回顾盘点《商用密码管理条例（修订草案征求意见稿）》之变化

《条例》1999年版的颁布时间早于《密码法》，因此并未明确规定上位法依据。由于《密码法》的颁布实施，商用密码管理作为我国密码管理中的组织部分，其管理规范以《密码法》为上位法也是应有之义。而且，《条例》（征求意见稿）重点规定的检测认证、电子认证、进出口管理制度也与《密码法》相关内容相互呼应，进一步落实了《密码法》的管理要求。

根据《密码法》确立的密码领域职能转变和“放管服”改革，在立法宗旨上，《条例》（征求意见稿）更加突出促进商用密码事业发展的目的。我们可以看到《条例》（征求意见稿）以专章规定“科技创新与标准化”“应用与促进”等内容，体现了促进商用密码事业发展的立法目的。同时，相较于《条例》1999年版，《条例》（征求意见稿）将“维护国家安全和社会公共利益”放在“保护公民、法人和其他组织的合法权益”之前，强调对国家安全和社会公共利益的保护，《条例》（征求意见稿）中所规定的国家安全审查、外商投资安全审查、进口许可与出口管制等内容均体现了这一目的。

《条例》1999年版对密码管理实行的是国家和省级两级管理体制，第4条规定“国家密码管理委员会及其办公室(以下简称国家密码管理机构)主管全国的商用密码管理工作。省、自治区、直辖市负责密码管理的机构根据国家密码管理机构的委托，承担商用密码的有关管理工作。”

《条例（征求意见稿）》沿袭《密码法》，实际上确定了“四级管理+专项管理”的体制，即国家、省级、市、县负责相应行政区域的商用密码工作，国家网信、商务、海关、市场监督管理等有关部门在各自职责范围内，负责商用密码有关管理工作[1]。

在我国现行密码管理体系下，密码分为核心密码、普通密码和商用密码。其中，核心密码、普通密码用于保护国家秘密信息，商用密码用于保护不属于国家秘密的信息。《条例》1999年版第2条规定，“本条例所称商用密码，是指对不涉及国家秘密内容的信息进行加密保护或者安全认证所使用的密码技术和密码产品。”这里的商用密码主要是指商用密码技术和商用密码产品。

《密码法》进一步扩展了密码的范围与边界，将“服务”纳入密码的范围[2]，因此《条例》（征求意见稿）也沿袭《密码法》的立法思路，不仅规制“商用密码技术和商用密码产品”，也将“商用密码服务”纳入规制范围[3]。

在《条例》1999年版规定商用密码技术属于国家秘密，使用商用密码技术的主体要遵守与国家秘密相关的所有法律规定。《密码法》的出台改变了上述状况，不再规定商用密码技术本身为国家秘密，不将商用秘密技术纳入国家秘密的管理体系。公民、法人和其他组织可以依法使用商用密码保护网络与信息安全[4]。

而《条例》（征求意见稿）进一步规定商用密码技术的安全性审查要求，规定“国家密码管理部门根据商用密码应用需求或者安全需要，组织对密码算法、密码协议、密钥管理机制等商用密码技术进行安全性审查，通过安全性审查的，列入商用密码技术指导目录。”[5]。而且，对于非涉密的关键信息基础设施、网络安全等级保护第三级以上网络、国家政务信息系统等网络与信息系统，还要求使用列入商用密码技术指导目录的商用密码技术[6]。

随着《密码法》的出台，我国商用密码产品的管理制度经历了“审批制”到“检测认证制”的过程，具体如下：

在《密码法》体系下，对商用密码认证检测可以分为三个部分：一是强制检测、认证，对于涉及国家安全、国计民生、社会公共利益的商用密码产品，应被依法列入网络关键设备和网络安全专用产品目录，由具备资格的机构检测认证合格后，方可销售或者提供[8]；二是自愿检测认证，对于不涉及国家安全、国计民生、社会公共利益的商用密码产品，鼓励商用密码从业单位自愿接受商用密码检测认证，提升市场竞争力[9]；三是商用密码服务使用网络关键设备和网络安全专用产品的，应当经商用密码认证机构对该商用密码服务认证合格[10]。

