Le 1er août 2025, le « Règlement sur l'utilisation des mots de passe commerciaux dans les infrastructures d'information critiques » entre officiellement en vigueur

Le 1er août 2025, le « Règlement sur la gestion de l'utilisation de la cryptographie commerciale dans les infrastructures d'information critiques » est officiellement entré en vigueur. Élaboré sur la base de la « Loi sur la cryptographie », de la « Loi sur la sécurité des données », de la « Loi sur la protection des renseignements personnels », du « Règlement sur l'administration de la cryptographie commerciale », du « Règlement sur la protection de la sécurité des infrastructures d'information critiques » et du « Règlement sur l'administration de la sécurité des données en réseau », ainsi que d'autres lois et règlements administratifs pertinents, il vise à normaliser l'utilisation de la cryptographie commerciale dans les infrastructures d'information critiques et à protéger leur sécurité.

Voici le texte intégral du « Règlement sur la gestion de l'utilisation de la cryptographie commerciale dans les infrastructures d'information critiques » :

Règlement sur la gestion de l'utilisation de la cryptographie commerciale dans les infrastructures d'information critiques

Article 1 Le présent règlement est établi afin de normaliser l'utilisation de la cryptographie commerciale dans les infrastructures d'information critiques et de protéger leur sécurité, conformément à la « Loi sur la cryptographie de la République populaire de Chine », à la « Loi sur la cybersécurité de la République populaire de Chine », à la « Loi sur la sécurité des données de la République populaire de Chine », à la « Loi sur la protection des renseignements personnels de la République populaire de Chine », au « Règlement sur l'administration de la cryptographie commerciale », au « Règlement sur la protection de la sécurité des infrastructures d'information critiques », au « Règlement sur l'administration de la sécurité des données en réseau » et à d'autres lois et règlements administratifs pertinents.

Article 2 Le présent règlement s'applique à la gestion de l'utilisation de la cryptographie commerciale dans les infrastructures d'information critiques identifiées conformément à la « Loi sur la cybersécurité de la République populaire de Chine », au « Règlement sur la protection de la sécurité des infrastructures d'information critiques » et à d'autres lois, règlements administratifs et dispositions nationales pertinentes.

Article 3 Le département national de l'administration de la cryptographie, en collaboration avec le département national de l'administration du cyberespace et le département de la sécurité publique du Conseil des Affaires d'État, est responsable de la planification, de l'orientation et de la supervision de la gestion de l'utilisation de la cryptographie commerciale dans les infrastructures d'information critiques à l'échelle nationale, et établit un mécanisme de partage d'informations sur la gestion de l'utilisation de la cryptographie commerciale dans les infrastructures d'information critiques.

Les départements de gestion des mots de passe des gouvernements locaux au niveau du district ou supérieur, en collaboration avec les départements de l'Internet et de l'information et les organes de sécurité publique, sont chargés de guider et de superviser la gestion de l'utilisation des mots de passe commerciaux pour les infrastructures d'information critiques dans leurs régions administratives respectives.

Article 4 Les départements chargés de la protection des infrastructures d'information critiques (ci-après dénommés départements de protection) sont responsables, dans le cadre de leurs fonctions, de la supervision et de la gestion de l'utilisation des mots de passe commerciaux pour les infrastructures d'information critiques dans leur secteur ou domaine, élaborent séparément des plans d'utilisation des mots de passe commerciaux pour leur secteur ou domaine, ou les intègrent dans les plans de sécurité des infrastructures d'information critiques de leur secteur ou domaine et en organisent la mise en œuvre, et guident les opérateurs d'infrastructures d'information critiques (ci-après dénommés opérateurs) de leur secteur ou domaine pour mettre en place les garanties liées aux systèmes, au personnel et aux financements concernant les mots de passe commerciaux.

Les départements de protection doivent, avant le 31 mars de chaque année, rendre compte au département national de gestion des mots de passe, au département national de l'Internet et de l'information et au département de la sécurité publique du Conseil des affaires d'État de la situation de la gestion de l'utilisation des mots de passe commerciaux pour les infrastructures d'information critiques dans leur secteur ou domaine au cours de l'année précédente.

