhong)(zhong)華(hua)人(ren)(ren)民(min)共(gong)(gong)和(he)(he)國數據(ju)(ju)安(an)(an)全(quan)法(fa)(fa)》、《中(zhong)(zhong)(zhong)華(hua)人(ren)(ren)民(min)共(gong)(gong)和(he)(he)國個人(ren)(ren)信息保護法(fa)(fa)》、《商用密碼(ma)管(guan)理條例》和(he)(he)《關(guan)鍵信息基礎設施安(an)(an)全(quan)保護條例》、《網絡數據(ju)(ju)安(an)(an)全(quan)管(guan)理條例》等有關(guan)法(fa)(fa)律、行政法(fa)(fa)規，制定本規定。
第二條 依據《中華人(ren)民共和國(guo)網絡安全法》、《關(guan)(guan)鍵信(xin)息基(ji)礎(chu)設施安全保護條例》等法律、行政(zheng)法規和國(guo)家(jia)有關(guan)(guan)規定(ding)(ding)認定(ding)(ding)的關(guan)(guan)鍵信(xin)息基(ji)礎(chu)設施的商用密(mi)碼使用管理(li)，適(shi)用本規定(ding)(ding)。
第三條 國家(jia)密碼(ma)管(guan)理部門(men)(men)(men)會同國家(jia)網信(xin)部門(men)(men)(men)、國務院公安部門(men)(men)(men)負(fu)責規劃、指導(dao)和(he)監督(du)全國的關(guan)鍵信(xin)息基礎(chu)設(she)施(shi)商用密碼(ma)使用管(guan)理工作(zuo)，建立(li)關(guan)鍵信(xin)息基礎(chu)設(she)施(shi)商用密碼(ma)使用管(guan)理信(xin)息共享機制(zhi)。
縣級(ji)以上地(di)方各(ge)級(ji)密碼管理部門(men)會同網(wang)信(xin)部門(men)、公(gong)安機關(guan)(guan)負責指(zhi)導和監督本行政區域的(de)關(guan)(guan)鍵信(xin)息(xi)基(ji)礎設施商(shang)用密碼使用管理工作(zuo)。
第四條 關(guan)鍵信(xin)息(xi)(xi)基(ji)礎設施(shi)保護工(gong)(gong)作(zuo)部門(men)（以下簡稱(cheng)保護工(gong)(gong)作(zuo)部門(men)）在職(zhi)責(ze)范(fan)圍內(nei)負(fu)責(ze)監(jian)督管理本(ben)行(xing)業(ye)、本(ben)領域(yu)關(guan)鍵信(xin)息(xi)(xi)基(ji)礎設施(shi)商(shang)用(yong)密碼使(shi)用(yong)工(gong)(gong)作(zuo)，單(dan)獨編制本(ben)行(xing)業(ye)、本(ben)領域(yu)商(shang)用(yong)密碼使(shi)用(yong)規(gui)劃或者納入(ru)本(ben)行(xing)業(ye)、本(ben)領域(yu)的關(guan)鍵信(xin)息(xi)(xi)基(ji)礎設施(shi)安全(quan)規(gui)劃并組織實施(shi)，指導本(ben)行(xing)業(ye)、本(ben)領域(yu)關(guan)鍵信(xin)息(xi)(xi)基(ji)礎設施(shi)運營(ying)者（以下簡稱(cheng)運營(ying)者）開展商(shang)用(yong)密碼相關(guan)制度、人員、經費等保障工(gong)(gong)作(zuo)。
保(bao)護工作部門(men)應當于每年3月31日前向國(guo)家密碼管理(li)部門(men)、國(guo)家網信部門(men)、國(guo)務院公安部門(men)報(bao)告上一(yi)年度(du)本行業、本領(ling)域關鍵信息(xi)基礎設(she)施商用密碼使用管理(li)情況。
