Положение об управлении коммерческими шифрами

商用密码管理条例

（1999年10月7日中华人民共和国国务院令第273号

发布2023年4月27日中华人民共和国国务院令第760

号修订）

第一章总则

第一条为了规范商用密码应用和管理，鼓励和促进商用密

码产业发展，保障网络与信息安全，维护国家安全和社会公共利

益，保护公民、法人和其他组织的合法权益，根据《中华人民共

和国密码法》等法律，制定本条例。

第二条在中华人民共和国境内的商用密码科研、生产、销

售、服务、检测、认证、进出口、应用等活动及监督管理，适用

本条例。

本条例所称商用密码，是指采用特定变换的方法对不属于国

家秘密的信息等进行加密保护、安全认证的技术、产品和服务。

第三条坚持中国共产党对商用密码工作的领导，贯彻落实

总体国家安全观。国家密码管理部门负责管理全国的商用密码工

作。县级以上地方各级密码管理部门负责管理本行政区域的商用

密码工作。

网信、商务、海关、市场监督管理等有关部门在各自职责范

围内负责商用密码有关管理工作。

第四条国家加强商用密码人才培养，建立健全商用密码人

才发展体制机制和人才评价制度，鼓励和支持密码相关学科和专

业建设，规范商用密码社会化培训，促进商用密码人才交流。

第五条各级人民政府及其有关部门应当采取多种形式加

强商用密码宣传教育，增强公民、法人和其他组织的密码安全意

识。

第六条商用密码领域的学会、行业协会等社会组织依照法

律、行政法规及其章程的规定，开展学术交流、政策研究、公共

服务等活动，加强学术和行业自律，推动诚信建设，促进行业健

康发展。

密码管理部门应当加强对商用密码领域社会组织的指导和

支持。

第二章科技创新与标准化

第七条国家建立健全商用密码科学技术创新促进机制，支

持商用密码科学技术自主创新，对作出突出贡献的组织和个人按

照国家有关规定予以表彰和奖励。

国家依法保护商用密码领域的知识产权。从事商用密码活

动，应当增强知识产权意识，提高运用、保护和管理知识产权的

能力。

国家鼓励在外商投资过程中基于自愿原则和商业规则开展

商用密码技术合作。行政机关及其工作人员不得利用行政手段强

制转让商用密码技术。

第八条国家鼓励和支持商用密码科学技术成果转化和产

业化应用，建立和完善商用密码科学技术成果信息汇交、发布和

应用情况反馈机制。

第九条国家密码管理部门组织对法律、行政法规和国家有

关规定要求使用商用密码进行保护的网络与信息系统所使用的密

码算法、密码协议、密钥管理机制等商用密码技术进行审查鉴定。

第十条国务院标准化行政主管部门和国家密码管理部门

依据各自职责，组织制定商用密码国家标准、行业标准，对商用

密码团体标准的制定进行规范、引导和监督。国家密码管理部门

依据职责，建立商用密码标准实施信息反馈和评估机制，对商用

密码标准实施进行监督检查。

国家推动参与商用密码国际标准化活动，参与制定商用密码

国际标准，推进商用密码中国标准与国外标准之间的转化运用，

鼓励企业、社会团体和教育、科研机构等参与商用密码国际标准

化活动。

其他领域的标准涉及商用密码的，应当与商用密码国家标

准、行业标准保持协调。

第十一条从事商用密码活动，应当符合有关法律、行政法

规、商用密码强制性国家标准，以及自我声明公开标准的技术要

求。

国家鼓励在商用密码活动中采用商用密码推荐性国家标准、

行业标准，提升商用密码的防护能力，维护用户的合法权益。

第三章检测认证

第十二条国家推进商用密码检测认证体系建设，鼓励在商

用密码活动中自愿接受商用密码检测认证。

第十三条从事商用密码产品检测、网络与信息系统商用密

码应用安全性评估等商用密码检测活动，向社会出具具有证明作

用的数据、结果的机构，应当经国家密码管理部门认定，依法取

得商用密码检测机构资质。

第十四条取得商用密码检测机构资质，应当符合下列条

件：

（一）具有法人资格；

（二）具有与从事商用密码检测活动相适应的资金、场所、

设备设施、专业人员和专业能力；

（三）具有保证商用密码检测活动有效运行的管理体系。

第十五条申请商用密码检测机构资质，应当向国家密码管

理部门提出书面申请，并提交符合本条例第十四条规定条件的材

料。