Lorsqu'un incident majeur de sécurité réseau impliquant des mots de passe commerciaux survient dans une infrastructure d'information critique, ou qu'une menace majeure de sécurité réseau impliquant des mots de passe commerciaux est détectée, les départements de protection doivent en informer rapidement le département national de gestion des mots de passe, le département national de l'Internet et de l'information et le département de la sécurité publique du Conseil des affaires d'État, guider les opérateurs dans la gestion d'urgence et, si nécessaire, réaliser une évaluation de la sécurité de l'application des mots de passe commerciaux.

Article 5 Les opérateurs doivent, conformément aux lois, règlements administratifs et dispositions nationales applicables, suivre les exigences des systèmes nationaux de gestion des mots de passe commerciaux, de protection graduée de la sécurité réseau et de protection de la sécurité des infrastructures d'information critiques, utiliser des mots de passe commerciaux pour protéger les infrastructures d'information critiques, planifier, construire et exploiter de manière synchronisée les systèmes de garantie des mots de passe commerciaux, et effectuer régulièrement des évaluations de la sécurité de l'application des mots de passe commerciaux.

Les opérateurs doivent, avant le 31 janvier de chaque année, rendre compte au département de protection dont ils relèvent de l'utilisation des mots de passe commerciaux pour les infrastructures d'information critiques et de la réalisation des évaluations de la sécurité de l'application des mots de passe commerciaux au cours de l'année précédente.

Article 6 Les opérateurs doivent renforcer les garanties institutionnelles pour l'utilisation des mots de passe commerciaux dans les infrastructures d'information critiques, et établir des systèmes de gestion de l'utilisation des mots de passe commerciaux pour les infrastructures d'information critiques, couvrant l'utilisation des mots de passe commerciaux, la gestion d'urgence et la déclaration des incidents majeurs.

Le principal responsable de l'opérateur assume la responsabilité globale de la gestion de l'utilisation des mots de passe commerciaux pour les infrastructures d'information critiques, et est chargé de l'utilisation des mots de passe commerciaux pour les infrastructures d'information critiques ainsi que du traitement des incidents majeurs de sécurité réseau impliquant des mots de passe commerciaux.

Article 7 L'exploitant doit renforcer la garantie en personnel chargé de l'utilisation des chiffrements commerciaux pour les infrastructures d'information critiques, affecter des professionnels titulaires d'un diplôme en cryptographie ou d'une certification nationale de compétences professionnelles en cryptographie aux fonctions respectives d'administrateur de clés et d'opérateur de chiffrement, et affecter du personnel doté de compétences professionnelles en audit de sécurité aux fonctions d'auditeur de sécurité des chiffrements.

L'exploitant doit procéder à une vérification des antécédents de sécurité des professionnels de la cryptographie, et organiser régulièrement leur participation à des formations professionnelles liées à la cryptographie afin d'améliorer leur capacité à utiliser les chiffrements commerciaux.

Article 8 L'exploitant doit renforcer la garantie financière pour l'utilisation des chiffrements commerciaux et l'évaluation de la sécurité des applications dans les infrastructures d'information critiques, en intégrant les dépenses liées à l'utilisation des chiffrements commerciaux et à l'évaluation de la sécurité des applications dans le budget alloué à la cybersécurité et à l'informatisation.

Article 9 Les produits et services de chiffrement commerciaux utilisés dans les infrastructures d'information critiques doivent être certifiés et évalués conformes ; les technologies de chiffrement commercial telles que les algorithmes de chiffrement, les protocoles cryptographiques et les mécanismes de gestion des clés doivent être examinées et approuvées par l'autorité nationale de gestion de la cryptographie.

Lorsque l'exploitant achète des produits et services réseau impliquant des chiffrements commerciaux, si cela affecte ou est susceptible d'affecter la sécurité nationale, il doit procéder à un examen de cybersécurité conformément aux « Mesures d'examen de la cybersécurité ».

Article 10 Les infrastructures d'information critiques doivent, conformément aux exigences nationales en matière de protection de la sécurité des données et de protection des informations personnelles, utiliser des chiffrements commerciaux pour protéger les données centrales, les données importantes et les informations personnelles qu'elles stockent, utilisent ou transmettent.

