El 1 de agosto de 2025 entró en vigor oficialmente el «Reglamento sobre la gestión del uso de contraseñas comerciales en infraestructuras de información crítica»

El 1 de agosto de 2025, entró oficialmente en vigor el "Reglamento sobre el uso de criptografía comercial en infraestructuras críticas de información". Elaborado conforme a la Ley de Criptografía, la Ley de Seguridad de Datos, la Ley de Protección de Información Personal, el Reglamento de Gestión de Criptografía Comercial, el Reglamento de Protección de Seguridad de Infraestructuras Críticas de Información y el Reglamento de Gestión de Seguridad de Datos de Red, entre otras leyes y reglamentos administrativos, tiene por objeto regular el uso de criptografía comercial en infraestructuras críticas de información y proteger su seguridad.

A continuación se presenta el texto completo del "Reglamento sobre el uso de criptografía comercial en infraestructuras críticas de información":

Reglamento sobre el uso de criptografía comercial en infraestructuras críticas de información

Artículo 1 Con el fin de regular el uso de criptografía comercial en infraestructuras críticas de información y proteger su seguridad, el presente reglamento se establece de conformidad con la Ley de Criptografía de la República Popular China, la Ley de Ciberseguridad de la República Popular China, la Ley de Seguridad de Datos de la República Popular China, la Ley de Protección de Información Personal de la República Popular China, el Reglamento de Gestión de Criptografía Comercial, el Reglamento de Protección de Seguridad de Infraestructuras Críticas de Información y el Reglamento de Gestión de Seguridad de Datos de Red, entre otras leyes y reglamentos administrativos.

Artículo 2 El presente reglamento se aplica a la gestión del uso de criptografía comercial en infraestructuras críticas de información reconocidas conforme a la Ley de Ciberseguridad de la República Popular China, el Reglamento de Protección de Seguridad de Infraestructuras Críticas de Información y otras leyes, reglamentos administrativos y disposiciones nacionales pertinentes.

Artículo 3 El departamento nacional de administración de criptografía, junto con el departamento nacional de administración del ciberespacio y el departamento de seguridad pública del Consejo de Estado, es responsable de planificar, orientar y supervisar la gestión del uso de criptografía comercial en infraestructuras críticas de información en todo el país, y de establecer un mecanismo de intercambio de información sobre dicha gestión.

Los departamentos de administración de contraseñas de los gobiernos locales a nivel distrital o superior, junto con los departamentos de administración del ciberespacio y los órganos de seguridad pública, son responsables de orientar y supervisar la gestión del uso de contraseñas comerciales en la infraestructura crítica de información dentro de sus respectivas regiones administrativas.

Artículo 4 Los departamentos encargados de la protección de la infraestructura crítica de información (en adelante, departamentos de protección) son responsables, dentro del ámbito de sus funciones, de supervisar y administrar el uso de contraseñas comerciales en la infraestructura crítica de información de su sector o campo; elaborarán por separado planes para el uso de contraseñas comerciales en su sector o campo, o los incorporarán en los planes de seguridad de la infraestructura crítica de información de su sector o campo y organizarán su implementación; y orientarán a los operadores de infraestructura crítica de información de su sector o campo (en adelante, operadores) en la realización de labores de salvaguarda relacionadas con sistemas, personal y fondos de las contraseñas comerciales.

Los departamentos de protección deberán informar, antes del 31 de marzo de cada año, al departamento nacional de administración de contraseñas, al departamento nacional de administración del ciberespacio y al departamento de seguridad pública del Consejo de Estado sobre la gestión del uso de contraseñas comerciales en la infraestructura crítica de información de su sector o campo durante el año anterior.

Cuando ocurra un incidente grave de seguridad de redes relacionado con contraseñas comerciales en la infraestructura crítica de información, o se descubra una amenaza grave de seguridad de redes relacionada con contraseñas comerciales, los departamentos de protección deberán informar oportunamente al departamento nacional de administración de contraseñas, al departamento nacional de administración del ciberespacio y al departamento de seguridad pública del Consejo de Estado, orientar a los operadores en la respuesta de emergencia y, cuando sea necesario, llevar a cabo evaluaciones de seguridad de la aplicación de contraseñas comerciales.

