中华人民共和国密码法
本文从企业安全与合规视角，把《密码法》转成密码应用范围、产品与服务合规、关基密码保护、密评和供应链审查等可执行控制。普通企业使用商用密码保护非国家秘密信息，与涉密场景使用核心密码、普通密码不是一回事，首先要把适用身份和场景判断清楚。
法规概览
| 项目 | 内容 |
|---|---|
| 法规 | 《中华人民共和国密码法》 |
| 生效日期 | 2020年1月1日 |
| 密码分类 | 核心密码、普通密码、商用密码 |
| 企业最常见场景 | 使用商用密码保护非国家秘密信息；采购或提供商用密码产品、服务；关基场景开展商用密码应用安全性评估 |
| 核心问题 | 密码类型与适用范围、强制标准、检测认证、关基密码保护与密评、采购安全审查、进出口与电子政务认证 |
下文按 “法规要求 → 落实与验收” 展开：每项要求同时说明实施动作与可验证证据。具体密码算法、密钥长度、密码设备和测评要求还需要叠加商用密码管理法规、强制性国家标准、行业规范和关基相关要求，不能仅凭本法判断技术实现是否合规。
安全要求与实施
| 核心主题 | 达成状态 |
|---|---|
| 适用性判断 | 知道哪些系统处理涉密信息、哪些使用商用密码、哪些触发专项义务 |
| 密码资产治理 | 算法、证书、密钥、密码产品和服务有完整清单 |
| 产品与服务合规 | 强制检测认证场景不采购、不提供不合格产品或服务 |
| 关基密码保护 | 适用关基按要求使用商用密码并完成密评 |
| 供应链审查 | 可能影响国家安全的密码相关采购进入网络安全审查判断 |
| 特殊业务 | 进出口、电子政务认证等专项场景单独识别并履责 |
先判断密码类型和适用场景
法规要求｜第6—8、14条。 国家对密码分类管理；核心密码、普通密码用于保护国家秘密信息，商用密码用于保护不属于国家秘密的信息。传递、存储、处理国家秘密信息的相关系统，应按规定使用核心密码、普通密码进行加密保护和安全认证。
落实与验收。
- 从业务、系统和数据分类出发识别是否存在国家秘密信息，涉密场景进入保密与核心/普通密码管理体系。
- 对非涉密业务建立商用密码应用范围，区分“自主选择使用密码”与法律法规、国家规定明确要求使用商用密码的场景。
- 对新系统、重大改造、关基认定、数据等级变化和新型密码产品采购设置重新判断触发点。
- 不把TLS、数据库加密或某个国产算法“已经用了”直接等同于密码合规，适用性、产品服务合规和密钥管理仍需分别判断。
验收证据。
- 从高等级数据和核心系统清单随机抽样，现场说明为什么使用商用密码或为什么进入涉密密码体系。
- 找一个“用了AES/TLS所以认为密码合规”的系统，继续追问密钥在哪里、谁能取、产品是否属于强制认证范围、是否触发密评。
- 从新上线和重大变更项目反查，密码适用性是否在设计阶段判断，而不是上线后补材料。
建立密码资产和密钥全生命周期治理
法规要求｜第8、22、24条等。 组织可以依法使用商用密码保护网络与信息安全；商用密码活动应符合有关法律法规、强制性国家标准以及从业单位公开标准的技术要求。
落实与验收。
- 建立密码资产清单，至少关联业务系统、密码用途、算法、密钥/证书、密码产品或服务、责任人和生命周期状态。
- 对密钥生成、存储、分发、使用、轮换、备份、恢复、吊销和销毁设置控制，生产密钥不得以明文长期存在代码、配置、日志或普通工单中。
- 统一管理证书和密钥有效期、轮换和失效处置，避免“算法合规但密钥管理失控”。
- 设计和采购时核对适用的强制性国家标准、行业标准和产品公开技术要求。
验收证据。
- 从生产环境反查证书、KMS/HSM、密钥配置和加密组件，是否都能映射到密码资产清单？
- 随机抽一把生产密钥，从生成到当前状态完整穿行：谁创建、谁可使用、能否导出、多久轮换、如何销毁？