国家密码管理部门应当自受理申请之日起20个工作日内，

对申请进行审查，并依法作出是否准予认定的决定。

需要对申请人进行技术评审的，技术评审所需时间不计算在

本条规定的期限内。国家密码管理部门应当将所需时间书面告知

申请人。

第十六条商用密码检测机构应当按照法律、行政法规和商

用密码检测技术规范、规则，在批准范围内独立、公正、科学、

诚信地开展商用密码检测，对出具的检测数据、结果负责，并定

期向国家密码管理部门报送检测实施情况。

商用密码检测技术规范、规则由国家密码管理部门制定并公

布。

第十七条国务院市场监督管理部门会同国家密码管理部

门建立国家统一推行的商用密码认证制度，实行商用密码产品、

服务、管理体系认证，制定并公布认证目录和技术规范、规则。

第十八条从事商用密码认证活动的机构，应当依法取得商

用密码认证机构资质。

申请商用密码认证机构资质，应当向国务院市场监督管理部

门提出书面申请。申请人除应当符合法律、行政法规和国家有关

规定要求的认证机构基本条件外，还应当具有与从事商用密码认

证活动相适应的检测、检查等技术能力。

国务院市场监督管理部门在审查商用密码认证机构资质申

请时，应当征求国家密码管理部门的意见。

第十九条商用密码认证机构应当按照法律、行政法规和商

用密码认证技术规范、规则，在批准范围内独立、公正、科学、

诚信地开展商用密码认证，对出具的认证结论负责。

商用密码认证机构应当对其认证的商用密码产品、服务、管

理体系实施有效的跟踪调查，以保证通过认证的商用密码产品、

服务、管理体系持续符合认证要求。

第二十条涉及国家安全、国计民生、社会公共利益的商用

密码产品，应当依法列入网络关键设备和网络安全专用产品目录，

由具备资格的商用密码检测、认证机构检测认证合格后，方可销

售或者提供。

第二十一条商用密码服务使用网络关键设备和网络安全

专用产品的，应当经商用密码认证机构对该商用密码服务认证合

格。

第四章电子认证

第二十二条采用商用密码技术提供电子认证服务，应当具

有与使用密码相适应的场所、设备设施、专业人员、专业能力和

管理体系，依法取得国家密码管理部门同意使用密码的证明文件。

第二十三条电子认证服务机构应当按照法律、行政法规和

电子认证服务密码使用技术规范、规则，使用密码提供电子认证

服务，保证其电子认证服务密码使用持续符合要求。

电子认证服务密码使用技术规范、规则由国家密码管理部门

制定并公布。

第二十四条采用商用密码技术从事电子政务电子认证服

务的机构，应当经国家密码管理部门认定，依法取得电子政务电

子认证服务机构资质。

第二十五条取得电子政务电子认证服务机构资质，应当符

合下列条件：

（一）具有企业法人或者事业单位法人资格；

（二）具有与从事电子政务电子认证服务活动及其使用密码

相适应的资金、场所、设备设施和专业人员；

（三）具有为政务活动提供长期电子政务电子认证服务的能

力；

（四）具有保证电子政务电子认证服务活动及其使用密码安

全运行的管理体系。

第二十六条申请电子政务电子认证服务机构资质，应当向

国家密码管理部门提出书面申请，并提交符合本条例第二十五条

规定条件的材料。

国家密码管理部门应当自受理申请之日起20个工作日内，

对申请进行审查，并依法作出是否准予认定的决定。

需要对申请人进行技术评审的，技术评审所需时间不计算在

本条规定的期限内。国家密码管理部门应当将所需时间书面告知

申请人。

第二十七条外商投资电子政务电子认证服务，影响或者可

能影响国家安全的，应当依法进行外商投资安全审查。

第二十八条电子政务电子认证服务机构应当按照法律、行

政法规和电子政务电子认证服务技术规范、规则，在批准范围内

提供电子政务电子认证服务，并定期向主要办事机构所在地省、

自治区、直辖市密码管理部门报送服务实施情况。

电子政务电子认证服务技术规范、规则由国家密码管理部门

制定并公布。

第二十九条国家建立统一的电子认证信任机制。国家密码

管理部门负责电子认证信任源的规划和管理，会同有关部门推动

电子认证服务互信互认。

第三十条密码管理部门会同有关部门负责政务活动中使

用电子签名、数据电文的管理。

政务活动中电子签名、电子印章、电子证照等涉及的电子认

证服务，应当由依法设立的电子政务电子认证服务机构提供。

