國家密碼管理局

國家密碼管理局令



第　2　號



《商用密碼檢測機構(gòu)管理辦法》已經(jīng)2023年9月11日國家密碼管理局局務(wù)會議審議通過，現(xiàn)予公布，自2023年11月1日起施行。

局　長　　劉東方　　 

2023年9月26日　　





商用密碼檢測機構(gòu)管理辦法



第一條　為了加強商用密碼檢測機構(gòu)管理，規(guī)范商用密碼檢測活動，根據(jù)《中華人民共和國密碼法》、《商用密碼管理條例》等有關(guān)法律法規(guī)，制定本辦法。

第二條　商用密碼檢測機構(gòu)的資質(zhì)認定和監(jiān)督管理適用本辦法。

第三條　從事商用密碼產(chǎn)品檢測、網(wǎng)絡(luò)與信息系統(tǒng)商用密碼應用安全性評估等商用密碼檢測活動，向社會出具具有證明作用的數(shù)據(jù)、結(jié)果的機構(gòu)，應當經(jīng)國家密碼管理局認定，依法取得商用密碼檢測機構(gòu)資質(zhì)。

第四條　國家密碼管理局負責全國商用密碼檢測機構(gòu)的資質(zhì)認定和監(jiān)督管理。縣級以上地方各級密碼管理部門負責本行政區(qū)域內(nèi)商用密碼檢測機構(gòu)的監(jiān)督管理。

第五條　商用密碼檢測機構(gòu)應當在資質(zhì)認定業(yè)務(wù)范圍內(nèi)從事商用密碼檢測活動。國家密碼管理局制定并公布商用密碼檢測機構(gòu)資質(zhì)認定基本規(guī)范和商用密碼檢測機構(gòu)資質(zhì)認定業(yè)務(wù)范圍。

第六條　取得商用密碼檢測機構(gòu)資質(zhì)，應當符合下列條件：

（一）具有法人資格；

（二）具有與從事商用密碼檢測活動相適應的資金；

（三）成立2年以上，從事網(wǎng)絡(luò)安全檢測評估領(lǐng)域相關(guān)工作1年以上，無重大違法或者不良信用記錄；

（四）具有與從事商用密碼檢測活動相適應的場所；

（五）具有與從事商用密碼檢測活動相適應的設(shè)備設(shè)施；

（六）具有保證商用密碼檢測活動獨立、公正、科學、誠信的管理體系；

（七）具有與從事商用密碼檢測活動相適應的專業(yè)人員；

（八）具有與從事商用密碼檢測活動相適應的專業(yè)能力。

外商投資企業(yè)法人申請商用密碼檢測機構(gòu)資質(zhì)，除符合上述條件外，還應當符合我國外商投資有關(guān)法律法規(guī)的規(guī)定。

第七條　申請商用密碼檢測機構(gòu)資質(zhì)，應當向國家密碼管理局提出書面申請，向國家密碼管理局委托進行受理的省、自治區(qū)、直轄市密碼管理部門提交《商用密碼檢測機構(gòu)資質(zhì)申請表》及以下材料，并對其真實性負責：

（一）法人資格證書；

（二）資本結(jié)構(gòu)和股權(quán)情況；

（三）無重大違法或者不良信用記錄、不從事可能影響商用密碼檢測公平公正性活動的承諾；

（四）工作場所等固定資產(chǎn)產(chǎn)權(quán)證書或者租賃合同；

（五）工作環(huán)境和設(shè)備設(shè)施配置情況；

（六）項目管理、質(zhì)量管理、人員管理、檔案管理、安全保密管理等管理體系建立情況；

（七）法定代表人、最高管理者、技術(shù)負責人、質(zhì)量負責人、授權(quán)簽字人以及專業(yè)人員情況；

（八）申請人認為需要補充的其他材料。

受國家密碼管理局委托進行受理的省、自治區(qū)、直轄市密碼管理部門自收到申請材料之日起5個工作日內(nèi)，對申請材料進行形式審查，根據(jù)下列情況分別作出處理：申請材料內(nèi)容齊全、符合規(guī)定形式的，應當受理行政許可申請并出具受理通知書；申請材料內(nèi)容不齊全或者不符合規(guī)定形式的，應當當場或者在5個工作日內(nèi)一次性告知申請人需要補正的全部材料；不予受理的，應當出具不予受理通知書并說明理由。

