商用密码应用与安全性评估之（二）商用密码管理法律法规

《密码法》实施前商用密码法律法规体系

商密密评事项可站内联系或微信号：symmrz .

商用密码管理的总体原则有两个：一是D管密码。密码管理工作直接关系国家的政治安全、经济安全、国防安全和信息安全，国家历来高度重视机要密码工作，商用密码作为机要密码的重要组成部分，必须遵从D管密码这个总体原则，贯穿到商用密码管理各项工作。二是依法行政。国务院于2004年发布《全面推进依法行政实施纲要》，提出依法行政六项基本原则，即合法行政、合理行政、程序正当、高效便民、诚实守信、权责统一。这六项基本要求，是对我国依法行政实践经验的总结，集中体现了依法行政重在治官、治权的内在精髓。全面推进依法行政，就是要使政府的权利、政府的运行、政府的行为和活动，都以宪法和法律为依据，都受宪法和法律的规范和约束，确保行政法规、政府规章、规范性文件和政策性文件同宪法和法律保持统一和协调，形成职责权限明确、执法主体合格、适用法律有据、救济渠道畅通、问责监督有力的政府工作机制。密码管理是国家行政管理的组成部分，国家密码管理部门承担着依据《商用密码管理条例》管理全国商用密码的职责。因此，在商用密码管理中，必须严格按照《全面推进依法行政实施纲要》提出的依法行政六项基本要求，创新管理方式。提高行政管理效能，做到依法、公开行政，并在管理过程中提现服务理念。
在密码法实施前，商用密码管理依据的法律法规主要包括：一部涉及规范多项密码管理工作的法律，一部行政法规，八个专项管理规定及若干规范性文件。
（1）“一部涉及规范多项密码管理工作的法律”是指《电子签名法》，该法赋权国家密码管理局对电子认证服务使用密码以及政务活动中使用电子签名、数据电文的行为依法实施管理。
（2）“一部行政法规”是指《商用密码管理条例》，由国务院于1999年10月颁发实施，该法规赋权了国家密码管理局对商用密码产品的研发、生产、销售和使用实行专控管理。
（3）“八个专项管理规定”是指《商用密码科研管理规定》《商用密码产品生产管理规定》《商用密码产品销售管理规定》《商用密码产品使用管理规定》《境外组织和个人在华使用密码产品管理办法》《电子认证服务密码管理办法》《信息安全等级保护商用密码管理办法》《含有密码技术的信息产品政府采购规定》。这八个专项管理规定是国家密码管理局根据法律法规的授权，以及商用密码管理工作的现实需要制定的，分别对商用密码科研、生产、销售、使用等行文做出了详细规定。此外，为加强商用密码管理、构建商用密码管理闭环，国家密码管理局还研究制定《商用密码行政处罚实施办法》。
（4）“若干规范性文件”是指国家密码管理局以通知形式发布的一些规范性文件，包括《关于加强通信类密码产品管理的通知》等，以及国务院其他部门与国家密码管理部门联合制定的、涉及密码管理的相关法规，如公安部2007年43号文《信息安全等级保护管理办法》。
（5）密码相关标准规范也是国家密码管理部门对密码依法依规依标准管理的重要内容。这些标准规范都是在业内专家和相关企业广泛参与的基础上制定的，是商用密码技术管理的基本依据。

《密码法》立法情况和商用密码法律法规体系建设展望

随着《密码法》的颁布和实施，原有的《商用密码管理条例》等法规正在修订，以《密码法》为主导的全新密码管理法律法规体系将逐步形成，原有的商用密码行政管理体制将得到重塑，我国密码行业也将迎来前所未有的发展机遇。

（1）《密码法》立法情况

2014年8月，我国决定将《密码法》纳入国家安全法律体系重要组成。2014年12月，国家密码管理局启动立法工作，2017年4月至5月，国家密码管理局将草案征求意见稿向社会公开征求意见，并于2017年6月，向国务院报送了《密码法（草案送审稿）》。2019年6月10日，国务院常务会议同讨论通过《密码法（草案）》。2019年6月25日，第十三届全国人大常委会第十一次会议初次审议《密码法（草案）》，并于7月5日至9月2日向社会公开征求意见。2019年10月26日，第十三届全国人大常委会第十四次会议通过《密码法》，于2020年1月1日起正式施行。
《密码法》是总体国家安全观框架下，国家安全法律体系的重要组成部分，也是一部技术性、专业性较强的专门法律。《密码法》共五章四十四条，重点规范了以下技术内容：第一章总则部分，规定了立法目的、密码工作的基本原则、领导和管理机制，以及密码发展促进和保障措施。第二章核心密码、普通密码部分，规定了核心密码、普通密码工作的一系列特殊保障制度和措施。第三章商用密码部分，规定了商用密码标准化制度、检测认证制度、市场准入管理制度、使用要求、进出口管理制度、电子政务电子认证服务管理制度以及商用密码事中事后监管制度。第四章法律责任部分，规定了违反本法相关规定应当承担的相应的法律后果。第五章负责部分，规定了国家密码管理部门的规章制定权、解放军和武警部队密码立法事宜以及本法的实行日期。
《密码法》是密码领域综合性、基础性法律，根据《中华人民共和国立法法》的规定，《密码法》比《商用密码管理条例》立法程序更严、效力位阶更高、使用范围更广。《密码法》的颁布实施，重塑了商用密码管理制度，为完善商用密码法律法规体系提供了法制依据，为商用密码规范化管理提供了强有力的法治保障。

（2）商用密码管理法规制定制修订情况

《密码法》颁布实施后，商用密码管理的法律法规体系将做出体系性调整，总体思路和主要变化可以概括为：夯实基础、落实保障，鼓励创新、促进合作，简政放权、转变方式，注重安全、重点管控，行业自律、强化监督。

（3）与密码管理密切相关的法律法规制修订情况

密码在国家网络空间安全中发挥着核心技术和基础支撑作用，国家在网络安全治理体系中，高度重视密码的作用和对密码的应用管理。在法律法规体系建设方面，除《密码法》外，国家还在《网络安全法》《个人信息保护法（起草中）》《网络安全等级保护条例（征求意见稿）》《电子认证服务密码管理办法》《政务信息系统政府采购管理暂行办法》等法律、法规以及部门规章中，以密码应用要求的形式规定了相关密码管理措施。