第五章进出口

第三十一条涉及国家安全、社会公共利益且具有加密保护

功能的商用密码，列入商用密码进口许可清单，实施进口许可。

涉及国家安全、社会公共利益或者中国承担国际义务的商用密码，

列入商用密码出口管制清单，实施出口管制。

商用密码进口许可清单和商用密码出口管制清单由国务院

商务主管部门会同国家密码管理部门和海关总署制定并公布。

大众消费类产品所采用的商用密码不实行进口许可和出口

管制制度。

第三十二条进口商用密码进口许可清单中的商用密码或

者出口商用密码出口管制清单中的商用密码，应当向国务院商务

主管部门申请领取进出口许可证。

商用密码的过境、转运、通运、再出口，在境外与综合保税

区等海关特殊监管区域之间进出，或者在境外与出口监管仓库、

保税物流中心等保税监管场所之间进出的，适用前款规定。

第三十三条进口商用密码进口许可清单中的商用密码或

者出口商用密码出口管制清单中的商用密码时，应当向海关交验

进出口许可证，并按照国家有关规定办理报关手续。

进出口经营者未向海关交验进出口许可证，海关有证据表明

进出口产品可能属于商用密码进口许可清单或者出口管制清单范

围的，应当向进出口经营者提出质疑；海关可以向国务院商务主

管部门提出组织鉴别，并根据国务院商务主管部门会同国家密码

管理部门作出的鉴别结论依法处置。在鉴别或者质疑期间，海关

对进出口产品不予放行。

第三十四条申请商用密码进出口许可，应当向国务院商务

主管部门提出书面申请，并提交下列材料：

（一）申请人的法定代表人、主要经营管理人以及经办人的

身份证明；

（二）合同或者协议的副本；

（三）商用密码的技术说明；

（四）最终用户和最终用途证明；

（五）国务院商务主管部门规定提交的其他文件。

国务院商务主管部门应当自受理申请之日起45个工作日内，

会同国家密码管理部门对申请进行审查，并依法作出是否准予许

可的决定。

对国家安全、社会公共利益或者外交政策有重大影响的商用

密码出口，由国务院商务主管部门会同国家密码管理部门等有关

部门报国务院批准。报国务院批准的，不受前款规定时限的限制。

第六章应用促进

第三十五条国家鼓励公民、法人和其他组织依法使用商用

密码保护网络与信息安全，鼓励使用经检测认证合格的商用密码。

任何组织或者个人不得窃取他人加密保护的信息或者非法

侵入他人的商用密码保障系统，不得利用商用密码从事危害国家

安全、社会公共利益、他人合法权益等违法犯罪活动。

第三十六条国家支持网络产品和服务使用商用密码提升

安全性，支持并规范商用密码在信息领域新技术、新业态、新模

式中的应用。

第三十七条国家建立商用密码应用促进协调机制，加强对

商用密码应用的统筹指导。国家机关和涉及商用密码工作的单位

在其职责范围内负责本机关、本单位或者本系统的商用密码应用

和安全保障工作。

密码管理部门会同有关部门加强商用密码应用信息收集、风

险评估、信息通报和重大事项会商，并加强与网络安全监测预警

和信息通报的衔接。

第三十八条法律、行政法规和国家有关规定要求使用商用

密码进行保护的关键信息基础设施，其运营者应当使用商用密码

进行保护，制定商用密码应用方案，配备必要的资金和专业人员，

同步规划、同步建设、同步运行商用密码保障系统，自行或者委

托商用密码检测机构开展商用密码应用安全性评估。

前款所列关键信息基础设施通过商用密码应用安全性评估

方可投入运行，运行后每年至少进行一次评估，评估情况按照国

家有关规定报送国家密码管理部门或者关键信息基础设施所在地

省、自治区、直辖市密码管理部门备案。

第三十九条法律、行政法规和国家有关规定要求使用商用

密码进行保护的关键信息基础设施，使用的商用密码产品、服务

应当经检测认证合格，使用的密码算法、密码协议、密钥管理机

制等商用密码技术应当通过国家密码管理部门审查鉴定。

第四十条关键信息基础设施的运营者采购涉及商用密码

的网络产品和服务，可能影响国家安全的，应当依法通过国家网

信部门会同国家密码管理部门等有关部门组织的国家安全审查。

第四十一条网络运营者应当按照国家网络安全等级保护

制度要求，使用商用密码保护网络安全。国家密码管理部门根据

网络的安全保护等级，确定商用密码的使用、管理和应用安全性

评估要求，制定网络安全等级保护密码标准规范。