- 搜索代码仓库、CI/CD变量、日志和工单，是否存在明文长期密钥或共享私钥？
- 模拟密钥管理员离职或密钥疑似泄露，是否能立即吊销、轮换并确认受影响范围？
管理需要检测认证的商用密码产品和服务
法规要求｜第25—26条。 国家推进商用密码检测认证体系；涉及国家安全、国计民生、社会公共利益并依法列入相关目录的商用密码产品，应经具备资格的机构检测认证合格后方可销售或者提供；相关商用密码服务使用网络关键设备和网络安全专用产品时，也存在认证要求。
落实与验收。
- 在采购和产品发布流程中识别产品、服务是否进入法定目录或强制检测认证范围。
- 采购时核对产品型号、版本、证书状态、认证范围和实际部署对象，不能只看供应商提供一张同品牌证书。
- 自身作为商用密码产品或服务提供者时，把检测认证作为上市/提供前门禁。
- 证书失效、产品升级、关键组件变化时重新判断认证覆盖是否仍然有效。
验收证据。
- 从实际部署的密码机、VPN、认证设备等反查证书，型号和版本是否真的在认证覆盖范围内？
- 随机抽一个采购项目，采购审批是否在签约前完成强制认证适用判断？
- 找一个升级过硬件/固件/关键密码模块的产品，原认证是否仍覆盖当前版本？
- 如果企业自己提供相关产品或服务，随机抽一个客户交付版本，是否能拿出对应有效认证依据？
对关基场景落实商用密码保护和密评
法规要求｜第27条。 法律、行政法规和国家有关规定要求使用商用密码保护的关键信息基础设施，其运营者应使用商用密码保护，自行或者委托商用密码检测机构开展商用密码应用安全性评估，并与关基安全检测评估、等保测评相衔接。
落实与验收。
- 经认定的关基运营者建立关基系统与商用密码保护要求映射，明确哪些通信、身份认证、数据保护等场景使用何种密码措施。
- 按适用要求开展商用密码应用安全性评估，问题进入整改、复测和持续跟踪。
- 将密评与等保、关基检测评估、系统改造统筹，复用事实和证据但不以其他测评结论替代密评义务。
- 重大架构、密码产品、密钥体系或业务边界变化时判断是否需要重新评估。
验收证据。
- 从关基系统清单逐一映射最近一次密评结论，是否存在系统遗漏、过期或重大变更后仍沿用旧结论？
- 随机抽一个密评问题，现场验证整改后的真实配置，而不是只看整改报告。
- 对比等保、关基检测和密评范围，是否因为组织分工不同导致某些系统或密码场景落在三者之间没人负责？
- 随机抽取一条关键通信或身份认证链路，实际密码实现是否与评估时一致？
把涉及商用密码的关键采购纳入国家安全风险判断
法规要求｜第27条第二款。 关键信息基础设施运营者采购涉及商用密码的网络产品和服务，可能影响国家安全的，应依法通过国家网信部门会同国家密码管理部门等组织的国家安全审查。
落实与验收。
- 在关基采购流程设置“是否涉及商用密码、是否可能影响国家安全”的前置判断。
- 与《网络安全审查办法》的采购预判机制共用供应链风险分析，覆盖非法控制、数据风险、供应中断、来源可靠性和供应商守法情况等因素。
- 应申报审查的项目在审查结论前不得以项目紧急、试点或临时采购绕过门禁。
- 对供应商在审查中的承诺持续跟踪，而不是审批完成即关闭。
验收证据。
- 从关基密码设备和服务供应商清单反查采购项目，是否全部做过网络安全审查适用性判断？
- 给出“国外厂商密码服务不可替代但存在断供风险”的场景，采购、安全和法务是否能现场走出判断链路？
- 抽查已审查项目，供应商后续产品、控制权或供应模式变化后是否重新评估风险？
管理进出口和电子政务认证等特殊场景
法规要求｜第28—29条。 特定商用密码实施进口许可或出口管制；大众消费类产品采用的商用密码不实行相关进口许可和出口管制。采用商用密码技术从事电子政务电子认证服务的机构依法接受认定管理。
落实与验收。