Artículo 5 Los operadores deberán, conforme a las leyes, reglamentos administrativos y disposiciones nacionales pertinentes, y siguiendo los requisitos de los sistemas nacionales de administración de contraseñas comerciales, protección clasificada de la seguridad de redes y protección de la seguridad de la infraestructura crítica de información, utilizar contraseñas comerciales para proteger la infraestructura crítica de información, planificar, construir y operar de manera sincronizada los sistemas de salvaguarda de contraseñas comerciales, y realizar periódicamente evaluaciones de seguridad de la aplicación de contraseñas comerciales.

Los operadores deberán informar, antes del 31 de enero de cada año, al departamento de protección al que pertenezcan sobre el uso de contraseñas comerciales en la infraestructura crítica de información y la realización de evaluaciones de seguridad de la aplicación de contraseñas comerciales durante el año anterior.

Artículo 6 Los operadores deberán fortalecer la salvaguarda institucional del uso de contraseñas comerciales en la infraestructura crítica de información y establecer sistemas de gestión para el uso de contraseñas comerciales en la infraestructura crítica de información, incluidos los de uso de contraseñas comerciales, respuesta de emergencia y notificación de incidentes graves.

Los principales responsables de los operadores asumirán la responsabilidad general por la gestión del uso de contraseñas comerciales en la infraestructura crítica de información, y serán responsables del uso de contraseñas comerciales en la infraestructura crítica de información y del manejo de incidentes graves de seguridad de redes relacionados con contraseñas comerciales.

Artículo 7 Los operadores deberán reforzar la dotación de personal para el uso de criptografía comercial en infraestructuras críticas de información, asignando a profesionales con titulación en criptografía o con certificados nacionales de cualificación profesional en criptografía para desempeñar, respectivamente, las funciones de administrador de claves y operador de criptografía, y contando con personal con competencia profesional en auditoría de seguridad para ejercer las funciones de auditor de seguridad criptográfica.

Los operadores deberán realizar una revisión de antecedentes de seguridad del personal profesional relacionado con la criptografía y organizar periódicamente su participación en formación de competencias profesionales en criptografía, con el fin de mejorar la capacidad del personal profesional en el uso de criptografía comercial.

Artículo 8 Los operadores deberán reforzar la garantía de fondos para el uso de criptografía comercial y la evaluación de la seguridad de las aplicaciones en infraestructuras críticas de información, e incorporar dichos fondos a las disposiciones presupuestarias de seguridad de redes y de informatización.

Artículo 9 Los productos y servicios de criptografía comercial utilizados en infraestructuras críticas de información deberán haber superado las pruebas y certificaciones pertinentes, y las tecnologías de criptografía comercial empleadas, como algoritmos criptográficos, protocolos criptográficos y mecanismos de gestión de claves, deberán haber sido revisadas y validadas por el departamento nacional de criptografía.

Cuando la adquisición por parte de los operadores de productos y servicios de red que impliquen criptografía comercial afecte o pueda afectar a la seguridad nacional, deberá realizarse la revisión de seguridad de redes conforme a las Medidas de Revisión de Seguridad de Redes.

Artículo 10 Las infraestructuras críticas de información deberán, de conformidad con los requisitos nacionales de protección de la seguridad de los datos y de protección de la información personal, utilizar criptografía comercial para proteger los datos esenciales, los datos importantes y la información personal que almacenen, utilicen o transmitan.

Artículo 11 En la fase de planificación de las infraestructuras críticas de información, sus operadores deberán, conforme a las leyes, reglamentos administrativos y normas aplicables y según las necesidades de aplicación de criptografía comercial, elaborar un plan de aplicación de criptografía comercial y planificar el sistema de soporte de criptografía comercial, integrándolo en la planificación de seguridad de las infraestructuras críticas de información de manera coordinada.

