根據(jù)《中華人民共和國(guó)密碼法》、《商用密碼管理?xiàng)l例》等法律法規(guī)，國(guó)家密碼管理局會(huì)同國(guó)家互聯(lián)網(wǎng)信息辦公室、公安部，研究制定了《關(guān)鍵信息基礎(chǔ)設(shè)施商用密碼使用管理規(guī)定》（國(guó)家密碼管理局、國(guó)家互聯(lián)網(wǎng)信息辦公室、公安部令第5號(hào)）（以下簡(jiǎn)稱《規(guī)定》），現(xiàn)就《規(guī)定》的有關(guān)內(nèi)容解讀如下。
一、制定的必要性
（一）制定《規(guī)定》是貫徹落實(shí)黨中央、國(guó)務(wù)院關(guān)于商用密碼管理決策部署的必然要求。《中華人民共和國(guó)密碼法》提出了“法律、行政法規(guī)和國(guó)家有關(guān)規(guī)定要求使用商用密碼進(jìn)行保護(hù)的關(guān)鍵信息基礎(chǔ)設(shè)施，其運(yùn)營(yíng)者應(yīng)當(dāng)使用商用密碼進(jìn)行保護(hù)，自行或者委托商用密碼檢測(cè)機(jī)構(gòu)開(kāi)展商用密碼應(yīng)用安全性評(píng)估”的要求。《商用密碼管理?xiàng)l例》進(jìn)一步明確關(guān)鍵信息基礎(chǔ)設(shè)施“同步規(guī)劃、同步建設(shè)、同步運(yùn)行商用密碼保障系統(tǒng)”，以及依法依規(guī)使用商用密碼技術(shù)、產(chǎn)品、服務(wù)等要求?！蛾P(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》明確“關(guān)鍵信息基礎(chǔ)設(shè)施中的密碼使用和管理，還應(yīng)當(dāng)遵守相關(guān)法律、行政法規(guī)的規(guī)定”。有必要制定《規(guī)定》，按照商用密碼依法管理要求，細(xì)化關(guān)鍵信息基礎(chǔ)設(shè)施商用密碼使用管理要求。
（二）制定《規(guī)定》是保護(hù)關(guān)鍵信息基礎(chǔ)設(shè)施安全的重要舉措。目前，關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者已開(kāi)展商用密碼使用相關(guān)工作，但由于缺乏管理法規(guī)制度的具體指導(dǎo)和約束，部分網(wǎng)絡(luò)與信息系統(tǒng)建設(shè)未深入分析商用密碼使用需求并體系化加以解決，機(jī)械堆疊商用密碼產(chǎn)品，或者簡(jiǎn)單實(shí)施外掛式、補(bǔ)丁式改造，商用密碼應(yīng)用的合規(guī)性、正確性、有效性難以保證；個(gè)別網(wǎng)絡(luò)與信息系統(tǒng)仍然使用未經(jīng)檢測(cè)認(rèn)證合格的商用密碼產(chǎn)品、服務(wù)或者未經(jīng)審查鑒定的商用密碼技術(shù)，存在較大安全隱患。有必要制定《規(guī)定》，規(guī)范關(guān)鍵信息基礎(chǔ)設(shè)施商用密碼使用，保護(hù)關(guān)鍵信息基礎(chǔ)設(shè)施安全。
（三）制定《規(guī)定》是進(jìn)一步滿足關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)需求的實(shí)踐需要。關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)工作部門指導(dǎo)關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者按照密碼管理相關(guān)法律法規(guī)要求開(kāi)展商用密碼使用工作的過(guò)程中，結(jié)合實(shí)踐提出了一系列意見(jiàn)建議，包括進(jìn)一步明確制度、人員、經(jīng)費(fèi)保障等方面的依據(jù)，規(guī)劃、建設(shè)、運(yùn)行等各階段的要求，運(yùn)行安全管理、監(jiān)督檢查等職責(zé)，與網(wǎng)絡(luò)安全等級(jí)保護(hù)、關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)、數(shù)據(jù)安全保護(hù)、個(gè)人信息保護(hù)等工作的關(guān)系等。有必要制定《規(guī)定》，明確法規(guī)依據(jù)、細(xì)化制度規(guī)定，推進(jìn)有關(guān)工作要求更加精準(zhǔn)落地實(shí)施。
