1 августа 2025 года официально вступает в силу «Положение об использовании коммерческой криптографии в критической информационной инфраструктуре»
«Положение об использовании коммерческой криптографии в критической информационной инфраструктуре» официально вступает в силу 1 августа 2025 года, регулируя использование коммерческой криптографии в критической информационной инфраструктуре и защищая её безопасность.
1 августа 2025 года официально вступили в силу «Положения об управлении использованием коммерческой криптографии в ключевой информационной инфраструктуре», разработанные на основе «Закона о криптографии», «Закона о безопасности данных», «Закона о защите личной информации», «Положений об управлении коммерческой криптографией», «Положений о защите безопасности ключевой информационной инфраструктуры», «Положений об управлении безопасностью сетевых данных» и других соответствующих законов и административных нормативных актов. Их цель — упорядочить использование коммерческой криптографии в ключевой информационной инфраструктуре и защитить её безопасность.
Ниже приведён полный текст «Положений об управлении использованием коммерческой криптографии в ключевой информационной инфраструктуре»:
Положения об управлении использованием коммерческой криптографии в ключевой информационной инфраструктуре
Статья 1 Настоящие положения разработаны в целях упорядочения использования коммерческой криптографии в ключевой информационной инфраструктуре и защиты её безопасности на основании «Закона Китайской Народной Республики о криптографии», «Закона Китайской Народной Республики о кибербезопасности», «Закона Китайской Народной Республики о безопасности данных», «Закона Китайской Народной Республики о защите личной информации», «Положений об управлении коммерческой криптографией», «Положений о защите безопасности ключевой информационной инфраструктуры», «Положений об управлении безопасностью сетевых данных» и других соответствующих законов и административных нормативных актов.
Статья 2 Настоящие положения применяются к управлению использованием коммерческой криптографии в ключевой информационной инфраструктуре, определённой в соответствии с «Законом Китайской Народной Республики о кибербезопасности», «Положениями о защите безопасности ключевой информационной инфраструктуры» и другими законами, административными нормативными актами и соответствующими государственными правилами.
Статья 3 Государственное управление криптографии совместно с государственным ведомством по делам интернета и отделом общественной безопасности Государственного совета отвечает за планирование, руководство и надзор за управлением использованием коммерческой криптографии в ключевой информационной инфраструктуре по всей стране, а также за создание механизма обмена информацией по управлению использованием коммерческой криптографии в ключевой информационной инфраструктуре.
Органы управления паролями уездного уровня и выше совместно с органами управления киберпространством и органами общественной безопасности отвечают за руководство и надзор за работой по использованию коммерческих паролей в критической информационной инфраструктуре в пределах своих административных регионов.
Статья 4 Органы по защите критической информационной инфраструктуры (далее — органы по защите) в пределах своих полномочий отвечают за надзор и управление использованием коммерческих паролей в критической информационной инфраструктуре в своей отрасли или сфере, отдельно разрабатывают план использования коммерческих паролей в своей отрасли или сфере либо включают его в план обеспечения безопасности критической информационной инфраструктуры своей отрасли или сферы и организуют его выполнение, а также руководят операторами критической информационной инфраструктуры (далее — операторы) в своей отрасли или сфере по вопросам обеспечения работы с коммерческими паролями, включая соответствующие системы, персонал и финансирование.
Органы по защите обязаны ежегодно до 31 марта представлять в государственный орган управления паролями, государственный орган управления киберпространством и орган общественной безопасности Государственного совета отчёт об управлении использованием коммерческих паролей в критической информационной инфраструктуре своей отрасли или сферы за предыдущий год.
При возникновении в критической информационной инфраструктуре крупного инцидента сетевой безопасности, связанного с коммерческими паролями, либо при обнаружении крупной угрозы сетевой безопасности, связанной с коммерческими паролями, органы по защите обязаны своевременно сообщить об этом в государственный орган управления паролями, государственный орган управления киберпространством и орган общественной безопасности Государственного совета, руководить операторами в принятии экстренных мер, а при необходимости организовать оценку безопасности применения коммерческих паролей.
Статья 5 Операторы обязаны в соответствии с соответствующими законами, административными нормативными актами и государственными положениями, соблюдая требования государственного управления коммерческими паролями, многоуровневой защиты сетевой безопасности и защиты безопасности критической информационной инфраструктуры, использовать коммерческие пароли для защиты критической информационной инфраструктуры, синхронно планировать, синхронно строить и синхронно эксплуатировать системы обеспечения коммерческими паролями, а также регулярно проводить оценку безопасности применения коммерческих паролей.
