关键信息基础设施商用密码使用管理规定
国家密码管理局、国家互联网信息办公室、公安部令第5号，自2025年8月1日起施行。
本文面向已被认定的关键信息基础设施运营者，把关基商用密码要求转成“制度与责任 → 人员与经费 → 产品技术准入 → 数据密码保护 → 规划建设运行 → 密评 → 年度报告 → 事件与监督整改”的可执行闭环。它不是普通信息系统密码建设的通用要求，而是在《密码法》《商用密码管理条例》《商用密码应用安全性评估管理办法》和《关键信息基础设施安全保护条例》基础上，对关基场景进一步加严和具体化。
法规概览
| 项目 | 内容 |
|---|---|
| 法规 | 《关键信息基础设施商用密码使用管理规定》 |
| 文号 | 国家密码管理局、国家互联网信息办公室、公安部令第5号 |
| 生效日期 | 2025年8月1日 |
| 适用对象 | 依据法律法规和国家有关规定认定的关键信息基础设施及其运营者 |
| 核心原则 | 同步规划、同步建设、同步运行商用密码保障系统，并定期开展商用密码应用安全性评估 |
| 关键硬要求 | 每年1月31日前向保护工作部门报告上一年度密码使用和密评情况；运行后每年至少一次密评；产品/服务须检测认证合格；密码技术须通过审查鉴定 |
| 官方来源 | 国家密码管理局 |
安全要求与实施
先确认关基身份和密码治理责任
法规要求｜第2、5—8条。 本规定适用于已经依法认定的关键信息基础设施。运营者应落实商用密码保障责任，主要负责人负总责，并建立商用密码使用、应急处置、重大事件报告等制度，配置专业人员和经费。
落实与验收。
- 以正式关基认定范围为边界建立关基密码资产清单，关联运营主体、系统、业务、数据、密码产品、密钥体系、责任人和密评状态。
- 主要负责人承担总体责任，明确密码治理、系统建设、安全、运维、审计和应急职责。
- 将商用密码建设和密评预算纳入网络安全与信息化年度预算，不依赖临时项目申请。
- 新增、调整关基范围时同步更新密码治理范围和年度计划。
验收证据。
- 从关基认定清单随机抽一个系统，能否找到完整的密码资产、责任人、密评和整改记录？
- 哪位主要负责人对密码使用负总责，最近一次听取密码风险和密评结果是什么时候？
- 新认定或边界调整的关基多久进入密码建设和密评计划？
- 密评整改是否有明确预算，还是长期以“缺经费”为理由延期？
配备相互制衡的密码专业人员
法规要求｜第7条。 运营者应配备取得密码相关专业学历或者密码相关国家职业技能等级认定证书的专业人员，分别承担密钥管理员、密码操作员等职责，并配备具有安全审计专业能力的密码安全审计员；相关人员应进行安全背景审查并定期培训。
落实与验收。
- 密钥管理员、密码操作员、密码安全审计员职责明确并相互制衡，避免单人完成密钥生成、使用、审计全过程。
- 对相关岗位核验学历/职业技能证明、背景审查、授权范围和培训记录。
- 离岗、转岗、外包人员退出时同步回收密码设备、管理平台和密钥相关权限。
- 建立岗位备份，避免关键人员不可用导致密码系统无法安全操作。
验收证据。
- 随机抽一次密钥生成或轮换，是否由不同角色完成操作和复核？
- 密钥管理员能否同时删除自己的审计日志或完成安全审计？
- 抽取一名密码操作员，能否拿出资格依据、背景审查和最近培训记录？
- 离职人员是否仍保留HSM、KMS、密码机或管理平台权限？
严格控制密码产品、服务和技术准入
法规要求｜第9条。 关基使用的商用密码产品、服务应当经检测认证合格；使用的密码算法、密码协议、密钥管理机制等商用密码技术应当通过国家密码管理部门审查鉴定。采购涉及商用密码的网络产品和服务，影响或者可能影响国家安全的，应按《网络安全审查办法》进行网络安全审查。
落实与验收。