Article 11 Au stade de la planification des infrastructures d'information critiques, l'exploitant doit, conformément aux lois, règlements administratifs et normes applicables, élaborer un plan d'application des chiffrements commerciaux en fonction des besoins, planifier le système de garantie des chiffrements commerciaux et l'intégrer dans le déploiement global du plan de sécurité des infrastructures d'information critiques.

L'exploitant doit procéder lui-même ou confier à une institution de test des chiffrements commerciaux l'évaluation de la sécurité de l'application des chiffrements commerciaux pour le plan d'application des chiffrements commerciaux. Si le plan d'application de la cryptographie commerciale ne passe pas l'évaluation de sécurité de l'application de la cryptographie commerciale, il ne peut servir de base à la construction du système de garantie de la cryptographie commerciale.

Article 12 Durant la phase de construction des infrastructures d'information critiques, leur exploitant doit organiser la mise en œuvre conformément au plan d'application de la cryptographie commerciale ayant passé l'évaluation de sécurité de l'application de la cryptographie commerciale, mettre en place les mesures de protection de sécurité de la cryptographie commerciale et construire le système de garantie de la cryptographie commerciale. S'il est nécessaire d'ajuster le plan d'application de la cryptographie commerciale pendant la construction, une nouvelle évaluation de sécurité de l'application de la cryptographie commerciale doit être effectuée, et la construction ne peut se poursuivre selon le plan ajusté qu'après réussite de l'évaluation.

Avant la mise en service des infrastructures d'information critiques, leur exploitant doit effectuer lui-même ou confier à un organisme de détection de la cryptographie commerciale une évaluation de sécurité de l'application de la cryptographie commerciale. Si les infrastructures d'information critiques ne passent pas l'évaluation de sécurité de l'application de la cryptographie commerciale, l'exploitant doit procéder à des transformations; pendant la transformation, elles ne peuvent pas être mises en service.

Article 13 Après l'achèvement et la mise en service des infrastructures d'information critiques, leur exploitant doit effectuer lui-même ou confier à un organisme de détection de la cryptographie commerciale au moins une évaluation de sécurité de l'application de la cryptographie commerciale chaque année, afin de garantir l'usage correct de la cryptographie commerciale dans les infrastructures d'information critiques et le fonctionnement efficace du système de garantie de la cryptographie commerciale. Si les infrastructures d'information critiques ne passent pas l'évaluation de sécurité de l'application de la cryptographie commerciale, l'exploitant doit procéder à des transformations et adopter les mesures nécessaires pendant la transformation pour garantir la sécurité du fonctionnement des infrastructures d'information critiques.

Article 14 Pour les infrastructures d'information critiques en cours de construction avant l'entrée en vigueur des présentes dispositions, leur exploitant doit renforcer l'élaboration et la justification du plan d'application de la cryptographie commerciale, construire et perfectionner le système de garantie de la cryptographie commerciale, et procéder à l'évaluation de sécurité de l'application de la cryptographie commerciale conformément à l'article 12 des présentes dispositions.

Les infrastructures d’information critiques déjà en service avant l’entrée en vigueur des présentes dispositions doivent faire l’objet d’une évaluation de la sécurité de l’application de la cryptographie commerciale par leur exploitant conformément à l’article 13 des présentes dispositions.

Article 15 La réalisation d’une évaluation de la sécurité de l’application de la cryptographie commerciale des infrastructures d’information critiques doit être conforme aux dispositions pertinentes des Mesures pour l’administration de l’évaluation de la sécurité de l’application de la cryptographie commerciale.

L’évaluation de la sécurité de l’application de la cryptographie commerciale des infrastructures d’information critiques doit être étroitement coordonnée avec les évaluations de détection de la sécurité des infrastructures d’information critiques et les évaluations de niveau de sécurité des réseaux, afin d’éviter les évaluations et les contrôles redondants.

Article 16 L’autorité nationale de gestion des mots de passe est chargée de construire et de gérer l’infrastructure nationale de gestion de la sécurité opérationnelle de la cryptographie commerciale des infrastructures d’information critiques, de coordonner les départements chargés de la protection pour qu’ils construisent l’infrastructure de gestion de la sécurité opérationnelle de la cryptographie commerciale des infrastructures d’information critiques de leur secteur ou de leur domaine, d’analyser et d’étudier conjointement avec le département national de l’administration du cyberespace et le département de la sécurité publique du Conseil des affaires d’État la situation de la sécurité opérationnelle de la cryptographie commerciale des infrastructures d’information critiques, et de répondre et de faire face de manière coordonnée aux menaces majeures pour la sécurité opérationnelle de la cryptographie commerciale.