Операторы обязаны ежегодно до 31 января представлять в соответствующие органы по защите отчёт об использовании коммерческих паролей в критической информационной инфраструктуре и о проведении оценки безопасности применения коммерческих паролей за предыдущий год.
Статья 6 Операторы обязаны усиливать институциональное обеспечение использования коммерческих паролей в критической информационной инфраструктуре, создавать системы управления использованием коммерческих паролей в критической информационной инфраструктуре, включая использование коммерческих паролей, экстренное реагирование и отчётность о крупных инцидентах.
Основные ответственные лица операторов несут общую ответственность за управление использованием коммерческих паролей в критической информационной инфраструктуре, а также отвечают за использование коммерческих паролей в критической информационной инфраструктуре и за устранение крупных инцидентов сетевой безопасности, связанных с коммерческими паролями.
Статья 7 Оператор должен усилить кадровое обеспечение использования коммерческой криптографии в ключевой информационной инфраструктуре, назначить специалистов, имеющих профильное образование в области криптографии или сертификаты государственного уровня профессиональной квалификации по криптографии, для выполнения соответственно обязанностей администратора ключей и оператора криптографии, а также назначить специалистов, обладающих профессиональными навыками аудита безопасности, для выполнения обязанностей аудитора криптографической безопасности.
Оператор должен проводить проверку биографических данных специалистов, связанных с криптографией, и регулярно организовывать их участие в профессиональном обучении по криптографии для повышения способности указанных специалистов использовать коммерческую криптографию.
Статья 8 Оператор должен усилить финансовое обеспечение использования коммерческой криптографии и оценки безопасности её применения в ключевой информационной инфраструктуре, включив расходы на использование коммерческой криптографии и оценку безопасности её применения в бюджет на кибербезопасность и информатизацию.
Статья 9 Коммерческие криптографические продукты и услуги, используемые в ключевой информационной инфраструктуре, должны пройти проверку и сертификацию, а применяемые коммерческие криптографические технологии, такие как криптографические алгоритмы, криптографические протоколы и механизмы управления ключами, должны пройти рассмотрение и экспертизу государственного криптографического органа.
Если закупка оператором сетевых продуктов и услуг, связанных с коммерческой криптографией, влияет или может повлиять на национальную безопасность, должна быть проведена проверка кибербезопасности в соответствии с «Мерами по проверке кибербезопасности».
Статья 10 Ключевая информационная инфраструктура должна в соответствии с требованиями государственной защиты безопасности данных и защиты персональной информации использовать коммерческую криптографию для защиты хранимых, используемых и передаваемых основных данных, важных данных и персональной информации.
Статья 11 На этапе планирования ключевой информационной инфраструктуры оператор должен в соответствии с применимыми законами, административными нормативными актами и стандартами, исходя из потребностей применения коммерческой криптографии, разработать план применения коммерческой криптографии, спланировать систему обеспечения коммерческой криптографии и включить её в общий план безопасности ключевой информационной инфраструктуры.
Оператор должен самостоятельно или с привлечением организации по тестированию коммерческой криптографии провести оценку безопасности применения коммерческой криптографии в отношении плана её применения. Если план применения коммерческой криптографии не прошел оценку безопасности применения коммерческой криптографии, он не может служить основанием для построения системы обеспечения коммерческой криптографии.
Статья 12 На этапе строительства критической информационной инфраструктуры ее оператор должен организовать выполнение работ в соответствии с планом применения коммерческой криптографии, прошедшим оценку безопасности применения коммерческой криптографии, реализовать меры защиты безопасности с использованием коммерческой криптографии и построить систему обеспечения коммерческой криптографии. Если в процессе строительства требуется скорректировать план применения коммерческой криптографии, необходимо заново провести оценку безопасности применения коммерческой криптографии, и продолжать строительство можно только после прохождения оценки в соответствии со скорректированным планом.
Перед вводом критической информационной инфраструктуры в эксплуатацию ее оператор должен самостоятельно или с привлечением организации по тестированию коммерческой криптографии провести оценку безопасности применения коммерческой криптографии. Если критическая информационная инфраструктура не прошла оценку безопасности применения коммерческой криптографии, оператор должен провести модернизацию; в период модернизации ввод в эксплуатацию запрещается.
