Image
全國統一服務(wù)熱線(xiàn)
0351-4073466

商用密碼應用安全性評估正式由“推薦性”轉為“強制性”


編輯:2023-05-26 15:18:03

黨中央、國務(wù)院高度重視商用密碼工作。近年來(lái),生成式人工智能、數據交易、數據全生命周期安全管理等業(yè)務(wù)場(chǎng)景的快速發(fā)展,關(guān)鍵信息基礎設施安全重要性突顯,復雜的應用場(chǎng)景和嚴峻的網(wǎng)絡(luò )安全形勢對商用密碼提出了更高的保障需求。隨著(zhù)商用密碼在網(wǎng)絡(luò )與信息系統中廣泛應用,其維護國家主權、安全和發(fā)展利益的作用越來(lái)越凸顯。


黨的十八大以來(lái),黨中央、國務(wù)院對商用密碼創(chuàng )新發(fā)展和行政審批制度改革提出了一系列要求,2020年施行的密碼法對商用密碼管理制度進(jìn)行了結構性重塑。為了貫徹落實(shí)行政審批制度改革精神,細化密碼法相關(guān)制度,對1999年公布的《條例》進(jìn)行了全面修訂。有網(wǎng)絡(luò )安全從業(yè)者表示,商用密碼市場(chǎng)規模近年來(lái)快速增長(cháng),在多個(gè)領(lǐng)域成為行業(yè)“剛需”,本次公布修訂的《條例》將進(jìn)一步推動(dòng)商業(yè)密碼在數字化進(jìn)程中的推廣速度,促進(jìn)行業(yè)加快技術(shù)與產(chǎn)品創(chuàng )新。修訂后的《條例》,重點(diǎn)規定了以下內容。


一是完善商用密碼管理體制。《條例》規定縣級以上密碼管理部門(mén)負責管理相應行政區域的商用密碼工作;網(wǎng)信、商務(wù)、海關(guān)、市場(chǎng)監督管理等有關(guān)部門(mén)在各自職責范圍內負責商用密碼有關(guān)管理工作;明確密碼管理部門(mén)和有關(guān)部門(mén)開(kāi)展商用密碼監管的職權、協(xié)作配合、保密義務(wù)以及信用監管、舉報等制度機制。


二是促進(jìn)商用密碼科技創(chuàng )新與標準化建設。《條例》規定建立健全商用密碼科技創(chuàng )新促進(jìn)機制,保護商用密碼領(lǐng)域的知識產(chǎn)權,鼓勵支持商用密碼科技成果轉化和產(chǎn)業(yè)化應用。優(yōu)化現行商用密碼科研成果審查鑒定審批的適用范圍。明確商用密碼標準的制定、實(shí)施及監督檢查。


三是健全商用密碼檢測認證體系。《條例》明確推進(jìn)商用密碼檢測認證體系建設,鼓勵在商用密碼活動(dòng)中自愿接受商用密碼檢測認證。明確商用密碼檢測、認證機構資質(zhì)審批條件、程序及從業(yè)規范。明確涉及國家安全、國計民生、社會(huì )公共利益的商用密碼產(chǎn)品與使用網(wǎng)絡(luò )關(guān)鍵設備和網(wǎng)絡(luò )安全專(zhuān)用產(chǎn)品的商用密碼服務(wù)應當檢測認證合格。


四是加強電子認證服務(wù)使用密碼和電子政務(wù)電子認證服務(wù)活動(dòng)管理。《條例》明確電子認證服務(wù)使用密碼要求和使用規范。明確電子政務(wù)電子認證服務(wù)機構資質(zhì)審批條件、程序及從業(yè)規范。明確建立電子認證信任機制,推動(dòng)電子認證服務(wù)互信互認。


五是規范商用密碼進(jìn)出口管理。《條例》根據密碼法關(guān)于商用密碼進(jìn)出口的規定和國家出口管制、兩用物項進(jìn)出口管理制度,明確商用密碼進(jìn)口許可和出口管制實(shí)行清單管理,并規定了審批程序。


六是促進(jìn)商用密碼應用。《條例》鼓勵公民、法人和其他組織依法使用商用密碼保護網(wǎng)絡(luò )與信息安全,支持網(wǎng)絡(luò )產(chǎn)品和服務(wù)使用商用密碼提升安全性。明確關(guān)鍵信息基礎設施的商用密碼使用要求和國家安全審查要求。

政策制定背景:2020年8月10日,國家密碼管理局發(fā)布了《商用密碼管理條例(修訂草案征求意見(jiàn)稿)》,對1999年發(fā)布并生效的《商用密碼管理條例》進(jìn)行全面修訂。1999年國務(wù)院頒布的《商用密碼管理條例》是我國第一部關(guān)于密碼管理的法規,它標志著(zhù)我國商用密碼大發(fā)展和管理走上了法制軌道;對我國商用密碼管理制度進(jìn)行了結構性重塑。經(jīng)過(guò)20多年的快速發(fā)展,我國商用密碼在管理制度、科技創(chuàng )新、產(chǎn)業(yè)發(fā)展、應用推進(jìn)等方面取得系列成果,實(shí)現了跨越式發(fā)展。

2019年10月26日,十三屆全國人大常委會(huì )第十四次會(huì )議表決通過(guò)《中華人民共和國密碼法》(以下簡(jiǎn)稱(chēng)《密碼法》),為做好新時(shí)期的商用密碼工作提供堅強的法律保障。隨著(zhù)《密碼法》的頒布實(shí)施,國家對其從嚴格管控逐步轉向放管結合和推廣應用。而現行的《商用密碼管理條例》已無(wú)法適應《密碼法》的要求,因此《條例》(征求意見(jiàn)稿)應運而生。

2023年4月14日,國務(wù)院常務(wù)會(huì )議審議通過(guò)《商用密碼管理條例(修訂草案)》。本次修訂的《商用密碼管理條例》予以回應,進(jìn)行了較大幅度的修改,凸顯促進(jìn)商用密碼應用與保障安全相統一的價(jià)值導向,其中對商用密碼的管理、認證和檢測等方面都進(jìn)行了較為具體的規定,更加突出了促進(jìn)商用密碼發(fā)展的立法原意。

政策核心亮點(diǎn):擴大密評范圍,變“推薦性”為“強制化”,推進(jìn)商用密碼應用安全性評估?!稐l例》(征求意見(jiàn)稿)對于網(wǎng)絡(luò )安全等級保護第三級以上網(wǎng)絡(luò ),要求運營(yíng)者應當使用商用密碼進(jìn)行護。但是由于等保 2.0 國家標準僅為推薦性標準,并不具備強制力,因此若《條例》(征求意見(jiàn)稿)生效,將會(huì )將網(wǎng)絡(luò )安全等級保護的推薦性的要求上升為具有強制力的國家規范。

此外,《條例》(征求意見(jiàn)稿)也將密評的范圍予以擴展,《密碼法》僅規定關(guān)鍵信息基礎設施進(jìn)行密評。而在《條例》(征求意見(jiàn)稿)中,非涉密的關(guān)鍵信息基礎設施、等級保護第三級以上網(wǎng)絡(luò )、國家政務(wù)信息系統等網(wǎng)絡(luò )與信息系統都被要求進(jìn)行密評。密評有望在政策的帶動(dòng)下,在推進(jìn)速度和落地廣度上實(shí)現雙拓展。