二、總體思路
《規(guī)定》的制定細(xì)化《中華人民共和國(guó)密碼法》、《商用密碼管理?xiàng)l例》關(guān)于關(guān)鍵信息基礎(chǔ)設(shè)施商用密碼使用管理的基礎(chǔ)性、原則性要求，明確劃分密碼管理部門、網(wǎng)信部門、公安機(jī)關(guān)以及保護(hù)工作部門、運(yùn)營(yíng)者的職權(quán)義務(wù)，明確規(guī)劃、建設(shè)、運(yùn)行等各階段的規(guī)范要求，明確制度、人員、經(jīng)費(fèi)等方面的保障措施，將關(guān)鍵信息基礎(chǔ)設(shè)施商用密碼使用管理各方面、各環(huán)節(jié)的要求以法定形式固化下來(lái)，力求做到做到責(zé)任明確、環(huán)節(jié)清晰、措施完備。主要體現(xiàn)了以下三方面思路：
（一）堅(jiān)持依法管理原則。依據(jù)《中華人民共和國(guó)密碼法》、《中華人民共和國(guó)網(wǎng)絡(luò)安全法》、《中華人民共和國(guó)數(shù)據(jù)安全法》、《中華人民共和國(guó)個(gè)人信息保護(hù)法》、《商用密碼管理?xiàng)l例》和《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》、《網(wǎng)絡(luò)數(shù)據(jù)安全管理?xiàng)l例》等有關(guān)法律、行政法規(guī)中關(guān)鍵信息基礎(chǔ)設(shè)施商用密碼使用相關(guān)要求，制定關(guān)鍵信息基礎(chǔ)設(shè)施商用密碼使用管理各項(xiàng)措施，并做好與相關(guān)政策法規(guī)的銜接協(xié)調(diào)。
（二）明確劃分各方職責(zé)。關(guān)鍵信息基礎(chǔ)設(shè)施商用密碼使用管理涉及單位多，其中，密碼管理部門、網(wǎng)信部門、公安機(jī)關(guān)為管理部門，保護(hù)工作部門為行業(yè)領(lǐng)域監(jiān)督管理部門，運(yùn)營(yíng)者為直接責(zé)任主體，明確劃分各方權(quán)力、義務(wù)和責(zé)任。
（三）科學(xué)規(guī)范監(jiān)管制度。針對(duì)關(guān)鍵信息基礎(chǔ)設(shè)施商用密碼使用管理涉及的商用密碼技術(shù)、產(chǎn)品、服務(wù)等內(nèi)容，圍繞規(guī)劃、建設(shè)、運(yùn)行等各階段，提出具體規(guī)范要求，并明確運(yùn)行安全管理、監(jiān)督檢查、保密義務(wù)等管理事項(xiàng)。
三、主要內(nèi)容
《規(guī)定》共25條。主要內(nèi)容包括：
（一）總體要求。一是規(guī)定適用范圍，即依據(jù)法律法規(guī)和國(guó)家有關(guān)規(guī)定認(rèn)定的關(guān)鍵信息基礎(chǔ)設(shè)施的商用密碼使用管理，適用本規(guī)定。二是明確管理部門職責(zé)，涵蓋國(guó)家密碼管理部門、國(guó)家網(wǎng)信部門、國(guó)務(wù)院公安部門，以及縣級(jí)以上地方各級(jí)密碼管理部門與同級(jí)網(wǎng)信部門、公安機(jī)關(guān)。三是明確保護(hù)工作部門職責(zé)，包括監(jiān)督管理本行業(yè)、本領(lǐng)域關(guān)鍵信息基礎(chǔ)設(shè)施商用密碼應(yīng)用，加強(qiáng)規(guī)劃和指導(dǎo)，報(bào)送有關(guān)情況等。
