ในวันที่ 1 สิงหาคม 2025 “ข้อกำหนดการจัดการการใช้รหัสลับเชิงพาณิชย์สำหรับโครงสร้างพื้นฐานสารสนเทศที่สำคัญ” มีผลบังคับใช้อย่างเป็นทางการ

ในวันที่ 1 สิงหาคม 2025 ระเบียบว่าด้วยการใช้รหัสลับเชิงพาณิชย์สำหรับโครงสร้างพื้นฐานสารสนเทศที่สำคัญ มีผลบังคับใช้อย่างเป็นทางการ ซึ่งจัดทำขึ้นตามกฎหมายและข้อบังคับทางปกครองที่เกี่ยวข้อง เช่น กฎหมายการเข้ารหัส กฎหมายความมั่นคงปลอดภัยข้อมูล กฎหมายคุ้มครองข้อมูลส่วนบุคคล ข้อบังคับการบริหารรหัสลับเชิงพาณิชย์ ข้อบังคับการคุ้มครองความมั่นคงปลอดภัยโครงสร้างพื้นฐานสารสนเทศที่สำคัญ และข้อบังคับการบริหารความมั่นคงปลอดภัยข้อมูลเครือข่าย โดยมีวัตถุประสงค์เพื่อกำกับดูแลการใช้รหัสลับเชิงพาณิชย์ในโครงสร้างพื้นฐานสารสนเทศที่สำคัญ และคุ้มครองความมั่นคงปลอดภัยของโครงสร้างพื้นฐานสารสนเทศที่สำคัญ

ต่อไปนี้คือข้อความฉบับเต็มของระเบียบว่าด้วยการใช้รหัสลับเชิงพาณิชย์สำหรับโครงสร้างพื้นฐานสารสนเทศที่สำคัญ:

ระเบียบว่าด้วยการใช้รหัสลับเชิงพาณิชย์สำหรับโครงสร้างพื้นฐานสารสนเทศที่สำคัญ

ข้อ 1 ระเบียบนี้จัดทำขึ้นเพื่อกำกับดูแลการใช้รหัสลับเชิงพาณิชย์ในโครงสร้างพื้นฐานสารสนเทศที่สำคัญ และคุ้มครองความมั่นคงปลอดภัยของโครงสร้างพื้นฐานสารสนเทศที่สำคัญ ตามกฎหมายและข้อบังคับทางปกครองที่เกี่ยวข้อง ได้แก่ กฎหมายการเข้ารหัสแห่งสาธารณรัฐประชาชนจีน กฎหมายความมั่นคงปลอดภัยเครือข่ายแห่งสาธารณรัฐประชาชนจีน กฎหมายความมั่นคงปลอดภัยข้อมูลแห่งสาธารณรัฐประชาชนจีน กฎหมายคุ้มครองข้อมูลส่วนบุคคลแห่งสาธารณรัฐประชาชนจีน ข้อบังคับการบริหารรหัสลับเชิงพาณิชย์ ข้อบังคับการคุ้มครองความมั่นคงปลอดภัยโครงสร้างพื้นฐานสารสนเทศที่สำคัญ และข้อบังคับการบริหารความมั่นคงปลอดภัยข้อมูลเครือข่าย

ข้อ 2 การบริหารการใช้รหัสลับเชิงพาณิชย์สำหรับโครงสร้างพื้นฐานสารสนเทศที่สำคัญ ซึ่งรับรองตามกฎหมายและข้อบังคับทางปกครองและข้อกำหนดที่เกี่ยวข้องของรัฐ เช่น กฎหมายความมั่นคงปลอดภัยเครือข่ายแห่งสาธารณรัฐประชาชนจีน และข้อบังคับการคุ้มครองความมั่นคงปลอดภัยโครงสร้างพื้นฐานสารสนเทศที่สำคัญ ให้เป็นไปตามระเบียบนี้