商用密碼作為 AI、數據要素和數據安全的三重基礎 空間廣闊

對于生成式AI而言,商用密碼一方面有望用于對輸入模型的數據本身進(jìn)行加密脫敏等防護工作,甚至未來(lái)結合隱私計算等技術(shù)實(shí)現AI模型訓練的數據可用不可見(jiàn)。另一方面,針對模型輸出的生成式文字、圖片和視頻,密碼技術(shù)也有望賦能,實(shí)現內容的唯一性、完整性和不可抵賴(lài)性的認證。

對于數據要素和數據交易而言,商用密碼同樣有望通過(guò)隱私計算等技術(shù)實(shí)現數據交易過(guò)程中的可用不可見(jiàn)。另一方面,針對企業(yè)和政府的數據資產(chǎn),商用密碼也有望實(shí)現資產(chǎn)本身的唯一性、完整性和不可抵賴(lài),從而在資產(chǎn)的確權等方面有所助力。

對于數據安全而言,商用密碼是主動(dòng)性的數據安全防護技術(shù),也是數據安全的基礎技術(shù)。數據庫脫敏、數據防泄漏、網(wǎng)絡(luò )通信加密等有望成為數據安全率先落地的產(chǎn)品和應用,而此次《商用密碼管理條例(修訂草案)》進(jìn)一步明確了密評作為等保的前置條件,將推動(dòng)密碼在數據安全中起到更重要的作用。

密碼安全行業(yè)的主要產(chǎn)品構成

按產(chǎn)品形態(tài)分共六類(lèi),包括:密碼軟件類(lèi)、密碼芯片類(lèi)、密碼模塊累、密碼板卡類(lèi)、密碼整機類(lèi)及密碼系統類(lèi)。

密碼軟件類(lèi):指以純軟件形態(tài)出現的產(chǎn)品,主要包含信息加密軟件、密碼算法實(shí)現軟件等產(chǎn)品;

密碼芯片類(lèi):指以集成電路芯片形態(tài)出現的密碼產(chǎn)品,主要包含密碼算法芯片、密碼SOC芯片等產(chǎn)品;

密碼模塊類(lèi):指以多芯片組裝的背板形態(tài)出現,具備專(zhuān)用密碼功能,但本身不能完成完整的密碼功能的產(chǎn)品,主要包含加解密模塊、安全控制模塊等產(chǎn)品;

密碼板卡類(lèi):指以板卡形態(tài)出現,具備完整密碼功能的產(chǎn)品,主要包含USB 密碼鑰匙、PCI 密碼卡等產(chǎn)品;

密碼整機類(lèi):指以整機形態(tài)出現,具備完整密碼功能的產(chǎn)品,主要包含VPN、網(wǎng)絡(luò )密碼機、服務(wù)器密碼機、簽名驗簽服務(wù)器等產(chǎn)品;

密碼系統類(lèi):指以密碼形態(tài)出現,有密碼功能支撐的產(chǎn)品,主要包含安全認證系統、密鑰管理系統等產(chǎn)品。

密碼安全應用場(chǎng)景:

密碼安全技術(shù)已廣泛應用于社會(huì )生活中的各個(gè)重大領(lǐng)域,包括黨政、金融、電力、航空航天,為維護國家安全、促進(jìn)經(jīng)濟發(fā)展、保護人民群眾利益作出了重要貢獻。密碼安全技術(shù)一共有七大應用場(chǎng)景分別為:物聯(lián)網(wǎng)、車(chē)聯(lián)網(wǎng)、工業(yè)互聯(lián)網(wǎng)、智慧城市、區塊鏈、5G安全、云計算。


密碼安全行業(yè)市場(chǎng)規模:

全球市場(chǎng):據IDC數據,2020年全球IT安全產(chǎn)業(yè)規模達到1348.60億美元。受疫情影響,全球網(wǎng)絡(luò )安全市場(chǎng)增速回落,2021年市場(chǎng)規模為1483.31億美元,同比增長(cháng)9.84%,預計2022年將達到1675.81億美元,同比增長(cháng)13.13%。Canalys預測,2023年全球網(wǎng)絡(luò )安全支出達到2238億美元,同比增長(cháng)33.55%。

全球范圍內,商用密碼市場(chǎng)主要集中在北美、西歐以及亞太三大地區。全球商用密碼市場(chǎng)規模處于增長(cháng)態(tài)勢,據賽迪統計數據,2021年全球商用密碼產(chǎn)業(yè)規模為375.7億美元,實(shí)現年增速22.18%,預計2027年將達到1026.4億美元,期間CAGR達18.23%。隨著(zhù)新興經(jīng)濟體崛起,亞太將成為預期內全球增長(cháng)最快的地區。



中國市場(chǎng):

據IDC,2020年我國IT安全產(chǎn)業(yè)規模達到82.62億美元(約570.66億元),2022年預計為115.41億美元(約797.12億元),同比增長(cháng)18.05%;2023年預計達136.26億美元(約941.16億元),同比增長(cháng)18.07%。

密碼作為網(wǎng)絡(luò )信任體系的重要基石,涵蓋數據加密、身份認證、消息認證三大場(chǎng)景。伴隨我國網(wǎng)安建設由“合規驅動(dòng)”向“事件驅動(dòng)”轉型,密碼技術(shù)重要性有望凸顯,據賽迪研究院預測,2022年我國商用密碼市場(chǎng)規模有望達到707.64億元,同比增長(cháng)36.14%,2023年有望達985.85億元,同比增長(cháng)39.32%。



密碼安全行業(yè)競爭格局:

全球區域來(lái)看,以美國為主導的北美市場(chǎng)仍然占據全球最大的市場(chǎng)份額。在排名前10的網(wǎng)絡(luò )安全公司中,美國公司占據了7個(gè)席位,表現出強大的國際競爭力。以中國、日本和印度為代表的亞太地區,受益于近期國家安全戰略的發(fā)布以及日益增長(cháng)的信息安全需求,市場(chǎng)也呈現出高速發(fā)展的態(tài)勢。

我國密碼早先以國家政府部門(mén)使用為主,近年來(lái),隨著(zhù)網(wǎng)絡(luò )空間安全意識增強,我國逐步向商用領(lǐng)域拓展,目前,我國主要廠(chǎng)商已在國際舞臺嶄露頭角。

根據MarketResearchIntellect統計,2020年全球密碼硬件安全市場(chǎng)排名前九的公司為:Gemalto、Yubico、AtosSE、THALES、UltraElectronics、衛士通(002268)、江南天安、Ultimaco、三未信安(688489)。


據數觀(guān)天下發(fā)布的《2021-2022商用密碼行業(yè)分析報告》統計,國產(chǎn)商用密碼廠(chǎng)商數量眾多,商用密碼技術(shù)推陳出新,密碼從業(yè)單位數量和規模不斷增加。2020年,《商用密碼產(chǎn)品認證目錄》頒布后,全國擁有認證商密產(chǎn)品的企業(yè)共551家;營(yíng)收體量相對較小,行業(yè)集中度CR5為25%,CR9為40.4%,市場(chǎng)競爭格局相對分散。

以身份與數字信任軟件細分市場(chǎng)為例,據IDC發(fā)布的《2022年上半年中國IT安全軟件市場(chǎng)跟蹤報告》,2022年上半年身份與數字信任軟件市場(chǎng)份額前五名分別為亞信安全(688225)、數字認證(300579)、吉大正元(003029)、格爾軟件(603232)、信安世紀(688201),市場(chǎng)占有率分別為8.0%、6.6%、6.3%、6.0%、3.8%,合計市占率僅為30.7%。