（二）運(yùn)營(yíng)者責(zé)任。一是明確運(yùn)營(yíng)者總體責(zé)任，即落實(shí)關(guān)鍵信息基礎(chǔ)設(shè)施商用密碼使用“三同步一評(píng)估”原則，同步規(guī)劃、同步建設(shè)、同步運(yùn)行商用密碼保障系統(tǒng)，并定期開(kāi)展商用密碼應(yīng)用安全性評(píng)估。二是分別規(guī)定運(yùn)營(yíng)者的制度、人員、經(jīng)費(fèi)保障責(zé)任，包括建立商用密碼使用、應(yīng)急處置、重大事件報(bào)告等制度，配備符合要求的密碼相關(guān)專業(yè)人員并進(jìn)行安全背景審查，定期組織密碼相關(guān)業(yè)務(wù)技能培訓(xùn)，以及將商用密碼使用和應(yīng)用安全性評(píng)估經(jīng)費(fèi)納入網(wǎng)絡(luò)安全和信息化經(jīng)費(fèi)安排等，從而為關(guān)鍵信息基礎(chǔ)設(shè)施商用密碼使用奠定堅(jiān)實(shí)基礎(chǔ)。
（三）商用密碼使用具體要求。一是明確商用密碼技術(shù)、產(chǎn)品、服務(wù)使用要求。規(guī)定關(guān)鍵信息基礎(chǔ)設(shè)施使用的商用密碼產(chǎn)品、服務(wù)應(yīng)當(dāng)經(jīng)檢測(cè)認(rèn)證合格，使用的密碼算法、密碼協(xié)議、密鑰管理機(jī)制等商用密碼技術(shù)應(yīng)當(dāng)通過(guò)國(guó)家密碼管理部門審查鑒定。二是明確數(shù)據(jù)安全保護(hù)、個(gè)人信息保護(hù)要求。強(qiáng)調(diào)關(guān)鍵信息基礎(chǔ)設(shè)施應(yīng)當(dāng)使用商用密碼對(duì)其存儲(chǔ)、使用、傳輸?shù)暮诵臄?shù)據(jù)、重要數(shù)據(jù)和個(gè)人信息進(jìn)行保護(hù)。三是細(xì)化規(guī)劃、建設(shè)、運(yùn)行等階段商用密碼使用要求以及過(guò)渡安排、商用密碼應(yīng)用安全性評(píng)估要求。建立起關(guān)鍵信息基礎(chǔ)設(shè)施商用密碼使用的程序閉環(huán)。
（四）監(jiān)督檢查及法律責(zé)任。一是規(guī)定商用密碼運(yùn)行安全管理責(zé)任。明確了建設(shè)國(guó)家級(jí)與行業(yè)級(jí)商用密碼運(yùn)行安全管理基礎(chǔ)設(shè)施的責(zé)任。二是規(guī)定密碼管理部門和保護(hù)工作部門的監(jiān)督檢查職權(quán)，同時(shí)申明運(yùn)營(yíng)者的配合義務(wù)與管理部門的保密義務(wù)。三是規(guī)定運(yùn)營(yíng)者的違法情形及法律責(zé)任，包括違反商用密碼使用要求、違反安全審查要求、違反監(jiān)督管理配合義務(wù)、違反商用密碼保障責(zé)任等。四是規(guī)定監(jiān)督管理人員的違法情形及法律責(zé)任。
（五）其他事項(xiàng)。規(guī)定了對(duì)關(guān)鍵信息基礎(chǔ)設(shè)施商用密碼使用的制度銜接，以及本規(guī)定的施行時(shí)間。
附正文：
關(guān)鍵信息基礎(chǔ)設(shè)施商用密碼使用管理規(guī)定
第一條 為規(guī)范關(guān)鍵信息基礎(chǔ)設(shè)施商用密碼使用，保護(hù)關(guān)鍵信息基礎(chǔ)設(shè)施安全，根據(jù)《中華人民共和國(guó)密碼法》、《中華人民共和國(guó)網(wǎng)絡(luò)安全法》、《中華人民共和國(guó)數(shù)據(jù)安全法》、《中華人民共和國(guó)個(gè)人信息保護(hù)法》、《商用密碼管理?xiàng)l例》和《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》、《網(wǎng)絡(luò)數(shù)據(jù)安全管理?xiàng)l例》等有關(guān)法律、行政法規(guī)，制定本規(guī)定。
