根据《密码法》规定,如果商用密码服务使用网络关键设备和网络安全专用产品,无论是商用密码产品和非商用密码产品,均应当经商用密码认证机构对该商用密码服务认证合格。对于商用密码服务的范围,国密局在其官方网站的政策问答中给出了比较宽的解释,将其定义为“为他人提供集成、运营、监理等密码支持和保障的活动”。典型的商用密码服务包括密码保障系统集成服务(如数字证书认证系统集成),是指为他人集成建设实现密码功能的系统,保护他人网络与信息系统的安全;密码保障系统运营服务(如增值税发票防伪税控系统运营),是指为保证他人实现密码功能系统的正常运行提供安全管理和维护。
对于以上两类情况中提到的网络关键设备和网络安全专用产品,我国采用清单制管理,与《网络安全法》下存在的安全认证或安全检测的要求相呼应。