Статья 13 После завершения строительства и ввода критической информационной инфраструктуры в эксплуатацию ее оператор должен самостоятельно или с привлечением организации по тестированию коммерческой криптографии проводить оценку безопасности применения коммерческой криптографии не реже одного раза в год, обеспечивая правильное использование коммерческой криптографии в критической информационной инфраструктуре и эффективную работу системы обеспечения коммерческой криптографии. Если критическая информационная инфраструктура не прошла оценку безопасности применения коммерческой криптографии, оператор должен провести модернизацию и в период модернизации принять необходимые меры для обеспечения безопасности эксплуатации критической информационной инфраструктуры.
Статья 14 Для критической информационной инфраструктуры, находящейся в стадии строительства до вступления настоящих Положений в силу, ее оператор должен усилить разработку и обоснование плана применения коммерческой криптографии, завершить построение и совершенствование системы обеспечения коммерческой криптографии и провести оценку безопасности применения коммерческой криптографии в соответствии со статьей 12 настоящих Положений.
Для критической информационной инфраструктуры, которая уже была введена в эксплуатацию до вступления настоящих Положений в силу, оператор должен провести оценку безопасности применения коммерческой криптографии в соответствии со статьёй 13 настоящих Положений.
Статья 15. Оценка безопасности применения коммерческой криптографии для критической информационной инфраструктуры должна проводиться в соответствии с положениями «Методики оценки безопасности применения коммерческой криптографии».
Оценка безопасности применения коммерческой криптографии для критической информационной инфраструктуры должна быть скоординирована с оценкой безопасности критической информационной инфраструктуры и оценкой уровня защиты сетей в рамках системы классификации кибербезопасности, чтобы избежать дублирования оценок и проверок.
Статья 16. Государственный орган по управлению криптографией отвечает за создание и управление государственной инфраструктурой управления безопасностью эксплуатации коммерческой криптографии критической информационной инфраструктуры, координирует работу органов защиты по созданию инфраструктуры управления безопасностью эксплуатации коммерческой криптографии критической информационной инфраструктуры в соответствующих отраслях и сферах, совместно с государственным органом по делам киберпространства и органом общественной безопасности Государственного совета анализирует и оценивает состояние безопасности эксплуатации коммерческой криптографии критической информационной инфраструктуры, а также согласованно реагирует на серьёзные угрозы безопасности эксплуатации коммерческой криптографии.
Статья 17. Органы по управлению криптографией должны регулярно организовывать надзорные проверки использования коммерческой криптографии в критической информационной инфраструктуре. Органы защиты должны регулярно проверять использование коммерческой криптографии в критической информационной инфраструктуре в своих отраслях и сферах и предлагать меры по улучшению; при необходимости они могут самостоятельно или с привлечением специализированных организаций, таких как организации по тестированию коммерческой криптографии, проводить оценку безопасности применения коммерческой криптографии.
Оператор обязан содействовать надзорным проверкам использования коммерческой криптографии в критической информационной инфраструктуре, проводимым органами по управлению криптографией и органами защиты, своевременно устранять нарушения в соответствии с замечаниями по итогам надзорных проверок и отчитываться о ходе устранения перед органом защиты; орган защиты должен сообщать о ходе устранения в государственный орган по управлению криптографией.
При проведении надзорных проверок использования коммерческой криптографии в критической информационной инфраструктуре необходимо усиливать координацию, взаимодействие и обмен информацией, избегать ненужных проверок и перекрёстных дублирующих проверок. Надзорные проверки не могут взимать плату и не могут требовать от проверяемых организаций приобретать или использовать коммерческие криптографические продукты или услуги указанных организаций либо указанных брендов.
Статья 18 Органы управления криптографией, соответствующие ведомства, организации по тестированию коммерческой криптографии и их работники несут обязанность по сохранению конфиденциальности государственной тайны, коммерческой тайны и личной приватности, ставших им известными при исполнении служебных обязанностей, и не вправе разглашать их или незаконно предоставлять другим лицам.