《条例》（征求意见稿）除了沿袭《密码法》上述要求，更为重要的是对商用密码产品检测与认证机构的资质要求、申请流程、主管机构、监督管理进行具体规定，具体如下：

《条例》（征求意见稿）规定了电子认证服务和电子政务电子认证服务的内容：

根据《中华人民共和国电子签名法》（“《电子签名法》”），可靠的电子签名与手写签名或者盖章具有同等的法律效力[11]。由于电子认证服务提供者在开展电子认证服务中会使用密码，因此《电子签名法》第17条[12]规定提供电子认证服务的条件，其中之一就包括具有国家密码管理机构同意使用密码的证明文件。国家密码管理局最早于2005年发布《电子认证密码管理办法》，要求提供电子认证服务，应当申请《电子认证服务使用密码许可证》，该《许可证》即为《电子签名法》第17条规定的国家密码管理机构同意使用密码的证明文件。

《条例》（征求意见稿）相应规定采用商用密码技术提供电子认证服务所应具备的条件（同样包括依法取得国家秘密管理部门同意使用密码的证明文件）。

电子政务电子认证服务指电子认证服务机构采用商用密码技术，通过数据证书，为各级政务部门开展社会管理、公共服务等政务活动提供的电子认证服务[13]。《密码法》第29条规定，“国家密码管理部门对采用商用密码技术从事电子政务电子认证服务的机构进行认定，会同有关部门负责政务活动中使用电子签名、数据电文的管理。”

《条例》（征求意见稿）进一步落实《密码法》的规定，电子政务电子认证服务机构应经国家密码管理部门认定，并取得相应资质[14]；同时，《条例》（征求意见稿）也规定了取得电子政务电子认证服务机构资质应取得的条件、资质申请流程等[15]。如果外商投资电子政务电子认证服务，影响或可能影响国家安全的，还应当依法进行外商投资安全审查[16]，这也与《中华人民共和国外商投资法》（“《外商投资法》”）第35条规定的外商投资安全审查制度[17]相衔接。

随着《密码法》的出台，我国对于商用密码进出口从“批准制”转变为“进口许可清单和出口管制清单制度”，具体如下：

《条例》（征求意见稿）进一步落实《密码法》的要求，规定商用密码进口许可和商用密码出口管制的内容。同时，《条例》（征求意见稿）还增加规定了“进口《商用密码进口许可清单》或者出口《商用密码出口管制清单》中的商用密码，应当向国务院商务主管部门申请领取两用物项[18]进出口许可证”的内容，与我国目前正在制定的《出口管制法》相互呼应。在具体执法过程中，采取海关与国务院商务主管部门、国家密码管理部门联动执法的机制：未向海关交验两用物项进出口许可证，海关有证据表明进出口产品可能属于商用密码进口许可或者出口管制范围的，应当向进出口经营者提出质疑；海关可以向国务院商务主管部门、国家密码管理部门提出组织鉴别，并根据鉴别结论依法处置；海关还可以在鉴别或者质疑期间，对进出口产品不予放行[19]。

在等保2.0体系下，不同等级的网络在使用密码技术和密码产品上有不同的要求。以等保三级为例（一般商业运营系统最为广泛适用的级别），安全通用要求中规定必须使用国家密码管理主管部门认证核准的密码技术和产品[20]；《网络安全等级保护条例（征求意见稿）》第47条也规定，第三级以上网络应当采用密码保护，并使用国家密码管理部门认可的密码技术、产品和服务。

《条例》（征求意见稿）直接体现了上述等保2.0的要求，对于网络安全等级保护第三级以上网络，要求运营者应当使用商用密码进行保护。但是由于等保2.0国家标准仅为推荐性标准，并不具备强制力，因此若《条例》（征求意见稿）生效，将会将网络安全等级保护的推荐性的要求上升为具有强制力的国家规范。