ข้อ 3 หน่วยงานบริหารรหัสลับแห่งชาติ ร่วมกับหน่วยงานด้านเครือข่ายสารสนเทศแห่งชาติ และหน่วยงานความมั่นคงสาธารณะของคณะรัฐมนตรี รับผิดชอบการวางแผน กำกับดูแล และตรวจสอบการบริหารการใช้รหัสลับเชิงพาณิชย์สำหรับโครงสร้างพื้นฐานสารสนเทศที่สำคัญทั่วประเทศ และจัดตั้งกลไกการแบ่งปันข้อมูลการบริหารการใช้รหัสลับเชิงพาณิชย์สำหรับโครงสร้างพื้นฐานสารสนเทศที่สำคัญ

หน่วยงานบริหารจัดการรหัสผ่านระดับท้องถิ่นตั้งแต่ระดับอำเภอขึ้นไป ร่วมกับหน่วยงานกำกับดูแลไซเบอร์และหน่วยงานความมั่นคงสาธารณะ มีหน้าที่รับผิดชอบในการให้คำแนะนำและกำกับดูแลงานบริหารจัดการการใช้รหัสผ่านเชิงพาณิชย์ในโครงสร้างพื้นฐานสารสนเทศสำคัญภายในเขตพื้นที่การปกครองของตน

ข้อ 4 หน่วยงานคุ้มครองโครงสร้างพื้นฐานสารสนเทศสำคัญ (ต่อไปนี้เรียกว่า หน่วยงานคุ้มครอง) มีหน้าที่รับผิดชอบในการกำกับดูแลงานการใช้รหัสผ่านเชิงพาณิชย์ในโครงสร้างพื้นฐานสารสนเทศสำคัญของอุตสาหกรรมหรือสาขาของตนตามขอบเขตอำนาจหน้าที่ จัดทำแผนการใช้รหัสผ่านเชิงพาณิชย์ของอุตสาหกรรมหรือสาขานั้นแยกเป็นการเฉพาะ หรือบูรณาการไว้ในแผนความมั่นคงปลอดภัยของโครงสร้างพื้นฐานสารสนเทศสำคัญของอุตสาหกรรมหรือสาขานั้น แล้วดำเนินการให้เป็นไปตามแผน พร้อมทั้งให้คำแนะนำผู้ประกอบการโครงสร้างพื้นฐานสารสนเทศสำคัญ (ต่อไปนี้เรียกว่า ผู้ประกอบการ) ในการดำเนินงานประกันด้านระบบ บุคลากร งบประมาณ และด้านอื่น ๆ ที่เกี่ยวข้องกับรหัสผ่านเชิงพาณิชย์

หน่วยงานคุ้มครองต้องรายงานสถานการณ์การบริหารจัดการการใช้รหัสผ่านเชิงพาณิชย์ในโครงสร้างพื้นฐานสารสนเทศสำคัญของอุตสาหกรรมหรือสาขาของตนในปีที่ผ่านมาให้หน่วยงานบริหารจัดการรหัสผ่านระดับชาติ หน่วยงานกำกับดูแลไซเบอร์ระดับชาติ และหน่วยงานความมั่นคงสาธารณะของคณะรัฐมนตรีทราบก่อนวันที่ 31 มีนาคมของทุกปี

เมื่อเกิดเหตุการณ์ความมั่นคงปลอดภัยเครือข่ายร้ายแรงที่เกี่ยวข้องกับรหัสผ่านเชิงพาณิชย์ในโครงสร้างพื้นฐานสารสนเทศสำคัญ หรือตรวจพบภัยคุกคามความมั่นคงปลอดภัยเครือข่ายร้ายแรงที่เกี่ยวข้องกับรหัสผ่านเชิงพาณิชย์ หน่วยงานคุ้มครองต้องรายงานให้หน่วยงานบริหารจัดการรหัสผ่านระดับชาติ หน่วยงานกำกับดูแลไซเบอร์ระดับชาติ และหน่วยงานความมั่นคงสาธารณะของคณะรัฐมนตรีทราบโดยเร็ว พร้อมทั้งให้คำแนะนำผู้ประกอบการในการตอบสนองเหตุฉุกเฉิน และเมื่อจำเป็นให้ดำเนินการประเมินความมั่นคงปลอดภัยของการประยุกต์ใช้รหัสผ่านเชิงพาณิชย์