國產(chǎn)替代逐步推進(jìn) 對國外供應商依賴(lài)降低

密碼安全產(chǎn)業(yè)上游以國產(chǎn)玩家為主。受我國密碼政策的影響,對行業(yè)上游企業(yè)實(shí)施市場(chǎng)準入制度,上游企業(yè)均為內資企業(yè),數量眾多。國產(chǎn)替代穩步進(jìn)行,逐漸擁有元器件供應自主權。隨著(zhù)國產(chǎn)自主可替代計劃的推進(jìn),電子元器件、集成電路、安全芯片趨于國產(chǎn)化,對國外提供商的依賴(lài)有所降低。

但與此同時(shí),我國芯片這一核心產(chǎn)業(yè)仍未打破國際壟斷局面;國產(chǎn)操作系統暫能滿(mǎn)足基本辦公需求,與多場(chǎng)景多樣化應用的結合能力還有待提升;產(chǎn)業(yè)鏈整體創(chuàng )新能力不足、產(chǎn)品品類(lèi)和供給質(zhì)量難以適應需求變化,密碼應用隨時(shí)面臨“卡脖子危險”。

隨著(zhù)我國密碼安全產(chǎn)品建設逐步完善,我國主要廠(chǎng)商也開(kāi)始進(jìn)入國際舞臺,開(kāi)始展露風(fēng)采。電科網(wǎng)安(002268)、三未信安(688489)、數字認證(300579)、信安世紀(688201)、飛天誠信(300386)等公司開(kāi)始進(jìn)入國際主流供應商名單。


“強制性”密評
區別于用于保護國家秘密信息的核心密碼和普通密碼,我國《密碼法》規定商用密碼用于保護不屬于國家秘密的信息,公民、法人和其他組織可以依法使用商用密碼保護網(wǎng)絡(luò )與信息安全。在網(wǎng)絡(luò )安全技術(shù)層面,商用密碼通常指采用特定變換的方法對不屬于國家秘密的信息等進(jìn)行加密保護、安全認證的技術(shù)、產(chǎn)品和服務(wù)。
2020年8月10日,國家秘密管理局發(fā)布了《商用密碼管理條例(修訂草案征求意見(jiàn)稿)》,對1999年發(fā)布并生效的《商用密碼管理條例》進(jìn)行全面修訂。在此之前,2019年10月26日頒布的《密碼法》對我國商用密碼管理制度進(jìn)行了結構性重塑,現行的《商用密碼管理條例》已無(wú)法適應《密碼法》要求,因此新的修訂草案應運而生。
多位網(wǎng)絡(luò )安全行業(yè)從業(yè)者在與記者交流時(shí)提到,本次修訂的一大亮點(diǎn)在于擴大了商用密碼應用安全性評估的范圍。
商用密碼應用安全性評估(以下簡(jiǎn)稱(chēng)“密評”),指采用商用密碼技術(shù)、產(chǎn)品和服務(wù)集成建設的網(wǎng)絡(luò )和信息系統中,對密碼應用的合規性、正確性、有效性進(jìn)行評估。
2019年頒布的《密碼法》中,僅要求“法律、行政法規和國家有關(guān)規定要求使用商用密碼進(jìn)行保護的關(guān)鍵信息基礎設施”自行或委托檢測機構開(kāi)展密評。而修訂草案中則要求非涉密的關(guān)鍵信息基礎設施、網(wǎng)絡(luò )安全等級保護第三級以上網(wǎng)絡(luò )、國家政務(wù)信息系統等網(wǎng)絡(luò )與信息系統,都需開(kāi)展密評工作。
在管理制度上,修訂草案對商用密碼的管理更加精細化。1999年的《商用密碼管理條例》對密碼管理實(shí)行的是國家和省級兩級管理體制,即“國家密碼管理委員會(huì )及其辦公室以下簡(jiǎn)稱(chēng)國家密碼管理機構主管全國的商用密碼管理工作。省、自治區、直轄市負責密碼管理的機構根據國家密碼管理機構的委托,承擔商用密碼的有關(guān)管理工作?!?/span>
修訂草案則依托《密碼法》確定了“四級管理+專(zhuān)項管理”體制。其第三條規定,國家密碼管理部門(mén)負責管理全國的商用密碼工作??h級以上地方各級密碼管理部門(mén)負責管理本行政區域的商用密碼工作。國家網(wǎng)信、商務(wù)、海關(guān)、市場(chǎng)監督管理等有關(guān)部門(mén)在各自職責范圍內,負責商用密碼有關(guān)管理工作。
同時(shí),修訂草案放寬了對商用密碼進(jìn)出口的管控要求。1999年出臺的《商用密碼管理條例》第13條規定,進(jìn)口密碼產(chǎn)品以及含有密碼技術(shù)的設備或者出口商用密碼產(chǎn)品,必須報經(jīng)國家密碼管理機構批準。任何單位或者個(gè)不得銷(xiāo)售境外的密碼產(chǎn)品。
隨著(zhù)《密碼法》的出臺,我國對于商用密碼進(jìn)出口從“批準制”轉變?yōu)椤斑M(jìn)口許可清單和出口管制清單制度”。修訂草案進(jìn)一步落實(shí)了相關(guān)要求,其第三十一條規定進(jìn)口《商用密碼進(jìn)口許可清單》或者出口《商用密碼出口管制清單》中的商用密碼,應當向國務(wù)院商務(wù)主管部門(mén)申請領(lǐng)取兩用物項進(jìn)出口許可證。
此外,修訂草案進(jìn)一步強調了對個(gè)人信息保護的要求?!稐l例》(征求意見(jiàn)稿)要求,密碼管理部門(mén)和有關(guān)部門(mén)及其工作人員不得要求商用密碼從業(yè)單位和商用密碼檢測、認證機構向其披露源代碼等密碼相關(guān)專(zhuān)有信息,并對其在履行職責中知悉的商業(yè)秘密和個(gè)人隱私嚴格保密,不得泄露或者非法向他人提供。
開(kāi)拓安全行業(yè)市場(chǎng)空間


近年來(lái),全球商用密碼市場(chǎng)呈現高速增長(cháng)態(tài)勢。據統計, 2021年全球商用密碼產(chǎn)業(yè)規模為375.7億美元,實(shí)現年增速22.18%,預計2027年將達到1026.4億美元。隨著(zhù)新興經(jīng)濟體崛起,亞太將成為預期內全球增長(cháng)最快的地區。


市場(chǎng)高速增長(cháng)的主要原因在于新興數字化場(chǎng)景對于商用密碼安全保障能力需求的擴張。西南證券研報顯示,在5G、工業(yè)互聯(lián)網(wǎng)、數據中心等關(guān)鍵信息基礎設施領(lǐng)域的安全保障顯得尤為重要,密碼的應用將成為“剛需”,促進(jìn)商用密碼與新一代信息網(wǎng)絡(luò )、量子信息、人工智能、物聯(lián)網(wǎng)、先進(jìn)制造、工業(yè)控制、區塊鏈、智能網(wǎng)聯(lián)汽車(chē)、數字貨幣等融合創(chuàng )新。


以近期頗受關(guān)注的生成式AI為例,通過(guò)商用密碼對AI輸入模型數據進(jìn)行針對性加密及脫敏,對模型訓練的過(guò)程數據、模型輸出的生成式文件、圖片等數據進(jìn)行內容加密、完整性保護。


