中華人(rén)民(mín)共和(hé)國(guó)密碼法

中華人(rén)民(mín)共和(hé)國(guó)密碼法

 

（2019年(nián)10月(yuè)26日(rì)第十三屆全國(guó)人(rén)民(mín)代表大會常務委員(yuán)會第十四次會議(yì)通(tōng)過）

 

目　　錄

第一章(zhāng)　總　　則

第二章(zhāng)　核心密碼、普通(tōng)密碼

第三章(zhāng)　商用密碼

第四章(zhāng)　法律責任

第五章(zhāng)　附    則

 

 

第一章(zhāng)　總　　則

第一條　為(wèi)了規範密碼應用和(hé)管理(lǐ)，促進密碼事(shì)業(yè)發展，保障網絡與信息安全，維護國(guó)家(jiā)安全和(hé)社會公共利益，保護公民(mín)、法人(rén)和(hé)其他(tā)組織的(de)合法權益，制定本法。

第二條　本法所稱密碼，是指采用特定變換的(de)方法對(duì)信息等進行加密保護、安全認證的(de)技(jì)術、産品和(hé)服務。

第三條　密碼工(gōng)作(zuò)堅持總體(tǐ)國(guó)家(jiā)安全觀，遵循統一領導、分級負責，創新發展、服務大局，依法管理(lǐ)、保障安全的(de)原則。

第四條　堅持中國(guó)共産黨對(duì)密碼工(gōng)作(zuò)的(de)領導。中央密碼工(gōng)作(zuò)領導機(jī)構對(duì)全國(guó)密碼工(gōng)作(zuò)實行統一領導，制定國(guó)家(jiā)密碼工(gōng)作(zuò)重大方針政策，統籌協調國(guó)家(jiā)密碼重大事(shì)項和(hé)重要工(gōng)作(zuò)，推進國(guó)家(jiā)密碼法治建設。

第五條　國(guó)家(jiā)密碼管理(lǐ)部門負責管理(lǐ)全國(guó)的(de)密碼工(gōng)作(zuò)。縣級以上(shàng)地(dì)方各級密碼管理(lǐ)部門負責管理(lǐ)本行政區(qū)域的(de)密碼工(gōng)作(zuò)。

國(guó)家(jiā)機(jī)關和(hé)涉及密碼工(gōng)作(zuò)的(de)單位在其職責範圍內(nèi)負責本機(jī)關、本單位或者本系統的(de)密碼工(gōng)作(zuò)。

第六條　國(guó)家(jiā)對(duì)密碼實行分類管理(lǐ)。

密碼分為(wèi)核心密碼、普通(tōng)密碼和(hé)商用密碼。

第七條　核心密碼、普通(tōng)密碼用于保護國(guó)家(jiā)秘密信息，核心密碼保護信息的(de)最高(gāo)密級為(wèi)絕密級，普通(tōng)密碼保護信息的(de)最高(gāo)密級為(wèi)機(jī)密級。

核心密碼、普通(tōng)密碼屬于國(guó)家(jiā)秘密。密碼管理(lǐ)部門依照(zhào)本法和(hé)有(yǒu)關法律、行政法規、國(guó)家(jiā)有(yǒu)關規定對(duì)核心密碼、普通(tōng)密碼實行嚴格統一管理(lǐ)。

第八條　商用密碼用于保護不屬于國(guó)家(jiā)秘密的(de)信息。

公民(mín)、法人(rén)和(hé)其他(tā)組織可以依法使用商用密碼保護網絡與信息安全。

第九條　國(guó)家(jiā)鼓勵和(hé)支持密碼科(kē)學技(jì)術研究和(hé)應用，依法保護密碼領域的(de)知識産權，促進密碼科(kē)學技(jì)術進步和(hé)創新。

國(guó)家(jiā)加強密碼人(rén)才培養和(hé)隊伍建設，對(duì)在密碼工(gōng)作(zuò)中作(zuò)出突出貢獻的(de)組織和(hé)個(gè)人(rén)，按照(zhào)國(guó)家(jiā)有(yǒu)關規定給予表彰和(hé)獎勵。