- 建立密码产品、服务和技术清单，记录型号、版本、证书、认证范围、算法协议、密钥机制和部署系统。
- 采购、升级和替换前核验检测认证及技术审查鉴定状态，不能用同品牌其他型号证书替代。
- 产品固件、密码模块、算法协议或密钥体系重大变化时重新判断原认证/鉴定是否仍覆盖。
- 将涉及商用密码的关基采购接入网络安全审查适用性判断。
验收证据。
- 从生产密码机/VPN/KMS等随机抽设备，型号版本是否与有效检测认证证书完全一致？
- 自研密码协议、密钥管理机制或非标准密码实现依据什么审查鉴定结论投入生产？
- 产品升级后是否重新核验认证范围？
- 从关基采购清单反查，哪些项目做过网络安全审查适用判断，为什么？
用商用密码保护核心数据、重要数据和个人信息
法规要求｜第10条。 关基应按照国家数据安全、个人信息保护要求，使用商用密码保护其存储、使用、传输的核心数据、重要数据和个人信息。
落实与验收。
- 将关基数据目录、分类分级结果与密码应用方案关联，明确存储、传输、身份认证、完整性和不可否认等密码保护需求。
- 核心/重要数据和个人信息在数据库、文件、消息、API、备份等真实链路中验证密码措施，而不是只在架构图标记“已加密”。
- 密钥生命周期、算法协议、证书和密码设备纳入持续运维和监控。
- 数据类型、流向和系统架构变化时重新评估密码保护是否充分。
验收证据。
- 随机抽一条重要数据，从产生、存储、API传输到备份完整穿行，密码措施分别在哪里生效？
- 数据库声称“已加密”，密钥是否与数据分离，DBA能否同时取得密文和解密密钥？
- 新增数据接口后是否自动进入密码需求评估？
- 实际TLS、算法、证书和密钥配置是否与密评时一致？
在规划、建设、运行三个阶段落实“三同步一评估”
法规要求｜第5、11—15条。 关基应同步规划、同步建设、同步运行商用密码保障系统，并定期密评。规划阶段制定密码应用方案并开展方案密评；方案未通过不得作为建设依据。建设阶段按通过评估的方案实施，方案调整应重新评估。运行前密评未通过应改造，改造期间不得投入运行；运行后每年至少一次密评。
落实与验收。
- 立项/规划阶段完成密码应用需求分析、密码应用方案和方案密评，并将“方案密评通过”设为建设门禁。
- 建设阶段将方案中的密码措施映射到具体设备、配置、接口和密钥机制，重大调整先重新密评再继续建设。
- 投产门禁检查运行前密评结果；未通过不得以业务紧急、试运行等方式绕过。
- 运行后维护年度密评日历，未通过项立即整改并在整改期间采取必要安全措施。
- 将密评与关基安全检测评估、等保测评统筹计划和证据复用，但不互相替代法定义务。
验收证据。
- 从一个新建关基项目倒查：密码方案什么时候完成、什么时候通过方案密评、什么时候开始建设？顺序是否正确？
- 找一次建设期间架构调整，是否在调整后先重新密评再继续建设？
- 随机抽一个已投产系统，运行前密评通过日期是否早于正式投产日期？
- 过去12个月所有在运行关基是否都至少完成一次密评？
- 密评不通过的系统在整改期间采取了什么具体补偿措施？
建立年度报告和持续证据链
法规要求｜第5条第二款。 运营者应于每年1月31日前向所属保护工作部门报告上一年度关基商用密码使用以及密评开展情况。
落实与验收。
- 建立年度报告台账，自动汇总关基清单、密码产品/服务、密码应用、密评结果、整改和重大变化。
- 报告数据与真实资产、密评报告和整改系统一致，避免年底临时人工拼表。
- 明确1月31日法定节点和内部提前截止时间，设置主备责任人。
- 保存正式报送内容、时间、渠道、回执和后续补充材料。
验收证据。
- 上一年度报告是否在1月31日前实际提交，能否拿出报送回执？
- 报告中的关基数量、密评数量和整改状态能否从生产资产与密评台账复算？