ข้อ 5 ผู้ประกอบการต้องปฏิบัติตามกฎหมาย กฎระเบียบทางปกครอง และข้อกำหนดของประเทศที่เกี่ยวข้อง ดำเนินตามข้อกำหนดเชิงระบบ เช่น การบริหารจัดการรหัสผ่านเชิงพาณิชย์ของชาติ การคุ้มครองตามระดับความมั่นคงปลอดภัยเครือข่าย และการคุ้มครองความมั่นคงปลอดภัยของโครงสร้างพื้นฐานสารสนเทศสำคัญ ใช้รหัสผ่านเชิงพาณิชย์ในการคุ้มครองโครงสร้างพื้นฐานสารสนเทศสำคัญ วางแผนระบบประกันรหัสผ่านเชิงพาณิชย์ควบคู่กัน ก่อสร้างควบคู่กัน และเดินระบบควบคู่กัน พร้อมทั้งดำเนินการประเมินความมั่นคงปลอดภัยของการประยุกต์ใช้รหัสผ่านเชิงพาณิชย์อย่างสม่ำเสมอ

ผู้ประกอบการต้องรายงานการใช้รหัสผ่านเชิงพาณิชย์ในโครงสร้างพื้นฐานสารสนเทศสำคัญและสถานการณ์การดำเนินการประเมินความมั่นคงปลอดภัยของการประยุกต์ใช้รหัสผ่านเชิงพาณิชย์ในปีที่ผ่านมาให้หน่วยงานคุ้มครองที่สังกัดทราบก่อนวันที่ 31 มกราคมของทุกปี

ข้อ 6 ผู้ประกอบการต้องเสริมสร้างการประกันเชิงระบบสำหรับการใช้รหัสผ่านเชิงพาณิชย์ในโครงสร้างพื้นฐานสารสนเทศสำคัญ โดยจัดทำระบบบริหารจัดการการใช้รหัสผ่านเชิงพาณิชย์ในโครงสร้างพื้นฐานสารสนเทศสำคัญ เช่น การใช้รหัสผ่านเชิงพาณิชย์ การตอบสนองเหตุฉุกเฉิน และการรายงานเหตุการณ์ร้ายแรง

ผู้รับผิดชอบหลักของผู้ประกอบการมีหน้าที่รับผิดชอบโดยรวมต่อการบริหารจัดการการใช้รหัสผ่านเชิงพาณิชย์ในโครงสร้างพื้นฐานสารสนเทศสำคัญ และรับผิดชอบงานการใช้รหัสผ่านเชิงพาณิชย์ในโครงสร้างพื้นฐานสารสนเทศสำคัญ รวมถึงการจัดการเหตุการณ์ความมั่นคงปลอดภัยเครือข่ายร้ายแรงที่เกี่ยวข้องกับรหัสผ่านเชิงพาณิชย์

ข้อ 7 ผู้ประกอบการควรเพิ่มความเข้มแข็งในการรับประกันบุคลากรที่ใช้รหัสลับเชิงพาณิชย์ในโครงสร้างพื้นฐานสารสนเทศที่สำคัญ โดยจัดให้มีบุคลากรมืออาชีพที่มีวุฒิการศึกษาด้านรหัสลับหรือใบรับรองการรับรองระดับทักษะวิชาชีพแห่งชาติที่เกี่ยวข้องกับรหัสลับ ทำหน้าที่เป็นผู้ดูแลกุญแจรหัสและผู้ปฏิบัติการรหัสลับตามลำดับ และจัดให้มีบุคลากรที่มีความสามารถทางวิชาชีพด้านการตรวจสอบความมั่นคงปลอดภัย ทำหน้าที่เป็นผู้ตรวจสอบความมั่นคงปลอดภัยรหัสลับ

ผู้ประกอบการควรดำเนินการตรวจสอบภูมิหลังด้านความมั่นคงปลอดภัยสำหรับบุคลากรมืออาชีพที่เกี่ยวข้องกับรหัสลับ และจัดการฝึกอบรมทักษะทางธุรกิจที่เกี่ยวข้องกับรหัสลับเป็นประจำ เพื่อเพิ่มความสามารถในการใช้รหัสลับเชิงพาณิชย์ของบุคลากรมืออาชีพที่เกี่ยวข้องกับรหัสลับ