第四十二条商用密码应用安全性评估、关键信息基础设施

安全检测评估、网络安全等级测评应当加强衔接，避免重复评估、

测评。

第七章监督管理

第四十三条密码管理部门依法组织对商用密码活动进行

监督检查，对国家机关和涉及商用密码工作的单位的商用密码相

关工作进行指导和监督。

第四十四条密码管理部门和有关部门建立商用密码监督

管理协作机制，加强商用密码监督、检查、指导等工作的协调配

合。

第四十五条密码管理部门和有关部门依法开展商用密码

监督检查，可以行使下列职权：

（一）进入商用密码活动场所实施现场检查；

（二）向当事人的法定代表人、主要负责人和其他有关人员

调查、了解有关情况；

（三）查阅、复制有关合同、票据、账簿以及其他有关资料。

第四十六条密码管理部门和有关部门推进商用密码监督

管理与社会信用体系相衔接，依法建立推行商用密码经营主体信

用记录、信用分级分类监管、失信惩戒以及信用修复等机制。

第四十七条商用密码检测、认证机构和电子政务电子认证

服务机构及其工作人员，应当对其在商用密码活动中所知悉的国

家秘密和商业秘密承担保密义务。

密码管理部门和有关部门及其工作人员不得要求商用密码

科研、生产、销售、服务、进出口等单位和商用密码检测、认证

机构向其披露源代码等密码相关专有信息，并对其在履行职责中

知悉的商业秘密和个人隐私严格保密，不得泄露或者非法向他人

提供。

第四十八条密码管理部门和有关部门依法开展商用密码

监督管理，相关单位和人员应当予以配合，任何单位和个人不得

非法干预和阻挠。

第四十九条任何单位或者个人有权向密码管理部门和有

关部门举报违反本条例的行为。密码管理部门和有关部门接到举

报，应当及时核实、处理，并为举报人保密。

第八章法律责任

第五十条违反本条例规定，未经认定向社会开展商用密码

检测活动，或者未经认定从事电子政务电子认证服务的，由密码

管理部门责令改正或者停止违法行为，给予警告，没收违法产品

和违法所得；违法所得30万元以上的，可以并处违法所得1倍以

上3倍以下罚款；没有违法所得或者违法所得不足30万元的，可

以并处10万元以上30万元以下罚款。

违反本条例规定，未经批准从事商用密码认证活动的，由市

场监督管理部门会同密码管理部门依照前款规定予以处罚。

第五十一条商用密码检测机构开展商用密码检测，有下列

情形之一的，由密码管理部门责令改正或者停止违法行为，给予

警告，没收违法所得；违法所得30万元以上的，可以并处违法所

得1倍以上3倍以下罚款；没有违法所得或者违法所得不足30

万元的，可以并处10万元以上30万元以下罚款；情节严重的，

依法吊销商用密码检测机构资质：

（一）超出批准范围；

（二）存在影响检测独立、公正、诚信的行为；

（三）出具的检测数据、结果虚假或者失实；

（四）拒不报送或者不如实报送实施情况；

（五）未履行保密义务；

（六）其他违反法律、行政法规和商用密码检测技术规范、

规则开展商用密码检测的情形。

第五十二条商用密码认证机构开展商用密码认证，有下列

情形之一的，由市场监督管理部门会同密码管理部门责令改正或

者停止违法行为，给予警告，没收违法所得；违法所得30万元以

上的，可以并处违法所得1倍以上3倍以下罚款；没有违法所得

或者违法所得不足30万元的，可以并处10万元以上30万元以下

罚款；情节严重的，依法吊销商用密码认证机构资质：

（一）超出批准范围；

（二）存在影响认证独立、公正、诚信的行为；

（三）出具的认证结论虚假或者失实；

（四）未对其认证的商用密码产品、服务、管理体系实施有

效的跟踪调查；

（五）未履行保密义务；

（六）其他违反法律、行政法规和商用密码认证技术规范、

规则开展商用密码认证的情形。

第五十三条违反本条例第二十条、第二十一条规定，销售

或者提供未经检测认证或者检测认证不合格的商用密码产品，或

者提供未经认证或者认证不合格的商用密码服务的，由市场监督

管理部门会同密码管理部门责令改正或者停止违法行为，给予警

告，没收违法产品和违法所得；违法所得10万元以上的，可以并

处违法所得1倍以上3倍以下罚款；没有违法所得或者违法所得

不足10万元的，可以并处3万元以上10万元以下罚款。

第五十四条电子认证服务机构违反法律、行政法规和电子