關鍵信(xin)息基礎設施發生涉及商用(yong)密碼(ma)的(de)重大網(wang)(wang)絡(luo)安(an)全(quan)事件或(huo)者發現涉及商用(yong)密碼(ma)的(de)重大網(wang)(wang)絡(luo)安(an)全(quan)威脅時，保(bao)護工作部(bu)門(men)(men)(men)應(ying)當及時向國家(jia)密碼(ma)管理部(bu)門(men)(men)(men)、國家(jia)網(wang)(wang)信(xin)部(bu)門(men)(men)(men)、國務院公安(an)部(bu)門(men)(men)(men)報告，指導運營(ying)者開(kai)展應(ying)急(ji)處置，必(bi)要時開(kai)展商用(yong)密碼(ma)應(ying)用(yong)安(an)全(quan)性(xing)評估。
第五條 運營者應當按照(zhao)相關(guan)法律、行政(zheng)法規(gui)和國(guo)(guo)家有(you)關(guan)規(gui)定，遵循國(guo)(guo)家商(shang)用密(mi)(mi)碼管理、網絡安全(quan)等(deng)級保(bao)護(hu)、關(guan)鍵信(xin)息(xi)基礎設(she)施(shi)安全(quan)保(bao)護(hu)等(deng)制度(du)要求，使用商(shang)用密(mi)(mi)碼保(bao)護(hu)關(guan)鍵信(xin)息(xi)基礎設(she)施(shi)，同步(bu)(bu)規(gui)劃、同步(bu)(bu)建設(she)、同步(bu)(bu)運行商(shang)用密(mi)(mi)碼保(bao)障(zhang)系統(tong)，并(bing)定期開展商(shang)用密(mi)(mi)碼應用安全(quan)性評估。
運營者應當于(yu)每年1月31日前向所屬的保護(hu)工作部(bu)門(men)報告上一年度關鍵信(xin)息基礎設施商用(yong)(yong)密(mi)碼使用(yong)(yong)以及商用(yong)(yong)密(mi)碼應用(yong)(yong)安全性(xing)評估開展情況。
第六條 運營者應(ying)當(dang)加強關(guan)鍵信息基礎設(she)施商用密(mi)碼(ma)使(shi)用制度保障，建立商用密(mi)碼(ma)使(shi)用、應(ying)急處置、重(zhong)大(da)事件報告等關(guan)鍵信息基礎設(she)施商用密(mi)碼(ma)使(shi)用管理制度。
運營者的(de)主要負責人對關鍵信(xin)息(xi)基礎設(she)施商(shang)用(yong)(yong)(yong)密(mi)碼使(shi)(shi)用(yong)(yong)(yong)管理負總(zong)責，負責關鍵信(xin)息(xi)基礎設(she)施商(shang)用(yong)(yong)(yong)密(mi)碼使(shi)(shi)用(yong)(yong)(yong)和涉及商(shang)用(yong)(yong)(yong)密(mi)碼的(de)重(zhong)大(da)網絡安全事件(jian)處置工作。
第七條 運營(ying)者應當(dang)加強(qiang)關(guan)鍵信(xin)息(xi)基礎設(she)施商用(yong)密(mi)(mi)碼使(shi)用(yong)人(ren)員(yuan)保障(zhang)，配備取得密(mi)(mi)碼相(xiang)關(guan)專(zhuan)(zhuan)業(ye)(ye)學歷或者密(mi)(mi)碼相(xiang)關(guan)國家職業(ye)(ye)技能(neng)等級認定證書的(de)專(zhuan)(zhuan)業(ye)(ye)人(ren)員(yuan)分別承擔(dan)密(mi)(mi)鑰(yao)管理員(yuan)、密(mi)(mi)碼操作員(yuan)等職責，配備具有安全審計專(zhuan)(zhuan)業(ye)(ye)能(neng)力的(de)人(ren)員(yuan)承擔(dan)密(mi)(mi)碼安全審計員(yuan)職責。