第二條 依據(jù)《中華人民共和國(guó)網(wǎng)絡(luò)安全法》、《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》等法律、行政法規(guī)和國(guó)家有關(guān)規(guī)定認(rèn)定的關(guān)鍵信息基礎(chǔ)設(shè)施的商用密碼使用管理，適用本規(guī)定。
第三條 國(guó)家密碼管理部門會(huì)同國(guó)家網(wǎng)信部門、國(guó)務(wù)院公安部門負(fù)責(zé)規(guī)劃、指導(dǎo)和監(jiān)督全國(guó)的關(guān)鍵信息基礎(chǔ)設(shè)施商用密碼使用管理工作，建立關(guān)鍵信息基礎(chǔ)設(shè)施商用密碼使用管理信息共享機(jī)制。
縣級(jí)以上地方各級(jí)密碼管理部門會(huì)同網(wǎng)信部門、公安機(jī)關(guān)負(fù)責(zé)指導(dǎo)和監(jiān)督本行政區(qū)域的關(guān)鍵信息基礎(chǔ)設(shè)施商用密碼使用管理工作。
第四條 關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)工作部門（以下簡(jiǎn)稱保護(hù)工作部門）在職責(zé)范圍內(nèi)負(fù)責(zé)監(jiān)督管理本行業(yè)、本領(lǐng)域關(guān)鍵信息基礎(chǔ)設(shè)施商用密碼使用工作，單獨(dú)編制本行業(yè)、本領(lǐng)域商用密碼使用規(guī)劃或者納入本行業(yè)、本領(lǐng)域的關(guān)鍵信息基礎(chǔ)設(shè)施安全規(guī)劃并組織實(shí)施，指導(dǎo)本行業(yè)、本領(lǐng)域關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者（以下簡(jiǎn)稱運(yùn)營(yíng)者）開(kāi)展商用密碼相關(guān)制度、人員、經(jīng)費(fèi)等保障工作。
保護(hù)工作部門應(yīng)當(dāng)于每年3月31日前向國(guó)家密碼管理部門、國(guó)家網(wǎng)信部門、國(guó)務(wù)院公安部門報(bào)告上一年度本行業(yè)、本領(lǐng)域關(guān)鍵信息基礎(chǔ)設(shè)施商用密碼使用管理情況。
關(guān)鍵信息基礎(chǔ)設(shè)施發(fā)生涉及商用密碼的重大網(wǎng)絡(luò)安全事件或者發(fā)現(xiàn)涉及商用密碼的重大網(wǎng)絡(luò)安全威脅時(shí)，保護(hù)工作部門應(yīng)當(dāng)及時(shí)向國(guó)家密碼管理部門、國(guó)家網(wǎng)信部門、國(guó)務(wù)院公安部門報(bào)告，指導(dǎo)運(yùn)營(yíng)者開(kāi)展應(yīng)急處置，必要時(shí)開(kāi)展商用密碼應(yīng)用安全性評(píng)估。
第五條 運(yùn)營(yíng)者應(yīng)當(dāng)按照相關(guān)法律、行政法規(guī)和國(guó)家有關(guān)規(guī)定，遵循國(guó)家商用密碼管理、網(wǎng)絡(luò)安全等級(jí)保護(hù)、關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)等制度要求，使用商用密碼保護(hù)關(guān)鍵信息基礎(chǔ)設(shè)施，同步規(guī)劃、同步建設(shè)、同步運(yùn)行商用密碼保障系統(tǒng)，并定期開(kāi)展商用密碼應(yīng)用安全性評(píng)估。