在數據交易、數據全生命周期安全管理等業(yè)務(wù)場(chǎng)景,商用密碼亦具有廣闊的應用空間。例如,在數據采集中進(jìn)行真實(shí)性認證,在數據存儲中保證敏感重要數據加密存儲,在數據處理中保證數據認證與訪(fǎng)問(wèn)控制及數據使用行為不可抵賴(lài)。數據交易方面,通過(guò)隱私計算、區塊鏈等技術(shù),可以實(shí)現數據交易過(guò)程可用不可見(jiàn)、交易行為不可抵賴(lài),達成數據資產(chǎn)的確權,促進(jìn)數據要素安全流通。


“(修訂草案的推出)為促進(jìn)數字經(jīng)濟快速發(fā)展,建立健全商用密碼科技創(chuàng )新促進(jìn)機制,推動(dòng)商用密碼科技成果轉化和產(chǎn)業(yè)化應用,促進(jìn)商用密碼市場(chǎng)持續健康發(fā)展?!眹?lián)證券在研報中指出。


隨著(zhù)《密碼法》《商用密碼管理條例(修訂草案)》《信息安全技術(shù)信息系統密碼應用基本要求》等法律法規及標準規范的發(fā)布,密碼使用由行政推進(jìn)向依法規范應用轉變,強化了密碼應用建設要求,進(jìn)一步推動(dòng)商用密碼應用快速發(fā)展。政策合規及安全業(yè)務(wù)雙驅動(dòng)對密碼需求不斷增長(cháng),尤其信創(chuàng )產(chǎn)業(yè)、數字經(jīng)濟大發(fā)展帶來(lái)千億規模商用密碼市場(chǎng)。


云密碼服務(wù)能夠為各類(lèi)業(yè)務(wù)系統提供質(zhì)量相同的密碼保護,是解決業(yè)務(wù)系統不斷云化、復雜化的必然技術(shù)路線(xiàn),適配零散的本地密碼服務(wù)難以支撐云上業(yè)務(wù)系統的新場(chǎng)景和新業(yè)態(tài)。業(yè)務(wù)系統需要密碼服務(wù)“貼身”保護,但業(yè)務(wù)系統云化趨勢導致本地密碼服務(wù)與云上業(yè)務(wù)被切割,云密碼服務(wù)建設迫在眉睫性,其必要性和必然性分析如下:

業(yè)務(wù)系統需要密碼服務(wù)的“貼身”保護

業(yè)務(wù)系統云化是當前趨勢

密碼服務(wù)上云需要改變產(chǎn)品形態(tài)

云密碼服務(wù)管理系統需要滿(mǎn)足合規性要求

云密碼服務(wù)建設痛點(diǎn)與用戶(hù)難點(diǎn)

 云密碼服務(wù)管理系統自身在建設時(shí),為了達到“集中、集成、集約”的效果,導致需要打通不同形態(tài)不同功能的商用密碼產(chǎn)品之間的互聯(lián)互通以提供完備的密碼服務(wù)全集,進(jìn)而導致建設初期設備采購的成本的增加,以及由于多種商用密碼產(chǎn)品之間的擴展性和兼容性差異導致的改造成本增加,將成為主要的難點(diǎn)問(wèn)題。

密碼設備采購投入成本大:用戶(hù)訪(fǎng)問(wèn)量大、業(yè)務(wù)使用量大、密碼服務(wù)功能的復雜性高等原因,直接導致整體采購難度大、費用高

云密碼服務(wù)管理系統的改造成本高:云密碼服務(wù)管理系統不是對各類(lèi)合規的商用密碼設備的簡(jiǎn)單堆疊,需要能夠對其從安全和性能兩方面通盤(pán)考慮整個(gè)系統的運行和優(yōu)化機制。

云密碼服務(wù)難以“貼身”的問(wèn)題:密碼服務(wù)與業(yè)務(wù)系統上云的異步性差異,使得在云密碼服務(wù)管理系統建立完成提供密碼服務(wù)時(shí),業(yè)務(wù)系統存在未上云、全部上云和部分上云三種可能。

相關(guān)上市公司:

專(zhuān)注于密碼行業(yè)的廠(chǎng)商:三未信安(688489)、信安世紀(688201)、格爾軟件(603232)、吉大正元(003029)、數字認證(300579)、電科網(wǎng)安(002268);

遠期有望帶動(dòng)整個(gè)數據安全行業(yè)的景氣度上行:?jiǎn)⒚餍浅剑?02439)、奇安信(688561)、安恒信息(688023)、深信服(300454)、美亞柏科(300188)、迪普科技(300768)、安博通(688168)、永信至誠(688244)、天融信(002212)等。

附:修訂版《商用密碼管理條例》

中華人民共和國國務(wù)院令

第760號


《商用密碼管理條例》已經(jīng)2023年4月14日國務(wù)院第4次常務(wù)會(huì )議修訂通過(guò),現予公布,自2023年7月1日起施行。

總理  李強

2023年4月27日


     

商用密碼管理條例

(1999年10月7日中華人民共和國國務(wù)院令第273號發(fā)布 2023年4月27日中華人民共和國國務(wù)院令第760號修訂)


第一章 總  則


第一條 為了規范商用密碼應用和管理,鼓勵和促進(jìn)商用密碼產(chǎn)業(yè)發(fā)展,保障網(wǎng)絡(luò )與信息安全,維護國家安全和社會(huì )公共利益,保護公民、法人和其他組織的合法權益,根據《中華人民共和國密碼法》等法律,制定本條例。

第二條 在中華人民共和國境內的商用密碼科研、生產(chǎn)、銷(xiāo)售、服務(wù)、檢測、認證、進(jìn)出口、應用等活動(dòng)及監督管理,適用本條例。

本條例所稱(chēng)商用密碼,是指采用特定變換的方法對不屬于國家秘密的信息等進(jìn)行加密保護、安全認證的技術(shù)、產(chǎn)品和服務(wù)。

第三條 堅持中國共產(chǎn)黨對商用密碼工作的領(lǐng)導,貫徹落實(shí)總體國家安全觀(guān)。國家密碼管理部門(mén)負責管理全國的商用密碼工作??h級以上地方各級密碼管理部門(mén)負責管理本行政區域的商用密碼工作。

網(wǎng)信、商務(wù)、海關(guān)、市場(chǎng)監督管理等有關(guān)部門(mén)在各自職責范圍內負責商用密碼有關(guān)管理工作。

第四條 國家加強商用密碼人才培養,建立健全商用密碼人才發(fā)展體制機制和人才評價(jià)制度,鼓勵和支持密碼相關(guān)學(xué)科和專(zhuān)業(yè)建設,規范商用密碼社會(huì )化培訓,促進(jìn)商用密碼人才交流。

第五條 各級人民政府及其有關(guān)部門(mén)應當采取多種形式加強商用密碼宣傳教育,增強公民、法人和其他組織的密碼安全意識。

第六條 商用密碼領(lǐng)域的學(xué)會(huì )、行業(yè)協(xié)會(huì )等社會(huì )組織依照法律、行政法規及其章程的規定,開(kāi)展學(xué)術(shù)交流、政策研究、公共服務(wù)等活動(dòng),加強學(xué)術(shù)和行業(yè)自律,推動(dòng)誠信建設,促進(jìn)行業(yè)健康發(fā)展。