- 年中新增/退出关基是否被年度报告正确反映？
- 负责人休假或组织调整时是否仍能按期报告？
将涉及商用密码的重大事件纳入统一应急与监管报告
法规要求｜第4、6条及运行安全管理要求。 运营者应建立涉及商用密码的应急处置和重大事件报告制度；关基发生涉及商用密码的重大网络安全事件或发现重大网络安全威胁时，保护工作部门依法组织报告和指导处置，必要时开展密评。
落实与验收。
- 在统一安全事件平台中增加“是否涉及关基商用密码”的研判维度，不另建孤立事件流程。
- 覆盖密钥泄露、密码设备失陷、算法/协议失效、认证绕过、密码保障系统不可用等事件类型。
- 事件同时判断国家网络安全事件、行业专项事件、关基和密码管理等多路报告义务。
- 事件处置后重新判断是否需要专项密评、密钥轮换、产品替换和密码方案调整。
验收证据。
- 模拟关基生产密钥疑似泄露，谁负责吊销/轮换、谁判级、需要触发哪些监管报告？
- 最近一次密码设备故障是否进入安全事件研判，还是只作为普通运维故障关闭？
- 重大事件后是否评估过重新开展密评的必要性？
- 报告和处置证据能否从同一个事件编号完整串联？
用监督检查和整改验证长期有效性
法规要求｜第17条。 密码管理部门和保护工作部门定期监督检查；运营者应配合检查，并根据意见及时整改、向保护工作部门报告整改情况。监督检查应加强协同，避免不必要的重复检查。
落实与验收。
- 监管检查、密评、关基检测、等保和内部审计发现进入统一问题库，保留来源但统一整改。
- 问题关闭必须有技术复测和证据，不能仅提交整改说明。
- 同一控制在密评、关基检测和等保中复用资产、配置、日志和整改证据，减少重复准备。
- 重复、逾期或重大密码问题升级主要负责人。
验收证据。
- 从最近一次密码监管检查随机抽三项整改，现场生产配置是否真的已经改变？
- 同一个问题是否同时出现在密评、等保和关基检查中但由三套台账分别关闭？
- 重大或连续重复问题是否进入主要负责人风险视野？
法规原文
以下保留国家密码管理局、国家互联网信息办公室、公安部令第5号现行原文用于逐条核对。
查看法规原文
关键信息基础设施商用密码使用管理规定
国家密码管理局、国家互联网信息办公室、公安部令第5号，2025年6月11日公布，自2025年8月1日起施行。以下依据国家密码管理局公布的现行文本整理，正式适用时以官方文本为准。
- 第一条 为规范关键信息基础设施商用密码使用，保护关键信息基础设施安全，根据《中华人民共和国密码法》《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《商用密码管理条例》《关键信息基础设施安全保护条例》《网络数据安全管理条例》等有关法律、行政法规，制定本规定。
- 第二条 依据《中华人民共和国网络安全法》《关键信息基础设施安全保护条例》等法律、行政法规和国家有关规定认定的关键信息基础设施的商用密码使用管理，适用本规定。
- 第三条 国家密码管理部门会同国家网信部门、国务院公安部门负责规划、指导和监督全国的关键信息基础设施商用密码使用管理工作，建立信息共享机制；地方密码管理部门会同网信、公安部门负责本行政区域相关指导监督。
- 第四条 保护工作部门负责本行业、本领域关基商用密码使用监督管理和规划实施，指导运营者落实制度、人员、经费等保障；每年3月31日前向国家密码管理、网信、公安部门报告上一年度本行业、本领域情况。发生涉及商用密码的重大网络安全事件或发现重大网络安全威胁时，应及时报告并指导运营者应急处置，必要时开展密评。
- 第五条 运营者应遵循商用密码管理、等级保护、关基保护等制度要求，使用商用密码保护关基，同步规划、同步建设、同步运行商用密码保障系统，并定期开展商用密码应用安全性评估。运营者应于每年1月31日前向所属保护工作部门报告上一年度关基商用密码使用以及密评开展情况。