運(yùn)營(yíng)者應(yīng)當(dāng)于每年1月31日前向所屬的保護(hù)工作部門報(bào)告上一年度關(guān)鍵信息基礎(chǔ)設(shè)施商用密碼使用以及商用密碼應(yīng)用安全性評(píng)估開(kāi)展情況。
第六條 運(yùn)營(yíng)者應(yīng)當(dāng)加強(qiáng)關(guān)鍵信息基礎(chǔ)設(shè)施商用密碼使用制度保障，建立商用密碼使用、應(yīng)急處置、重大事件報(bào)告等關(guān)鍵信息基礎(chǔ)設(shè)施商用密碼使用管理制度。
運(yùn)營(yíng)者的主要負(fù)責(zé)人對(duì)關(guān)鍵信息基礎(chǔ)設(shè)施商用密碼使用管理負(fù)總責(zé)，負(fù)責(zé)關(guān)鍵信息基礎(chǔ)設(shè)施商用密碼使用和涉及商用密碼的重大網(wǎng)絡(luò)安全事件處置工作。
第七條 運(yùn)營(yíng)者應(yīng)當(dāng)加強(qiáng)關(guān)鍵信息基礎(chǔ)設(shè)施商用密碼使用人員保障，配備取得密碼相關(guān)專業(yè)學(xué)歷或者密碼相關(guān)國(guó)家職業(yè)技能等級(jí)認(rèn)定證書(shū)的專業(yè)人員分別承擔(dān)密鑰管理員、密碼操作員等職責(zé)，配備具有安全審計(jì)專業(yè)能力的人員承擔(dān)密碼安全審計(jì)員職責(zé)。
運(yùn)營(yíng)者應(yīng)當(dāng)對(duì)密碼相關(guān)專業(yè)人員進(jìn)行安全背景審查，并定期組織其參加密碼相關(guān)業(yè)務(wù)技能培訓(xùn)，提高密碼相關(guān)專業(yè)人員的商用密碼使用能力。
第八條 運(yùn)營(yíng)者應(yīng)當(dāng)加強(qiáng)關(guān)鍵信息基礎(chǔ)設(shè)施商用密碼使用和應(yīng)用安全性評(píng)估經(jīng)費(fèi)保障，將商用密碼使用和應(yīng)用安全性評(píng)估經(jīng)費(fèi)納入網(wǎng)絡(luò)安全和信息化經(jīng)費(fèi)安排。
第九條 關(guān)鍵信息基礎(chǔ)設(shè)施使用的商用密碼產(chǎn)品、服務(wù)應(yīng)當(dāng)經(jīng)檢測(cè)認(rèn)證合格，使用的密碼算法、密碼協(xié)議、密鑰管理機(jī)制等商用密碼技術(shù)應(yīng)當(dāng)通過(guò)國(guó)家密碼管理部門審查鑒定。
運(yùn)營(yíng)者采購(gòu)涉及商用密碼的網(wǎng)絡(luò)產(chǎn)品和服務(wù)，影響或者可能影響國(guó)家安全的，應(yīng)當(dāng)按照《網(wǎng)絡(luò)安全審查辦法》進(jìn)行網(wǎng)絡(luò)安全審查。
第十條 關(guān)鍵信息基礎(chǔ)設(shè)施應(yīng)當(dāng)按照國(guó)家數(shù)據(jù)安全保護(hù)、個(gè)人信息保護(hù)有關(guān)要求，使用商用密碼對(duì)其存儲(chǔ)、使用、傳輸?shù)暮诵臄?shù)據(jù)、重要數(shù)據(jù)和個(gè)人信息進(jìn)行保護(hù)。
第十一條 關(guān)鍵信息基礎(chǔ)設(shè)施規(guī)劃階段，其運(yùn)營(yíng)者應(yīng)當(dāng)依照相關(guān)法律、行政法規(guī)和標(biāo)準(zhǔn)規(guī)范，根據(jù)商用密碼應(yīng)用需求，制定商用密碼應(yīng)用方案，規(guī)劃商用密碼保障系統(tǒng)并納入關(guān)鍵信息基礎(chǔ)設(shè)施安全規(guī)劃統(tǒng)籌部署。
運(yùn)營(yíng)者應(yīng)當(dāng)自行或者委托商用密碼檢測(cè)機(jī)構(gòu)對(duì)商用密碼應(yīng)用方案進(jìn)行商用密碼應(yīng)用安全性評(píng)估。商用密碼應(yīng)用方案未通過(guò)商用密碼應(yīng)用安全性評(píng)估的，不得作為商用密碼保障系統(tǒng)的建設(shè)依據(jù)。