密碼管理部門(mén)應當加強對商用密碼領(lǐng)域社會(huì )組織的指導和支持。


第二章 科技創(chuàng )新與標準化


第七條 國家建立健全商用密碼科學(xué)技術(shù)創(chuàng )新促進(jìn)機制,支持商用密碼科學(xué)技術(shù)自主創(chuàng )新,對作出突出貢獻的組織和個(gè)人按照國家有關(guān)規定予以表彰和獎勵。

國家依法保護商用密碼領(lǐng)域的知識產(chǎn)權。從事商用密碼活動(dòng),應當增強知識產(chǎn)權意識,提高運用、保護和管理知識產(chǎn)權的能力。

國家鼓勵在外商投資過(guò)程中基于自愿原則和商業(yè)規則開(kāi)展商用密碼技術(shù)合作。行政機關(guān)及其工作人員不得利用行政手段強制轉讓商用密碼技術(shù)。

第八條 國家鼓勵和支持商用密碼科學(xué)技術(shù)成果轉化和產(chǎn)業(yè)化應用,建立和完善商用密碼科學(xué)技術(shù)成果信息匯交、發(fā)布和應用情況反饋機制。

第九條 國家密碼管理部門(mén)組織對法律、行政法規和國家有關(guān)規定要求使用商用密碼進(jìn)行保護的網(wǎng)絡(luò )與信息系統所使用的密碼算法、密碼協(xié)議、密鑰管理機制等商用密碼技術(shù)進(jìn)行審查鑒定。

第十條 國務(wù)院標準化行政主管部門(mén)和國家密碼管理部門(mén)依據各自職責,組織制定商用密碼國家標準、行業(yè)標準,對商用密碼團體標準的制定進(jìn)行規范、引導和監督。國家密碼管理部門(mén)依據職責,建立商用密碼標準實(shí)施信息反饋和評估機制,對商用密碼標準實(shí)施進(jìn)行監督檢查。

國家推動(dòng)參與商用密碼國際標準化活動(dòng),參與制定商用密碼國際標準,推進(jìn)商用密碼中國標準與國外標準之間的轉化運用,鼓勵企業(yè)、社會(huì )團體和教育、科研機構等參與商用密碼國際標準化活動(dòng)。

其他領(lǐng)域的標準涉及商用密碼的,應當與商用密碼國家標準、行業(yè)標準保持協(xié)調。

第十一條 從事商用密碼活動(dòng),應當符合有關(guān)法律、行政法規、商用密碼強制性國家標準,以及自我聲明公開(kāi)標準的技術(shù)要求。

國家鼓勵在商用密碼活動(dòng)中采用商用密碼推薦性國家標準、行業(yè)標準,提升商用密碼的防護能力,維護用戶(hù)的合法權益。


第三章 檢測認證


第十二條 國家推進(jìn)商用密碼檢測認證體系建設,鼓勵在商用密碼活動(dòng)中自愿接受商用密碼檢測認證。

第十三條 從事商用密碼產(chǎn)品檢測、網(wǎng)絡(luò )與信息系統商用密碼應用安全性評估等商用密碼檢測活動(dòng),向社會(huì )出具具有證明作用的數據、結果的機構,應當經(jīng)國家密碼管理部門(mén)認定,依法取得商用密碼檢測機構資質(zhì)。

第十四條 取得商用密碼檢測機構資質(zhì),應當符合下列條件:

(一)具有法人資格;

(二)具有與從事商用密碼檢測活動(dòng)相適應的資金、場(chǎng)所、設備設施、專(zhuān)業(yè)人員和專(zhuān)業(yè)能力;

(三)具有保證商用密碼檢測活動(dòng)有效運行的管理體系。

第十五條 申請商用密碼檢測機構資質(zhì),應當向國家密碼管理部門(mén)提出書(shū)面申請,并提交符合本條例第十四條規定條件的材料。

國家密碼管理部門(mén)應當自受理申請之日起20個(gè)工作日內,對申請進(jìn)行審查,并依法作出是否準予認定的決定。

需要對申請人進(jìn)行技術(shù)評審的,技術(shù)評審所需時(shí)間不計算在本條規定的期限內。國家密碼管理部門(mén)應當將所需時(shí)間書(shū)面告知申請人。

第十六條 商用密碼檢測機構應當按照法律、行政法規和商用密碼檢測技術(shù)規范、規則,在批準范圍內獨立、公正、科學(xué)、誠信地開(kāi)展商用密碼檢測,對出具的檢測數據、結果負責,并定期向國家密碼管理部門(mén)報送檢測實(shí)施情況。

商用密碼檢測技術(shù)規范、規則由國家密碼管理部門(mén)制定并公布。

第十七條 國務(wù)院市場(chǎng)監督管理部門(mén)會(huì )同國家密碼管理部門(mén)建立國家統一推行的商用密碼認證制度,實(shí)行商用密碼產(chǎn)品、服務(wù)、管理體系認證,制定并公布認證目錄和技術(shù)規范、規則。

第十八條 從事商用密碼認證活動(dòng)的機構,應當依法取得商用密碼認證機構資質(zhì)。

申請商用密碼認證機構資質(zhì),應當向國務(wù)院市場(chǎng)監督管理部門(mén)提出書(shū)面申請。申請人除應當符合法律、行政法規和國家有關(guān)規定要求的認證機構基本條件外,還應當具有與從事商用密碼認證活動(dòng)相適應的檢測、檢查等技術(shù)能力。

國務(wù)院市場(chǎng)監督管理部門(mén)在審查商用密碼認證機構資質(zhì)申請時(shí),應當征求國家密碼管理部門(mén)的意見(jiàn)。

第十九條 商用密碼認證機構應當按照法律、行政法規和商用密碼認證技術(shù)規范、規則,在批準范圍內獨立、公正、科學(xué)、誠信地開(kāi)展商用密碼認證,對出具的認證結論負責。

商用密碼認證機構應當對其認證的商用密碼產(chǎn)品、服務(wù)、管理體系實(shí)施有效的跟蹤調查,以保證通過(guò)認證的商用密碼產(chǎn)品、服務(wù)、管理體系持續符合認證要求。

第二十條 涉及國家安全、國計民生、社會(huì )公共利益的商用密碼產(chǎn)品,應當依法列入網(wǎng)絡(luò )關(guān)鍵設備和網(wǎng)絡(luò )安全專(zhuān)用產(chǎn)品目錄,由具備資格的商用密碼檢測、認證機構檢測認證合格后,方可銷(xiāo)售或者提供。

第二十一條 商用密碼服務(wù)使用網(wǎng)絡(luò )關(guān)鍵設備和網(wǎng)絡(luò )安全專(zhuān)用產(chǎn)品的,應當經(jīng)商用密碼認證機構對該商用密碼服務(wù)認證合格。


第四章 電子認證


第二十二條 采用商用密碼技術(shù)提供電子認證服務(wù),應當具有與使用密碼相適應的場(chǎng)所、設備設施、專(zhuān)業(yè)人員、專(zhuān)業(yè)能力和管理體系,依法取得國家密碼管理部門(mén)同意使用密碼的證明文件。

第二十三條 電子認證服務(wù)機構應當按照法律、行政法規和電子認證服務(wù)密碼使用技術(shù)規范、規則,使用密碼提供電子認證服務(wù),保證其電子認證服務(wù)密碼使用持續符合要求。