ข้อ 8 ผู้ประกอบการควรเพิ่มความเข้มแข็งในการรับประกันงบประมาณสำหรับการใช้รหัสลับเชิงพาณิชย์และการประเมินความมั่นคงปลอดภัยของแอปพลิเคชันในโครงสร้างพื้นฐานสารสนเทศที่สำคัญ โดยนำค่าใช้จ่ายด้านการใช้รหัสลับเชิงพาณิชย์และการประเมินความมั่นคงปลอดภัยของแอปพลิเคชันเข้าไว้ในการจัดสรรงบประมาณด้านความมั่นคงปลอดภัยเครือข่ายและสารสนเทศ

ข้อ 9 ผลิตภัณฑ์และบริการรหัสลับเชิงพาณิชย์ที่ใช้ในโครงสร้างพื้นฐานสารสนเทศที่สำคัญต้องผ่านการตรวจสอบและรับรองตามกฎเกณฑ์ และเทคโนโลยีรหัสลับเชิงพาณิชย์ เช่น อัลกอริทึมรหัสลับ โปรโตคอลรหัสลับ และกลไกการจัดการกุญแจรหัสที่ใช้ ต้องผ่านการตรวจสอบและรับรองจากหน่วยงานกำกับดูแลรหัสลับแห่งชาติ

หากผู้ประกอบการจัดซื้อผลิตภัณฑ์และบริการเครือข่ายที่เกี่ยวข้องกับรหัสลับเชิงพาณิชย์ ซึ่งส่งผลกระทบหรืออาจส่งผลกระทบต่อความมั่นคงของชาติ ต้องดำเนินการตรวจสอบความมั่นคงปลอดภัยเครือข่ายตาม "มาตรการตรวจสอบความมั่นคงปลอดภัยเครือข่าย"

ข้อ 10 โครงสร้างพื้นฐานสารสนเทศที่สำคัญควรใช้รหัสลับเชิงพาณิชย์เพื่อปกป้องข้อมูลหลัก ข้อมูลสำคัญ และข้อมูลส่วนบุคคลในการจัดเก็บ ใช้งาน และรับส่ง ตามข้อกำหนดที่เกี่ยวข้องเกี่ยวกับการคุ้มครองความมั่นคงปลอดภัยข้อมูลของชาติและการคุ้มครองข้อมูลส่วนบุคคล

ข้อ 11 ในขั้นตอนการวางแผนโครงสร้างพื้นฐานสารสนเทศที่สำคัญ ผู้ประกอบการควรจัดทำแผนการใช้รหัสลับเชิงพาณิชย์ตามความต้องการของแอปพลิเคชันรหัสลับเชิงพาณิชย์ ตามกฎหมาย ระเบียบบริหาร และมาตรฐานที่เกี่ยวข้อง วางแผนระบบรับประกันรหัสลับเชิงพาณิชย์ และรวมไว้ในการวางแผนความมั่นคงปลอดภัยของโครงสร้างพื้นฐานสารสนเทศที่สำคัญเพื่อการจัดวางโดยรวม

ผู้ประกอบการควรดำเนินการประเมินความมั่นคงปลอดภัยของแอปพลิเคชันรหัสลับเชิงพาณิชย์สำหรับแผนการใช้รหัสลับเชิงพาณิชย์ด้วยตนเอง หรือมอบหมายให้สถาบันตรวจสอบรหัสลับเชิงพาณิชย์ดำเนินการ หากแผนการประยุกต์ใช้รหัสลับเชิงพาณิชย์ไม่ผ่านการประเมินความมั่นคงปลอดภัยของการประยุกต์ใช้รหัสลับเชิงพาณิชย์ จะใช้เป็นพื้นฐานในการก่อสร้างระบบคุ้มครองรหัสลับเชิงพาณิชย์ไม่ได้

