重磅！8月1日起实施｜国密局、网信办、公安部联合发布《关键信息基础设施商用密码使用管理规定》

《关键信息基础设施商用密码使用管理规定》自2025年8月1日起施行，旨在规范关键信息基础设施商用密码使用，保护关键信息基础设施安全。以下是对该规定的详细解读：适用范围与依据：依据《中华人民共和国网络安全法》、《关键信息基础设施安全保护条例》等法律、行政法规和国家有关规定认定的关键信息基础设施的商用密码使用管理，适用本规定。管理职责划分：国家层面：国家密码管理部门会同国家网信部门、国务院公安部门负责规划、指导和监督全国的关键信息基础设施商用密码使用管理工作，建立信息共享机制。地方层面：县级以上地方各级密码管理部门会同网信部门、公安机关负责指导和监督本行政区域的关键信息基础设施商用密码使用管理工作。行业层面：关键信息基础设施保护工作部门在职责范围内负责监督管理本行业、本领域关键信息基础设施商用密码使用工作，编制商用密码使用规划或纳入安全规划并组织实施。运营者责任与义务：制度保障：运营者应建立商用密码使用、应急处置、重大事件报告等管理制度，主要负责人对商用密码使用管理负总责。人员保障：配备取得密码相关专业学历或国家职业技能等级认定证书的专业人员，对密码相关专业人员进行安全背景审查，并定期组织培训。经费保障：将商用密码使用和应用安全性评估经费纳入网络安全和信息化经费安排。产品与服务要求：使用的商用密码产品、服务应经检测认证合格，使用的密码算法、密码协议、密钥管理机制等应通过国家密码管理部门审查鉴定。采购涉及商用密码的网络产品和服务，影响或可能影响国家安全的，应进行网络安全审查。数据保护：按照国家数据安全保护、个人信息保护要求，使用商用密码对核心数据、重要数据和个人信息进行保护。商用密码应用安全性评估：规划阶段：制定商用密码应用方案，规划商用密码保障系统，并进行商用密码应用安全性评估，未通过评估的不得作为建设依据。建设阶段：按照通过评估的商用密码应用方案组织实施，建设过程中需要调整方案的，应重新开展评估，评估通过后方可继续建设。运行前应开展商用密码应用安全性评估，未通过评估的不得投入运行。运行阶段：每年至少开展一次商用密码应用安全性评估，未通过评估的应进行改造，并在改造期间采取必要措施保证运行安全。特殊情形处理：本规定施行前正在建设的关键信息基础设施，运营者应加强商用密码应用方案编制论证，建设完善商用密码保障系统，并按照规定开展商用密码应用安全性评估。本规定施行前已经投入运行的关键信息基础设施，运营者应按照规定开展商用密码应用安全性评估。监督检查与协同配合：密码管理部门应定期组织开展监督检查，保护工作部门应定期对本行业、本领域进行检查并提出改进措施，必要时可委托专业机构进行评估。运营者应配合监督检查，根据意见及时整改并向保护工作部门报告整改情况。监督检查应加强协同配合、信息沟通，避免不必要的检查和交叉重复检查，不得收取费用，不得要求购买、使用指定产品或服务。保密义务：密码管理部门、有关部门、商用密码检测机构及其工作人员对知悉的国家秘密、商业秘密和个人隐私承担保密义务，不得泄露或非法向他人提供。法律责任：运营者违反规定的，由密码管理部门责令改正，给予警告；拒不改正或有其他严重情节的，处10万元以上100万元以下罚款，对直接负责的主管人员处1万元以上10万元以下罚款。使用未经安全审查或安全审查未通过的涉及商用密码的网络产品或服务的，由有关主管部门责令停止使用，处采购金额1倍以上10倍以下罚款；对直接负责的主管人员和其他直接责任人员处1万元以上10万元以下罚款。无正当理由拒不接受、不配合或干预、阻挠商用密码监督管理的，由密码管理部门、有关部门责令改正，给予警告；拒不改正或有其他严重情节的，处5万元以上50万元以下罚款，对直接负责的主管人员和其他直接责任人员处1万元以上10万元以下罚款；情节特别严重的，责令停业整顿。未按照要求报告情况、未建立管理制度、未按照要求配备人员、未保障经费的，由密码管理部门、有关部门依据职责责令改正。从事监督管理工作的人员滥用职权、玩忽职守、徇私舞弊，或泄露、非法向他人提供商业秘密、个人隐私、举报人信息的，依法给予处分。特殊规定：属于国家政务信息系统的关键信息基础设施的商用密码使用管理，除遵守本规定外，还应按照《国家政务信息化项目建设管理办法》等有关规定执行。