運營者應(ying)當對密碼(ma)相(xiang)關專(zhuan)業(ye)人員(yuan)進行安全背(bei)景審查(cha)，并定期組織其參(can)加(jia)密碼(ma)相(xiang)關業(ye)務技能(neng)培訓，提高密碼(ma)相(xiang)關專(zhuan)業(ye)人員(yuan)的(de)商(shang)用密碼(ma)使(shi)用能(neng)力。
第八條 運營者應(ying)當加強關鍵(jian)信(xin)息基(ji)礎(chu)設(she)施商(shang)用密碼使用和(he)(he)應(ying)用安(an)(an)全(quan)性(xing)評(ping)估(gu)經(jing)費(fei)保障，將商(shang)用密碼使用和(he)(he)應(ying)用安(an)(an)全(quan)性(xing)評(ping)估(gu)經(jing)費(fei)納入網絡安(an)(an)全(quan)和(he)(he)信(xin)息化經(jing)費(fei)安(an)(an)排(pai)。
第九條 關鍵信息基礎設施使用(yong)的商用(yong)密碼(ma)(ma)(ma)產品、服務(wu)應(ying)當經檢測(ce)認證合格，使用(yong)的密碼(ma)(ma)(ma)算法(fa)、密碼(ma)(ma)(ma)協議(yi)、密鑰管理(li)機制等商用(yong)密碼(ma)(ma)(ma)技術應(ying)當通過國家(jia)密碼(ma)(ma)(ma)管理(li)部門審(shen)查鑒定。
運營者采(cai)購涉及商用密(mi)碼的網(wang)絡(luo)(luo)產品和服務，影響或者可能影響國家安(an)全的，應當按照(zhao)《網(wang)絡(luo)(luo)安(an)全審查辦法》進行網(wang)絡(luo)(luo)安(an)全審查。
第十條 關鍵(jian)信息(xi)基礎(chu)設施應(ying)當按照國家數(shu)據(ju)(ju)安(an)全(quan)保(bao)護、個人(ren)信息(xi)保(bao)護有關要(yao)求，使用(yong)(yong)商用(yong)(yong)密碼(ma)對其(qi)存儲(chu)、使用(yong)(yong)、傳(chuan)輸的核心數(shu)據(ju)(ju)、重要(yao)數(shu)據(ju)(ju)和個人(ren)信息(xi)進(jin)行保(bao)護。
第十一條 關(guan)鍵信息(xi)基礎(chu)設(she)(she)施規(gui)劃階(jie)段，其運營者應(ying)當依(yi)照相關(guan)法律、行政法規(gui)和標(biao)準規(gui)范，根據商(shang)(shang)用(yong)(yong)密(mi)碼(ma)應(ying)用(yong)(yong)需求，制(zhi)定商(shang)(shang)用(yong)(yong)密(mi)碼(ma)應(ying)用(yong)(yong)方案，規(gui)劃商(shang)(shang)用(yong)(yong)密(mi)碼(ma)保障系統(tong)并(bing)納入關(guan)鍵信息(xi)基礎(chu)設(she)(she)施安全規(gui)劃統(tong)籌部署。
運營(ying)者(zhe)應當自行或者(zhe)委托(tuo)商(shang)用(yong)(yong)密(mi)(mi)(mi)(mi)碼(ma)檢測(ce)機構對商(shang)用(yong)(yong)密(mi)(mi)(mi)(mi)碼(ma)應用(yong)(yong)方案進行商(shang)用(yong)(yong)密(mi)(mi)(mi)(mi)碼(ma)應用(yong)(yong)安(an)全性評估。商(shang)用(yong)(yong)密(mi)(mi)(mi)(mi)碼(ma)應用(yong)(yong)方案未通過商(shang)用(yong)(yong)密(mi)(mi)(mi)(mi)碼(ma)應用(yong)(yong)安(an)全性評估的(de)，不得作為商(shang)用(yong)(yong)密(mi)(mi)(mi)(mi)碼(ma)保障系統的(de)建設依據(ju)。