ข้อ 12 ในช่วงการก่อสร้างโครงสร้างพื้นฐานสารสนเทศสำคัญ ผู้ดำเนินการต้องดำเนินการตามแผนการประยุกต์ใช้รหัสลับเชิงพาณิชย์ที่ผ่านการประเมินความมั่นคงปลอดภัยของการประยุกต์ใช้รหัสลับเชิงพาณิชย์ ดำเนินมาตรการคุ้มครองความมั่นคงปลอดภัยด้วยรหัสลับเชิงพาณิชย์ และสร้างระบบคุ้มครองรหัสลับเชิงพาณิชย์ หากจำเป็นต้องปรับเปลี่ยนแผนการประยุกต์ใช้รหัสลับเชิงพาณิชย์ในระหว่างการก่อสร้าง ต้องดำเนินการประเมินความมั่นคงปลอดภัยของการประยุกต์ใช้รหัสลับเชิงพาณิชย์ใหม่ และจะก่อสร้างต่อตามแผนที่ปรับเปลี่ยนได้เมื่อผ่านการประเมินแล้วเท่านั้น

ก่อนการเริ่มใช้งานโครงสร้างพื้นฐานสารสนเทศสำคัญ ผู้ดำเนินการต้องดำเนินการประเมินความมั่นคงปลอดภัยของการประยุกต์ใช้รหัสลับเชิงพาณิชย์ด้วยตนเอง หรือมอบหมายให้หน่วยตรวจสอบรหัสลับเชิงพาณิชย์ดำเนินการ หากโครงสร้างพื้นฐานสารสนเทศสำคัญไม่ผ่านการประเมินความมั่นคงปลอดภัยของการประยุกต์ใช้รหัสลับเชิงพาณิชย์ ผู้ดำเนินการต้องปรับปรุงแก้ไข และห้ามนำเข้าสู่การใช้งานในระหว่างการปรับปรุง

ข้อ 13 หลังจากโครงสร้างพื้นฐานสารสนเทศสำคัญก่อสร้างเสร็จและเริ่มใช้งานแล้ว ผู้ดำเนินการต้องดำเนินการประเมินความมั่นคงปลอดภัยของการประยุกต์ใช้รหัสลับเชิงพาณิชย์อย่างน้อยปีละหนึ่งครั้ง ด้วยตนเอง หรือมอบหมายให้หน่วยตรวจสอบรหัสลับเชิงพาณิชย์ดำเนินการ เพื่อให้มั่นใจว่ามีการใช้รหัสลับเชิงพาณิชย์อย่างถูกต้องในโครงสร้างพื้นฐานสารสนเทศสำคัญ และระบบคุ้มครองรหัสลับเชิงพาณิชย์ทำงานอย่างมีประสิทธิภาพ หากโครงสร้างพื้นฐานสารสนเทศสำคัญไม่ผ่านการประเมินความมั่นคงปลอดภัยของการประยุกต์ใช้รหัสลับเชิงพาณิชย์ ผู้ดำเนินการต้องปรับปรุงแก้ไข และใช้มาตรการที่จำเป็นในระหว่างการปรับปรุงเพื่อรับประกันความมั่นคงปลอดภัยในการทำงานของโครงสร้างพื้นฐานสารสนเทศสำคัญ

ข้อ 14 สำหรับโครงสร้างพื้นฐานสารสนเทศสำคัญที่อยู่ระหว่างการก่อสร้างก่อนประกาศใช้ข้อกำหนดนี้ ผู้ดำเนินการต้องเสริมสร้างการจัดทำและพิสูจน์ยืนยันแผนการประยุกต์ใช้รหัสลับเชิงพาณิชย์ ก่อสร้างและปรับปรุงระบบคุ้มครองรหัสลับเชิงพาณิชย์ให้สมบูรณ์ และดำเนินการประเมินความมั่นคงปลอดภัยของการประยุกต์ใช้รหัสลับเชิงพาณิชย์ตามข้อ 12 ของข้อกำหนดนี้

สำหรับโครงสร้างพื้นฐานสารสนเทศสำคัญที่ได้เปิดใช้งานก่อนที่ข้อกำหนดนี้มีผลบังคับใช้ ผู้ดำเนินการต้องดำเนินการประเมินความปลอดภัยของการประยุกต์ใช้รหัสลับเชิงพาณิชย์ตามข้อ 13 ของข้อกำหนดนี้

