密评多久做一次：年度评估周期与重新评估的情形

「密评做一次管多久」，是日常咨询里出现频率很高的问题。答案可能和不少人的预期不一样：法规里没有「密评报告有效期」这个概念，只有「多久做一次」和「什么情况下必须重做」。把这两件事分清楚，年度预算和整改排期才不会踩空。

一、先纠一个说法：密评没有「有效期」

《商用密码管理条例》和《商用密码应用安全性评估管理办法》通篇规定的是评估时点和评估频率，没有给报告设定失效日期。报告的性质是一份快照：它证明的是评估实施期间，该系统使用商用密码技术、产品和服务的合规性、正确性、有效性达到要求，而不是给系统发一张可以挂若干年的通行证。

容易被误读的是《办法》第十三条：自行开展评估的运营者，原始记录与评估报告的保存期限不得少于 6 年。这是归档留存要求，用于追溯，不是「6 年有效」。把 6 年当有效期，是实务中最常见的一处错读。

二、法定频率：每年至少一次

两条依据叠起来看：

• 《商用密码管理条例》第三十八条：关键信息基础设施通过密评方可投入运行，运行后每年至少进行一次评估，评估情况按规定报送密码管理部门备案。
• 《商用密码应用安全性评估管理办法》第九条：重要网络与信息系统建成运行后，运营者应当自行或者委托商用密码检测机构每年至少开展一次密评。

《办法》第二十条还补了一句衔接：施行前已经投入运行的系统，同样按第九条执行。也就是说，2023 年 11 月 1 日之前上线的老系统，不存在「老人老办法、可以不做」的空间。

至于「三年一次」「五年一次」这类说法，在法规和国标里都找不到出处。真正决定频次的是系统的运行状态和监管要求，不是某份文件上印的日期。想先判断自己的系统是否落在范围内，可以先看等保定级结果，再对照密评相关标准里对指标的要求。

三、评估不止一次：五个时点要分清

按《办法》条文捋，评估并不只出现在「运行中」这一个阶段：

1. 规划阶段（第七条）：商用密码应用方案要单独做一次方案评估，未通过不得作为密码保障系统的建设依据。
2. 投入运行前（第八条）：新建、改建、扩建的系统上线前必须评估，未通过要改造，改造期间不得投入运行。
3. 建成运行后（第九条）：每年至少一次。
4. 抽样检查不合格（第十四条）：国家密码管理局可对备案结果抽样检查，不合格的必须重新开展评估。
5. 重大安全事件或重大隐患（第十五条）：发现密码相关重大安全事件、重大密码安全隐患或特殊紧急情况，除报告和启动应急外，必要时开展评估。

还有一类不在条文里、但实务中几乎必然触发的情况：系统发生实质性变化。常见的有等级调整、整体迁移上云、密码产品更换或产品认证证书到期换发、新增重要数据或业务模块。这类变更是否要求重新评估、按什么口径，各地密码管理部门的执行尺度不完全一致，以属地要求为准；稳妥做法是变更方案确定后先与属地部门沟通一次。

四、没通过怎么办：两个阶段的处置不一样

同样是「未通过」，建设阶段和运行阶段的后果差别很大：

• 建设阶段未通过：改造，改造期间不得投入运行，系统只能等。
• 运行阶段未通过：改造，但改造期间要采取必要措施保证运行安全。不停机，但要拿出补偿措施，并且整改过程要留痕。

两种情形都要在报告形成后 30 日内备案，无论结论是通过还是不通过。逾期不备案本身也是独立的一项违法情形。

罚则上，《办法》第十七条把「建成运行后未定期开展密评」和「未通过且未改造」都列入，可责令改正、给予警告；拒不改正或情节严重，处 10 万元以上 100 万元以下罚款，对直接负责的主管人员处 1 万元以上 10 万元以下罚款。未按要求备案则在第十八条，处 1 万元以上 10 万元以下罚款。

五、怎么排期：把密评和等保测评的节奏对齐

《条例》第四十二条明确，密评、关键信息基础设施安全检测评估、网络安全等级测评应当加强衔接，避免重复评估、测评。落地上就是一句话：同一个系统，两套评估尽量安排在同一次进场里。

具体做法可以按这个顺序推进：

• 以等保测评的年度节点为基准，向前推 2 至 3 个月启动密码侧自查，先做差距分析，把明显失分项改掉。
• 按《办法》第十二条备齐材料：重要数据备份、设备清单与网络拓扑、密码应用方案与密码管理制度、密码配置与运行维护记录、各角色配合人员。
• 现场评估与整改复测连着排，避免「评完再改、改完再等下一轮」。
• 备案材料在报告出具后 30 日内报送，不要压在年底。

时间上，单系统的现场评估通常几天到两三周，加上整改与复测，整体按 1 至 3 个月安排比较稳妥；系统数量多、跨多个机房，或需要新建密码基础设施的，周期会更长。投入上，评估服务费用通常从数万元起，随系统数量、等级和改造量上浮，具体以属地要求与项目实际情况为准。

还有一点需要提醒：评估报告必须由具备商用密码检测机构资质的机构出具。辅导类的工作，比如差距分析、方案编制、改造过程的技术支持、协助对接持牌检测机构，可以和评估分开安排，但两者不能混为一谈。

六、四个高频误解

• 「报告有效期三年」：法规未设有效期，只有年度评估的频率要求。
• 「保存 6 年就是 6 年有效」：6 年是归档留存的下限，用于追溯。
• 「去年通过了，今年可以不做」：运行阶段每年至少一次，与上一年结论无关。
• 「没通过就先不备案」：报告形成后 30 日内都要备案，结论不影响备案义务。

想把周期这件事一次理顺，可以先看密评栏目里的流程拆解，再对着密评机构名单确认出具方的资质范围。周期管理的本质不是记住一个数字，而是把「每年一次」变成固定的年度动作，把「变更即评估」变成变更流程里的一道关卡。