2025年8月1日、「重要情報基盤における商用暗号使用管理規定」が正式に施行

2025年8月1日、「重要情報インフラ商用暗号使用管理規定」が正式に施行された。その根拠は『暗号法』、『データ安全法』、『個人情報保護法』、『商用暗号管理条例』および『重要情報インフラ安全保護条例』、『ネットワークデータ安全管理条例』などの関連法律・行政法規に基づき、重要情報インフラにおける商用暗号の使用を規範化し、重要情報インフラの安全を保護することを目的としている。

以下は『重要情報インフラ商用暗号使用管理規定』の全文である：

重要情報インフラ商用暗号使用管理規定

第一条 重要情報インフラにおける商用暗号の使用を規範化し、重要情報インフラの安全を保護するため、『中華人民共和国暗号法』、『中華人民共和国ネットワーク安全法』、『中華人民共和国データ安全法』、『中華人民共和国個人情報保護法』、『商用暗号管理条例』および『重要情報インフラ安全保護条例』、『ネットワークデータ安全管理条例』などの関連法律・行政法規に基づき、本規定を制定する。

第二条 『中華人民共和国ネットワーク安全法』、『重要情報インフラ安全保護条例』などの法律・行政法規および国家関連規定に基づき認定された重要情報インフラの商用暗号使用管理には、本規定を適用する。

第三条 国家暗号管理部門は国家網信部門、国務院公安部門と共同で、全国の重要情報インフラ商用暗号使用管理業務の計画・指導・監督を担当し、重要情報インフラ商用暗号使用管理情報共有メカニズムを構築する。

県級以上の地方各级密码管理部门は、网信部门、公安机关とともに、本行政区域の关键信息基础设施商用密码使用管理工作を指導・監督する。

第四条 关键信息基础设施保护工作部门（以下「保护工作部门」という）は、その職責範囲内で本業界・本分野の关键信息基础设施商用密码使用工作を監督管理し、本業界・本分野の商用密码使用計画を単独で作成するか、または本業界・本分野の关键信息基础设施安全計画に組み入れて実施し、本業界・本分野の关键信息基础设施运营者（以下「运营者」という）が商用密码関連の制度、人員、経費などの保障業務を展開するよう指導する。

保护工作部门は、毎年3月31日までに国家密码管理部门、国家网信部门、国务院公安部门に対し、前年度の本業界・本分野の关键信息基础设施商用密码使用管理状況を報告しなければならない。

关键信息基础设施において商用密码に関わる重大な网络安全事件が発生した場合、または商用密码に関わる重大な网络安全脅威を発見した場合、保护工作部门は速やかに国家密码管理部门、国家网信部门、国务院公安部门に報告し、运营者による应急处置を指導し、必要に応じて商用密码应用安全性评估を実施しなければならない。

第五条 运营者は、関連する法律、行政法规および国家の有关规定に従い、国家の商用密码管理、网络安全等级保护、关键信息基础设施安全保护などの制度要求を遵守し、商用密码を用いて关键信息基础设施を保護し、商用密码保障系统を同期計画・同期建設・同期運行し、定期的に商用密码应用安全性评估を実施しなければならない。

运营者は、毎年1月31日までに所属する保护工作部門に対し、前年度の关键信息基础设施商用密码使用および商用密码应用安全性评估の実施状況を報告しなければならない。

第六条 运营者は、关键信息基础设施商用密码使用の制度保障を強化し、商用密码使用、应急处置、重大事件報告などの关键信息基础设施商用密码使用管理制度を確立しなければならない。

运营者の主要负责人は、关键信息基础设施商用密码使用管理に対して総責任を負い、关键信息基础设施商用密码使用および商用密码に関わる重大な网络安全事件の処置業務を担当する。

第七条 運営者は、重要情報インフラの商用暗号使用人員の保障を強化し、暗号関連の専門学歴または暗号関連の国家職業技能等級認定証明書を取得した専門人員を配置して、それぞれ鍵管理者、暗号操作員などの職責を担当させ、かつ、セキュリティ監査の専門能力を有する人員を配置して暗号セキュリティ監査員の職責を担当させるものとする。

運営者は、暗号関連の専門人員に対してセキュリティ背景調査を行い、定期的に暗号関連の業務技能訓練に参加させ、暗号関連専門人員の商用暗号使用能力を向上させるものとする。

第八条 運営者は、重要情報インフラの商用暗号使用および応用安全性評価の経費保障を強化し、商用暗号使用および応用安全性評価の経費をネットワークセキュリティおよび情報化経費の計画に組み入れるものとする。

