2025년 8월 1일, 《핵심 정보 인프라 상용 암호 사용 관리 규정》 정식 시행

2025년 8월 1일, 《핵심 정보 인프라 상용 암호 사용 관리 규정》이 정식 시행되었습니다. 이는 《암호법》, 《데이터 보안법》, 《개인정보 보호법》, 《상용 암호 관리 조례》, 《핵심 정보 인프라 보안 보호 조례》, 《네트워크 데이터 보안 관리 조례》 등 관련 법률과 행정 법규에 근거하여 제정된 것으로, 핵심 정보 인프라의 상용 암호 사용을 규범화하고 핵심 정보 인프라의 보안을 보호하기 위한 목적을 가집니다.

다음은 《핵심 정보 인프라 상용 암호 사용 관리 규정》 전문입니다:

핵심 정보 인프라 상용 암호 사용 관리 규정

제1조 핵심 정보 인프라의 상용 암호 사용을 규범화하고 핵심 정보 인프라의 보안을 보호하기 위하여, 《중화인민공화국 암호법》, 《중화인민공화국 네트워크 보안법》, 《중화인민공화국 데이터 보안법》, 《중화인민공화국 개인정보 보호법》, 《상용 암호 관리 조례》, 《핵심 정보 인프라 보안 보호 조례》, 《네트워크 데이터 보안 관리 조례》 등 관련 법률과 행정 법규에 근거하여 본 규정을 제정한다.

제2조 《중화인민공화국 네트워크 보안법》, 《핵심 정보 인프라 보안 보호 조례》 등 법률·행정 법규 및 국가 관련 규정에 따라 인정된 핵심 정보 인프라의 상용 암호 사용 관리에 본 규정을 적용한다.

제3조 국가 암호 관리 부서는 국가 네트워크 정보 부서, 국무원 공안 부서와 함께 전국의 핵심 정보 인프라 상용 암호 사용 관리 업무를 계획·지도·감독하며, 핵심 정보 인프라 상용 암호 사용 관리 정보 공유 체계를 구축한다.

현급 이상 지방 각급 암호 관리 부서는 인터넷 정보 부서, 공안 기관과 함께 본 행정 구역의 핵심 정보 인프라 상용 암호 사용 관리 업무를 지도하고 감독한다.

제4조 핵심 정보 인프라 보호 업무 부서(이하 보호 업무 부서)는 직책 범위 내에서 본 업종·본 분야 핵심 정보 인프라의 상용 암호 사용 업무를 감독·관리하며, 본 업종·본 분야의 상용 암호 사용 계획을 별도로 수립하거나 본 업종·본 분야의 핵심 정보 인프라 보안 계획에 포함시켜 조직·시행하고, 본 업종·본 분야의 핵심 정보 인프라 운영자(이하 운영자)가 상용 암호 관련 제도, 인력, 경비 등 보장 업무를 수행하도록 지도한다.

보호 업무 부서는 매년 3월 31일 이전에 국가 암호 관리 부서, 국가 인터넷 정보 부서, 국무원 공안 부서에 전년도 본 업종·본 분야 핵심 정보 인프라 상용 암호 사용 관리 상황을 보고하여야 한다.

핵심 정보 인프라에서 상용 암호와 관련된 중대한 네트워크 보안 사건이 발생하거나 상용 암호와 관련된 중대한 네트워크 보안 위협을 발견한 경우, 보호 업무 부서는 즉시 국가 암호 관리 부서, 국가 인터넷 정보 부서, 국무원 공안 부서에 보고하고, 운영자가 응급 처치를 수행하도록 지도하며, 필요한 경우 상용 암호 응용 보안성 평가를 실시하여야 한다.

제5조 운영자는 관련 법률, 행정 법규 및 국가 관련 규정에 따라 국가 상용 암호 관리, 네트워크 보안 등급 보호, 핵심 정보 인프라 보안 보호 등 제도 요구 사항을 준수하고, 상용 암호를 사용하여 핵심 정보 인프라를 보호하며, 상용 암호 보장 시스템을 동시에 계획·구축·운영하고, 정기적으로 상용 암호 응용 보안성 평가를 실시하여야 한다.

운영자는 매년 1월 31일 이전에 소속 보호 업무 부서에 전년도 핵심 정보 인프라 상용 암호 사용 및 상용 암호 응용 보안성 평가 실시 상황을 보고하여야 한다.