ข้อ 15 การประเมินความปลอดภัยของการประยุกต์ใช้รหัสลับเชิงพาณิชย์ของโครงสร้างพื้นฐานสารสนเทศสำคัญต้องเป็นไปตามข้อกำหนดที่เกี่ยวข้องใน "มาตรการบริหารการประเมินความปลอดภัยของการประยุกต์ใช้รหัสลับเชิงพาณิชย์"

การประเมินความปลอดภัยของการประยุกต์ใช้รหัสลับเชิงพาณิชย์ของโครงสร้างพื้นฐานสารสนเทศสำคัญควรเชื่อมโยงอย่างใกล้ชิดกับการตรวจประเมินความปลอดภัยของโครงสร้างพื้นฐานสารสนเทศสำคัญและการประเมินระดับความปลอดภัยเครือข่าย เพื่อหลีกเลี่ยงการประเมินและการตรวจซ้ำซ้อน

ข้อ 16 หน่วยงานบริหารรหัสลับแห่งชาติรับผิดชอบการสร้างและจัดการโครงสร้างพื้นฐานการจัดการความปลอดภัยการทำงานของรหัสลับเชิงพาณิชย์ของโครงสร้างพื้นฐานสารสนเทศสำคัญระดับประเทศ ประสานงานหน่วยงานคุ้มครองในการสร้างโครงสร้างพื้นฐานการจัดการความปลอดภัยการทำงานของรหัสลับเชิงพาณิชย์ของโครงสร้างพื้นฐานสารสนเทศสำคัญในอุตสาหกรรมและสาขาของตน ร่วมกับหน่วยงานไซเบอร์แห่งชาติและหน่วยงานความมั่นคงสาธารณะของคณะรัฐมนตรี วิเคราะห์และประเมินสถานการณ์ความปลอดภัยการทำงานของรหัสลับเชิงพาณิชย์ของโครงสร้างพื้นฐานสารสนเทศสำคัญ และร่วมกันรับมือกับภัยคุกคามความปลอดภัยการทำงานของรหัสลับเชิงพาณิชย์ที่สำคัญ

ข้อ 17 หน่วยงานบริหารรหัสลับต้องจัดให้มีการตรวจสอบกำกับดูแลการใช้รหัสลับเชิงพาณิชย์ของโครงสร้างพื้นฐานสารสนเทศสำคัญอย่างสม่ำเสมอ หน่วยงานคุ้มครองต้องตรวจสอบการใช้รหัสลับเชิงพาณิชย์ของโครงสร้างพื้นฐานสารสนเทศสำคัญในอุตสาหกรรมและสาขาของตนอย่างสม่ำเสมอ และเสนอมาตรการปรับปรุง หากจำเป็นอาจดำเนินการประเมินความปลอดภัยของการประยุกต์ใช้รหัสลับเชิงพาณิชย์ด้วยตนเองหรือมอบหมายให้หน่วยงานตรวจสอบรหัสลับเชิงพาณิชย์หรือหน่วยงานวิชาชีพอื่นดำเนินการ

ผู้ดำเนินการต้องให้ความร่วมมือกับการตรวจสอบกำกับดูแลการใช้รหัสลับเชิงพาณิชย์ของโครงสร้างพื้นฐานสารสนเทศสำคัญที่ดำเนินการโดยหน่วยงานบริหารรหัสลับและหน่วยงานคุ้มครอง ดำเนินการแก้ไขตามความเห็นจากการตรวจสอบกำกับดูแลอย่างทันท่วงที และรายงานผลการแก้ไขต่อหน่วยงานคุ้มครอง หน่วยงานคุ้มครองต้องรายงานผลการแก้ไขต่อหน่วยงานบริหารรหัสลับแห่งชาติ

การตรวจสอบกำกับดูแลการใช้รหัสลับเชิงพาณิชย์ของโครงสร้างพื้นฐานสารสนเทศสำคัญควรเสริมสร้างการประสานงานและการแลกเปลี่ยนข้อมูล เพื่อหลีกเลี่ยงการตรวจสอบที่ไม่จำเป็นและการตรวจซ้ำซ้อน การตรวจสอบและกำกับดูแลจะต้องไม่เรียกเก็บค่าใช้จ่าย และจะต้องไม่เรียกร้องให้หน่วยงานที่ถูกตรวจสอบและกำกับดูแลซื้อหรือใช้ผลิตภัณฑ์หรือบริการรหัสผ่านเชิงพาณิชย์จากหน่วยงานหรือแบรนด์ที่กำหนด