第十條　國(guó)家(jiā)采取多種形式加強密碼安全教育，将密碼安全教育納入國(guó)民(mín)教育體(tǐ)系和(hé)公務員(yuán)教育培訓體(tǐ)系，增強公民(mín)、法人(rén)和(hé)其他(tā)組織的(de)密碼安全意識。

第十一條　縣級以上(shàng)人(rén)民(mín)政府應當将密碼工(gōng)作(zuò)納入本級國(guó)民(mín)經濟和(hé)社會發展規劃，所需經費(fèi)列入本級财政預算(suàn)。

第十二條　任何組織或者個(gè)人(rén)不得竊取他(tā)人(rén)加密保護的(de)信息或者非法侵入他(tā)人(rén)的(de)密碼保障系統。

任何組織或者個(gè)人(rén)不得利用密碼從(cóng)事(shì)危害國(guó)家(jiā)安全、社會公共利益、他(tā)人(rén)合法權益等違法犯罪活動。

第二章(zhāng)　核心密碼、普通(tōng)密碼

第十三條　國(guó)家(jiā)加強核心密碼、普通(tōng)密碼的(de)科(kē)學規劃、管理(lǐ)和(hé)使用，加強制度建設，完善管理(lǐ)措施，增強密碼安全保障能力。

第十四條　在有(yǒu)線、無線通(tōng)信中傳遞的(de)國(guó)家(jiā)秘密信息，以及存儲、處理(lǐ)國(guó)家(jiā)秘密信息的(de)信息系統，應當依照(zhào)法律、行政法規和(hé)國(guó)家(jiā)有(yǒu)關規定使用核心密碼、普通(tōng)密碼進行加密保護、安全認證。

第十五條　從(cóng)事(shì)核心密碼、普通(tōng)密碼科(kē)研、生(shēng)産、服務、檢測、裝備、使用和(hé)銷毀等工(gōng)作(zuò)的(de)機(jī)構（以下(xià)統稱密碼工(gōng)作(zuò)機(jī)構）應當按照(zhào)法律、行政法規、國(guó)家(jiā)有(yǒu)關規定以及核心密碼、普通(tōng)密碼标準的(de)要求，建立健全安全管理(lǐ)制度，采取嚴格的(de)保密措施和(hé)保密責任制，确保核心密碼、普通(tōng)密碼的(de)安全。

第十六條　密碼管理(lǐ)部門依法對(duì)密碼工(gōng)作(zuò)機(jī)構的(de)核心密碼、普通(tōng)密碼工(gōng)作(zuò)進行指導、監督和(hé)檢查，密碼工(gōng)作(zuò)機(jī)構應當配合。

第十七條　密碼管理(lǐ)部門根據工(gōng)作(zuò)需要會同有(yǒu)關部門建立核心密碼、普通(tōng)密碼的(de)安全監測預警、安全風(fēng)險評估、信息通(tōng)報、重大事(shì)項會商和(hé)應急處置等協作(zuò)機(jī)制，确保核心密碼、普通(tōng)密碼安全管理(lǐ)的(de)協同聯動和(hé)有(yǒu)序高(gāo)效。

密碼工(gōng)作(zuò)機(jī)構發現(xiàn)核心密碼、普通(tōng)密碼洩密或者影響核心密碼、普通(tōng)密碼安全的(de)重大問(wèn)題、風(fēng)險隐患的(de)，應當立即采取應對(duì)措施，并及時(shí)向保密行政管理(lǐ)部門、密碼管理(lǐ)部門報告，由保密行政管理(lǐ)部門、密碼管理(lǐ)部門會同有(yǒu)關部門組織開(kāi)展調查、處置，并指導有(yǒu)關密碼工(gōng)作(zuò)機(jī)構及時(shí)消除安全隐患。