제6조 운영자는 핵심 정보 인프라 상용 암호 사용 제도 보장을 강화하고, 상용 암호 사용, 응급 처치, 중대 사건 보고 등 핵심 정보 인프라 상용 암호 사용 관리 제도를 수립하여야 한다.

운영자의 주요 책임자는 핵심 정보 인프라 상용 암호 사용 관리에 총괄 책임을 지며, 핵심 정보 인프라 상용 암호 사용 및 상용 암호와 관련된 중대한 네트워크 보안 사건 처분 업무를 담당한다.

제7조 운영자는 핵심 정보 인프라의 상용 암호 사용 인력 보장을 강화해야 하며, 암호 관련 전공 학력 또는 암호 관련 국가 직업 기능 등급 인증 자격을 갖춘 전문 인력을 배치하여 각각 키 관리자, 암호 운영자 등의 직무를 수행하게 하고, 보안 감사 전문 능력을 갖춘 인력을 배치하여 암호 보안 감사자 직무를 수행하게 해야 한다.

운영자는 암호 관련 전문 인력에 대해 보안 신원 조회를 실시하고, 정기적으로 암호 관련 업무 기술 교육에 참여하도록 조직하여 암호 관련 전문 인력의 상용 암호 사용 능력을 향상시켜야 한다.

제8조 운영자는 핵심 정보 인프라의 상용 암호 사용 및 응용 보안성 평가 경비 보장을 강화해야 하며, 상용 암호 사용 및 응용 보안성 평가 경비를 네트워크 보안 및 정보화 경비 계획에 포함해야 한다.

제9조 핵심 정보 인프라에서 사용하는 상용 암호 제품 및 서비스는 검사 및 인증을 통과해야 하며, 사용하는 암호 알고리즘, 암호 프로토콜, 키 관리 메커니즘 등 상용 암호 기술은 국가 암호 관리 부서의 심사 및 검정을 통과해야 한다.

운영자가 상용 암호와 관련된 네트워크 제품 및 서비스를 조달할 때 국가 안전에 영향을 미치거나 미칠 가능성이 있는 경우, 「네트워크 보안 심사 방법」에 따라 네트워크 보안 심사를 실시해야 한다.

제10조 핵심 정보 인프라는 국가 데이터 보안 보호 및 개인정보 보호 관련 요구 사항에 따라, 저장·사용·전송하는 핵심 데이터, 중요 데이터 및 개인정보를 보호하기 위해 상용 암호를 사용해야 한다.

제11조 핵심 정보 인프라 계획 단계에서 운영자는 관련 법률, 행정 법규 및 표준 규범에 따라 상용 암호 응용 요구 사항을 바탕으로 상용 암호 응용 방안을 수립하고, 상용 암호 보장 시스템을 계획하여 핵심 정보 인프라 보안 계획에 통합 배치해야 한다.

운영자는 직접 또는 상용 암호 검사 기관에 위탁하여 상용 암호 응용 방안에 대해 상용 암호 응용 보안성 평가를 실시해야 한다. 상용암호 응용 방안이 상용암호 응용 보안성 평가를 통과하지 못한 경우, 상용암호 보장 시스템의 건설 근거로 삼을 수 없다.

제12조 핵심 정보 인프라 구축 단계에서 운영자는 상용암호 응용 보안성 평가를 통과한 상용암호 응용 방안에 따라 조직적으로 시행하고, 상용암호 보안 보호 조치를 이행하며, 상용암호 보장 시스템을 구축해야 한다. 구축 과정에서 상용암호 응용 방안을 조정해야 하는 경우, 상용암호 응용 보안성 평가를 다시 실시해야 하며, 평가를 통과한 후에 조정된 상용암호 응용 방안에 따라 계속 구축할 수 있다.

핵심 정보 인프라 운영 전에 운영자는 자체적으로 또는 상용암호 검측 기관에 위탁하여 상용암호 응용 보안성 평가를 실시해야 한다. 핵심 정보 인프라가 상용암호 응용 보안성 평가를 통과하지 못한 경우, 운영자는 개조해야 하며, 개조 기간 동안 운영에 투입할 수 없다.