第八條　國家密碼管理局應當自行政許可申請受理之日起20個工作日內(nèi)，依據(jù)商用密碼檢測機構(gòu)資質(zhì)認定基本規(guī)范的要求，對申請進行審查，并依法作出是否準予許可的書面決定。

需要對申請人進行技術(shù)評審的，技術(shù)評審所需時間不計算在本條規(guī)定的期限內(nèi)。國家密碼管理局應當將所需時間書面告知申請人。

第九條　國家密碼管理局根據(jù)技術(shù)評審需要和專業(yè)要求，可以委托專業(yè)技術(shù)評價機構(gòu)實施技術(shù)評審。

技術(shù)評審包括專業(yè)人員能力考核，場所、設(shè)備設(shè)施、管理體系建設(shè)實地查勘，檢測能力考核等。

專業(yè)技術(shù)評價機構(gòu)應當嚴格按照商用密碼檢測機構(gòu)資質(zhì)認定基本規(guī)范開展技術(shù)評審活動，對技術(shù)評審結(jié)論的真實性、符合性負責，并承擔相應法律責任。國家密碼管理局應當對技術(shù)評審活動進行監(jiān)督，建立責任追究機制。

第十條　申請人有下列情形之一的，國家密碼管理局應當終止審查：

（一）隱瞞有關(guān)情況或者提供虛假材料的；

（二）采取賄賂、請托等不正當手段，影響審查工作公平公正進行的；

（三）無正當理由拒絕接受審查的；

（四）違反商用密碼檢測機構(gòu)從業(yè)要求的。

第十一條　準予許可的，國家密碼管理局向申請人頒發(fā)《商用密碼檢測機構(gòu)資質(zhì)證書》，并公布取得資質(zhì)證書的商用密碼檢測機構(gòu)名錄。

有下列情形之一的，國家密碼管理局應當出具不予行政許可決定書，說明理由并告知申請人相關(guān)權(quán)利：

（一）終止審查的；

（二）審查不合格的；

（三）法律法規(guī)規(guī)定的不予許可的其他情形。

第十二條　《商用密碼檢測機構(gòu)資質(zhì)證書》有效期5年，內(nèi)容包括：獲證機構(gòu)名稱、統(tǒng)一社會信用代碼、注冊地址、證書編號、有效期限、資質(zhì)認定業(yè)務(wù)范圍、發(fā)證機關(guān)和發(fā)證日期。

《商用密碼檢測機構(gòu)資質(zhì)證書》有效期屆滿需要延續(xù)的，應當在有效期屆滿3個月前向國家密碼管理局提出書面申請。國家密碼管理局根據(jù)申請人的實際情況，采取書面或者現(xiàn)場形式開展審查，在《商用密碼檢測機構(gòu)資質(zhì)證書》有效期屆滿前作出是否準予延續(xù)的決定。

禁止轉(zhuǎn)讓、出租、出借、偽造、變造、冒用、租借《商用密碼檢測機構(gòu)資質(zhì)證書》。

第十三條　有下列情形之一的，商用密碼檢測機構(gòu)應當自變更之日起30日內(nèi)向國家密碼管理局申請辦理變更手續(xù)：

（一）機構(gòu)名稱、注冊地址、法人性質(zhì)發(fā)生變更的；

（二）法定代表人、最高管理者、技術(shù)負責人、質(zhì)量負責人、授權(quán)簽字人發(fā)生變更的；

（三）資質(zhì)認定業(yè)務(wù)范圍發(fā)生變更的；

（四）依法需要辦理變更的其他事項。

商用密碼檢測機構(gòu)發(fā)生變更的事項影響其符合資質(zhì)認定條件和要求的，國家密碼管理局根據(jù)申請人的實際情況，采取書面或者現(xiàn)場形式開展審查。需要進行技術(shù)評審的，依照本辦法第九條規(guī)定對其開展技術(shù)評審。