第十八條　國(guó)家(jiā)加強密碼工(gōng)作(zuò)機(jī)構建設，保障其履行工(gōng)作(zuò)職責。

國(guó)家(jiā)建立适應核心密碼、普通(tōng)密碼工(gōng)作(zuò)需要的(de)人(rén)員(yuán)錄用、選調、保密、考核、培訓、待遇、獎懲、交流、退出等管理(lǐ)制度。

第十九條　密碼管理(lǐ)部門因工(gōng)作(zuò)需要，按照(zhào)國(guó)家(jiā)有(yǒu)關規定，可以提請公安、交通(tōng)運輸、海(hǎi)關等部門對(duì)核心密碼、普通(tōng)密碼有(yǒu)關物(wù)品和(hé)人(rén)員(yuán)提供免檢等便利，有(yǒu)關部門應當予以協助。

第二十條　密碼管理(lǐ)部門和(hé)密碼工(gōng)作(zuò)機(jī)構應當建立健全嚴格的(de)監督和(hé)安全審查制度，對(duì)其工(gōng)作(zuò)人(rén)員(yuán)遵守法律和(hé)紀律等情況進行監督，并依法采取必要措施，定期或者不定期組織開(kāi)展安全審查。

第三章(zhāng)　商用密碼

第二十一條　國(guó)家(jiā)鼓勵商用密碼技(jì)術的(de)研究開(kāi)發、學術交流、成果轉化(huà)和(hé)推廣應用，健全統一、開(kāi)放(fàng)、競争、有(yǒu)序的(de)商用密碼市(shì)場(chǎng)體(tǐ)系，鼓勵和(hé)促進商用密碼産業(yè)發展。

各級人(rén)民(mín)政府及其有(yǒu)關部門應當遵循非歧視(shì)原則，依法平等對(duì)待包括外(wài)商投資企業(yè)在內(nèi)的(de)商用密碼科(kē)研、生(shēng)産、銷售、服務、進出口等單位（以下(xià)統稱商用密碼從(cóng)業(yè)單位）。國(guó)家(jiā)鼓勵在外(wài)商投資過程中基于自(zì)願原則和(hé)商業(yè)規則開(kāi)展商用密碼技(jì)術合作(zuò)。行政機(jī)關及其工(gōng)作(zuò)人(rén)員(yuán)不得利用行政手段強制轉讓商用密碼技(jì)術。

商用密碼的(de)科(kē)研、生(shēng)産、銷售、服務和(hé)進出口，不得損害國(guó)家(jiā)安全、社會公共利益或者他(tā)人(rén)合法權益。

第二十二條　國(guó)家(jiā)建立和(hé)完善商用密碼标準體(tǐ)系。

國(guó)務院标準化(huà)行政主管部門和(hé)國(guó)家(jiā)密碼管理(lǐ)部門依據各自(zì)職責，組織制定商用密碼國(guó)家(jiā)标準、行業(yè)标準。

國(guó)家(jiā)支持社會團體(tǐ)、企業(yè)利用自(zì)主創新技(jì)術制定高(gāo)于國(guó)家(jiā)标準、行業(yè)标準相(xiàng)關技(jì)術要求的(de)商用密碼團體(tǐ)标準、企業(yè)标準。

第二十三條　國(guó)家(jiā)推動參與商用密碼國(guó)際标準化(huà)活動，參與制定商用密碼國(guó)際标準，推進商用密碼中國(guó)标準與國(guó)外(wài)标準之間(jiān)的(de)轉化(huà)運用。

國(guó)家(jiā)鼓勵企業(yè)、社會團體(tǐ)和(hé)教育、科(kē)研機(jī)構等參與商用密碼國(guó)際标準化(huà)活動。

第二十四條　商用密碼從(cóng)業(yè)單位開(kāi)展商用密碼活動，應當符合有(yǒu)關法律、行政法規、商用密碼強制性國(guó)家(jiā)标準以及該從(cóng)業(yè)單位公開(kāi)标準的(de)技(jì)術要求。

國(guó)家(jiā)鼓勵商用密碼從(cóng)業(yè)單位采用商用密碼推薦性國(guó)家(jiā)标準、行業(yè)标準，提升商用密碼的(de)防護能力，維護用戶的(de)合法權益。