第十二條 關(guān)鍵信息基礎(chǔ)設(shè)施建設(shè)階段，其運(yùn)營(yíng)者應(yīng)當(dāng)按照通過(guò)商用密碼應(yīng)用安全性評(píng)估的商用密碼應(yīng)用方案組織實(shí)施，落實(shí)商用密碼安全防護(hù)措施，建設(shè)商用密碼保障系統(tǒng)。建設(shè)過(guò)程中需要調(diào)整商用密碼應(yīng)用方案的，應(yīng)當(dāng)重新開(kāi)展商用密碼應(yīng)用安全性評(píng)估，評(píng)估通過(guò)后方可按照調(diào)整后的商用密碼應(yīng)用方案繼續(xù)建設(shè)。
關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)行前，其運(yùn)營(yíng)者應(yīng)當(dāng)自行或者委托商用密碼檢測(cè)機(jī)構(gòu)開(kāi)展商用密碼應(yīng)用安全性評(píng)估。關(guān)鍵信息基礎(chǔ)設(shè)施未通過(guò)商用密碼應(yīng)用安全性評(píng)估的，運(yùn)營(yíng)者應(yīng)當(dāng)進(jìn)行改造，改造期間不得投入運(yùn)行。
第十三條 關(guān)鍵信息基礎(chǔ)設(shè)施建成運(yùn)行后，其運(yùn)營(yíng)者應(yīng)當(dāng)自行或者委托商用密碼檢測(cè)機(jī)構(gòu)每年至少開(kāi)展一次商用密碼應(yīng)用安全性評(píng)估，確保關(guān)鍵信息基礎(chǔ)設(shè)施商用密碼的正確使用和商用密碼保障系統(tǒng)的有效運(yùn)行。關(guān)鍵信息基礎(chǔ)設(shè)施未通過(guò)商用密碼應(yīng)用安全性評(píng)估的，運(yùn)營(yíng)者應(yīng)當(dāng)進(jìn)行改造，并在改造期間采取必要措施保證關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)行安全。
第十四條 本規(guī)定施行前正在建設(shè)的關(guān)鍵信息基礎(chǔ)設(shè)施，其運(yùn)營(yíng)者應(yīng)當(dāng)加強(qiáng)商用密碼應(yīng)用方案編制論證，建設(shè)完善商用密碼保障系統(tǒng)，并按照本規(guī)定第十二條開(kāi)展商用密碼應(yīng)用安全性評(píng)估。
本規(guī)定施行前已經(jīng)投入運(yùn)行的關(guān)鍵信息基礎(chǔ)設(shè)施，其運(yùn)營(yíng)者應(yīng)當(dāng)按照本規(guī)定第十三條開(kāi)展商用密碼應(yīng)用安全性評(píng)估。
第十五條 開(kāi)展關(guān)鍵信息基礎(chǔ)設(shè)施商用密碼應(yīng)用安全性評(píng)估，應(yīng)當(dāng)符合《商用密碼應(yīng)用安全性評(píng)估管理辦法》有關(guān)規(guī)定。
關(guān)鍵信息基礎(chǔ)設(shè)施商用密碼應(yīng)用安全性評(píng)估應(yīng)當(dāng)與關(guān)鍵信息基礎(chǔ)設(shè)施安全檢測(cè)評(píng)估、網(wǎng)絡(luò)安全等級(jí)測(cè)評(píng)加強(qiáng)銜接，避免重復(fù)評(píng)估、測(cè)評(píng)。