第十四條　商用密碼檢測機構(gòu)有下列情形之一的，國家密碼管理局應當依法注銷其商用密碼檢測機構(gòu)資質(zhì)：

（一）《商用密碼檢測機構(gòu)資質(zhì)證書》有效期屆滿，未申請延續(xù)或者依法不予延續(xù)批準的；

（二）申請注銷商用密碼檢測機構(gòu)資質(zhì)的；

（三）被依法撤銷、吊銷商用密碼檢測機構(gòu)資質(zhì)的；

（四）依法終止的；

（五）因法人性質(zhì)變更、改制、分立或者合并等原因發(fā)生變化，或者發(fā)生其他影響其符合資質(zhì)認定條件和要求的變更事項，經(jīng)審查發(fā)現(xiàn)不符合資質(zhì)認定條件和要求的；

（六）資質(zhì)認定業(yè)務(wù)范圍被全部取消的；

（七）法律法規(guī)規(guī)定的應當注銷商用密碼檢測機構(gòu)資質(zhì)的其他情形。

第十五條　商用密碼檢測機構(gòu)及相關(guān)從業(yè)人員應當按照法律、行政法規(guī)和商用密碼檢測技術(shù)規(guī)范、規(guī)則，在批準范圍內(nèi)獨立、公正、科學、誠信地開展商用密碼檢測，對出具的檢測數(shù)據(jù)、結(jié)果負責，尊重知識產(chǎn)權(quán)，恪守職業(yè)道德，承擔社會責任，保守在工作中知悉的國家秘密、商業(yè)秘密和個人隱私。

第十六條　商用密碼檢測機構(gòu)應當保證其基本條件和技術(shù)能力能夠持續(xù)符合資質(zhì)認定條件和要求，并確保管理體系有效運行。

第十七條　商用密碼檢測機構(gòu)應當遵守以下從業(yè)要求：

（一）加強對本機構(gòu)人員的監(jiān)督管理，經(jīng)常性組織開展安全保密教育和業(yè)務(wù)培訓；本機構(gòu)從事檢測活動的專業(yè)人員每年接受商用密碼教育培訓的時長不得少于40學時，相關(guān)情況應當記錄留存；

（二）本機構(gòu)及關(guān)聯(lián)方不得從事商用密碼產(chǎn)品生產(chǎn)、銷售（檢測工具除外），信息系統(tǒng)或者商用密碼保障系統(tǒng)集成、運營，電子認證服務(wù)，電子政務(wù)電子認證服務(wù)，或者其他可能影響商用密碼檢測公平公正性的活動；

（三）不得同時聘用正在其他商用密碼檢測機構(gòu)從業(yè)的人員，或者存在其他惡意競爭、擾亂市場秩序的情形；

（四）不得以單獨出租設(shè)備設(shè)施或者委派人員等方式承擔業(yè)務(wù)，所承擔的業(yè)務(wù)不得分包、轉(zhuǎn)包；

（五）不得以任何方式推薦或者限定被檢測單位購買使用特定主體生產(chǎn)或者提供的商用密碼產(chǎn)品或者服務(wù)；

（六）獨立于出具的檢測數(shù)據(jù)、結(jié)果、報告所涉及的利益相關(guān)各方，不受任何可能干擾技術(shù)判斷因素的影響；

（七）使用符合國家密碼管理要求的設(shè)備設(shè)施；

（八）法律法規(guī)和國家有關(guān)規(guī)定提出的其他從業(yè)要求。

第十八條　商用密碼檢測機構(gòu)出具的檢測報告，應當符合相關(guān)國家標準、行業(yè)標準和有關(guān)規(guī)定的要求，保證內(nèi)容真實、客觀、準確、完整。商用密碼檢測機構(gòu)對其出具的檢測報告負責，并承擔相應的法律責任。

商用密碼檢測機構(gòu)應當指定授權(quán)簽字人在其業(yè)務(wù)能力范圍內(nèi)簽字確認本機構(gòu)出具的檢測報告，并加蓋機構(gòu)公章或者專用章。授權(quán)簽字人應當系統(tǒng)掌握商用密碼管理政策和專業(yè)知識，具備密碼或者網(wǎng)絡(luò)安全領(lǐng)域高級技術(shù)職稱或者同等專業(yè)水平。