第十二條 關鍵信息基礎(chu)設(she)施(shi)建(jian)設(she)階段(duan)，其運(yun)營者應當按照通過(guo)商(shang)(shang)用密(mi)碼(ma)應用安全性評估(gu)的(de)商(shang)(shang)用密(mi)碼(ma)應用方(fang)(fang)案組織(zhi)實施(shi)，落實商(shang)(shang)用密(mi)碼(ma)安全防護措施(shi)，建(jian)設(she)商(shang)(shang)用密(mi)碼(ma)保(bao)障(zhang)系(xi)統。建(jian)設(she)過(guo)程中需要調(diao)整(zheng)商(shang)(shang)用密(mi)碼(ma)應用方(fang)(fang)案的(de)，應當重新開展商(shang)(shang)用密(mi)碼(ma)應用安全性評估(gu)，評估(gu)通過(guo)后方(fang)(fang)可(ke)按照調(diao)整(zheng)后的(de)商(shang)(shang)用密(mi)碼(ma)應用方(fang)(fang)案繼續建(jian)設(she)。
關鍵(jian)信息基礎設施運(yun)行前，其(qi)運(yun)營者(zhe)應(ying)當自行或者(zhe)委托商(shang)用(yong)密碼檢測機構開展商(shang)用(yong)密碼應(ying)用(yong)安全性(xing)評(ping)估。關鍵(jian)信息基礎設施未(wei)通過商(shang)用(yong)密碼應(ying)用(yong)安全性(xing)評(ping)估的，運(yun)營者(zhe)應(ying)當進行改造，改造期間(jian)不得投(tou)入運(yun)行。
第十三條 關(guan)(guan)鍵(jian)信息基(ji)礎設施建成運(yun)行后，其運(yun)營者(zhe)應(ying)(ying)當自行或者(zhe)委托商用(yong)密(mi)(mi)碼(ma)檢測(ce)機(ji)構每年至(zhi)少(shao)開展一(yi)次商用(yong)密(mi)(mi)碼(ma)應(ying)(ying)用(yong)安全(quan)性評估，確(que)保關(guan)(guan)鍵(jian)信息基(ji)礎設施商用(yong)密(mi)(mi)碼(ma)的(de)正(zheng)確(que)使用(yong)和商用(yong)密(mi)(mi)碼(ma)保障系統的(de)有效運(yun)行。關(guan)(guan)鍵(jian)信息基(ji)礎設施未通過商用(yong)密(mi)(mi)碼(ma)應(ying)(ying)用(yong)安全(quan)性評估的(de)，運(yun)營者(zhe)應(ying)(ying)當進行改造(zao)，并在改造(zao)期間采取必要措施保證關(guan)(guan)鍵(jian)信息基(ji)礎設施運(yun)行安全(quan)。
第十四條 本(ben)規(gui)定施行(xing)前正在建設的關(guan)鍵信息(xi)基礎設施，其運營(ying)者應當(dang)加強商(shang)用(yong)密碼(ma)應用(yong)方案編制論證，建設完善商(shang)用(yong)密碼(ma)保(bao)障系統，并按(an)照本(ben)規(gui)定第(di)十二條開展商(shang)用(yong)密碼(ma)應用(yong)安全性評估。
本規(gui)定施行前已經投入(ru)運(yun)行的關(guan)鍵信息(xi)基礎設施，其(qi)運(yun)營者應當按照本規(gui)定第十三(san)條開(kai)展商(shang)用密碼應用安全性評估。
第十五條 開展關鍵信息基(ji)礎設施商用密碼應用安(an)全性(xing)評估(gu)，應當符(fu)合《商用密碼應用安(an)全性(xing)評估(gu)管理辦(ban)法》有關規(gui)定。