认证服务密码使用技术规范、规则使用密码的，由密码管理部门

责令改正或者停止违法行为，给予警告，没收违法所得；违法所

得30万元以上的，可以并处违法所得1倍以上3倍以下罚款；没

有违法所得或者违法所得不足30万元的，可以并处10万元以上

30万元以下罚款；情节严重的，依法吊销电子认证服务使用密码

的证明文件。

第五十五条电子政务电子认证服务机构开展电子政务电

子认证服务，有下列情形之一的，由密码管理部门责令改正或者

停止违法行为，给予警告，没收违法所得；违法所得30万元以上

的，可以并处违法所得1倍以上3倍以下罚款；没有违法所得或

者违法所得不足30万元的，可以并处10万元以上30万元以下罚

款；情节严重的，责令停业整顿，直至吊销电子政务电子认证服

务机构资质：

（一）超出批准范围；

（二）拒不报送或者不如实报送实施情况；

（三）未履行保密义务；

（四）其他违反法律、行政法规和电子政务电子认证服务技

术规范、规则提供电子政务电子认证服务的情形。

第五十六条电子签名人或者电子签名依赖方因依据电子

政务电子认证服务机构提供的电子签名认证服务在政务活动中遭

受损失，电子政务电子认证服务机构不能证明自己无过错的，承

担赔偿责任。

第五十七条政务活动中电子签名、电子印章、电子证照等

涉及的电子认证服务，违反本条例第三十条规定，未由依法设立

的电子政务电子认证服务机构提供的，由密码管理部门责令改正，

给予警告；拒不改正或者有其他严重情节的，由密码管理部门建

议有关国家机关、单位对直接负责的主管人员和其他直接责任人

员依法给予处分或者处理。有关国家机关、单位应当将处分或者

处理情况书面告知密码管理部门。

第五十八条违反本条例规定进出口商用密码的，由国务院

商务主管部门或者海关依法予以处罚。

第五十九条窃取他人加密保护的信息，非法侵入他人的商

用密码保障系统，或者利用商用密码从事危害国家安全、社会公

共利益、他人合法权益等违法活动的，由有关部门依照《中华人

民共和国网络安全法》和其他有关法律、行政法规的规定追究法

律责任。

第六十条关键信息基础设施的运营者违反本条例第三十

八条、第三十九条规定，未按照要求使用商用密码，或者未按照

要求开展商用密码应用安全性评估的，由密码管理部门责令改正，

给予警告；拒不改正或者有其他严重情节的，处10万元以上100

万元以下罚款，对直接负责的主管人员处1万元以上10万元以下

罚款。

第六十一条关键信息基础设施的运营者违反本条例第四

十条规定，使用未经安全审查或者安全审查未通过的涉及商用密

码的网络产品或者服务的，由有关主管部门责令停止使用，处采

购金额1倍以上10倍以下罚款；对直接负责的主管人员和其他直

接责任人员处1万元以上10万元以下罚款。

第六十二条网络运营者违反本条例第四十一条规定，未按

照国家网络安全等级保护制度要求使用商用密码保护网络安全

的，由密码管理部门责令改正，给予警告；拒不改正或者导致危

害网络安全等后果的，处1万元以上10万元以下罚款，对直接负

责的主管人员处5000元以上5万元以下罚款。

第六十三条无正当理由拒不接受、不配合或者干预、阻挠

密码管理部门、有关部门的商用密码监督管理的，由密码管理部

门、有关部门责令改正，给予警告；拒不改正或者有其他严重情

节的，处5万元以上50万元以下罚款，对直接负责的主管人员和

其他直接责任人员处1万元以上10万元以下罚款；情节特别严重

的，责令停业整顿，直至吊销商用密码许可证件。

第六十四条国家机关有本条例第六十条、第六十一条、第

六十二条、第六十三条所列违法情形的，由密码管理部门、有关

部门责令改正，给予警告；拒不改正或者有其他严重情节的，由

密码管理部门、有关部门建议有关国家机关对直接负责的主管人

员和其他直接责任人员依法给予处分或者处理。有关国家机关应

当将处分或者处理情况书面告知密码管理部门、有关部门。

第六十五条密码管理部门和有关部门的工作人员在商用

密码工作中滥用职权、玩忽职守、徇私舞弊，或者泄露、非法向

他人提供在履行职责中知悉的商业秘密、个人隐私、举报人信息

的，依法给予处分。

第六十六条违反本条例规定，构成犯罪的，依法追究刑事

责任；给他人造成损害的，依法承担民事责任。

第九章附则

第六十七条本条例自2023年7月1日起施行。