第二十五條　國(guó)家(jiā)推進商用密碼檢測認證體(tǐ)系建設，制定商用密碼檢測認證技(jì)術規範、規則，鼓勵商用密碼從(cóng)業(yè)單位自(zì)願接受商用密碼檢測認證，提升市(shì)場(chǎng)競争力。

商用密碼檢測、認證機(jī)構應當依法取得相(xiàng)關資質，并依照(zhào)法律、行政法規的(de)規定和(hé)商用密碼檢測認證技(jì)術規範、規則開(kāi)展商用密碼檢測認證。

商用密碼檢測、認證機(jī)構應當對(duì)其在商用密碼檢測認證中所知悉的(de)國(guó)家(jiā)秘密和(hé)商業(yè)秘密承擔保密義務。

第二十六條　涉及國(guó)家(jiā)安全、國(guó)計(jì)民(mín)生(shēng)、社會公共利益的(de)商用密碼産品，應當依法列入網絡關鍵設備和(hé)網絡安全專用産品目錄，由具備資格的(de)機(jī)構檢測認證合格後，方可銷售或者提供。商用密碼産品檢測認證适用《中華人(rén)民(mín)共和(hé)國(guó)網絡安全法》的(de)有(yǒu)關規定，避免重複檢測認證。

商用密碼服務使用網絡關鍵設備和(hé)網絡安全專用産品的(de)，應當經商用密碼認證機(jī)構對(duì)該商用密碼服務認證合格。

第二十七條　法律、行政法規和(hé)國(guó)家(jiā)有(yǒu)關規定要求使用商用密碼進行保護的(de)關鍵信息基礎設施，其運營者應當使用商用密碼進行保護，自(zì)行或者委托商用密碼檢測機(jī)構開(kāi)展商用密碼應用安全性評估。商用密碼應用安全性評估應當與關鍵信息基礎設施安全檢測評估、網絡安全等級測評制度相(xiàng)銜接，避免重複評估、測評。

關鍵信息基礎設施的(de)運營者采購涉及商用密碼的(de)網絡産品和(hé)服務，可能影響國(guó)家(jiā)安全的(de)，應當按照(zhào)《中華人(rén)民(mín)共和(hé)國(guó)網絡安全法》的(de)規定，通(tōng)過國(guó)家(jiā)網信部門會同國(guó)家(jiā)密碼管理(lǐ)部門等有(yǒu)關部門組織的(de)國(guó)家(jiā)安全審查。

第二十八條　國(guó)務院商務主管部門、國(guó)家(jiā)密碼管理(lǐ)部門依法對(duì)涉及國(guó)家(jiā)安全、社會公共利益且具有(yǒu)加密保護功能的(de)商用密碼實施進口許可，對(duì)涉及國(guó)家(jiā)安全、社會公共利益或者中國(guó)承擔國(guó)際義務的(de)商用密碼實施出口管制。商用密碼進口許可清單和(hé)出口管制清單由國(guó)務院商務主管部門會同國(guó)家(jiā)密碼管理(lǐ)部門和(hé)海(hǎi)關總署制定并公布。

大衆消費(fèi)類産品所采用的(de)商用密碼不實行進口許可和(hé)出口管制制度。

第二十九條　國(guó)家(jiā)密碼管理(lǐ)部門對(duì)采用商用密碼技(jì)術從(cóng)事(shì)電(diàn)子(zǐ)政務電(diàn)子(zǐ)認證服務的(de)機(jī)構進行認定，會同有(yǒu)關部門負責政務活動中使用電(diàn)子(zǐ)簽名、數據電(diàn)文(wén)的(de)管理(lǐ)。

第三十條　商用密碼領域的(de)行業(yè)協會等組織依照(zhào)法律、行政法規及其章(zhāng)程的(de)規定，為(wèi)商用密碼從(cóng)業(yè)單位提供信息、技(jì)術、培訓等服務，引導和(hé)督促商用密碼從(cóng)業(yè)單位依法開(kāi)展商用密碼活動，加強行業(yè)自(zì)律，推動行業(yè)誠信建設，促進行業(yè)健康發展。