關(guan)(guan)鍵信息基礎(chu)設(she)施(shi)商用密碼應(ying)用安全(quan)(quan)(quan)性評(ping)估應(ying)當與關(guan)(guan)鍵信息基礎(chu)設(she)施(shi)安全(quan)(quan)(quan)檢(jian)測評(ping)估、網絡安全(quan)(quan)(quan)等級(ji)測評(ping)加(jia)強銜接，避免重復評(ping)估、測評(ping)。
第十六條 國(guo)家密碼(ma)(ma)管理(li)(li)部(bu)門(men)(men)負責建(jian)設(she)(she)(she)和管理(li)(li)國(guo)家關鍵(jian)(jian)信(xin)息基礎設(she)(she)(she)施(shi)商(shang)(shang)用(yong)密碼(ma)(ma)運行安(an)全管理(li)(li)基礎設(she)(she)(she)施(shi)，統籌保(bao)護工(gong)作部(bu)門(men)(men)建(jian)設(she)(she)(she)本行業(ye)、本領域關鍵(jian)(jian)信(xin)息基礎設(she)(she)(she)施(shi)商(shang)(shang)用(yong)密碼(ma)(ma)運行安(an)全管理(li)(li)基礎設(she)(she)(she)施(shi)，會同國(guo)家網信(xin)部(bu)門(men)(men)、國(guo)務院公安(an)部(bu)門(men)(men)分析研判關鍵(jian)(jian)信(xin)息基礎設(she)(she)(she)施(shi)商(shang)(shang)用(yong)密碼(ma)(ma)運行安(an)全態勢，協同應對處置(zhi)重(zhong)大商(shang)(shang)用(yong)密碼(ma)(ma)運行安(an)全威脅(xie)。
第十七條 密(mi)碼(ma)(ma)管理(li)部門(men)應當定期組織開展關(guan)鍵(jian)信(xin)息基礎(chu)設施商(shang)(shang)用(yong)密(mi)碼(ma)(ma)使用(yong)情(qing)況監督檢查(cha)。保護工作(zuo)部門(men)應當定期對本行(xing)(xing)業(ye)(ye)、本領域(yu)關(guan)鍵(jian)信(xin)息基礎(chu)設施商(shang)(shang)用(yong)密(mi)碼(ma)(ma)使用(yong)情(qing)況進行(xing)(xing)檢查(cha)并提出改進措施，必(bi)要時可以自行(xing)(xing)或者委托商(shang)(shang)用(yong)密(mi)碼(ma)(ma)檢測機構等專業(ye)(ye)機構進行(xing)(xing)商(shang)(shang)用(yong)密(mi)碼(ma)(ma)應用(yong)安全性評估(gu)。
運(yun)營者對密(mi)碼管(guan)理(li)部門和保護(hu)工作部門開展的關鍵信息基礎設施商(shang)用密(mi)碼使用情況監督(du)檢(jian)查應當(dang)予以配合，根據監督(du)檢(jian)查意見及時進行整(zheng)(zheng)改(gai)(gai)并向(xiang)保護(hu)工作部門報(bao)告整(zheng)(zheng)改(gai)(gai)情況，保護(hu)工作部門應當(dang)將整(zheng)(zheng)改(gai)(gai)情況向(xiang)國家密(mi)碼管(guan)理(li)部門報(bao)告。
