
商用密码应用安全性评估管理办法(试行)
第一章 总则
第一条 为规范重要领域网络和信息系统商用密码应用安全性评估工作,
发挥密码在保障网络安全中的核心支撑作用,根据《中华人民共和国网络安全法》、
《商用密码管理条例》以及国家关于网络安全等级保护和重要领域密码应用的有
关要求,制定本办法。
第二条 本办法所称商用密码应用安全性评估,是指在采用商用密码技术、
产品和服务集成建设的网络和信息系统中,对其密码应用的合规性、正确性和有
效性等进行评估。
第三条 涉及国家安全和社会公共利益的重要领域网络和信息系统的建设、
使用、管理单位(以下简称责任单位), 应当健全密码保障体系,实施商用密码
应用安全性评估。重要领域网络和信息系统包括:基础信息网络、涉及国计民生
和基础信息资源的重要信息系统、重要工业控制系统、面向社会服务的政务信息
系统,以及关键信息基础设施、网络安全等级保护第三级及以上的信息系统。
第四条 国家密码管理部门负责指导、监督和检查全国商用密码应用安全
性评估工作。
省(部)密码管理部门负责指导、监督和检查本地区、本部门、本行业(系统)
商用密码应用安全性评估工作。
第二章 评估程序
第五条 责任单位应当在系统规划、建设和运行阶段,组织开展商用密码应
用安全性评估工作。
第六条 商用密码应用安全性评估工作由国家密码管理部门认定的密码测
评机构(以下简称测评机构)承担,国家密码管理部门定期发布测评机构目录。
国家密码管理部门会同国务院公安部门制定测评机构的有关技术与管理规
范,组织测评机构业务培训。
第七条 评估工作应当遵守国家法律法规和相关标准,遵循独立、客观、公
正的原则。
国家标准化管理部门、国家密码管理部门根据各自职责,制定发布商用密码