第九条 重要情報インフラで使用する商用暗号製品およびサービスは、検査・認証に合格したものでなければならず、使用する暗号アルゴリズム、暗号プロトコル、鍵管理メカニズムなどの商用暗号技術は、国家暗号管理部門の審査・鑑定を通過しなければならない。

運営者が商用暗号に関連するネットワーク製品およびサービスを調達し、国家安全に影響を及ぼすまたは及ぼす可能性がある場合は、《ネットワークセキュリティ審査办法》に従ってネットワークセキュリティ審査を行わなければならない。

第十条 重要情報インフラは、国家データセキュリティ保護および個人情報保護の関連要件に従い、商用暗号を使用して、その保存・使用・伝送における核心データ、重要データおよび個人情報を保護するものとする。

第十一条 重要情報インフラの計画段階において、その運営者は関連する法律、行政法規および標準規範に基づき、商用暗号の応用ニーズに応じて商用暗号応用方案を策定し、商用暗号保障システムを計画して、重要情報インフラのセキュリティ計画に組み入れて統一的に配置するものとする。

運営者は、自らまたは商用暗号検査機関に委託して、商用暗号応用方案について商用暗号応用安全性評価を行うものとする。商用密码応用方案が商用密码応用安全性評価を通過していない場合、商用密码保障システムの建設根拠としてはならない。

第十二条 关键信息基础设施の建設段階において、その運営者は通過した商用密码応用安全性評価を経た商用密码応用方案に基づいて組織的に実施し、商用密码安全防護措置を落實し、商用密码保障システムを建設しなければならない。建設過程において商用密码応用方案を調整する必要がある場合、改めて商用密码応用安全性評価を実施し、評価を通過した後にのみ調整後の商用密码応用方案に従って建設を継続することができる。

关键信息基础设施の運行前に、その運営者は自らまたは商用密码検測機関に委託して商用密码応用安全性評価を実施しなければならない。关键信息基础设施が商用密码応用安全性評価を通過していない場合、運営者は改造を行わなければならず、改造期間中は運行を開始してはならない。

第十三条 关键信息基础设施が建設され運行を開始した後、その運営者は自らまたは商用密码検測機関に委託して毎年少なくとも1回の商用密码応用安全性評価を実施し、关键信息基础设施における商用密码の正確な使用と商用密码保障システムの効果的な運行を確保しなければならない。关键信息基础设施が商用密码応用安全性評価を通過していない場合、運営者は改造を行わなければならず、改造期間中は关键信息基础设施の運行安全を確保するために必要な措置を講じなければならない。

第十四条 本規定の施行前に建設中の关键信息基础设施について、その運営者は商用密码応用方案の編制と論証を強化し、商用密码保障システムの建設を完善し、本規定第十二条に従って商用密码応用安全性評価を実施しなければならない。

この規定の施行前にすでに運行を開始した重要情報基盤について、その運営者はこの規定の第13条に基づき、商用暗号の応用安全性評価を行わなければならない。

第15条 重要情報基盤の商用暗号応用安全性評価を行う場合は、《商用暗号応用安全性評価管理弁法》の関連規定に適合しなければならない。

重要情報基盤の商用暗号応用安全性評価は、重要情報基盤の安全検査評価、ネットワーク安全等級評価との連携を強化し、重複した評価・測定を避けなければならない。

第16条 国家暗号管理部門は国家重要情報基盤商用暗号運転安全管理インフラの建設・管理を担当し、保護業務部門が本業界・本分野の重要情報基盤商用暗号運転安全管理インフラを建設することを統括し、国家網信部門、国務院公安部門と共同で重要情報基盤商用暗号運転安全状況を分析・判断し、協調して重大な商用暗号運転安全上の脅威に対応・処理する。

第17条 暗号管理部門は定期的に重要情報基盤の商用暗号使用状況に関する監督検査を組織して実施しなければならない。保護業務部門は定期的に本業界・本分野の重要情報基盤の商用暗号使用状況を検査し、改善措置を提案しなければならない。必要に応じて、自らまたは商用暗号検査機関などの専門機関に委託して商用暗号応用安全性評価を行うことができる。

運営者は、暗号管理部門と保護業務部門が実施する重要情報基盤の商用暗号使用状況に関する監督検査に協力しなければならず、監督検査意見に基づいて遅滞なく是正し、保護業務部門に是正状況を報告しなければならない。保護業務部門は是正状況を国家暗号管理部門に報告しなければならない。