開展關鍵(jian)信(xin)息基礎(chu)設施商用(yong)密碼(ma)使用(yong)情況監督檢(jian)(jian)查應當加強協同配合(he)、信(xin)息溝通，避免不必要的檢(jian)(jian)查和交(jiao)叉(cha)重(zhong)復檢(jian)(jian)查。監督檢(jian)(jian)查不得(de)收(shou)取費用(yong)，不得(de)要求被(bei)監督檢(jian)(jian)查單位(wei)購(gou)買、使用(yong)指定單位(wei)或者指定品牌的商用(yong)密碼(ma)產品、服務。
第十八條 密碼(ma)管理部門、有(you)關部門、商(shang)用密碼(ma)檢測(ce)機構(gou)及其工作人員對其在履(lv)行職責中知悉的國家(jia)秘(mi)密、商(shang)業秘(mi)密和個人隱(yin)私(si)承擔保(bao)密義務，不得泄露或者(zhe)非(fei)法(fa)向他人提供。
第十九條 運營者(zhe)違反《中華(hua)人(ren)民共和(he)國(guo)密碼(ma)法(fa)》、《中華(hua)人(ren)民共和(he)國(guo)網絡安全法(fa)》、《商(shang)用(yong)密碼(ma)管(guan)理條(tiao)例》、《關(guan)鍵(jian)信息(xi)基礎(chu)設施安全保護條(tiao)例》和(he)本規(gui)定有(you)關(guan)條(tiao)款(kuan)，有(you)下列情(qing)形之一的(de)，由(you)密碼(ma)管(guan)理部門(men)責令改正，給予警告；拒(ju)不改正或者(zhe)有(you)其他嚴重情(qing)節的(de)，處(chu)10萬元(yuan)以上(shang)100萬元(yuan)以下罰款(kuan)，對直(zhi)接負責的(de)主管(guan)人(ren)員處(chu)1萬元(yuan)以上(shang)10萬元(yuan)以下罰款(kuan)：
（一）未按(an)照(zhao)要求使用商用密(mi)碼(ma)保護關鍵信(xin)息基礎設施(shi)，同步規劃、同步建設、同步運行商用密(mi)碼(ma)保障系統的；
（二）關鍵信息(xi)基礎設施使(shi)用的商用密碼產品(pin)、服務未經檢測認證合格(ge)的；
（三）關(guan)鍵信息基(ji)礎設施(shi)使用的(de)密(mi)碼算法、密(mi)碼協議、密(mi)鑰管(guan)理(li)機(ji)制(zhi)等商用密(mi)碼技術未通(tong)過國家密(mi)碼管(guan)理(li)部門(men)審查鑒定的(de)；
（四）關鍵信息(xi)基礎設施規劃(hua)階段，未(wei)制定商用密碼應(ying)(ying)用方案，或(huo)者未(wei)對商用密碼應(ying)(ying)用方案進行(xing)商用密碼應(ying)(ying)用安全性評(ping)估(gu)的；
（五）關鍵信(xin)息基礎設施建設階段，未按照通過商用密碼(ma)應用安全性(xing)評(ping)估的商用密碼(ma)應用方案建設商用密碼(ma)保(bao)障系統的；
（六）關鍵信(xin)息基礎設施運行(xing)前(qian)，未開(kai)展商用(yong)密(mi)碼應用(yong)安(an)全(quan)性評估，或者未通過商用(yong)密(mi)碼應用(yong)安(an)全(quan)性評估且(qie)未進行(xing)改造的；
（七）關(guan)鍵信息(xi)基礎(chu)設施建成運(yun)行后，未(wei)定(ding)期開(kai)(kai)展(zhan)商用(yong)密碼應用(yong)安全性評(ping)估，或者未(wei)通過定(ding)期開(kai)(kai)展(zhan)的(de)商用(yong)密碼應用(yong)安全性評(ping)估且未(wei)進行改(gai)造的(de)。
