密评和等保测评是什么关系：能合并做吗
不少单位第一次接触商用密码应用安全性评估时都会问一句：我们已经做了网络安全等级保护测评，密评是不是可以省了？或者反过来，能不能两件事合成一件办？
答案分两半：实施过程可以协同，结论不能替代。这两套制度各有法律依据、各有指标体系、各由不同资质的机构出具报告。把它们的关系理顺，能省下大量重复劳动；理不顺，则会在定级、改造、备案几个环节反复返工。
一、两套制度的起点不同
等保的法律源头是《网络安全法》确立的网络安全等级保护制度，技术标准以 GB/T 22239-2019 为核心，回答的问题是"这个系统的整体防护能力是否达到它所在等级的要求"。
密评的源头是《密码法》第二十七条：法律、行政法规和国家有关规定要求使用商用密码保护的关键信息基础设施，其运营者应当使用商用密码保护，并开展商用密码应用安全性评估。《商用密码管理条例》（2023 年修订，国务院令第 760 号，自 2023 年 7 月 1 日施行）第三十八条进一步落实为"同步规划、同步建设、同步运行"，通过密评方可投入运行，运行后每年至少评估一次并报送备案。它回答的是另一个问题：该用密码的地方用对了没有。
责任后果也不同。条例第六十条规定，关键信息基础设施运营者未按要求使用商用密码或未按要求开展密评的，责令改正、给予警告，拒不改正或有其他严重情节的处 10 万元以上 100 万元以下罚款；第六十二条对未按等级保护制度要求使用商用密码的网络运营者，设置了 1 万元以上 10 万元以下罚款。
二、指标体系不重叠，但接口是通的
等保测评覆盖技术要求与管理要求两大类，测评对象包括机房、网络区域、计算设备、应用系统、数据以及管理制度与人员。
密评按 GB/T 39786-2021 展开，技术要求分为物理和环境、网络和通信、设备和计算、应用和数据四个层面，第三级合计 22 项指标，另有 19 项管理要求；量化评估按 GB/T 43206-2023 执行，技术与管理权重为 70 比 30，应用和数据层面权重最高，60 分及以上且无高风险项才可能形成"符合"结论。
两者的交集在于：资产清单、网络拓扑、制度文件、密钥管理记录这些基础材料可以共用，现场核查也可以同期安排。差集在于：等保看整体防护，密评只盯密码应用的合规性与有效性，两套结论之间不存在换算关系。
三、法规给出的三条衔接接口
衔接不是行业惯例，而是写进条文的：
- 《商用密码管理条例》第四十一条：网络运营者应当按照国家网络安全等级保护制度要求，使用商用密码保护网络安全；国家密码管理部门根据网络的安全保护等级，确定商用密码的使用、管理和应用安全性评估要求。这是两套制度在法条层面的正式接口。
- 《商用密码管理条例》第四十二条：商用密码应用安全性评估、关键信息基础设施安全检测评估、网络安全等级测评应当加强衔接，避免重复评估、测评。这是协同实施的直接依据。
- 部门指导意见：第三级以上网络的运营者，应当在规划、建设、运行阶段，在网络安全等级测评中同步开展商用密码应用安全性评估。
需要说明一点：法律、行政法规层面并没有"等保三级系统必须做密评"这样一句直引条款。强制表述针对的是关键信息基础设施；等保对象做密评的依据是上述第四十一条的授权性规定，加上行业与地方的推进要求。因此是否纳入、什么时点纳入，一律以属地主管部门的要求为准。
四、周期怎么对齐
- 等保：第三级每年测评一次，第二级原则上两年一次。
- 密评：投入运行前须通过评估，运行后每年至少一次，评估情况按规定报送备案。
《商用密码应用安全性评估管理办法》（国家密码管理局令第 3 号，2023 年 11 月 1 日施行）把流程拆成四个节点：规划阶段的方案评估、建设阶段的运行前评估、运行后的年度评估，以及评估后 30 日内报送备案。方案评估未通过，方案不得作为建设依据；运行前评估未通过，须改造且改造期间不得投入运行。
从周期看，两者都是年度动作，完全可以排在同一时间窗内。
五、一次做完的现实做法
- 定级与摸底同步：等保定级备案的同时梳理重要数据与关键业务环节，作为密码应用方案的输入。
- 方案先行：编制商用密码应用方案并送评估，这一步应早于采购与改造，否则容易出现买了设备却覆盖不到指标的情况。
- 改造与建设：按方案落地密码产品与应用改造，同步完善密钥管理、人员管理与应急处置制度。
- 运行前评估与备案：评估通过后投入运行，30 日内完成备案。
- 年度复评：后续每年一次，与等保年度测评排在同一周期里。
这里要提醒一句：两份报告须由各自具备资质的机构分别出具，密评报告由取得商用密码检测机构资质的机构出具，等级测评报告由等级测评机构出具，不存在一份报告顶两份的情况。
六、几个常见误解
- 以为等保过了密评自然就过 —— 两套指标，互不替代。
- 以为开通 HTTPS 就等于用好了商用密码 —— 还要看算法、协议、密钥管理与产品认证是否符合要求。
- 以为上云之后密码责任全在云平台一侧 —— 云平台与云上应用的责任主体不同，应用一侧仍需单独评估。
- 以为"不适用"指标可以随意申报 —— 需在方案阶段论证并留痕。
- 以为整改可以拖到下一年 —— 运行前评估未通过的，改造期间不得投入运行。
把两件事协同起来做，通常能压缩掉一部分重复的材料准备与现场配合；方案编制与改造落地一般要留出数周到数月，具体以属地要求和系统实际情况为准。
在这条线上，我们能做的是前期差距分析、方案编制辅导、改造过程要点把控，以及协助对接具备资质的检测机构，评估与报告由持牌机构出具。相关标准条款可查阅密评国家标准清单，机构资质可对照密评机构名录。