- 涉及密码产品、技术或设备进出口时，在发货、采购或技术提供前判断是否进入许可/管制清单及例外范围。
- 不以“软件”“SDK”“普通IT设备”等业务名称替代对实际密码功能和管制属性的判断。
- 从事电子政务电子认证服务时，确认相应认定要求并持续维护资格和服务范围。
- 对特殊业务保留分类判断、许可/资格、合同、报关和实际交付记录。
验收证据。
- 从过去一年涉及密码功能的跨境采购和交付中抽样，是否在交易前完成管制属性判断？
- 随机抽一个被认定为“大众消费类产品”的例外，依据是什么，产品功能变化后是否重新判断？
- 如涉及电子政务电子认证，实际服务对象、系统和技术范围是否超出认定覆盖？
法规原文
以下保留原文用于逐条核对。密码技术实现还应结合现行商用密码管理法规、强制性国家标准、行业规范和具体监管要求判断。
查看法规原文
第一章 总则
- 第一条 为了规范密码应用和管理，促进密码事业发展，保障网络与信息安全，维护国家安全和社会公共利益，保护公民、法人和其他组织的合法权益，制定本法。
- 第二条 本法所称密码，是指采用特定变换的方法对信息等进行加密保护、安全认证的技术、产品和服务。
- 第三条 密码工作坚持总体国家安全观，遵循统一领导、分级负责，创新发展、服务大局，依法管理、保障安全的原则。
- 第六条 国家对密码实行分类管理。密码分为核心密码、普通密码和商用密码。
- 第七条 核心密码、普通密码用于保护国家秘密信息。核心密码、普通密码属于国家秘密。
- 第八条 商用密码用于保护不属于国家秘密的信息。公民、法人和其他组织可以依法使用商用密码保护网络与信息安全。
- 第十二条 任何组织或者个人不得窃取他人加密保护的信息或者非法侵入他人的密码保障系统，不得利用密码从事危害国家安全、社会公共利益、他人合法权益等违法犯罪活动。
第二章 核心密码、普通密码
- 第十四条 在有线、无线通信中传递的国家秘密信息，以及存储、处理国家秘密信息的信息系统，应当依照法律、行政法规和国家有关规定使用核心密码、普通密码进行加密保护、安全认证。
- 第十五条 从事核心密码、普通密码相关工作的机构应建立健全安全管理制度，采取严格的保密措施和保密责任制。
- 第十七条 密码工作机构发现核心密码、普通密码泄密或者重大安全问题、风险隐患的，应立即采取应对措施，并及时向有关部门报告。
第三章 商用密码
- 第二十二条 国家建立和完善商用密码标准体系。
- 第二十四条 商用密码从业单位开展商用密码活动，应符合有关法律、行政法规、商用密码强制性国家标准以及该从业单位公开标准的技术要求。
- 第二十五条 国家推进商用密码检测认证体系建设；商用密码检测、认证机构应依法取得相关资质并按规范开展检测认证。
- 第二十六条 涉及国家安全、国计民生、社会公共利益的商用密码产品，依法列入相关目录的，应由具备资格的机构检测认证合格后方可销售或者提供；相关商用密码服务依法实施认证。
- 第二十七条 法律、行政法规和国家有关规定要求使用商用密码进行保护的关键信息基础设施，其运营者应使用商用密码进行保护，自行或者委托商用密码检测机构开展商用密码应用安全性评估。关键信息基础设施运营者采购涉及商用密码的网络产品和服务，可能影响国家安全的，应依法进行国家安全审查。
- 第二十八条 对涉及国家安全、社会公共利益且具有加密保护功能的特定商用密码依法实施进口许可，对特定商用密码依法实施出口管制；大众消费类产品所采用的商用密码不实行进口许可和出口管制制度。
- 第二十九条 国家密码管理部门对采用商用密码技术从事电子政务电子认证服务的机构进行认定。
第四章 法律责任
- 第三十二条至第四十一条 对违反密码管理、商用密码检测认证、关键信息基础设施密码保护和密码管理部门履职等行为规定相应法律责任。
第五章 附则
- 第四十四条 本法自2020年1月1日起施行。