Los operadores deberán realizar, por sí mismos o encargando a una entidad de evaluación de criptografía comercial, una evaluación de la seguridad de la aplicación de criptografía comercial sobre el plan de aplicación correspondiente. Cuando el plan de aplicación de criptografía comercial no supere la evaluación de seguridad de la aplicación de criptografía comercial, no podrá servir de base para la construcción del sistema de garantía de criptografía comercial.

Artículo 12 Durante la fase de construcción de infraestructuras críticas de información, su operador deberá organizar la implementación conforme al plan de aplicación de criptografía comercial que haya superado la evaluación de seguridad de la aplicación de criptografía comercial, aplicar las medidas de protección de seguridad de criptografía comercial y construir el sistema de garantía de criptografía comercial. Si durante el proceso de construcción es necesario ajustar el plan de aplicación de criptografía comercial, se deberá realizar nuevamente la evaluación de seguridad de la aplicación de criptografía comercial y, solo después de superarla, se podrá continuar la construcción conforme al plan ajustado.

Antes de la puesta en funcionamiento de una infraestructura crítica de información, su operador deberá realizar por sí mismo o encargar a una institución de pruebas de criptografía comercial la evaluación de seguridad de la aplicación de criptografía comercial. Si la infraestructura crítica de información no supera la evaluación de seguridad de la aplicación de criptografía comercial, el operador deberá realizar una transformación y no podrá ponerla en funcionamiento durante el período de transformación.

Artículo 13 Una vez construida y en funcionamiento la infraestructura crítica de información, su operador deberá realizar por sí mismo o encargar a una institución de pruebas de criptografía comercial al menos una evaluación de seguridad de la aplicación de criptografía comercial al año, para asegurar el uso correcto de la criptografía comercial en la infraestructura crítica de información y el funcionamiento eficaz del sistema de garantía de criptografía comercial. Si la infraestructura crítica de información no supera la evaluación de seguridad de la aplicación de criptografía comercial, el operador deberá realizar una transformación y, durante el período de transformación, adoptar las medidas necesarias para garantizar la seguridad del funcionamiento de la infraestructura crítica de información.

Artículo 14 En el caso de infraestructuras críticas de información que se encuentren en construcción antes de la entrada en vigor de las presentes disposiciones, su operador deberá reforzar la elaboración y argumentación del plan de aplicación de criptografía comercial, construir y perfeccionar el sistema de garantía de criptografía comercial y realizar la evaluación de seguridad de la aplicación de criptografía comercial de conformidad con el Artículo 12 de las presentes disposiciones.

Para las infraestructuras de información crítica que ya estén en funcionamiento antes de la entrada en vigor de estas disposiciones, sus operadores deberán realizar la evaluación de seguridad de la aplicación de criptografía comercial de conformidad con el artículo 13 de estas disposiciones.

Artículo 15 La realización de la evaluación de seguridad de la aplicación de criptografía comercial en infraestructuras de información crítica deberá cumplir con las disposiciones pertinentes de las Medidas para la Administración de la Evaluación de Seguridad de la Aplicación de Criptografía Comercial.

La evaluación de seguridad de la aplicación de criptografía comercial en infraestructuras de información crítica deberá reforzar la articulación con las pruebas y evaluaciones de seguridad de las infraestructuras de información crítica y con las evaluaciones por niveles de la seguridad de redes, a fin de evitar evaluaciones y pruebas duplicadas.

Artículo 16 El departamento nacional de administración de criptografía será responsable de construir y administrar la infraestructura nacional para la administración de la seguridad operativa de la criptografía comercial en infraestructuras de información crítica, coordinará a los departamentos de protección sectorial en la construcción de infraestructuras para la administración de la seguridad operativa de la criptografía comercial en sus respectivos sectores y ámbitos, y, junto con el departamento nacional de administración del ciberespacio y el departamento de seguridad pública del Consejo de Estado, analizará y evaluará la situación de la seguridad operativa de la criptografía comercial en infraestructuras de información crítica, y responderá de manera coordinada a las principales amenazas a la seguridad operativa de la criptografía comercial.