第二十條 運(yun)營者違反(fan)《中(zhong)華人民共和國密(mi)(mi)碼法》、《中(zhong)華人民共和國網絡安(an)全法》、《商用(yong)密(mi)(mi)碼管理條例》、《關(guan)鍵信息基礎設施安(an)全保護條例》和本(ben)規定(ding)第九條，使(shi)用(yong)未(wei)(wei)經安(an)全審查(cha)或(huo)者安(an)全審查(cha)未(wei)(wei)通過的涉及商用(yong)密(mi)(mi)碼的網絡產品(pin)或(huo)者服務的，由有(you)關(guan)主(zhu)管部(bu)門責(ze)令停止使(shi)用(yong)，處(chu)采購金額1倍(bei)以(yi)上10倍(bei)以(yi)下(xia)罰款；對直接負責(ze)的主(zhu)管人員和其他直接責(ze)任人員處(chu)1萬(wan)元以(yi)上10萬(wan)元以(yi)下(xia)罰款。
第二十一條 運營者違(wei)反《中(zhong)華(hua)人(ren)(ren)民共和國密(mi)(mi)碼(ma)(ma)法(fa)》、《中(zhong)華(hua)人(ren)(ren)民共和國網絡安全法(fa)》、《商用密(mi)(mi)碼(ma)(ma)管(guan)理(li)條(tiao)例》、《關(guan)鍵信息基礎設(she)施安全保護條(tiao)例》和本規定第(di)十(shi)七條(tiao)，無(wu)正(zheng)當理(li)由(you)拒不接(jie)受、不配合或者干預、阻撓密(mi)(mi)碼(ma)(ma)管(guan)理(li)部門、有(you)(you)關(guan)部門的商用密(mi)(mi)碼(ma)(ma)監督(du)管(guan)理(li)的，由(you)密(mi)(mi)碼(ma)(ma)管(guan)理(li)部門、有(you)(you)關(guan)部門責(ze)令改正(zheng)，給(gei)予警(jing)告；拒不改正(zheng)或者有(you)(you)其他嚴(yan)重情(qing)(qing)節(jie)(jie)的，處5萬元(yuan)(yuan)以上(shang)50萬元(yuan)(yuan)以下(xia)罰款，對直(zhi)接(jie)負責(ze)的主(zhu)管(guan)人(ren)(ren)員(yuan)和其他直(zhi)接(jie)責(ze)任人(ren)(ren)員(yuan)處1萬元(yuan)(yuan)以上(shang)10萬元(yuan)(yuan)以下(xia)罰款；情(qing)(qing)節(jie)(jie)特別嚴(yan)重的，責(ze)令停業整頓(dun)。
第二十二條 運營者違反本(ben)規(gui)定，有下(xia)列情形之一的，由密碼管理部(bu)門、有關部(bu)門依據職責責令改正：
（一）未(wei)按照要求報告上一年(nian)度關鍵信息基礎設施商用密(mi)碼(ma)使(shi)用以(yi)及商用密(mi)碼(ma)應用安全(quan)性(xing)評估(gu)開展情況的；
（二）未建(jian)立關鍵信息基礎設施商用(yong)(yong)密碼使用(yong)(yong)管理制度的；
（三）未按照要求配備密鑰管理(li)員、密碼操作員、密碼安全審計員的；
（四）未保(bao)障關鍵信息基礎設施商用(yong)密(mi)碼使用(yong)和應用(yong)安(an)全性評估經費的(de)。
第二十三條 從(cong)事關鍵信息(xi)基礎設施商用(yong)密碼使(shi)用(yong)監督管理工作的人(ren)員(yuan)濫用(yong)職權、玩忽職守、徇(xun)私(si)舞弊，或者(zhe)泄(xie)露(lu)、非法向(xiang)他人(ren)提供在履行職責中知(zhi)悉的商業秘密、個人(ren)隱(yin)私(si)、舉報人(ren)信息(xi)的，依法給(gei)予處分。
第二十四條 屬于(yu)國家(jia)政務(wu)信(xin)息系統的(de)關鍵(jian)信(xin)息基礎設施的(de)商用密(mi)碼使用管(guan)理(li)，除應當(dang)遵守本規定(ding)以外，還(huan)應當(dang)按照《國家(jia)政務(wu)信(xin)息化項目(mu)建設管(guan)理(li)辦法(fa)》（國辦發〔2019〕57號）等有關規定(ding)要求執行。
第二十五條 本規定自2025年8月1日起施行。
來源：國家密碼管理局