密评和等保要一起做吗：先后顺序与协同安排
不少单位在排年度合规计划时都会卡在同一个问题上：等保测评和密评到底是不是一回事，能不能放到一起做，先做哪个更省事。这两个问题看着像排期问题，背后其实是两套制度的定位差异。把定位理清，排期自然就有答案。
一、两套制度解决的不是同一个问题
等保解决的是"系统整体防护够不够"。它按系统遭到破坏后的危害程度把网络和信息系统分成五个等级，从低到高逐级加严，覆盖物理环境、通信网络、区域边界、计算环境等各个层面，流程上走定级、备案、建设整改、等级测评、监督检查五个环节，三级系统每年测评一次。
密评解决的是"密码用得对不对"。它的全称是商用密码应用安全性评估，聚焦密码算法、密钥管理、密码产品与服务是否合规、正确、有效，回答的是加密和身份鉴别这些底层措施有没有真正落地。
一个看整体防护，一个看密码这一层的落地质量。两者有交叉，但关注点并不重合——等保里有相当一部分控制点与密码无关，密评也不检查机房防火、边界访问控制这类内容。所以严格来说，不存在"做了等保就不用做密评"的关系。
二、条文对"一起做"是怎么说的
这一点有明确依据。《密码法》第二十七条规定，法律、行政法规和国家有关规定要求使用商用密码进行保护的关键信息基础设施，其运营者应当使用商用密码进行保护，自行或者委托商用密码检测机构开展商用密码应用安全性评估；同时明确要求，商用密码应用安全性评估应当与关键信息基础设施安全检测评估、网络安全等级测评制度相衔接，避免重复评估、测评。
《商用密码管理条例》第四十二条重申了同样的原则：商用密码应用安全性评估、关键信息基础设施安全检测评估、网络安全等级测评应当加强衔接，避免重复评估、测评。
"衔接、避免重复"这六个字，就是排期上可以协同的法律空间。它不等于两项评估可以合并成一项，而是说评估对象划分、材料准备、现场实施这些环节可以统筹安排，不必把同一批系统、同一批材料来回折腾两遍。
需要说明的是评估对象范围的口径。《商用密码管理条例》第三十八条把义务主体表述为"法律、行政法规和国家有关规定要求使用商用密码进行保护的关键信息基础设施"；《商用密码应用安全性评估管理办法》（国家密码管理局令第 3 号，2023 年 11 月 1 日起施行）沿用了"重要网络与信息系统"的表述，并要求规划阶段做密码应用方案评估、运行前再评估一次、建成运行后每年至少评估一次。至于等保三级系统是否一律纳入，各地密码管理部门的执行口径并不完全一致，有的省份在通知中把等保三级以上的网络和信息系统与关键信息基础设施并列为"重要网络与信息系统"。因此判断本单位要不要做密评，建议直接向属地密码管理部门确认，以属地要求为准。
关于出具报告的主体，《商用密码应用安全性评估管理办法》第四条写得很清楚：从事密评活动、向社会出具具有证明作用的评估数据和结果的机构，应当经国家密码管理局认定，依法取得商用密码检测机构资质。也就是说，密评报告须由具备相应资质的检测机构出具，这一点在选服务方时是硬前提。
三、先后顺序怎么排：三种情形
情形一：系统还在规划或建设阶段。 这类最省事。在方案设计阶段就把密码应用方案一并写进去，先做密码应用方案的评估，方案过了再照着建设。等保侧同步做定级与备案，两侧的建设整改合并成一次施工，避免建完再拆。
情形二：系统已经上线运行，两套都还没做。 建议先补等保的定级备案与差距摸底，把系统边界、资产清单、网络拓扑这些基础材料沉淀下来，再启动密评的差距分析。原因很实际：密评现场环节需要用到设备清单、拓扑图、数据流说明，这些材料在等保摸底阶段本来就要整理一次，先做等保等于顺手把密评的底座铺好了。
情形三：等保已做过，只需补密评。 这种可以直接复用已有的资产清单、拓扑图和安全管理制度，工作量集中在密码应用改造本身。改造内容按 GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》铺开，该标准从物理和环境、网络和通信、设备和计算、应用和数据四个层面提出技术要求，另从管理制度、人员管理、建设运行、应急处置四个方面提出管理要求，并明确不同等级系统所用密码产品的安全级别要求。
四、协同推进时可以复用的材料
- 系统边界说明与定级报告
- 网络拓扑图、设备清单、资产台账
- 数据流与重要数据识别结果
- 已有的安全管理制度与人员职责文件
- 上一年度的测评或评估结论与整改记录
这几项在两套评估里都要用到，做一次维护好，比各做各的版本要可靠得多——材料不一致本身就是现场环节常见的问题来源。
五、排期上容易踩的四个坑
一是把密评当成等保的"附加项"，等到等保测评结束才想起来排期，结果改造周期拖长，系统长时间处在未评估状态。
二是先改造后评估。密码应用改造投入不小，改造方案未经评估就动手，很可能建成后发现指标不满足，返工成本远高于先评方案。
三是忽略备案时限。密评报告形成后通常需要在规定期限内向属地密码管理部门备案，部分地区明确无论评估结果是否通过都要履行备案程序，具体期限以属地要求为准。
四是只盯现场环节。规划阶段的方案评估是独立的一步，方案未通过不得作为密码保障系统的建设依据，跳过这一步直接建，风险集中在后面才暴露。
总的来看，等保和密评不是二选一，也不必各做各的。判断要不要一起推进，先看本单位是否被纳入评估对象范围，再看系统处在哪个阶段；材料能复用就复用，节点能合并就合并，最后把报告出具主体和备案时限这两件事确认清楚，整个安排就不会跑偏。