Article 17 L’autorité de gestion des mots de passe doit organiser régulièrement des inspections et des contrôles de l’utilisation de la cryptographie commerciale dans les infrastructures d’information critiques. Les départements chargés de la protection doivent procéder régulièrement à des inspections de l’utilisation de la cryptographie commerciale dans les infrastructures d’information critiques de leur secteur ou de leur domaine et proposer des mesures d’amélioration ; si nécessaire, ils peuvent réaliser eux-mêmes ou confier à des organismes professionnels tels que des organismes de test de cryptographie commerciale une évaluation de la sécurité de l’application de la cryptographie commerciale.

Les exploitants doivent coopérer avec les inspections et les contrôles de l’utilisation de la cryptographie commerciale dans les infrastructures d’information critiques menés par l’autorité de gestion des mots de passe et les départements chargés de la protection, procéder en temps utile aux rectifications conformément aux observations issues des inspections et des contrôles, et rendre compte de la situation des rectifications au département chargé de la protection ; le département chargé de la protection doit rendre compte de la situation des rectifications à l’autorité nationale de gestion des mots de passe.

Lors de la réalisation des inspections et des contrôles de l’utilisation de la cryptographie commerciale dans les infrastructures d’information critiques, il convient de renforcer la coordination et l’échange d’informations, et d’éviter les inspections inutiles et les contrôles croisés redondants. La supervision et l'inspection ne peuvent pas percevoir de frais, ni exiger des entités supervisées ou inspectées qu'elles achètent ou utilisent des produits et services de cryptographie commerciale provenant d'unités désignées ou de marques désignées.

Article 18 Les départements de gestion des mots de passe, les départements concernés, les organismes de détection de cryptographie commerciale et leur personnel assument l'obligation de confidentialité concernant les secrets d'État, les secrets commerciaux et la vie privée personnelle dont ils ont connaissance dans l'exercice de leurs fonctions, et ne doivent pas les divulguer ni les fournir illégalement à autrui.

Article 19 Lorsqu'un opérateur enfreint les dispositions pertinentes de la Loi sur les mots de passe de la République populaire de Chine, de la Loi sur la cybersécurité de la République populaire de Chine, du Règlement sur la gestion de la cryptographie commerciale, du Règlement sur la protection de la sécurité des infrastructures d'information critiques et du présent règlement, et que l'une des circonstances suivantes se présente, le département de gestion des mots de passe ordonne la correction et donne un avertissement ; en cas de refus de corriger ou d'autres circonstances graves, une amende de plus de 100 000 yuans et de moins de 1 000 000 de yuans est infligée, et le responsable directement en charge reçoit une amende de plus de 10 000 yuans et de moins de 100 000 de yuans :

(1) Ne pas utiliser la cryptographie commerciale conformément aux exigences pour protéger les infrastructures d'information critiques, ni planifier, construire et exploiter de manière synchronisée le système de garantie de cryptographie commerciale ;

(2) Les produits et services de cryptographie commerciale utilisés par les infrastructures d'information critiques n'ont pas réussi la certification de détection ;

(3) Les algorithmes de mots de passe, protocoles de mots de passe, mécanismes de gestion des clés et autres technologies de cryptographie commerciale utilisés par les infrastructures d'information critiques n'ont pas été examinés et identifiés par le département national de gestion des mots de passe ;

(4) Au stade de la planification des infrastructures d'information critiques, aucun plan d'application de la cryptographie commerciale n'a été établi, ou aucune évaluation de la sécurité de l'application de la cryptographie commerciale n'a été réalisée sur le plan d'application ;

(5) Au stade de la construction des infrastructures d'information critiques, le système de garantie de cryptographie commerciale n'a pas été construit conformément au plan d'application de la cryptographie commerciale ayant passé l'évaluation de la sécurité de l'application de la cryptographie commerciale ;

(VI) Avant la mise en service d’infrastructures d’information critiques, lorsqu’aucune évaluation de sécurité de l’application de cryptographie commerciale n’a été réalisée, ou lorsque l’évaluation n’a pas été réussie et qu’aucune mise en conformité n’a été effectuée ;

(VII) Après la construction et la mise en service d’infrastructures d’information critiques, lorsqu’aucune évaluation périodique de sécurité de l’application de cryptographie commerciale n’est menée, ou lorsque l’évaluation périodique n’est pas réussie et qu’aucune mise en conformité n’a été effectuée.