제13조 핵심 정보 인프라가 구축되어 운영된 후, 운영자는 자체적으로 또는 상용암호 검측 기관에 위탁하여 매년 최소 1회 이상 상용암호 응용 보안성 평가를 실시하여 핵심 정보 인프라의 상용암호 올바른 사용과 상용암호 보장 시스템의 효과적인 운영을 보장해야 한다. 핵심 정보 인프라가 상용암호 응용 보안성 평가를 통과하지 못한 경우, 운영자는 개조해야 하며, 개조 기간 동안 핵심 정보 인프라 운영 안전을 보장하기 위해 필요한 조치를 취해야 한다.

제14조 본 규정 시행 전에 구축 중인 핵심 정보 인프라의 운영자는 상용암호 응용 방안의 작성과 논증을 강화하고, 상용암호 보장 시스템을 구축·개선하며, 본 규정 제12조에 따라 상용암호 응용 보안성 평가를 실시해야 한다.

본 규정 시행 전에 이미 운영 중인 핵심 정보 인프라의 운영자는 본 규정 제13조에 따라 상용 암호 응용 보안성 평가를 수행해야 한다.

제15조 핵심 정보 인프라 상용 암호 응용 보안성 평가를 수행할 때에는 《상용 암호 응용 보안성 평가 관리 방법》 관련 규정에 부합해야 한다.

핵심 정보 인프라 상용 암호 응용 보안성 평가는 핵심 정보 인프라 보안 검사 평가, 네트워크 보안 등급 평가와의 연계를 강화하여 중복 평가·측정을 피해야 한다.

제16조 국가 암호 관리 부서는 국가 핵심 정보 인프라 상용 암호 운영 안전 관리 인프라의 건설과 관리를 담당하고, 보호 업무 부서가 본 업종·본 분야 핵심 정보 인프라 상용 암호 운영 안전 관리 인프라를 건설하는 것을 총괄 조정하며, 국가 인터넷 정보 부서, 국무원 공안 부서와 함께 핵심 정보 인프라 상용 암호 운영 안전态势를 분석·연구·판단하고, 중대한 상용 암호 운영 안전 위협에 공동 대응·처리한다.

제17조 암호 관리 부서는 정기적으로 핵심 정보 인프라 상용 암호 사용 상황에 대한 감독 검사를 조직·실시해야 한다. 보호 업무 부서는 정기적으로 본 업종·본 분야 핵심 정보 인프라 상용 암호 사용 상황을 점검하고 개선 조치를 제시해야 하며, 필요 시 직접 또는 상용 암호 검사 기관 등 전문 기관에 위탁하여 상용 암호 응용 보안성 평가를 수행할 수 있다.

운영자는 암호 관리 부서와 보호 업무 부서가 실시하는 핵심 정보 인프라 상용 암호 사용 상황 감독 검사에 협조해야 하며, 감독 검사 의견에 따라 적시에 시정하고 그 결과를 보호 업무 부서에 보고해야 한다. 보호 업무 부서는 시정 상황을 국가 암호 관리 부서에 보고해야 한다.

핵심 정보 인프라 상용 암호 사용 상황 감독 검사를 수행할 때에는 협력·정보 소통을 강화하여 불필요한 검사와 교차·중복 검사를 피해야 한다. 감독·검사 비용을 징수해서는 안 되며, 감독·검사를 받는 단위에 지정된 업체 또는 지정 브랜드의 상용암호 제품·서비스를 구매·사용하도록 요구해서는 안 된다.

제18조 암호 관리 부서, 관련 부서, 상용암호 검측 기관 및 그 종사자는 직무 수행 중 알게 된 국가 비밀, 상업 비밀 및 개인 프라이버시에 대해 비밀 유지 의무를 지며, 누설하거나 타인에게 불법적으로 제공해서는 안 된다.

제19조 운영자가 《중화인민공화국 암호법》, 《중화인민공화국 네트워크 보안법》, 《상용암호 관리 조례》, 《핵심 정보 인프라 보안 보호 조례》 및 본 규정의 관련 조항을 위반하여 다음 각 호의 어느 하나에 해당하는 경우, 암호 관리 부서가 시정을 명하고 경고한다. 시정을 거부하거나 그 밖에 중대한 정황이 있는 경우 10만 위안 이상 100만 위안 이하의 벌금을 부과하고, 직접 책임지는 주관 책임자에게는 1만 위안 이상 10만 위안 이하의 벌금을 부과한다:

(1) 요구에 따라 상용암호로 핵심 정보 인프라를 보호하지 않고, 상용암호 보장 시스템을 동시 기획·동시 구축·동시 운영하지 않은 경우

(2) 핵심 정보 인프라에 사용된 상용암호 제품·서비스가 검측·인증 합격을 받지 않은 경우

(3) 핵심 정보 인프라에 사용된 암호 알고리즘, 암호 프로토콜, 키 관리 체계 등 상용암호 기술이 국가 암호 관리 부서의 심사·감정을 통과하지 못한 경우

(4) 핵심 정보 인프라 계획 단계에서 상용암호 적용 방안을 수립하지 않거나, 상용암호 적용 방안에 대해 상용암호 적용 보안성 평가를 실시하지 않은 경우

(5) 핵심 정보 인프라 구축 단계에서 상용암호 적용 보안성 평가를 통과한 상용암호 적용 방안에 따라 상용암호 보장 시스템을 구축하지 않은 경우

(6) 핵심 정보 인프라 운영 전에 상용 암호 적용 보안성 평가를 실시하지 않았거나, 상용 암호 적용 보안성 평가를 통과하지 못했음에도 개선 조치를 하지 않은 경우

(7) 핵심 정보 인프라가 구축·운영된 후 정기적으로 상용 암호 적용 보안성 평가를 실시하지 않았거나, 정기 상용 암호 적용 보안성 평가를 통과하지 못했음에도 개선 조치를 하지 않은 경우.

제20조 운영자가 《중화인민공화국 암호법》, 《중화인민공화국 네트워크 보안법》, 《상용 암호 관리 조례》, 《핵심 정보 인프라 보안 보호 조례》 및 본 규정 제9조를 위반하여 보안 심사를 거치지 않았거나 보안 심사를 통과하지 못한 상용 암호 관련 네트워크 제품 또는 서비스를 사용한 경우, 관련 주관 부서는 사용 중지를 명령하고 구매 금액의 1배 이상 10배 이하의 벌금을 부과한다. 직접 책임이 있는 주관자 및 그 밖의 직접 책임자에게는 1만 위안 이상 10만 위안 이하의 벌금을 부과한다.

제21조 운영자가 《중화인민공화국 암호법》, 《중화인민공화국 네트워크 보안법》, 《상용 암호 관리 조례》, 《핵심 정보 인프라 보안 보호 조례》 및 본 규정 제17조를 위반하여 정당한 사유 없이 암호 관리 부서, 관련 부서의 상용 암호 감독 관리를 거부·불응하거나 간섭·방해한 경우, 암호 관리 부서, 관련 부서는 시정을 명령하고 경고를 부과한다. 시정을 거부하거나 그 밖에 엄중한 정황이 있는 경우 5만 위안 이상 50만 위안 이하의 벌금을 부과하고, 직접 책임이 있는 주관자 및 그 밖의 직접 책임자에게는 1만 위안 이상 10만 위안 이하의 벌금을 부과한다. 정황이 특히 엄중한 경우 영업 정지 및 정비를 명령한다.

제22조 운영자가 본 규정을 위반하여 다음 각 호의 어느 하나에 해당하는 경우, 암호 관리 부서, 관련 부서는 직무에 따라 시정을 명령한다.

(1) 요구에 따라 전년도 핵심 정보 인프라 상용 암호 사용 및 상용 암호 적용 보안성 평가 실시 상황을 보고하지 않은 경우

(2) 핵심 정보 인프라 상용 암호 사용 관리 제도를 수립하지 않은 경우

(3) 요구에 따라 키 관리자, 암호 운영자, 암호 보안 감사인을 배치하지 않은 경우

(4) 핵심 정보 인프라의 상용 암호 사용 및 응용 보안성 평가에 필요한 경비를 보장하지 않은 경우.

제23조 핵심 정보 인프라의 상용 암호 사용 감독 관리 업무에 종사하는 인원이 직권을 남용하거나, 직무를 소홀히 하거나, 사적 이익을 도모하거나, 직무 수행 중 알게 된 영업 비밀, 개인 사생활, 신고자 정보를 누설하거나 불법적으로 타인에게 제공한 경우에는 법에 따라 처분한다.

제24조 국가 정무 정보 시스템에 속하는 핵심 정보 인프라의 상용 암호 사용 관리는 본 규정을 준수하는 것 외에도 《국가 정무 정보화 프로젝트 건설 관리 방법》(국판발〔2019〕57호) 등 관련 규정의 요구에 따라 집행해야 한다.

제25조 본 규정은 2025년 8월 1일부터 시행한다.

출처: 중국망신망