第三十一條　密碼管理(lǐ)部門和(hé)有(yǒu)關部門建立日(rì)常監管和(hé)随機(jī)抽查相(xiàng)結合的(de)商用密碼事(shì)中事(shì)後監管制度，建立統一的(de)商用密碼監督管理(lǐ)信息平台，推進事(shì)中事(shì)後監管與社會信用體(tǐ)系相(xiàng)銜接，強化(huà)商用密碼從(cóng)業(yè)單位自(zì)律和(hé)社會監督。

密碼管理(lǐ)部門和(hé)有(yǒu)關部門及其工(gōng)作(zuò)人(rén)員(yuán)不得要求商用密碼從(cóng)業(yè)單位和(hé)商用密碼檢測、認證機(jī)構向其披露源代碼等密碼相(xiàng)關專有(yǒu)信息，并對(duì)其在履行職責中知悉的(de)商業(yè)秘密和(hé)個(gè)人(rén)隐私嚴格保密，不得洩露或者非法向他(tā)人(rén)提供。

第四章(zhāng)　法律責任

第三十二條　違反本法第十二條規定，竊取他(tā)人(rén)加密保護的(de)信息，非法侵入他(tā)人(rén)的(de)密碼保障系統，或者利用密碼從(cóng)事(shì)危害國(guó)家(jiā)安全、社會公共利益、他(tā)人(rén)合法權益等違法活動的(de)，由有(yǒu)關部門依照(zhào)《中華人(rén)民(mín)共和(hé)國(guó)網絡安全法》和(hé)其他(tā)有(yǒu)關法律、行政法規的(de)規定追究法律責任。

第三十三條　違反本法第十四條規定，未按照(zhào)要求使用核心密碼、普通(tōng)密碼的(de)，由密碼管理(lǐ)部門責令改正或者停止違法行為(wèi)，給予警告；情節嚴重的(de)，由密碼管理(lǐ)部門建議(yì)有(yǒu)關國(guó)家(jiā)機(jī)關、單位對(duì)直接負責的(de)主管人(rén)員(yuán)和(hé)其他(tā)直接責任人(rén)員(yuán)依法給予處分或者處理(lǐ)。

第三十四條　違反本法規定，發生(shēng)核心密碼、普通(tōng)密碼洩密案件(jiàn)的(de)，由保密行政管理(lǐ)部門、密碼管理(lǐ)部門建議(yì)有(yǒu)關國(guó)家(jiā)機(jī)關、單位對(duì)直接負責的(de)主管人(rén)員(yuán)和(hé)其他(tā)直接責任人(rén)員(yuán)依法給予處分或者處理(lǐ)。

違反本法第十七條第二款規定，發現(xiàn)核心密碼、普通(tōng)密碼洩密或者影響核心密碼、普通(tōng)密碼安全的(de)重大問(wèn)題、風(fēng)險隐患，未立即采取應對(duì)措施，或者未及時(shí)報告的(de)，由保密行政管理(lǐ)部門、密碼管理(lǐ)部門建議(yì)有(yǒu)關國(guó)家(jiā)機(jī)關、單位對(duì)直接負責的(de)主管人(rén)員(yuán)和(hé)其他(tā)直接責任人(rén)員(yuán)依法給予處分或者處理(lǐ)。

第三十五條　商用密碼檢測、認證機(jī)構違反本法第二十五條第二款、第三款規定開(kāi)展商用密碼檢測認證的(de)，由市(shì)場(chǎng)監督管理(lǐ)部門會同密碼管理(lǐ)部門責令改正或者停止違法行為(wèi)，給予警告，沒收違法所得；違法所得三十萬元以上(shàng)的(de)，可以并處違法所得一倍以上(shàng)三倍以下(xià)罰款；沒有(yǒu)違法所得或者違法所得不足三十萬元的(de)，可以并處十萬元以上(shàng)三十萬元以下(xià)罰款；情節嚴重的(de)，依法吊銷相(xiàng)關資質。