Artículo 17 Los departamentos de administración de criptografía organizarán periódicamente inspecciones y supervisiones sobre el uso de la criptografía comercial en infraestructuras de información crítica. Los departamentos de protección sectorial verificarán periódicamente el uso de la criptografía comercial en las infraestructuras de información crítica de su sector o ámbito y propondrán medidas de mejora; cuando sea necesario, podrán realizar por sí mismos o encomendar a instituciones de pruebas de criptografía comercial u otras instituciones profesionales la evaluación de seguridad de la aplicación de criptografía comercial.

Los operadores deberán cooperar con las inspecciones y supervisiones sobre el uso de la criptografía comercial en infraestructuras de información crítica realizadas por los departamentos de administración de criptografía y por los departamentos de protección sectorial, corregir oportunamente las deficiencias detectadas según las observaciones de la inspección y supervisión e informar de las correcciones al departamento de protección sectorial, el cual deberá comunicar dichas correcciones al departamento nacional de administración de criptografía.

Al realizar inspecciones y supervisiones sobre el uso de la criptografía comercial en infraestructuras de información crítica, se reforzará la coordinación, la colaboración y el intercambio de información, a fin de evitar inspecciones innecesarias y verificaciones duplicadas. La supervisión e inspección no podrán cobrar tasas, ni exigir a las unidades supervisadas e inspeccionadas que compren o utilicen productos o servicios de criptografía comercial de unidades determinadas o de marcas determinadas.

Artículo 18 Los departamentos de criptografía, los departamentos pertinentes, los organismos de inspección de criptografía comercial y su personal asumirán la obligación de confidencialidad respecto de los secretos de Estado, secretos comerciales y privacidad personal que conozcan en el ejercicio de sus funciones, y no podrán divulgarlos ni proporcionarlos ilegalmente a terceros.

Artículo 19 Si un operador infringe las disposiciones pertinentes de la Ley de Criptografía de la República Popular China, la Ley de Ciberseguridad de la República Popular China, el Reglamento de Administración de Criptografía Comercial, el Reglamento de Protección de la Seguridad de Infraestructuras Críticas de Información y el presente Reglamento, y concurre alguna de las siguientes circunstancias, el departamento de criptografía ordenará la corrección y emitirá una advertencia; si se niega a corregir o existen otras circunstancias graves, se impondrá una multa de más de 100.000 yuanes y menos de 1.000.000 de yuanes, y al responsable directo a cargo se le impondrá una multa de más de 10.000 yuanes y menos de 100.000 yuanes:

(1) no utilizar criptografía comercial para proteger las infraestructuras críticas de información según lo exigido, ni planificar, construir y operar de forma sincronizada el sistema de garantía de criptografía comercial;

(2) que los productos y servicios de criptografía comercial utilizados en las infraestructuras críticas de información no hayan pasado la inspección y certificación de conformidad;

(3) que los algoritmos criptográficos, protocolos criptográficos, mecanismos de gestión de claves y otras tecnologías de criptografía comercial utilizados en las infraestructuras críticas de información no hayan superado la revisión y evaluación del departamento nacional de administración de criptografía;

(4) que en la fase de planificación de las infraestructuras críticas de información no se haya formulado un plan de aplicación de criptografía comercial, o no se haya realizado la evaluación de seguridad de la aplicación de criptografía comercial sobre dicho plan;

(5) que en la fase de construcción de las infraestructuras críticas de información no se haya construido el sistema de garantía de criptografía comercial conforme al plan de aplicación de criptografía comercial que haya superado la evaluación de seguridad de la aplicación de criptografía comercial;

(VI) Antes de la puesta en funcionamiento de la infraestructura de información crítica, no se haya llevado a cabo la evaluación de seguridad de la aplicación de criptografía comercial, o no se haya aprobado dicha evaluación y no se hayan realizado las modificaciones necesarias;

(VII) Después de la construcción y puesta en funcionamiento de la infraestructura de información crítica, no se realice periódicamente la evaluación de seguridad de la aplicación de criptografía comercial, o no se apruebe la evaluación periódica y no se efectúen las modificaciones necesarias.