第十九條　商用密碼檢測機構(gòu)應當對檢測原始記錄和檢測報告歸檔留存，保證其具有可追溯性。檢測原始記錄和檢測報告的保存期限不得少于6年。

從事商用密碼產(chǎn)品檢測的商用密碼檢測機構(gòu)應當按照相關(guān)標準規(guī)范的要求，對檢測樣品和相關(guān)數(shù)據(jù)信息進行妥善管理。商用密碼檢測機構(gòu)資質(zhì)被注銷的，應當對檢測樣品和相關(guān)數(shù)據(jù)信息進行妥善處理。

第二十條　商用密碼檢測機構(gòu)應當于每年1月15日前通過所在地省、自治區(qū)、直轄市密碼管理部門向國家密碼管理局報送上一年度工作報告以及相關(guān)統(tǒng)計數(shù)據(jù)，包括持續(xù)符合資質(zhì)認定條件和要求、遵守從業(yè)規(guī)范、開展檢測活動、實施標準等情況。

第二十一條　商用密碼檢測機構(gòu)不得有以下出具虛假或者失實檢測數(shù)據(jù)、結(jié)果、報告的行為：

（一）未經(jīng)檢測，直接出具檢測數(shù)據(jù)、結(jié)果、報告的；

（二）篡改、編造原始數(shù)據(jù)、記錄，出具檢測數(shù)據(jù)、結(jié)果、報告的；

（三）偽造檢測報告和原始記錄簽名，或者非授權(quán)簽字人簽發(fā)檢測報告的；

（四）漏檢關(guān)鍵項目、干擾檢測過程或者改動關(guān)鍵項目的檢測方法，造成檢測數(shù)據(jù)、結(jié)果、報告失實的；

（五）其他出具虛假或者失實檢測數(shù)據(jù)、結(jié)果、報告的行為。

第二十二條　密碼管理部門對商用密碼檢測機構(gòu)依法開展監(jiān)督檢查，可以行使下列職權(quán)：

（一）進入檢測活動場所實施現(xiàn)場檢查；

（二）向商用密碼檢測機構(gòu)、委托人等有關(guān)單位及人員調(diào)查、了解有關(guān)情況或者驗證相關(guān)檢測活動；

（三）查閱、復制有關(guān)合同、票據(jù)、賬簿以及檢測活動中形成的檢測數(shù)據(jù)、結(jié)果、報告等有關(guān)材料。

國家密碼管理局根據(jù)工作需要，可以行使下列職權(quán)：

（一）組織商用密碼檢測機構(gòu)檢測能力驗證；

（二）對商用密碼檢測機構(gòu)出具的檢測數(shù)據(jù)、結(jié)果、報告等有關(guān)材料進行抽樣檢查。

密碼管理部門和有關(guān)部門及其工作人員不得要求商用密碼科研、生產(chǎn)、銷售、服務(wù)、進出口等單位和商用密碼檢測、認證機構(gòu)向其披露源代碼等密碼相關(guān)專有信息，并對其在履行職責中知悉的商業(yè)秘密和個人隱私嚴格保密，不得泄露或者非法向他人提供。

第二十三條　商用密碼檢測機構(gòu)應當積極配合密碼管理部門的監(jiān)督檢查，按照要求參加檢測能力驗證和抽樣檢查，并如實提供相關(guān)材料和信息。檢測能力驗證或者抽樣檢查結(jié)果不合格的，應當開展為期不少于6個月的整改，整改期間不得開展相應業(yè)務(wù)范圍的商用密碼檢測活動。商用密碼檢測機構(gòu)整改結(jié)束后，應當經(jīng)國家密碼管理局組織驗收合格，方可恢復開展相應業(yè)務(wù)范圍的商用密碼檢測活動；經(jīng)整改仍不能滿足相應業(yè)務(wù)范圍的資質(zhì)認定條件和要求的，取消其相應業(yè)務(wù)范圍的資質(zhì)認定，直至注銷其商用密碼檢測機構(gòu)資質(zhì)。

第二十四條　以欺騙、賄賂等不正當手段取得商用密碼檢測機構(gòu)資質(zhì)的，國家密碼管理局應當依法撤銷商用密碼檢測機構(gòu)資質(zhì)。該機構(gòu)在3年內(nèi)不得再次申請商用密碼檢測機構(gòu)資質(zhì)。