第三十六條　違反本法第二十六條規定，銷售或者提供未經檢測認證或者檢測認證不合格的(de)商用密碼産品，或者提供未經認證或者認證不合格的(de)商用密碼服務的(de)，由市(shì)場(chǎng)監督管理(lǐ)部門會同密碼管理(lǐ)部門責令改正或者停止違法行為(wèi)，給予警告，沒收違法産品和(hé)違法所得；違法所得十萬元以上(shàng)的(de)，可以并處違法所得一倍以上(shàng)三倍以下(xià)罰款；沒有(yǒu)違法所得或者違法所得不足十萬元的(de)，可以并處三萬元以上(shàng)十萬元以下(xià)罰款。

第三十七條　關鍵信息基礎設施的(de)運營者違反本法第二十七條第一款規定，未按照(zhào)要求使用商用密碼，或者未按照(zhào)要求開(kāi)展商用密碼應用安全性評估的(de)，由密碼管理(lǐ)部門責令改正，給予警告；拒不改正或者導緻危害網絡安全等後果的(de)，處十萬元以上(shàng)一百萬元以下(xià)罰款，對(duì)直接負責的(de)主管人(rén)員(yuán)處一萬元以上(shàng)十萬元以下(xià)罰款。

關鍵信息基礎設施的(de)運營者違反本法第二十七條第二款規定，使用未經安全審查或者安全審查未通(tōng)過的(de)産品或者服務的(de)，由有(yǒu)關主管部門責令停止使用，處采購金(jīn)額一倍以上(shàng)十倍以下(xià)罰款；對(duì)直接負責的(de)主管人(rén)員(yuán)和(hé)其他(tā)直接責任人(rén)員(yuán)處一萬元以上(shàng)十萬元以下(xià)罰款。

第三十八條　違反本法第二十八條實施進口許可、出口管制的(de)規定，進出口商用密碼的(de)，由國(guó)務院商務主管部門或者海(hǎi)關依法予以處罰。

第三十九條　違反本法第二十九條規定，未經認定從(cóng)事(shì)電(diàn)子(zǐ)政務電(diàn)子(zǐ)認證服務的(de)，由密碼管理(lǐ)部門責令改正或者停止違法行為(wèi)，給予警告，沒收違法産品和(hé)違法所得；違法所得三十萬元以上(shàng)的(de)，可以并處違法所得一倍以上(shàng)三倍以下(xià)罰款；沒有(yǒu)違法所得或者違法所得不足三十萬元的(de)，可以并處十萬元以上(shàng)三十萬元以下(xià)罰款。

第四十條　密碼管理(lǐ)部門和(hé)有(yǒu)關部門、單位的(de)工(gōng)作(zuò)人(rén)員(yuán)在密碼工(gōng)作(zuò)中濫用職權、玩(wán)忽職守、徇私舞弊，或者洩露、非法向他(tā)人(rén)提供在履行職責中知悉的(de)商業(yè)秘密和(hé)個(gè)人(rén)隐私的(de)，依法給予處分。

第四十一條　違反本法規定，構成犯罪的(de)，依法追究刑事(shì)責任；給他(tā)人(rén)造成損害的(de)，依法承擔民(mín)事(shì)責任。

第五章(zhāng)　附　　則

第四十二條　國(guó)家(jiā)密碼管理(lǐ)部門依照(zhào)法律、行政法規的(de)規定，制定密碼管理(lǐ)規章(zhāng)。

第四十三條　中國(guó)人(rén)民(mín)解放(fàng)軍和(hé)中國(guó)人(rén)民(mín)武裝警察部隊的(de)密碼工(gōng)作(zuò)管理(lǐ)辦法，由中央軍事(shì)委員(yuán)會根據本法制定。

第四十四條　本法自(zì)2020年(nián)1月(yuè)1日(rì)起施行。