- 第六条 运营者应建立商用密码使用、应急处置、重大事件报告等管理制度。主要负责人对关基商用密码使用管理负总责。
- 第七条 运营者应配备取得密码相关专业学历或者密码相关国家职业技能等级认定证书的专业人员分别承担密钥管理员、密码操作员等职责，并配备具有安全审计专业能力的密码安全审计员；对相关人员开展安全背景审查并定期组织业务技能培训。
- 第八条 运营者应将关基商用密码使用和密评经费纳入网络安全和信息化经费安排。
- 第九条 关基使用的商用密码产品、服务应经检测认证合格，密码算法、密码协议、密钥管理机制等商用密码技术应通过国家密码管理部门审查鉴定。采购涉及商用密码的网络产品和服务，影响或者可能影响国家安全的，应按照《网络安全审查办法》进行网络安全审查。
- 第十条 关基应按照国家数据安全保护、个人信息保护要求，使用商用密码保护其存储、使用、传输的核心数据、重要数据和个人信息。
- 第十一条 关基规划阶段，运营者应根据商用密码应用需求制定商用密码应用方案，规划密码保障系统并纳入关基安全规划；应自行或者委托商用密码检测机构开展方案密评，未通过的方案不得作为建设依据。
- 第十二条 建设阶段应按照通过密评的密码应用方案组织实施；方案调整应重新开展方案密评。运行前应开展密评，未通过的应改造，改造期间不得投入运行。
- 第十三条 建成运行后，应自行或者委托商用密码检测机构每年至少开展一次密评；未通过的应进行改造，并在改造期间采取必要措施保障运行安全。
- 第十四条 对本规定施行前正在建设或者已经投入运行的关基，分别按照建设阶段和运行阶段要求完善密码保障系统并开展密评。
- 第十五条 关基密评应符合《商用密码应用安全性评估管理办法》，并与关基安全检测评估、网络安全等级测评加强衔接，避免重复评估、测评。
- 第十六条 国家密码管理部门负责建设和管理国家关基商用密码运行安全管理基础设施，并会同有关部门开展安全态势分析和重大威胁协同处置。
- 第十七条 密码管理部门、保护工作部门定期开展关基商用密码使用监督检查；运营者应配合检查并及时整改、报告整改情况。检查应加强协同，避免不必要的交叉重复，不得收费或指定产品、服务品牌。
- 第十八条 密码管理部门、有关部门、检测机构及其工作人员对履职中知悉的国家秘密、商业秘密和个人隐私承担保密义务。
- 第十九条 对未按要求使用商用密码、产品服务未经检测认证、密码技术未经审查鉴定、未开展规划/建设/运行阶段密评或者未通过密评且未整改等行为，依法责令改正、警告；拒不改正或者有其他严重情节的，处10万元以上100万元以下罚款，对直接负责主管人员处1万元以上10万元以下罚款。
- 第二十条 使用未经安全审查或者安全审查未通过的涉及商用密码网络产品或者服务的，由有关主管部门责令停止使用，处采购金额1倍以上10倍以下罚款；对直接负责主管人员和其他直接责任人员处1万元以上10万元以下罚款。
- 第二十一条 无正当理由拒不接受、不配合或者干预、阻挠商用密码监督管理的，依法责令改正、警告；拒不改正或者有其他严重情节的，处5万元以上50万元以下罚款，相关责任人员处1万元以上10万元以下罚款；情节特别严重的，责令停业整顿。
- 第二十二条 未按要求提交年度报告、建立管理制度、配备密码专业人员或者保障经费的，由密码管理部门、有关部门依据职责责令改正。
- 第二十三条 监督管理工作人员滥用职权、玩忽职守、徇私舞弊，或者泄露、非法提供履职中知悉的商业秘密、个人隐私、举报人信息的，依法给予处分。
- 第二十四条 属于国家政务信息系统的关基，除遵守本规定外，还应遵守《国家政务信息化项目建设管理办法》等规定。
- 第二十五条 本规定自2025年8月1日起施行。
官方全文：国家密码管理局