宪法和法 律委员会认为,为了规范密码的使用和管理,促进密码事业发展,保障网络和信息安全,制定本法是必要的,草案经过常委会审议修改,已经比较成熟。同时,提出以下主要修改意见:
一、草案第十八条对加强核心密码、普通密码人才队伍培养、建设作了规定。有的常委会组成人员和地方提出对商用密码人才也应当加强培养。宪法和法律委员会经研究,建议把人才队伍培养、建设的内 容移至总则以突显人才培养对于密码事业的重要性。
二、草案对核心密码、普通密码的管理和使用作了专章规定。有的常委会组成人员和地方建议进一步强化国家对核心密码、普通密码的管理,实行密码安全保密责任制,定期开展安全评估,发现安全隐患 风险后应当立即采取相应措施。宪法和法律委员会经与司法部、国家密码管理局研究,建议在草案第十五条中明确要求实行密码“保密责任制”,并在草案第十七条第一款增加“安全风险评估”机制;在 第二款增加规定,发现影响核心密码、普通密码安全的“风险隐患”时,应当立即采取应对措施。
三、草案第二十六条第一款规定了列入网络关键设备和网络安全专用产品目录的商用密码产品的强制检测认证制度。有的常委会组成人员和公众、企业提出,网络安全法第二十三条已对网络关键设备和 网络安全专用产品的检测认证作了规定,需要进一步明确本法与网络安全法规定的关系,保持法律之间的衔接,避免重复检测认证。宪法和法律委员会经研究,建议在第二十六条第一款中增加规定: “商用密码产品检测认证适用《中华人民共和国网络安全法》的有关规定,避免重复检测认证。”
四、草案第二十七条规定了商用密码应用安全性评估和国家安全审查制度。有的常委会组成人员和部门、企业、公众提出,网络安全法已经对关键信息基础设施的安全检测评估和国家安全审查作了相关 规定,建议本法与网络安全法做好衔接。有的企业提出,一些大型企业有能力对所运营的网络自行进行安全性评估。宪法和法律委员会经与国家密码管理局研究,建议将第二十七条修改为:“法律、行 政法规和国家有关规定要求使用商用密码进行保护的关键信息基础设施,其运营者应当使用商用密码进行保护,自行或者委托商用密码检测机构开展商用密码应用安全性评估。商用密码应用安全性评估 应当与关键信息基础设施安全检测评估、网络安全等级测评制度相衔接,避免重复评估、测评。”“关键信息基础设施的运营者采购涉及商用密码的网络产品和服务,可能