5.关键信息基础设施商用密码使用管理规定（征求意见稿）.pdfVIP

关键信息基础设施商用密码使用管理规定

（征求意见稿）

第一条【目的依据】为了规范关键信息基础设施商用

密码使用，保护关键信息基础设施安全，根据《中华人民共

和国密码法》、《中华人民共和国网络安全法》、《中华人

民共和国数据安全法》、《中华人民共和国个人信息保护法》、

《商用密码管理条例》和《关键信息基础设施安全保护条

例》、《网络数据安全管理条例》等有关法律、行政法规，

制定本规定。

第二条【适用范围】依据《中华人民共和国网络安全

法》、《关键信息基础设施安全保护条例》等法律、行政法

规和国家有关规定认定的关键信息基础设施的商用密码使

用管理，适用本规定。

第三条【管理部门职责】国家密码管理部门会同国家

网信部门、国务院公安部门负责规划、指导和监督全国的关

键信息基础设施商用密码使用管理工作，建立关键信息基础

设施商用密码使用管理信息共享机制。

县级以上地方各级密码管理部门会同网信部门、公安机

关负责指导和监督本行政区域的关键信息基础设施商用密

码使用管理工作。

第四条【保护工作部门职责】关键信息基础设施保护

工作部门（以下简称保护工作部门）在职责范围内负责监督

－1－

管理本行业、本领域关键信息基础设施商用密码使用工作，

单独编制本行业、本领域商用密码使用规划或者纳入本行

业、本领域的关键信息基础设施安全规划并组织实施，指导

本行业、本领域关键信息基础设施运营者（以下简称运营者）

做好商用密码相关制度、人员、经费等保障。

保护工作部门应当于每年3月31日前向国家密码管理

部门、国家网信部门、国务院公安部门报告上一年度本行业、

本领域关键信息基础设施商用密码使用管理情况。

关键信息基础设施发生涉及商用密码的重大网络安全

事件或者发现涉及商用密码的重大网络安全威胁时，保护工

作部门应当及时向国家密码管理部门报告。

第五条【运营者总体责任】运营者应当按照相关法律、

行政法规和国家有关规定，遵循国家商用密码管理、网络安

全等级保护、关键信息基础设施安全保护等制度要求，使用

商用密码保护关键信息基础设施，同步规划、同步建设、同

步运行商用密码保障系统，并定期开展商用密码应用安全性

评估。

运营者应当于每年1月31日前向所属的保护工作部门

报告上一年度关键信息基础设施商用密码使用情况。

第六条【制度保障】运营者应当加强关键信息基础设

施商用密码使用制度保障，建立商用密码使用、应急处置、

重大事件报告等关键信息基础设施商用密码使用管理制度。

运营者的主要负责人对关键信息基础设施商用密码使

用管理负总责，负责关键信息基础设施商用密码使用和涉及

－2－

商用密码的重大网络安全事件处置工作。

第七条【人员保障】运营者应当加强关键信息基础设

施商用密码使用人员保障，配备取得密码相关专业学历或者

密码相关国家职业技能等级认定证书的专业人员分别承担

密钥管理员、密码操作员等职责，配备具有安全审计专业能

力的人员承担密码安全审计员职责。

运营者应当对密码相关专业人员进行安全背景审查，并

定期组织其参加密码相关业务技能培训，提高密码相关专业

人员的商用密码使用能力。

第八条【经费保障】运营者应当加强关键信息基础设

施商用密码使用和应用安全性评估经费保障，将商用密码使

用和应用安全性评估经费纳入网络安全和信息化经费安排。

第九条【商用密码技术、产品、服务使用要求】关键

信息基础设施使用的商用密码产品、服务应当经检测认证合

格，使用的密码算法、密码协议、密钥管理机制等商用密码

技术应当通过国家密码管理部门审查鉴定。为关键信息基础

设施提供的商用密码服务，其商用密码使用要求应当不低于

其服务的关键信息基础设施。

运营者采购涉及商用密码的网络产品和服务，影响或者

可能影响国家安全的，应当按照《网络安全审查办法》进行

网络安全审查。

第十条【数据安全保护、个人信息保护要求】关键信

息基础设施应当按照国家数据安全保护、个人信息保护有关

要求，使用商用密码对其存储、使用、传输的核心数据、重

－