電子認證服務(wù)密碼使用技術(shù)規范、規則由國家密碼管理部門(mén)制定并公布。

第二十四條 采用商用密碼技術(shù)從事電子政務(wù)電子認證服務(wù)的機構,應當經(jīng)國家密碼管理部門(mén)認定,依法取得電子政務(wù)電子認證服務(wù)機構資質(zhì)。

第二十五條 取得電子政務(wù)電子認證服務(wù)機構資質(zhì),應當符合下列條件:

(一)具有企業(yè)法人或者事業(yè)單位法人資格;

(二)具有與從事電子政務(wù)電子認證服務(wù)活動(dòng)及其使用密碼相適應的資金、場(chǎng)所、設備設施和專(zhuān)業(yè)人員;

(三)具有為政務(wù)活動(dòng)提供長(cháng)期電子政務(wù)電子認證服務(wù)的能力;

(四)具有保證電子政務(wù)電子認證服務(wù)活動(dòng)及其使用密碼安全運行的管理體系。

第二十六條 申請電子政務(wù)電子認證服務(wù)機構資質(zhì),應當向國家密碼管理部門(mén)提出書(shū)面申請,并提交符合本條例第二十五條規定條件的材料。

國家密碼管理部門(mén)應當自受理申請之日起20個(gè)工作日內,對申請進(jìn)行審查,并依法作出是否準予認定的決定。

需要對申請人進(jìn)行技術(shù)評審的,技術(shù)評審所需時(shí)間不計算在本條規定的期限內。國家密碼管理部門(mén)應當將所需時(shí)間書(shū)面告知申請人。

第二十七條 外商投資電子政務(wù)電子認證服務(wù),影響或者可能影響國家安全的,應當依法進(jìn)行外商投資安全審查。

第二十八條 電子政務(wù)電子認證服務(wù)機構應當按照法律、行政法規和電子政務(wù)電子認證服務(wù)技術(shù)規范、規則,在批準范圍內提供電子政務(wù)電子認證服務(wù),并定期向主要辦事機構所在地省、自治區、直轄市密碼管理部門(mén)報送服務(wù)實(shí)施情況。

電子政務(wù)電子認證服務(wù)技術(shù)規范、規則由國家密碼管理部門(mén)制定并公布。

第二十九條 國家建立統一的電子認證信任機制。國家密碼管理部門(mén)負責電子認證信任源的規劃和管理,會(huì )同有關(guān)部門(mén)推動(dòng)電子認證服務(wù)互信互認。

第三十條 密碼管理部門(mén)會(huì )同有關(guān)部門(mén)負責政務(wù)活動(dòng)中使用電子簽名、數據電文的管理。

政務(wù)活動(dòng)中電子簽名、電子印章、電子證照等涉及的電子認證服務(wù),應當由依法設立的電子政務(wù)電子認證服務(wù)機構提供。


第五章 進(jìn)出口


第三十一條 涉及國家安全、社會(huì )公共利益且具有加密保護功能的商用密碼,列入商用密碼進(jìn)口許可清單,實(shí)施進(jìn)口許可。涉及國家安全、社會(huì )公共利益或者中國承擔國際義務(wù)的商用密碼,列入商用密碼出口管制清單,實(shí)施出口管制。

商用密碼進(jìn)口許可清單和商用密碼出口管制清單由國務(wù)院商務(wù)主管部門(mén)會(huì )同國家密碼管理部門(mén)和海關(guān)總署制定并公布。

大眾消費類(lèi)產(chǎn)品所采用的商用密碼不實(shí)行進(jìn)口許可和出口管制制度。

第三十二條 進(jìn)口商用密碼進(jìn)口許可清單中的商用密碼或者出口商用密碼出口管制清單中的商用密碼,應當向國務(wù)院商務(wù)主管部門(mén)申請領(lǐng)取進(jìn)出口許可證。

商用密碼的過(guò)境、轉運、通運、再出口,在境外與綜合保稅區等海關(guān)特殊監管區域之間進(jìn)出,或者在境外與出口監管倉庫、保稅物流中心等保稅監管場(chǎng)所之間進(jìn)出的,適用前款規定。

第三十三條 進(jìn)口商用密碼進(jìn)口許可清單中的商用密碼或者出口商用密碼出口管制清單中的商用密碼時(shí),應當向海關(guān)交驗進(jìn)出口許可證,并按照國家有關(guān)規定辦理報關(guān)手續。

進(jìn)出口經(jīng)營(yíng)者未向海關(guān)交驗進(jìn)出口許可證,海關(guān)有證據表明進(jìn)出口產(chǎn)品可能屬于商用密碼進(jìn)口許可清單或者出口管制清單范圍的,應當向進(jìn)出口經(jīng)營(yíng)者提出質(zhì)疑;海關(guān)可以向國務(wù)院商務(wù)主管部門(mén)提出組織鑒別,并根據國務(wù)院商務(wù)主管部門(mén)會(huì )同國家密碼管理部門(mén)作出的鑒別結論依法處置。在鑒別或者質(zhì)疑期間,海關(guān)對進(jìn)出口產(chǎn)品不予放行。

第三十四條 申請商用密碼進(jìn)出口許可,應當向國務(wù)院商務(wù)主管部門(mén)提出書(shū)面申請,并提交下列材料:

(一)申請人的法定代表人、主要經(jīng)營(yíng)管理人以及經(jīng)辦人的身份證明;

(二)合同或者協(xié)議的副本;

(三)商用密碼的技術(shù)說(shuō)明;

(四)最終用戶(hù)和最終用途證明;

(五)國務(wù)院商務(wù)主管部門(mén)規定提交的其他文件。

國務(wù)院商務(wù)主管部門(mén)應當自受理申請之日起45個(gè)工作日內,會(huì )同國家密碼管理部門(mén)對申請進(jìn)行審查,并依法作出是否準予許可的決定。

對國家安全、社會(huì )公共利益或者外交政策有重大影響的商用密碼出口,由國務(wù)院商務(wù)主管部門(mén)會(huì )同國家密碼管理部門(mén)等有關(guān)部門(mén)報國務(wù)院批準。報國務(wù)院批準的,不受前款規定時(shí)限的限制。


第六章 應用促進(jìn)


第三十五條 國家鼓勵公民、法人和其他組織依法使用商用密碼保護網(wǎng)絡(luò )與信息安全,鼓勵使用經(jīng)檢測認證合格的商用密碼。

任何組織或者個(gè)人不得竊取他人加密保護的信息或者非法侵入他人的商用密碼保障系統,不得利用商用密碼從事危害國家安全、社會(huì )公共利益、他人合法權益等違法犯罪活動(dòng)。

第三十六條 國家支持網(wǎng)絡(luò )產(chǎn)品和服務(wù)使用商用密碼提升安全性,支持并規范商用密碼在信息領(lǐng)域新技術(shù)、新業(yè)態(tài)、新模式中的應用。

第三十七條 國家建立商用密碼應用促進(jìn)協(xié)調機制,加強對商用密碼應用的統籌指導。國家機關(guān)和涉及商用密碼工作的單位在其職責范圍內負責本機關(guān)、本單位或者本系統的商用密碼應用和安全保障工作。

密碼管理部門(mén)會(huì )同有關(guān)部門(mén)加強商用密碼應用信息收集、風(fēng)險評估、信息通報和重大事項會(huì )商,并加強與網(wǎng)絡(luò )安全監測預警和信息通報的銜接。

