商用密码应用安全性评估管理办法
本文依据国家密码管理局令第3号整理，把“密评”拆成适用性判断、规划阶段方案评估、建设实施、运行前评估、年度评估、整改、备案和事件触发等可执行控制。核心不是“每年找机构测一次”，而是让密码应用从系统规划开始成为持续控制。
法规概览
| 项目 | 内容 |
|---|---|
| 法规 | 《商用密码应用安全性评估管理办法》，国家密码管理局令第3号 |
| 生效日期 | 2023年11月1日 |
| 核心对象 | 法律、行政法规和国家有关规定要求使用商用密码保护的重要网络与信息系统 |
| 核心主线 | 适用判断 → 密码应用方案 → 方案密评 → 建设 → 运行前密评 → 投产 → 每年至少一次密评 → 整改/备案 |
| 关键时限 | 评估报告形成后30日内按规定备案；原始记录和评估报告保存不少于6年 |
| 官方来源 | 国家密码管理局 |
安全要求与实施
先建立密评适用性清单
法规要求｜第6条。 法律、行政法规和国家有关规定要求使用商用密码保护的重要网络与信息系统，应使用商用密码保护、制定应用方案、同步建设密码保障系统并定期开展密评。
落实与验收。
- 系统台账增加“是否属于重要网络与信息系统/是否依法触发密评/判断依据/责任人”字段。
- 新系统立项、等保定级、关基认定和重大改造时自动触发密评适用性判断。
- 对“不适用密评”的关键系统保留书面判断依据，避免默认漏管。
验收证据。
- 随机抽三个关键系统，能否立即说明是否触发密评以及法律依据？
- 是否存在已经上线多年但从未做过密评适用性判断的系统？
- 系统被认定为关基或等级发生变化后，密评状态是否同步更新？
规划阶段先评密码应用方案
法规要求｜第7条。 重要网络与信息系统规划阶段应制定商用密码应用方案，并自行或委托检测机构对方案开展密评；方案未通过评估，不得作为密码保障系统建设依据。
落实与验收。
- 方案明确系统边界、密码应用需求、适用指标、算法/协议/产品、密钥管理、身份鉴别、传输/存储保护和管理制度。
- 不适用指标必须逐项论证，不能用模板批量标记“不适用”。
- 方案密评成为架构/建设门禁，未通过不能直接进入实施。
验收证据。
- 从一个新建系统反查，方案评估通过时间是否早于密码建设采购和实施？
- 不适用项是否有与真实架构一致的技术依据？
- 方案评估发现的问题是否实际修改了架构或密码设计？
运行前必须通过密评
法规要求｜第8条。 建设阶段应按通过评估的方案实施；运行前应开展密评。未通过的应改造，改造期间不得投入运行。
落实与验收。
- 建设过程对方案偏差做变更评审，避免“方案通过、生产另建一套”。
- 上线门禁检查密评结论；不满足要求时必须完成改造和复测。
- 密评范围与真实生产系统边界、网络拓扑、设备和密码组件保持一致。
验收证据。
- 随机抽一个新投产的重要系统，正式运行日期是否晚于通过密评日期？
- 对比评估时设备清单和当前生产资产，有没有评估范围外的关键组件？
- 是否出现“评估未通过但先上线、以后整改”的情况？
运行后每年至少开展一次密评
法规要求｜第9条。 重要网络与信息系统建成运行后，每年至少开展一次密评；未通过的应进行改造，并在改造期间采取必要措施保证运行安全。
落实与验收。
- 建立年度密评计划，关联上次报告日期、下次最迟完成日期、系统重大变化和整改状态。
- 重大架构、密码产品、密钥体系变化时，不只等待年度周期，应重新判断是否提前评估。
- 未通过项形成技术整改、补偿措施、责任人、期限和复测证据。
验收证据。
- 当前所有适用系统是否都能找到最近12个月内的密评结论？
- 抽一条未通过项，改造期间采取了什么实际补偿控制？
- 去年问题今年再次出现时，是否追查根因而不是重复写整改计划？
保证评估机构、证据和过程真实可信
法规要求｜第4、10—13条。 面向社会出具证明作用结果的机构应具备相应检测机构资质；评估应基于客观凭据，运营者应提供必要支持；自行评估还需满足能力和管理要求。
落实与验收。
- 委托前核验检测机构资质、能力范围和人员独立性。
- 评估使用真实生产拓扑、设备、配置、制度和运行记录，不以预制截图替代现场事实。
- 自行评估时验证人员、设施、质量和档案管理能力，并由密码或网络安全负责人签字确认。
- 原始记录和报告统一归档，保存不少于6年。
验收证据。
- 检测机构资质是否有效并覆盖密评活动？
- 随机抽报告中的一个“符合”项，能否回到原始证据复核？
- 六年前的评估原始记录和报告是否仍可查询？
按时备案并把密码事件纳入应急
法规要求｜第14—15条。 评估报告形成后30日内按规定备案；发现密码相关重大安全事件、重大隐患或特殊紧急情况时，应及时报告并启动应急处置，必要时开展密评。
落实与验收。
- 报告签发自动生成备案任务，记录截止日期、提交材料和回执。
- 密钥泄露、密码设备失陷、算法/协议重大风险、证书体系故障等纳入安全事件分类。
- 事件后判断是否需要专项密评，不等待下一年度周期。
验收证据。
- 最近三份密评报告分别在形成后多少日完成备案？
- 模拟生产主密钥疑似泄露，团队是否知道密码管理、应急和重新评估路径？
- 重大密码隐患关闭后是否有技术复测或专项评估证据？
法规原文
查看法规原文
版本说明
《商用密码应用安全性评估管理办法》由国家密码管理局令第3号公布，自2023年11月1日起施行。
官方现行全文：国家密码管理局。
条款结构速查
- 第1—5条：制定依据、密评定义、监管职责、检测机构资质和标准体系。
- 第6条：依法要求使用商用密码保护的重要网络与信息系统，应制定商用密码应用方案，同步规划、建设、运行密码保障系统，并定期开展密评。
- 第7条：规划阶段开展密码应用方案密评；方案未通过不得作为建设依据。
- 第8条：建设按通过评估的方案实施；运行前开展密评，未通过应改造且不得投入运行。
- 第9条：建成运行后每年至少开展一次密评；未通过应改造并采取必要运行安全措施。
- 第10—11条：方案评估和建成系统现场评估的主要内容。
- 第12—13条：运营者配合义务、自行评估条件、报告签署和档案要求；原始记录和评估报告保存不少于6年。
- 第14条：评估报告形成后30日内按规定备案。
- 第15条：密码相关重大安全事件、重大隐患或特殊紧急情况应及时报告、启动应急，必要时开展密评。
- 第16条：主管部门可开展专项检查。
- 第17—19条：违法违规责任和监督管理责任。
- 第20条：办法施行前在建、已运行系统的衔接要求。
- 第21条：施行日期。
具体处罚、评估程序、机构条件和逐字法律表述以顶部国家密码管理局正式文本为准。