第十六條 國(guó)家密碼管理部門負(fù)責(zé)建設(shè)和管理國(guó)家關(guān)鍵信息基礎(chǔ)設(shè)施商用密碼運(yùn)行安全管理基礎(chǔ)設(shè)施，統(tǒng)籌保護(hù)工作部門建設(shè)本行業(yè)、本領(lǐng)域關(guān)鍵信息基礎(chǔ)設(shè)施商用密碼運(yùn)行安全管理基礎(chǔ)設(shè)施，會(huì)同國(guó)家網(wǎng)信部門、國(guó)務(wù)院公安部門分析研判關(guān)鍵信息基礎(chǔ)設(shè)施商用密碼運(yùn)行安全態(tài)勢(shì)，協(xié)同應(yīng)對(duì)處置重大商用密碼運(yùn)行安全威脅。
第十七條 密碼管理部門應(yīng)當(dāng)定期組織開(kāi)展關(guān)鍵信息基礎(chǔ)設(shè)施商用密碼使用情況監(jiān)督檢查。保護(hù)工作部門應(yīng)當(dāng)定期對(duì)本行業(yè)、本領(lǐng)域關(guān)鍵信息基礎(chǔ)設(shè)施商用密碼使用情況進(jìn)行檢查并提出改進(jìn)措施，必要時(shí)可以自行或者委托商用密碼檢測(cè)機(jī)構(gòu)等專業(yè)機(jī)構(gòu)進(jìn)行商用密碼應(yīng)用安全性評(píng)估。
運(yùn)營(yíng)者對(duì)密碼管理部門和保護(hù)工作部門開(kāi)展的關(guān)鍵信息基礎(chǔ)設(shè)施商用密碼使用情況監(jiān)督檢查應(yīng)當(dāng)予以配合，根據(jù)監(jiān)督檢查意見(jiàn)及時(shí)進(jìn)行整改并向保護(hù)工作部門報(bào)告整改情況，保護(hù)工作部門應(yīng)當(dāng)將整改情況向國(guó)家密碼管理部門報(bào)告。
開(kāi)展關(guān)鍵信息基礎(chǔ)設(shè)施商用密碼使用情況監(jiān)督檢查應(yīng)當(dāng)加強(qiáng)協(xié)同配合、信息溝通，避免不必要的檢查和交叉重復(fù)檢查。監(jiān)督檢查不得收取費(fèi)用，不得要求被監(jiān)督檢查單位購(gòu)買、使用指定單位或者指定品牌的商用密碼產(chǎn)品、服務(wù)。
第十八條 密碼管理部門、有關(guān)部門、商用密碼檢測(cè)機(jī)構(gòu)及其工作人員對(duì)其在履行職責(zé)中知悉的國(guó)家秘密、商業(yè)秘密和個(gè)人隱私承擔(dān)保密義務(wù)，不得泄露或者非法向他人提供。
第十九條 運(yùn)營(yíng)者違反《中華人民共和國(guó)密碼法》、《中華人民共和國(guó)網(wǎng)絡(luò)安全法》、《商用密碼管理?xiàng)l例》、《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》和本規(guī)定有關(guān)條款，有下列情形之一的，由密碼管理部門責(zé)令改正，給予警告；拒不改正或者有其他嚴(yán)重情節(jié)的，處10萬(wàn)元以上100萬(wàn)元以下罰款，對(duì)直接負(fù)責(zé)的主管人員處1萬(wàn)元以上10萬(wàn)元以下罰款：
（一）未按照要求使用商用密碼保護(hù)關(guān)鍵信息基礎(chǔ)設(shè)施，同步規(guī)劃、同步建設(shè)、同步運(yùn)行商用密碼保障系統(tǒng)的；
（二）關(guān)鍵信息基礎(chǔ)設(shè)施使用的商用密碼產(chǎn)品、服務(wù)未經(jīng)檢測(cè)認(rèn)證合格的；
（三）關(guān)鍵信息基礎(chǔ)設(shè)施使用的密碼算法、密碼協(xié)議、密鑰管理機(jī)制等商用密碼技術(shù)未通過(guò)國(guó)家密碼管理部門審查鑒定的；
（四）關(guān)鍵信息基礎(chǔ)設(shè)施規(guī)劃階段，未制定商用密碼應(yīng)用方案，或者未對(duì)商用密碼應(yīng)用方案進(jìn)行商用密碼應(yīng)用安全性評(píng)估的；
（五）關(guān)鍵信息基礎(chǔ)設(shè)施建設(shè)階段，未按照通過(guò)商用密碼應(yīng)用安全性評(píng)估的商用密碼應(yīng)用方案建設(shè)商用密碼保障系統(tǒng)的；
