商用密码管理条例
本文依据2023年修订的《商用密码管理条例》整理，重点回答企业什么时候必须使用商用密码、哪些产品和服务需要检测认证、什么时候触发商用密码应用安全性评估（密评），以及密码建设如何与关基、等保和网络安全审查衔接。
法规概览
| 项目 | 内容 |
|---|---|
| 法规 | 《商用密码管理条例》，国务院令第760号 |
| 现行版本 | 2023年4月27日修订 |
| 生效日期 | 2023年7月1日 |
| 核心问题 | 商用密码标准、检测认证、密码应用、关基密评、产品服务合规、网络安全审查、监督检查 |
| 与密评关系 | 第38—42条构成重要网络与信息系统/关基密码应用和评估的重要上位依据 |
| 官方来源 | 中国政府网转载正式文本 |
安全要求与实施
先识别哪些系统和场景存在法定密码义务
法规要求｜第35—42条。 网络运营者应按照网络安全等级保护制度要求使用商用密码保护网络安全；法律、行政法规和国家有关规定要求使用商用密码保护的关键信息基础设施，应同步规划、建设、运行商用密码保障系统并开展密评。
落实与验收。
- 建立密码应用系统清单，关联等保等级、关基身份、数据等级、认证鉴别、传输、存储、密钥和电子签名等场景。
- 对关基和其他依法要求使用商用密码保护的重要网络与信息系统单独标记密评义务。
- 新建、改造和重大架构变化在设计阶段进入密码合规评审，避免投产前才补密码方案。
验收证据。
- 从关键系统清单反查：哪些系统依法需要密评，判断依据是什么？
- 随机抽一个三级以上重要系统，密码应用范围是否只停留在TLS，而遗漏身份鉴别、存储完整性、密钥管理等场景？
- 重大系统改造后是否重新判断密码方案和密评影响？
确保密码技术、产品和服务来源合规
法规要求｜第9—21、38—41条。 商用密码活动应符合强制性标准；特定产品、服务以及关基使用的密码产品、服务、算法、协议和密钥管理机制存在检测认证或审查鉴定要求。
落实与验收。
- 维护密码产品、密码服务、算法、协议、密钥管理组件和证书服务清单。
- 采购阶段核验需要检测认证的产品/服务资质、证书状态和适用范围。
- 禁止把“用了国密算法”直接等同于密码应用合规；算法、产品、密钥、协议和运行管理需整体判断。
- 供应商版本升级、证书失效和产品EOL进入持续监测。
验收证据。
- 随机抽一个密码机、签名验签或密钥管理产品，证书是否有效且覆盖实际型号/版本？
- 系统使用的算法和协议是否经过批准的组件实现，还是研发自行拼装？
- 供应商升级后是否改变了认证范围或密码实现？
将密码保障系统与业务系统同步建设
法规要求｜第38条。 对依法要求使用商用密码保护的关基，应制定商用密码应用方案，配备必要资金和专业人员，同步规划、同步建设、同步运行密码保障系统。
落实与验收。
- 密码应用方案成为架构基线，明确密码应用场景、算法、产品、密钥生命周期、管理职责和应急机制。
- 方案评审结果进入建设和上线门禁，实施偏差必须有重新评估。
- 密钥生成、分发、存储、使用、轮换、备份、恢复和销毁全生命周期可审计。
验收证据。
- 从已上线系统反查密码方案，生产实现与方案是否一致？
- 随机抽一把生产密钥，能否还原生成、授权、使用、轮换和销毁路径？
- 是否存在业务系统先上线、密码系统长期后补的情况？
将密评、关基检测和等保测评协同而非互相替代
法规要求｜第42条。 商用密码应用安全性评估、关基安全检测评估和网络安全等级测评应加强衔接，避免重复评估、测评。
落实与验收。
- 建立统一年度测评计划，共享资产、架构、整改和证据，但保留各自法定结论。
- 同一问题在多个测评中出现时进入统一整改项，避免多个台账重复关闭。
- 不以通过等保测评替代依法应开展的密评，也不以密评替代关基检测评估。
验收证据。
- 同一系统的等保、密评、关基检查发现是否能映射到一个整改库？
- 是否存在“等保已经测过密码，所以不用密评”的错误理解？
- 多项测评使用的系统边界和资产清单是否一致？
法规原文
查看法规原文
版本说明
《商用密码管理条例》由国务院令第760号于2023年修订，自2023年7月1日起施行。
官方现行全文：中国政府网转载正式文本。
条款结构速查
- 第一章（第1—6条）：总则、适用范围和监管职责。
- 第二章（第7—11条）：科技创新、标准化以及商用密码技术审查鉴定。
- 第三章（第12—21条）：检测机构、认证机构以及特定商用密码产品和服务的检测认证。
- 第四章（第22—30条）：电子认证和电子政务电子认证服务。
- 第五章（第31—34条）：商用密码进口许可和出口管制。
- 第六章（第35—42条）：商用密码应用促进、关基密码保护、密评、网络安全审查，以及密评与关基检测/等保测评衔接。
- 第七章（第43—49条）：监督检查。
- 第八章：法律责任。
- 第九章：附则。
企业安全负责人重点核对
- 第38条：依法要求使用商用密码保护的关基应制定密码应用方案，同步规划、建设、运行密码保障系统，并开展密评；通过密评后方可投入运行，运行后每年至少评估一次。
- 第39条：相关关基使用的商用密码产品、服务和密码技术应满足相应检测认证、审查鉴定要求。
- 第40条：关基采购涉及商用密码且可能影响国家安全的网络产品和服务，依法衔接网络安全审查。
- 第41条：网络运营者按照网络安全等级保护制度要求使用商用密码保护网络安全。
- 第42条：密评、关基安全检测评估、等保测评应加强衔接，避免重复。
具体法律责任、资质条件、许可程序和逐字条款以顶部官方现行全文为准。