Article 20 Lorsqu’un opérateur, en violation de la loi de la République populaire de Chine sur la cryptographie, de la loi de la République populaire de Chine sur la cybersécurité, du règlement sur l’administration de la cryptographie commerciale, du règlement sur la protection de la sécurité des infrastructures d’information critiques et de l’article 9 des présentes dispositions, utilise des produits ou services réseau impliquant la cryptographie commerciale n’ayant pas fait l’objet d’un examen de sécurité ou dont l’examen de sécurité n’a pas été concluant, le département compétent ordonne l’arrêt de l’utilisation et inflige une amende comprise entre une fois et dix fois le montant de l’achat ; les responsables directement en charge et les autres personnes directement responsables se voient infliger une amende comprise entre 10 000 et 100 000 yuans.

Article 21 Lorsqu’un opérateur, en violation de la loi de la République populaire de Chine sur la cryptographie, de la loi de la République populaire de Chine sur la cybersécurité, du règlement sur l’administration de la cryptographie commerciale, du règlement sur la protection de la sécurité des infrastructures d’information critiques et de l’article 17 des présentes dispositions, refuse sans motif légitime d’accepter, ne coopère pas avec, ou entrave la supervision et l’administration par les départements de gestion de la cryptographie ou les départements compétents en matière de cryptographie commerciale, les départements de gestion de la cryptographie ou les départements compétents ordonnent la rectification et adressent un avertissement ; en cas de refus de rectification ou d’autres circonstances graves, une amende comprise entre 50 000 et 500 000 yuans est infligée, et les responsables directement en charge ainsi que les autres personnes directement responsables se voient infliger une amende comprise entre 10 000 et 100 000 yuans ; lorsque les circonstances sont particulièrement graves, il est ordonné la suspension de l’activité pour rectification.

Article 22 Lorsqu’un opérateur enfreint les présentes dispositions et se trouve dans l’une des situations suivantes, les départements de gestion de la cryptographie ou les départements compétents ordonnent, conformément à leurs attributions, la rectification :

(I) lorsqu’il n’a pas communiqué comme requis les informations relatives à l’utilisation de la cryptographie commerciale dans les infrastructures d’information critiques et à la réalisation des évaluations de sécurité de l’application de cryptographie commerciale au cours de l’année précédente ;

(II) lorsqu’il n’a pas établi de système de gestion de l’utilisation de la cryptographie commerciale pour les infrastructures d’information critiques ;

(III) lorsqu’il n’a pas désigné, comme requis, un administrateur de clés, un opérateur de cryptographie et un auditeur de sécurité cryptographique.

(IV) Défaut de garantir les fonds destinés à l’utilisation des cryptages commerciaux et à l’évaluation de la sécurité des applications pour les infrastructures d’information critiques.

Article 23 Le personnel chargé de la supervision de l’utilisation des cryptages commerciaux dans les infrastructures d’information critiques qui abuse de son autorité, néglige ses obligations, commet des actes frauduleux, ou divulgue ou fournit illégalement à autrui des secrets commerciaux, des données personnelles ou des informations sur les lanceurs d’alerte dont il a connaissance dans l’exercice de ses fonctions, se verra infliger des sanctions conformément à la loi.

Article 24 La gestion de l’utilisation des cryptages commerciaux dans les infrastructures d’information critiques relevant des systèmes d’information administratifs de l’État doit, outre le respect des présentes dispositions, être menée conformément aux exigences du « Mesures pour l’administration de la construction des projets de systèmes d’information administratifs de l’État » (Guobanfa [2019] n° 57) et autres textes applicables.

Article 25 Les présentes dispositions entrent en vigueur le 1er août 2025.

Source : Réseau d’information sur Internet de Chine (CAC)