Статья 19 Если оператор нарушает соответствующие положения Закона КНР о криптографии, Закона КНР о кибербезопасности, Положения об управлении коммерческой криптографией, Положения о защите безопасности критической информационной инфраструктуры и настоящих Правил, и имеет одно из следующих обстоятельств, орган управления криптографией предписывает устранить нарушение и выносит предупреждение; при отказе от устранения нарушения или наличии иных отягчающих обстоятельств налагается штраф в размере от 100 тысяч до 1 миллиона юаней, а на непосредственно ответственного руководителя — штраф в размере от 10 тысяч до 100 тысяч юаней:
(1) неиспользование коммерческой криптографии для защиты критической информационной инфраструктуры в соответствии с требованиями, а также неосуществление синхронного планирования, синхронного строительства и синхронного ввода в эксплуатацию системы обеспечения коммерческой криптографии;
(2) использование в критической информационной инфраструктуре коммерческих криптографических продуктов или услуг, не прошедших проверку и сертификацию;
(3) использование в критической информационной инфраструктуре криптографических алгоритмов, криптографических протоколов, механизмов управления ключами и иных технологий коммерческой криптографии, не прошедших рассмотрение и оценку государственного органа управления криптографией;
(4) несоставление на этапе планирования критической информационной инфраструктуры плана применения коммерческой криптографии или непроведение оценки безопасности применения коммерческой криптографии в отношении такого плана;
(5) неосуществление на этапе строительства критической информационной инфраструктуры строительства системы обеспечения коммерческой криптографии в соответствии с планом применения коммерческой криптографии, прошедшим оценку безопасности применения коммерческой криптографии;
(6) если до ввода критической информационной инфраструктуры в эксплуатацию не была проведена оценка безопасности применения коммерческой криптографии либо оценка не была пройдена и при этом не была проведена модернизация;
(7) если после создания и ввода в эксплуатацию критической информационной инфраструктуры не проводится регулярная оценка безопасности применения коммерческой криптографии либо оценка не пройдена и при этом не была проведена модернизация.
Статья 20 Если оператор в нарушение Закона КНР о криптографии, Закона КНР о кибербезопасности, Положения об управлении коммерческой криптографией, Положения о защите безопасности критической информационной инфраструктуры и статьи 9 настоящих Правил использует сетевые продукты или услуги, связанные с коммерческой криптографией, которые не прошли проверку безопасности или не получили положительного заключения по результатам такой проверки, компетентный орган предписывает прекратить их использование и налагает штраф в размере от одного до десяти размеров стоимости закупки; непосредственно ответственным руководителям и другим лицам, несущим прямую ответственность, назначается штраф в размере от 10 000 до 100 000 юаней.
Статья 21 Если оператор в нарушение Закона КНР о криптографии, Закона КНР о кибербезопасности, Положения об управлении коммерческой криптографией, Положения о защите безопасности критической информационной инфраструктуры и статьи 17 настоящих Правил без уважительных причин отказывается принимать, не сотрудничает либо вмешивается в надзор за коммерческой криптографией со стороны органов управления криптографией или соответствующих ведомств, препятствует такому надзору, орган управления криптографией или соответствующее ведомство предписывает устранить нарушение и выносит предупреждение; при отказе устранить нарушение или наличии иных отягчающих обстоятельств налагается штраф в размере от 50 000 до 500 000 юаней, непосредственно ответственным руководителям и другим лицам, несущим прямую ответственность, назначается штраф в размере от 10 000 до 100 000 юаней; при особо серьёзных обстоятельствах предписывается приостановление деятельности для устранения нарушений.
Статья 22 Если оператор нарушает настоящие Правила при наличии одного из следующих обстоятельств, орган управления криптографией или соответствующее ведомство в соответствии со своими полномочиями предписывает устранить нарушение:
(1) если не представлен отчёт об использовании коммерческой криптографии в критической информационной инфраструктуре за предыдущий год и о проведении оценки безопасности применения коммерческой криптографии в соответствии с требованиями;
(2) если не создана система управления использованием коммерческой криптографии в критической информационной инфраструктуре;
(3) если в соответствии с требованиями не назначены администратор ключей, оператор криптографических операций и аудитор безопасности криптографии.
(4) Не обеспечено финансирование использования коммерческой криптографии и оценки безопасности её применения для критической информационной инфраструктуры.
Статья 23 Лица, осуществляющие надзор за использованием коммерческой криптографии в критической информационной инфраструктуре, которые злоупотребляют полномочиями, не исполняют обязанности, допускают злоупотребления из корыстных побуждений либо разглашают или незаконно предоставляют другим лицам ставшие им известными при выполнении обязанностей коммерческую тайну, личную информацию или сведения о заявителях, подлежат взысканию в соответствии с законодательством.
Статья 24 Управление использованием коммерческой криптографии в критической информационной инфраструктуре, относящейся к государственным информационным системам, помимо соблюдения настоящих положений, осуществляется также в соответствии с «Мерами по управлению строительством государственных информационных проектов» (Госсовет, документ № 57 от 2019 г.) и другими соответствующими требованиями.
Статья 25 Настоящие положения вступают в силу с 1 августа 2025 года.
Источник: Китайский сетевой информационный портал