密评法规体系：一法一条例五办法-等保测评网

很多人以为密评的依据就是一部《密码法》。真到项目上会发现，法律里找不到「三个时点」「30 日备案」这些具体动作——它们分散在另外两层文件里。把层级理清，遇到甲方问「凭什么」，才能指出准确出处。

三层效力：各管一段

密码领域的规则不是一部法包打天下，而是按效力从高到低分四层。这张分层不是学术分类，它直接决定「违反哪一条、谁来罚、罚多少」。

密码法 2019 年 10 月 26 日通过，2020 年 1 月 1 日施行，五章四十四条。第六条规定分类管理：核心密码、普通密码、商用密码；商用密码保护的是不属于国家秘密的信息。

密评的源头在第二十七条：法律、行政法规和国家有关规定要求使用商用密码进行保护的关键信息基础设施，其运营者应当使用商用密码进行保护，自行或者委托商用密码检测机构开展商用密码应用安全性评估；评估应当与关基安全检测评估、网络安全等级测评相衔接，避免重复评估、测评。

这条有三个限定：主体是关基运营者，前提是上位法有明确要求，方式是自行开展或委托检测机构。法律责任在第三十七条：责令改正、给予警告；拒不改正或者导致危害网络安全等后果的，处 10 万元以上 100 万元以下罚款，对直接负责的主管人员处 1 万元以上 10 万元以下罚款。

现行《商用密码管理条例》1999 年由国务院令第 273 号发布，2023 年 4 月 27 日经国务院令第 760 号修订，2023 年 7 月 1 日施行——不是 11 月 1 日。

第三十八条是义务主干：关基运营者应当制定商用密码应用方案，配备必要的资金和专业人员，同步规划、同步建设、同步运行商用密码保障系统；通过密评方可投入运行，运行后每年至少进行一次评估，评估情况按规定报送备案。

第四十一条是与等级保护的接口：网络运营者应当按照国家网络安全等级保护制度要求使用商用密码，密码管理部门根据网络的安全保护等级，确定商用密码的使用、管理和应用安全性评估要求。等保三级做密评的实务依据，主要来自这一条加上配套规定与地方推进文件——法律条文本身并没有「等保三级」这四个字。

第四十二条补一句衔接：密评、关基安全检测评估、等级测评应避免重复。

业内常说「一法一条例五办法」。严格讲五部里有一部名为「规定」，但都属部门规章，令号从第 2 号排到第 6 号：

第 2 号《商用密码检测机构管理办法》，2023 年 9 月 26 日公布，2023 年 11 月 1 日施行
第 3 号《商用密码应用安全性评估管理办法》，同日公布施行，共 21 条，是密评的主干规章
第 4 号《电子政务电子认证服务管理办法》，2024 年 9 月 4 日公布，2024 年 11 月 1 日施行
第 5 号《关键信息基础设施商用密码使用管理规定》，国家密码管理局、国家互联网信息办公室、公安部联合公布，2025 年 6 月 11 日公布，2025 年 8 月 1 日施行，共 25 条
第 6 号《电子认证服务使用密码管理办法》，2026 年 5 月 30 日公布，2026 年 7 月 1 日施行

五部不是同一年落地，而是 2023 到 2026 逐年补齐。施行日期若写成同一天，基本可判断抄的是旧版本。

第 3 号令是日常操作手册，几条关键内容值得记住。

自行开展评估的还要对照第十三条：设备设施、规章制度、专业人员、专业能力四项条件齐备，报告由本单位密码或网络安全负责人签字确认并盖章，原始记录与报告留存不得少于 6 年。

按层级找依据的顺序是：先确认系统是否落入关基或重要网络与信息系统的范围，再看条例第四十一条对应的等级要求，然后用第 3 号令的三个时点排期，最后按属地密码管理部门下发的表单与模板准备材料。具体时限与材料要求以属地要求为准。

查机构资质与业务范围见密评机构与资质管理；指标口径与标准清单见密码应用标准体系；与等级保护的衔接关系见等保测评；同类问题的汇总在密评栏目。