同时，《条例》（征求意见稿）也将商用密码应用安全性评估的范围予以扩展，《密码法》第27条仅规定使用商用密码进行保护的关键信息基础设施，自行或者委托商用密码检测机构开展商用密码应用安全性评估。而在《条例》（征求意见稿）中，非涉密的关键信息基础设施、网络安全等级保护第三级以上网络、国家政务信息系统等网络与信息系统都被要求“自行或者委托商用密码检测机构开展商用密码应用安全性评估”。此外，《条例》（征求意见稿）对于商用密码保障系统的同步规划、同步建设、同步运行也与《网络安全等级保护条例（征求意见稿）》第4条的理念一致[21]。

对于非涉密的关键信息基础设施，《条例》（征求意见稿）规定运营者应履行使用商用密码进行保护、开展商用密码应用安全性评估、使用列入商用密码技术指导目录的商用密码技术、采购网络产品和服务的国家安全审查等义务[22]。《网络安全法》规定关键信息基础设施安全检测评估的内容，为了避免重复评估、测评，《条例》（征求意见稿）也要求商用密码应用安全性评估、关键信息基础设施安全检测评估、网络安全等级测评应当加强衔接。但是，对于是否开展某一项评估就无须开展其他两项评估、测评，仍有待主管机构的进一步澄清。

《条例》（征求意见稿）沿袭《密码法》规定关键信息基础设施运营者的国家安全审查内容，即关键信息基础设施的运营者采购涉及商用密码的网络产品和服务，可能影响国家安全的，应当依法通过国家网信部门会同国家密码管理部门等有关部门组织的国家安全审查。

2020年4月13日，国家网信办等12部门联合发布《网络安全审查办法》，对于网络安全审查的适用对象、审查机构、审查程序、审查要素等进行规定，因此对于关键信息基础设施运营者采购涉及商用密码的网络产品和服务的国家安全审查，应与《网络安全审查办法》相互衔接，遵循《网络安全审查办法》的要求。

如上文所述，《条例》（征求意见稿）将促进商用密码事业发展作为立法宗旨，因此规定了一系列商用密码应用与促进的内容，例如：

1. 建立健全商用密码科学技术创新促进机制[23]；

    

2. 保护商用密码领域的知识产权[24]；

    

3. 建立商用密码标准实施信息反馈和评估机制，对商用密码标准实施进行监督检查[25]；

    

4. 推动参与商用密码国际标准化活动，参与制定商用密码国际标准，推进商用密码中国标准与国外标准之间的转化运用，鼓励企业、社会团体和教育、科研机构等参与商用密码国际标准化活动[26]；

    

5. 建立商用密码应用促进协调机制，加强对商用密码应用的统筹指导[27]；

    

6. 支持网络产品、服务使用商用密码提升安全性，支持并规范商用密码在信息领域新技术、新业态、新模式中的应用等[28]。

如果《条例》（征求意见稿）生效，预计上述应用与促进措施也会有相应的细化规则和落地机制，我们也将持续关注。

相较于《条例》1999年版注重事前审批的管理，《条例》（征求意见稿）顺应“放管服”、普遍性取消审批的要求，转化监管思路，更加注重商用密码的全生命周期管理，而不是放松监管。监管思路的转变的突出标志之一就是加强监管检查的内容，《条例》（征求意见稿）第43条赋予密码管理部门和有关部门丰富的监督检查职权，包括现场检查、查阅或复制有关资料、查封或者扣押等[29]。而且，《条例》（征求意见稿）也着力推进商用密码监督管理与社会信用体系相衔接，要求依法建立推行商用密码市场主体信息记录、信用分类分级监管、失信惩戒以及信用修复等机制[30]。

总体上，由于《密码法》对《条例》1999年版进行了结构性的重塑，《条例》（征求意见稿）与《条例》1999年版相比，在结构、内容上均有大幅度的变化，以贯彻落实《密码法》中的有关商用密码管理具体制度。而且，《条例》（征求意见稿）也与《网络安全法》《电子签名法》《外商投资法》《网络安全审查办法》及正在制定的《出口管制法》等相互链接、相互呼应。由于《条例》（征求意见稿）是商用密码管理制度的基本制度，有着重要影响，因此我们也将持续关注《条例》（征求意见稿）的立法进展，帮助相关企业及时了解商用密码管理的最新趋势。