第三十八條 法律、行政法規和國家有關(guān)規定要求使用商用密碼進(jìn)行保護的關(guān)鍵信息基礎設施,其運營(yíng)者應當使用商用密碼進(jìn)行保護,制定商用密碼應用方案,配備必要的資金和專(zhuān)業(yè)人員,同步規劃、同步建設、同步運行商用密碼保障系統,自行或者委托商用密碼檢測機構開(kāi)展商用密碼應用安全性評估。

前款所列關(guān)鍵信息基礎設施通過(guò)商用密碼應用安全性評估方可投入運行,運行后每年至少進(jìn)行一次評估,評估情況按照國家有關(guān)規定報送國家密碼管理部門(mén)或者關(guān)鍵信息基礎設施所在地省、自治區、直轄市密碼管理部門(mén)備案。

第三十九條 法律、行政法規和國家有關(guān)規定要求使用商用密碼進(jìn)行保護的關(guān)鍵信息基礎設施,使用的商用密碼產(chǎn)品、服務(wù)應當經(jīng)檢測認證合格,使用的密碼算法、密碼協(xié)議、密鑰管理機制等商用密碼技術(shù)應當通過(guò)國家密碼管理部門(mén)審查鑒定。

第四十條 關(guān)鍵信息基礎設施的運營(yíng)者采購涉及商用密碼的網(wǎng)絡(luò )產(chǎn)品和服務(wù),可能影響國家安全的,應當依法通過(guò)國家網(wǎng)信部門(mén)會(huì )同國家密碼管理部門(mén)等有關(guān)部門(mén)組織的國家安全審查。

第四十一條 網(wǎng)絡(luò )運營(yíng)者應當按照國家網(wǎng)絡(luò )安全等級保護制度要求,使用商用密碼保護網(wǎng)絡(luò )安全。國家密碼管理部門(mén)根據網(wǎng)絡(luò )的安全保護等級,確定商用密碼的使用、管理和應用安全性評估要求,制定網(wǎng)絡(luò )安全等級保護密碼標準規范。

第四十二條 商用密碼應用安全性評估、關(guān)鍵信息基礎設施安全檢測評估、網(wǎng)絡(luò )安全等級測評應當加強銜接,避免重復評估、測評。


第七章 監督管理


第四十三條 密碼管理部門(mén)依法組織對商用密碼活動(dòng)進(jìn)行監督檢查,對國家機關(guān)和涉及商用密碼工作的單位的商用密碼相關(guān)工作進(jìn)行指導和監督。

第四十四條 密碼管理部門(mén)和有關(guān)部門(mén)建立商用密碼監督管理協(xié)作機制,加強商用密碼監督、檢查、指導等工作的協(xié)調配合。

第四十五條 密碼管理部門(mén)和有關(guān)部門(mén)依法開(kāi)展商用密碼監督檢查,可以行使下列職權:

(一)進(jìn)入商用密碼活動(dòng)場(chǎng)所實(shí)施現場(chǎng)檢查;

(二)向當事人的法定代表人、主要負責人和其他有關(guān)人員調查、了解有關(guān)情況;

(三)查閱、復制有關(guān)合同、票據、賬簿以及其他有關(guān)資料。

第四十六條 密碼管理部門(mén)和有關(guān)部門(mén)推進(jìn)商用密碼監督管理與社會(huì )信用體系相銜接,依法建立推行商用密碼經(jīng)營(yíng)主體信用記錄、信用分級分類(lèi)監管、失信懲戒以及信用修復等機制。

第四十七條 商用密碼檢測、認證機構和電子政務(wù)電子認證服務(wù)機構及其工作人員,應當對其在商用密碼活動(dòng)中所知悉的國家秘密和商業(yè)秘密承擔保密義務(wù)。

密碼管理部門(mén)和有關(guān)部門(mén)及其工作人員不得要求商用密碼科研、生產(chǎn)、銷(xiāo)售、服務(wù)、進(jìn)出口等單位和商用密碼檢測、認證機構向其披露源代碼等密碼相關(guān)專(zhuān)有信息,并對其在履行職責中知悉的商業(yè)秘密和個(gè)人隱私嚴格保密,不得泄露或者非法向他人提供。

第四十八條 密碼管理部門(mén)和有關(guān)部門(mén)依法開(kāi)展商用密碼監督管理,相關(guān)單位和人員應當予以配合,任何單位和個(gè)人不得非法干預和阻撓。

第四十九條 任何單位或者個(gè)人有權向密碼管理部門(mén)和有關(guān)部門(mén)舉報違反本條例的行為。密碼管理部門(mén)和有關(guān)部門(mén)接到舉報,應當及時(shí)核實(shí)、處理,并為舉報人保密。


第八章 法律責任


第五十條 違反本條例規定,未經(jīng)認定向社會(huì )開(kāi)展商用密碼檢測活動(dòng),或者未經(jīng)認定從事電子政務(wù)電子認證服務(wù)的,由密碼管理部門(mén)責令改正或者停止違法行為,給予警告,沒(méi)收違法產(chǎn)品和違法所得;違法所得30萬(wàn)元以上的,可以并處違法所得1倍以上3倍以下罰款;沒(méi)有違法所得或者違法所得不足30萬(wàn)元的,可以并處10萬(wàn)元以上30萬(wàn)元以下罰款。

違反本條例規定,未經(jīng)批準從事商用密碼認證活動(dòng)的,由市場(chǎng)監督管理部門(mén)會(huì )同密碼管理部門(mén)依照前款規定予以處罰。

第五十一條 商用密碼檢測機構開(kāi)展商用密碼檢測,有下列情形之一的,由密碼管理部門(mén)責令改正或者停止違法行為,給予警告,沒(méi)收違法所得;違法所得30萬(wàn)元以上的,可以并處違法所得1倍以上3倍以下罰款;沒(méi)有違法所得或者違法所得不足30萬(wàn)元的,可以并處10萬(wàn)元以上30萬(wàn)元以下罰款;情節嚴重的,依法吊銷(xiāo)商用密碼檢測機構資質(zhì):

(一)超出批準范圍;

(二)存在影響檢測獨立、公正、誠信的行為;

(三)出具的檢測數據、結果虛假或者失實(shí);

(四)拒不報送或者不如實(shí)報送實(shí)施情況;

(五)未履行保密義務(wù);

(六)其他違反法律、行政法規和商用密碼檢測技術(shù)規范、規則開(kāi)展商用密碼檢測的情形。

第五十二條 商用密碼認證機構開(kāi)展商用密碼認證,有下列情形之一的,由市場(chǎng)監督管理部門(mén)會(huì )同密碼管理部門(mén)責令改正或者停止違法行為,給予警告,沒(méi)收違法所得;違法所得30萬(wàn)元以上的,可以并處違法所得1倍以上3倍以下罰款;沒(méi)有違法所得或者違法所得不足30萬(wàn)元的,可以并處10萬(wàn)元以上30萬(wàn)元以下罰款;情節嚴重的,依法吊銷(xiāo)商用密碼認證機構資質(zhì):

(一)超出批準范圍;

(二)存在影響認證獨立、公正、誠信的行為;

(三)出具的認證結論虛假或者失實(shí);

(四)未對其認證的商用密碼產(chǎn)品、服務(wù)、管理體系實(shí)施有效的跟蹤調查;

(五)未履行保密義務(wù);

