关基单位商用密码使用新规：新增了哪些义务
2025年6月11日，国家密码管理局、国家互联网信息办公室、公安部联合公布《关键信息基础设施商用密码使用管理规定》（三部门令第5号），自2025年8月1日起施行。此前关基单位做密码应用，依据的是《密码法》第二十七条、《商用密码管理条例》第三十八条和《商用密码应用安全性评估管理办法》，讲的是"要做什么"；这份规定补上的是"谁来保证、什么时候报、不做的后果"。
本文梳理的是公开条款，各地执行细则会有差异，实际口径以属地密码管理部门要求为准。
一、先看适用范围：认定了才算
规定第二条写得很清楚，适用对象是依据《网络安全法》《关键信息基础设施安全保护条例》等法律、行政法规和国家有关规定认定的关键信息基础设施。也就是说，不是单位自己认为业务重要就适用，而是要看是否收到保护工作部门的认定通知。
行业侧由保护工作部门监督管理，运营者多了一个对口单位。
二、新增的四类保障义务
这是本次规定变化最集中的部分。此前《办法》只在第十二条要求运营者安排密钥管理员等人员配合现场评估，属于评估期间的配合动作；新规定把它升级成了常态化的岗位与制度要求。
- 年度报告义务（第五条）：运营者应当于每年1月31日前向所属的保护工作部门报告上一年度商用密码使用情况，以及密评开展情况。这是一个固定的年度节点，需要提前把台账建立起来。
- 制度保障（第六条）：建立商用密码使用、应急处置、重大事件报告等制度，明确主要负责人负总责。
- 人员保障（第七条）：配备具有密码相关专业学历或国家职业技能等级认定证书的人员承担密钥管理员、密码操作员职责，配备具安全审计专业能力的人员承担密码安全审计员职责，并做安全背景审查与定期培训。
- 经费保障（第八条）：把商用密码使用和密评经费纳入网络安全和信息化经费安排。这一条把"有钱做事"写成了义务，预算环节不能再临时申请。
三员中前两类要求学历或职业技能等级认定证书，审计员要求安全审计专业能力，配置时别混为一谈。
三、产品、技术与数据三条底线
规定第九条、第十条对应技术层面，要求落到关基场景：
- 关基使用的商用密码产品、服务应当经检测认证合格；使用的密码算法、密码协议、密钥管理机制等商用密码技术应当通过国家密码管理部门审查鉴定。
- 采购涉及商用密码的网络产品和服务，影响或者可能影响国家安全的，应当按照《网络安全审查办法》进行网络安全审查。
- 应当按照国家数据安全保护、个人信息保护有关要求，使用商用密码对关基存储、使用、传输的核心数据、重要数据和个人信息进行保护。
第三条容易被忽略：密码保护对象扩展到了具体的数据资产类别。从数据资产清单倒推哪些环节需要加密、签名或完整性保护，再对照 商用密码应用安全性评估的指标要求，比从设备清单出发更不容易漏项。
四、密评节奏：三阶段加存量过渡
规定第十一条至第十三条把密评嵌进系统全生命周期，明确了关基的适用方式：
- 规划阶段：制定商用密码应用方案，并自行或委托商用密码检测机构对方案开展评估；方案未通过评估的，不得作为建设依据。
- 建设阶段：按通过评估的方案实施；调整方案的应当重新评估；运行前开展评估，未通过的应当改造，改造期间不得投入运行。
- 运行阶段：建成运行后每年至少开展一次；未通过的应改造，改造期间采取措施保证运行安全。
第十四条处理了存量：施行前正在建设的，加强方案论证、完善保障系统后按第十二条评估；已经投入运行的，按第十三条评估。
第十五条重申，密评应当与关键信息基础设施安全检测评估、网络安全等级测评加强衔接，避免重复评估、测评。实务上把密评与 等级保护测评 排在同一年度窗口内做，是减少重复投入的常规做法；密评报告须由取得商用密码检测机构资质的机构出具，持牌机构可在 密评机构名录 查询。
五、罚则分成四档，轻重差别很大
- 第十九条（重）：未落实三同步、产品服务未经检测认证合格、密码技术未通过审查鉴定、未制定方案或未评估、未按通过评估的方案建设、运行前未评估或未通过未改造、运行后未定期评估或未通过未改造——责令改正、警告；拒不改正或有其他严重情节的，处10万元以上100万元以下罚款，对直接负责的主管人员处1万元以上10万元以下罚款。
- 第二十条（采购）：使用未经安全审查或审查未通过的涉密网络产品、服务的，责令停止使用，处采购金额1倍以上10倍以下罚款。
- 第二十一条（妨碍监管）：拒不接受、不配合或干预阻挠监督检查的，处5万元以上50万元以下罚款，情节特别严重的责令停业整顿。
- 第二十二条（责令改正）：未报告、未建立制度、未按要 求配备三员、未保障经费的，责令改正。这一档没有罚款，却是最先被检查到的四项。
六、落地建议与周期参考
整改启动前建议先做差距分析，把"制度、人员、经费"三项空白补上——这三项不依赖设备和开发，见效最快，也对应第二十二条最容易失分的四件事，随后再推进技术方案与产品选型。
周期上，制度与人员配置一般数周完成，涉及密码产品采购与应用改造的通常要数月，具体时长取决于系统数量与改造起点，以属地要求为准。报告形成后，还需按规定在30日内向国家或所在地省级密码管理部门备案。
涉及密评的具体实施须由具备商用密码检测机构资质的机构完成。我司可提供密评辅导、差距分析、方案编制、协助对接持牌机构等服务，报告由受委托的持牌检测机构出具。
依据三部门令第5号、《商用密码管理条例》、《商用密码应用安全性评估管理办法》公开条款整理，执行以现行官方文本及属地密码管理部门要求为准。