Artículo 20 Si un operador, en violación de la Ley de Criptografía de la República Popular China, la Ley de Ciberseguridad de la República Popular China, el Reglamento de Gestión de Criptografía Comercial, el Reglamento de Protección de Seguridad de la Infraestructura de Información Crítica y el Artículo 9 de las presentes Disposiciones, utiliza productos o servicios de red que involucren criptografía comercial sin haber superado la revisión de seguridad o cuya revisión de seguridad no haya sido aprobada, el departamento competente ordenará el cese del uso e impondrá una multa de no menos de una vez ni más de diez veces el monto de la adquisición; a los responsables directos a cargo y demás personal directamente responsable se les impondrá una multa de no menos de 10.000 ni más de 100.000 yuanes.

Artículo 21 Si un operador, en violación de la Ley de Criptografía de la República Popular China, la Ley de Ciberseguridad de la República Popular China, el Reglamento de Gestión de Criptografía Comercial, el Reglamento de Protección de Seguridad de la Infraestructura de Información Crítica y el Artículo 17 de las presentes Disposiciones, sin justa causa se niega a aceptar, no coopera con, o interfiere u obstruye la supervisión y administración de la criptografía comercial por parte de los departamentos de gestión de criptografía y los departamentos pertinentes, el departamento de gestión de criptografía o el departamento pertinente ordenará la corrección y emitirá una advertencia; si se niega a corregir o existen otras circunstancias graves, se impondrá una multa de no menos de 50.000 ni más de 500.000 yuanes, y a los responsables directos a cargo y demás personal directamente responsable se les impondrá una multa de no menos de 10.000 ni más de 100.000 yuanes; si las circunstancias son especialmente graves, se ordenará la suspensión de las actividades para su rectificación.

Artículo 22 Si un operador, en violación de las presentes Disposiciones, incurre en cualquiera de las siguientes circunstancias, el departamento de gestión de criptografía o el departamento pertinente ordenará la corrección conforme a sus funciones:

(I) No informe, conforme a los requisitos, sobre el uso de la criptografía comercial en la infraestructura de información crítica y sobre la realización de la evaluación de seguridad de la aplicación de criptografía comercial en el año anterior;

(II) No establezca un sistema de gestión para el uso de la criptografía comercial en la infraestructura de información crítica;

(III) No cuente, conforme a los requisitos, con administradores de claves, operadores de criptografía y auditores de seguridad de criptografía;

(IV) No garantizar los fondos para el uso de criptografía comercial y la evaluación de la seguridad de su aplicación en infraestructuras de información crítica.

Artículo 23 El personal encargado de la supervisión del uso de criptografía comercial en infraestructuras de información crítica que abuse de sus funciones, descuide sus deberes, cometa fraude por favoritismo, o divulgue o proporcione ilegalmente a terceros secretos comerciales, privacidad personal o información de denunciantes conocidos en el ejercicio de sus funciones, será sancionado conforme a la ley.

Artículo 24 La gestión del uso de criptografía comercial en infraestructuras de información crítica que pertenezcan a sistemas de información de asuntos gubernamentales nacionales, además de cumplir con estas disposiciones, deberá ejecutarse de acuerdo con los requisitos del "Reglamento para la Administración de la Construcción de Proyectos de Informatización de Asuntos Gubernamentales Nacionales" (Oficina General del Consejo de Estado [2019] No. 57) y otras normativas pertinentes.

Artículo 25 Estas disposiciones entrarán en vigor el 1 de agosto de 2025.

Fuente: Red de Información de Internet de China