申請商用密碼檢測機構(gòu)資質(zhì)時隱瞞有關(guān)情況或者提供虛假材料的，國家密碼管理局不予受理或者不予許可。該機構(gòu)在1年內(nèi)不得再次申請商用密碼檢測機構(gòu)資質(zhì)。

第二十五條　商用密碼檢測機構(gòu)違反《中華人民共和國密碼法》、《商用密碼管理條例》和本辦法規(guī)定，有下列情形之一的，由密碼管理部門責令改正或者停止違法行為，給予警告，沒收違法所得；違法所得30萬元以上的，可以并處違法所得1倍以上3倍以下罰款；沒有違法所得或者違法所得不足30萬元的，可以并處10萬元以上30萬元以下罰款；情節(jié)嚴重的，由國家密碼管理局吊銷其商用密碼檢測機構(gòu)資質(zhì)：

（一）超出批準范圍開展商用密碼檢測的；

（二）轉(zhuǎn)讓、出租、出借、偽造、變造、冒用、租借《商用密碼檢測機構(gòu)資質(zhì)證書》的；

（三）本機構(gòu)及關(guān)聯(lián)方從事商用密碼產(chǎn)品生產(chǎn)、銷售（檢測工具除外），信息系統(tǒng)或者商用密碼保障系統(tǒng)集成、運營，電子認證服務(wù)，電子政務(wù)電子認證服務(wù)，或者其他可能影響商用密碼檢測公平公正性的活動的；

（四）同時聘用正在其他商用密碼檢測機構(gòu)從業(yè)的人員或者存在其他惡意競爭、擾亂市場秩序情形的；

（五）以單獨出租設(shè)備設(shè)施或者委派人員等方式承擔業(yè)務(wù)，或者分包、轉(zhuǎn)包所承擔業(yè)務(wù)的；

（六）推薦或者限定被檢測單位購買使用特定主體生產(chǎn)或者提供的商用密碼產(chǎn)品或者服務(wù)的；

（七）違反法律、行政法規(guī)和商用密碼檢測技術(shù)規(guī)范、規(guī)則要求開展檢測活動或者存在其他影響檢測獨立、公正、科學、誠信的行為的；

（八）出具的檢測數(shù)據(jù)、結(jié)果、報告虛假或者失實的；

（九）未按照要求如實報送年度工作報告以及相關(guān)統(tǒng)計數(shù)據(jù)的；

（十）泄露在工作中知悉的商業(yè)秘密、個人隱私的。

第二十六條　商用密碼檢測機構(gòu)違反本辦法規(guī)定，有下列情形之一的，由密碼管理部門責令改正；逾期未改正或者改正后仍不符合要求的，處1萬元以上10萬元以下罰款：

（一）未按照要求申請辦理變更手續(xù)的；

（二）未按照要求開展安全保密教育和業(yè)務(wù)培訓的；

（三）使用不符合國家密碼管理要求的設(shè)備設(shè)施的；

（四）出具未經(jīng)授權(quán)簽字人簽字確認的檢測報告，授權(quán)簽字人超出其業(yè)務(wù)能力范圍簽發(fā)檢測報告，或者未在檢測報告上加蓋機構(gòu)公章或者專用章的；

（五）未按照要求保存檢測原始記錄和檢測報告，或者未按照要求妥善管理檢測樣品和相關(guān)數(shù)據(jù)信息的。

第二十七條　縣級以上地方各級密碼管理部門應當依法公開監(jiān)督檢查結(jié)果，將商用密碼檢測機構(gòu)受到的行政處罰等信息納入國家企業(yè)信用信息公示系統(tǒng)等平臺，并定期將年度商用密碼檢測機構(gòu)監(jiān)督檢查結(jié)果等信息逐級報至國家密碼管理局。

第二十八條　從事商用密碼檢測機構(gòu)監(jiān)督管理工作的人員濫用職權(quán)、玩忽職守、徇私舞弊，或者泄露、非法向他人提供在履行職責中知悉的商業(yè)秘密、個人隱私、舉報人信息的，依法給予處分。

第二十九條　本辦法自2023年11月1日起施行。