商用密码检测与认证制度
《管理条例》第九条规定,商用密码产品,必须经国家密码管理机构指定的产品质量检测机构检测合格。《密码法》尽管明确了商用密码检测与认证制度,但商用密码产品由全部强制检测制度调整为自愿检测认证和强制检测认证相结合的管理制度。
《密码法》第二十五条规定商用密码从业单位原则上自愿接受检测与认证。但第二十六条与《网安法》下网络关键设备和网络安全专用产品相关制度相衔接,规定了两种强制接受检测与认证的例外:(1)涉及国家安全、国计民生、社会公共利益的商用密码产品应列入《网络关键设备和网络安全专用产品目录》进行检测、认证;以及(2)使用网络关键设备和网络安全专用产品的商用密码服务应进行认证。
《网安法》生效以来,《网络关键设备和网络安全专用产品目录(第一批)》以及《承担网络关键设备和网络安全专用产品安全认证和安全检测任务机构名录(第一批)》都已经陆续公布,并会适时更新后续批次。
3. 强化事中事后监管
事前审批的简政放权为商用密码从业企业带来重大利好,但这并不意味着从业企业的合规要求必然减少。《密码法》第三十一条规定,“密码管理部门和有关部门建立日常监管和随机抽查相结合的商用密码事中事后监管制度,建立统一的商用密码监督管理信息平台,推进事中事后监管与社会信用体系相衔接,强化商用密码从业单位自律和社会监督”。
虽然《密码法》仅提出事中事后监管制度的原则性规定,具体监管措施应如何落地仍有待实施细则的补充,但从业企业可以从已发布的《国密通知》中一窥事中事后监管的大体框架。国家密码管理局在《国密通知》中,就取消一批商用密码相关行政许可事项后如何加强事中事后监管的问题提出了具体措施,大致可以概括为以下几点:
全面落实“随机抽取检查对象,随机选派执法检查人员,执法结果及时向社会公开”的“双随机,一公开”制度,加大对商用密码产品的随机抽查力度,及时向社会公开抽查情况与结果;
充分发挥行业组织自律作用,积极鼓励从业企业加入行业协会并接受其监督;
建立信用体系,及时公示行政审批结果和监督检查情况,并将失信企业纳入“黑名单”重点监控,并将从业企业信用信息推送至国家企业信用信息公示系统;
健全投诉举报制度,及时处理社会和群众的投诉举报;
依法公开查处违法违规行为的处理情况、处罚依据及处罚结果。
综上可见,《密码