（六）關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)行前，未開(kāi)展商用密碼應(yīng)用安全性評(píng)估，或者未通過(guò)商用密碼應(yīng)用安全性評(píng)估且未進(jìn)行改造的；
（七）關(guān)鍵信息基礎(chǔ)設(shè)施建成運(yùn)行后，未定期開(kāi)展商用密碼應(yīng)用安全性評(píng)估，或者未通過(guò)定期開(kāi)展的商用密碼應(yīng)用安全性評(píng)估且未進(jìn)行改造的。
第二十條 運(yùn)營(yíng)者違反《中華人民共和國(guó)密碼法》、《中華人民共和國(guó)網(wǎng)絡(luò)安全法》、《商用密碼管理?xiàng)l例》、《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》和本規(guī)定第九條，使用未經(jīng)安全審查或者安全審查未通過(guò)的涉及商用密碼的網(wǎng)絡(luò)產(chǎn)品或者服務(wù)的，由有關(guān)主管部門責(zé)令停止使用，處采購(gòu)金額1倍以上10倍以下罰款；對(duì)直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員處1萬(wàn)元以上10萬(wàn)元以下罰款。
第二十一條 運(yùn)營(yíng)者違反《中華人民共和國(guó)密碼法》、《中華人民共和國(guó)網(wǎng)絡(luò)安全法》、《商用密碼管理?xiàng)l例》、《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》和本規(guī)定第十七條，無(wú)正當(dāng)理由拒不接受、不配合或者干預(yù)、阻撓密碼管理部門、有關(guān)部門的商用密碼監(jiān)督管理的，由密碼管理部門、有關(guān)部門責(zé)令改正，給予警告；拒不改正或者有其他嚴(yán)重情節(jié)的，處5萬(wàn)元以上50萬(wàn)元以下罰款，對(duì)直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員處1萬(wàn)元以上10萬(wàn)元以下罰款；情節(jié)特別嚴(yán)重的，責(zé)令停業(yè)整頓。
第二十二條 運(yùn)營(yíng)者違反本規(guī)定，有下列情形之一的，由密碼管理部門、有關(guān)部門依據(jù)職責(zé)責(zé)令改正：
（一）未按照要求報(bào)告上一年度關(guān)鍵信息基礎(chǔ)設(shè)施商用密碼使用以及商用密碼應(yīng)用安全性評(píng)估開(kāi)展情況的；
（二）未建立關(guān)鍵信息基礎(chǔ)設(shè)施商用密碼使用管理制度的；
（三）未按照要求配備密鑰管理員、密碼操作員、密碼安全審計(jì)員的；
（四）未保障關(guān)鍵信息基礎(chǔ)設(shè)施商用密碼使用和應(yīng)用安全性評(píng)估經(jīng)費(fèi)的。
第二十三條 從事關(guān)鍵信息基礎(chǔ)設(shè)施商用密碼使用監(jiān)督管理工作的人員濫用職權(quán)、玩忽職守、徇私舞弊，或者泄露、非法向他人提供在履行職責(zé)中知悉的商業(yè)秘密、個(gè)人隱私、舉報(bào)人信息的，依法給予處分。
第二十四條 屬于國(guó)家政務(wù)信息系統(tǒng)的關(guān)鍵信息基礎(chǔ)設(shè)施的商用密碼使用管理，除應(yīng)當(dāng)遵守本規(guī)定以外，還應(yīng)當(dāng)按照《國(guó)家政務(wù)信息化項(xiàng)目建設(shè)管理辦法》（國(guó)辦發(fā)〔2019〕57號(hào)）等有關(guān)規(guī)定要求執(zhí)行。
第二十五條 本規(guī)定自2025年8月1日起施行。
來(lái)源：國(guó)家密碼管理局