重要情報基盤の商用暗号使用状況に関する監督検査の実施は、協調・連携と情報連絡を強化し、不要な検査や交差重複検査を避けなければならない。監督検査は費用を徴収してはならず、被監督検査機関に対し、指定された機関または指定ブランドの商用暗号製品・サービスの購入・使用を要求してはならない。

第十八条 暗号管理部門、関連部門、商用暗号検査機関およびその職員は、職務の遂行において知り得た国家機密、商業秘密および個人プライバシーについて秘密保持義務を負い、漏洩したり、違法に他人に提供したりしてはならない。

第十九条 運営者が『中華人民共和国暗号法』、『中華人民共和国ネットワーク安全法』、『商用暗号管理条例』、『重要情報インフラ安全保護条例』および本規定の関連条項に違反し、次のいずれかの状況がある場合、暗号管理部門が是正を命じ、警告を与える。是正を拒否した場合、またはその他重大な事情がある場合は、10万元以上100万元以下の罰金を科し、直接責任のある主管者には1万元以上10万元以下の罰金を科する：

（一）要求に従って商用暗号により重要情報インフラを保護せず、商用暗号保障システムの同時計画、同時建設、同時運用を行っていない場合；

（二）重要情報インフラが使用する商用暗号製品・サービスが検査認証に合格していない場合；

（三）重要情報インフラが使用する暗号アルゴリズム、暗号プロトコル、鍵管理メカニズムなどの商用暗号技術が、国家暗号管理部門の審査・鑑定を通過していない場合；

（四）重要情報インフラの計画段階において、商用暗号応用方案を策定していない場合、または商用暗号応用方案に対して商用暗号応用安全性評価を行っていない場合；

（五）重要情報インフラの建設段階において、商用暗号応用安全性評価を通過した商用暗号応用方案に従って商用暗号保障システムを建設していない場合；

（六）关键信息基础设施の稼働前に、商用暗号応用安全性評価を実施していない場合、または商用暗号応用安全性評価に合格せず、改造も行っていない場合；

（七）关键信息基础设施の構築・稼働後に、定期的な商用暗号応用安全性評価を実施していない場合、または定期的な商用暗号応用安全性評価に合格せず、改造も行っていない場合。

第二十条 運営者が『中華人民共和国暗号法』、『中華人民共和国ネットワーク安全法』、『商用暗号管理条例』、『关键信息基础设施安全保護条例』および本規定第九条に違反し、安全審査を受けていない、または安全審査に合格していない商用暗号に関わるネットワーク製品またはサービスを使用した場合、所管の主管部門は使用停止を命じ、購入金額の1倍以上10倍以下の過料を科す；直接責任を負う主管者およびその他の直接責任者には1万元以上10万元以下の過料を科す。

第二十一条 運営者が『中華人民共和国暗号法』、『中華人民共和国ネットワーク安全法』、『商用暗号管理条例』、『关键信息基础设施安全保護条例』および本規定第十七条に違反し、正当な理由なく暗号管理部門、関係部門の商用暗号監督管理を受け入れず、協力せず、または干渉・妨害した場合、暗号管理部門、関係部門は是正を命じ、警告を与える；是正せず、またはその他の重大な情状がある場合、5万元以上50万元以下の過料を科し、直接責任を負う主管者およびその他の直接責任者には1万元以上10万元以下の過料を科す；情状が特に重大な場合、営業停止・整頓を命じる。

第二十二条 運営者が本規定に違反し、次のいずれかの状況がある場合、暗号管理部門、関係部門は職責に基づき是正を命じる：

（一）要求に従って前年度の关键信息基础设施の商用暗号使用状況および商用暗号応用安全性評価の実施状況を報告していない場合；

（二）关键信息基础设施の商用暗号使用管理制度を確立していない場合；

（三）要求に従って鍵管理者、暗号操作者、暗号安全監査員を配置していない場合；

（四）重要情報基盤施設の商業暗号の使用及び応用安全性評価の経費を確保しなかった場合。

第二十三条 重要情報基盤施設の商業暗号使用監督管理業務に従事する職員が職権を濫用し、職務を怠り、私情により不正を行い、または職務履行中に知得した商業秘密、個人プライバシー、通報者情報を漏えいし、あるいは不法に他人に提供した場合、法に基づいて処分を与える。

第二十四条 国家政務情報システムに属する重要情報基盤施設の商業暗号使用管理については、本規定を遵守することに加えて、『国家政務情報化プロジェクト建設管理弁法』（国弁発〔2019〕57号）等の関連規定に基づいて執行しなければならない。

第二十五条 本規定は2025年8月1日から施行する。

出典：中国網信網