(六)其他違反法律、行政法規和商用密碼認證技術(shù)規范、規則開(kāi)展商用密碼認證的情形。

第五十三條 違反本條例第二十條、第二十一條規定,銷(xiāo)售或者提供未經(jīng)檢測認證或者檢測認證不合格的商用密碼產(chǎn)品,或者提供未經(jīng)認證或者認證不合格的商用密碼服務(wù)的,由市場(chǎng)監督管理部門(mén)會(huì )同密碼管理部門(mén)責令改正或者停止違法行為,給予警告,沒(méi)收違法產(chǎn)品和違法所得;違法所得10萬(wàn)元以上的,可以并處違法所得1倍以上3倍以下罰款;沒(méi)有違法所得或者違法所得不足10萬(wàn)元的,可以并處3萬(wàn)元以上10萬(wàn)元以下罰款。

第五十四條 電子認證服務(wù)機構違反法律、行政法規和電子認證服務(wù)密碼使用技術(shù)規范、規則使用密碼的,由密碼管理部門(mén)責令改正或者停止違法行為,給予警告,沒(méi)收違法所得;違法所得30萬(wàn)元以上的,可以并處違法所得1倍以上3倍以下罰款;沒(méi)有違法所得或者違法所得不足30萬(wàn)元的,可以并處10萬(wàn)元以上30萬(wàn)元以下罰款;情節嚴重的,依法吊銷(xiāo)電子認證服務(wù)使用密碼的證明文件。

第五十五條 電子政務(wù)電子認證服務(wù)機構開(kāi)展電子政務(wù)電子認證服務(wù),有下列情形之一的,由密碼管理部門(mén)責令改正或者停止違法行為,給予警告,沒(méi)收違法所得;違法所得30萬(wàn)元以上的,可以并處違法所得1倍以上3倍以下罰款;沒(méi)有違法所得或者違法所得不足30萬(wàn)元的,可以并處10萬(wàn)元以上30萬(wàn)元以下罰款;情節嚴重的,責令停業(yè)整頓,直至吊銷(xiāo)電子政務(wù)電子認證服務(wù)機構資質(zhì):

(一)超出批準范圍;

(二)拒不報送或者不如實(shí)報送實(shí)施情況;

(三)未履行保密義務(wù);

(四)其他違反法律、行政法規和電子政務(wù)電子認證服務(wù)技術(shù)規范、規則提供電子政務(wù)電子認證服務(wù)的情形。

第五十六條 電子簽名人或者電子簽名依賴(lài)方因依據電子政務(wù)電子認證服務(wù)機構提供的電子簽名認證服務(wù)在政務(wù)活動(dòng)中遭受損失,電子政務(wù)電子認證服務(wù)機構不能證明自己無(wú)過(guò)錯的,承擔賠償責任。

第五十七條 政務(wù)活動(dòng)中電子簽名、電子印章、電子證照等涉及的電子認證服務(wù),違反本條例第三十條規定,未由依法設立的電子政務(wù)電子認證服務(wù)機構提供的,由密碼管理部門(mén)責令改正,給予警告;拒不改正或者有其他嚴重情節的,由密碼管理部門(mén)建議有關(guān)國家機關(guān)、單位對直接負責的主管人員和其他直接責任人員依法給予處分或者處理。有關(guān)國家機關(guān)、單位應當將處分或者處理情況書(shū)面告知密碼管理部門(mén)。

第五十八條 違反本條例規定進(jìn)出口商用密碼的,由國務(wù)院商務(wù)主管部門(mén)或者海關(guān)依法予以處罰。

第五十九條 竊取他人加密保護的信息,非法侵入他人的商用密碼保障系統,或者利用商用密碼從事危害國家安全、社會(huì )公共利益、他人合法權益等違法活動(dòng)的,由有關(guān)部門(mén)依照《中華人民共和國網(wǎng)絡(luò )安全法》和其他有關(guān)法律、行政法規的規定追究法律責任。

第六十條 關(guān)鍵信息基礎設施的運營(yíng)者違反本條例第三十八條、第三十九條規定,未按照要求使用商用密碼,或者未按照要求開(kāi)展商用密碼應用安全性評估的,由密碼管理部門(mén)責令改正,給予警告;拒不改正或者有其他嚴重情節的,處10萬(wàn)元以上100萬(wàn)元以下罰款,對直接負責的主管人員處1萬(wàn)元以上10萬(wàn)元以下罰款。

第六十一條 關(guān)鍵信息基礎設施的運營(yíng)者違反本條例第四十條規定,使用未經(jīng)安全審查或者安全審查未通過(guò)的涉及商用密碼的網(wǎng)絡(luò )產(chǎn)品或者服務(wù)的,由有關(guān)主管部門(mén)責令停止使用,處采購金額1倍以上10倍以下罰款;對直接負責的主管人員和其他直接責任人員處1萬(wàn)元以上10萬(wàn)元以下罰款。

第六十二條 網(wǎng)絡(luò )運營(yíng)者違反本條例第四十一條規定,未按照國家網(wǎng)絡(luò )安全等級保護制度要求使用商用密碼保護網(wǎng)絡(luò )安全的,由密碼管理部門(mén)責令改正,給予警告;拒不改正或者導致危害網(wǎng)絡(luò )安全等后果的,處1萬(wàn)元以上10萬(wàn)元以下罰款,對直接負責的主管人員處5000元以上5萬(wàn)元以下罰款。

第六十三條 無(wú)正當理由拒不接受、不配合或者干預、阻撓密碼管理部門(mén)、有關(guān)部門(mén)的商用密碼監督管理的,由密碼管理部門(mén)、有關(guān)部門(mén)責令改正,給予警告;拒不改正或者有其他嚴重情節的,處5萬(wàn)元以上50萬(wàn)元以下罰款,對直接負責的主管人員和其他直接責任人員處1萬(wàn)元以上10萬(wàn)元以下罰款;情節特別嚴重的,責令停業(yè)整頓,直至吊銷(xiāo)商用密碼許可證件。

第六十四條 國家機關(guān)有本條例第六十條、第六十一條、第六十二條、第六十三條所列違法情形的,由密碼管理部門(mén)、有關(guān)部門(mén)責令改正,給予警告;拒不改正或者有其他嚴重情節的,由密碼管理部門(mén)、有關(guān)部門(mén)建議有關(guān)國家機關(guān)對直接負責的主管人員和其他直接責任人員依法給予處分或者處理。有關(guān)國家機關(guān)應當將處分或者處理情況書(shū)面告知密碼管理部門(mén)、有關(guān)部門(mén)。

第六十五條 密碼管理部門(mén)和有關(guān)部門(mén)的工作人員在商用密碼工作中濫用職權、玩忽職守、徇私舞弊,或者泄露、非法向他人提供在履行職責中知悉的商業(yè)秘密、個(gè)人隱私、舉報人信息的,依法給予處分。

第六十六條 違反本條例規定,構成犯罪的,依法追究刑事責任;給他人造成損害的,依法承擔民事責任。


第九章 附  則


第六十七條 本條例自2023年7月1日起施行。





文章來(lái)源:商密君

Image
Image
版權所有:山西科信源科技股份有限公司
咨詢(xún)熱線(xiàn):0351-4073466?
地址:(北區)山西省太原市迎澤區新建南路文源巷24號文源公務(wù)中心5層
? ? ? ? ? ?(南區)太原市小店區南中環(huán)街529 號清控創(chuàng )新基地A座4層
Image
?2021 山西科信源信息科技有限公司 晉ICP備15000945號 技術(shù)支持 - 資??萍技瘓F