มาตรา 18 หน่วยงานกำกับดูแลรหัสผ่าน หน่วยงานที่เกี่ยวข้อง สถาบันตรวจสอบรหัสผ่านเชิงพาณิชย์ และเจ้าหน้าที่ของหน่วยงานดังกล่าว มีหน้าที่รักษาความลับเกี่ยวกับความลับของรัฐ ความลับทางการค้า และความเป็นส่วนตัวของบุคคลที่ตนล่วงรู้ในการปฏิบัติหน้าที่ และต้องไม่เปิดเผยหรือให้แก่ผู้อื่นโดยมิชอบด้วยกฎหมาย

มาตรา 19 หากผู้ประกอบการฝ่าฝืนบทบัญญัติที่เกี่ยวข้องของกฎหมายรหัสผ่านแห่งสาธารณรัฐประชาชนจีน กฎหมายความมั่นคงทางไซเบอร์แห่งสาธารณรัฐประชาชนจีน ระเบียบว่าด้วยการจัดการรหัสผ่านเชิงพาณิชย์ ระเบียบว่าด้วยการคุ้มครองความปลอดภัยของโครงสร้างพื้นฐานสารสนเทศสำคัญ และข้อกำหนดในระเบียบนี้ และเข้าข่ายกรณีใดกรณีหนึ่งดังต่อไปนี้ หน่วยงานกำกับดูแลรหัสผ่านจะสั่งให้แก้ไขและออกคำเตือน หากไม่แก้ไขหรือมีพฤติการณ์ร้ายแรงอื่น จะปรับเป็นเงินตั้งแต่ 100,000 หยวน ถึง 1,000,000 หยวน และปรับผู้รับผิดชอบโดยตรงตั้งแต่ 10,000 หยวน ถึง 100,000 หยวน:

(1) ไม่ใช้รหัสผ่านเชิงพาณิชย์เพื่อคุ้มครองโครงสร้างพื้นฐานสารสนเทศสำคัญตามข้อกำหนด หรือไม่วางแผน สร้าง และเดินระบบระบบสนับสนุนรหัสผ่านเชิงพาณิชย์พร้อมกัน

(2) ผลิตภัณฑ์หรือบริการรหัสผ่านเชิงพาณิชย์ที่ใช้กับโครงสร้างพื้นฐานสารสนเทศสำคัญไม่ผ่านการตรวจสอบและรับรอง

(3) เทคโนโลยีรหัสผ่านเชิงพาณิชย์ เช่น อัลกอริทึมรหัสผ่าน โปรโตคอลรหัสผ่าน และกลไกการจัดการกุญแจ ที่ใช้กับโครงสร้างพื้นฐานสารสนเทศสำคัญไม่ผ่านการตรวจสอบและประเมินโดยหน่วยงานกำกับดูแลรหัสผ่านแห่งชาติ

(4) ในขั้นตอนการวางแผนโครงสร้างพื้นฐานสารสนเทศสำคัญ ไม่จัดทำแผนการใช้รหัสผ่านเชิงพาณิชย์ หรือไม่ดำเนินการประเมินความปลอดภัยของการใช้รหัสผ่านเชิงพาณิชย์สำหรับแผนดังกล่าว

(5) ในขั้นตอนการก่อสร้างโครงสร้างพื้นฐานสารสนเทศสำคัญ ไม่สร้างระบบสนับสนุนรหัสผ่านเชิงพาณิชย์ตามแผนการใช้รหัสผ่านเชิงพาณิชย์ที่ผ่านการประเมินความปลอดภัยของการใช้รหัสผ่านเชิงพาณิชย์

(6) ก่อนที่โครงสร้างพื้นฐานสารสนเทศสำคัญจะเริ่มดำเนินการ หากยังไม่ได้ดำเนินการประเมินความปลอดภัยของการประยุกต์ใช้รหัสลับเชิงพาณิชย์ หรือไม่ผ่านการประเมินความปลอดภัยของการประยุกต์ใช้รหัสลับเชิงพาณิชย์และยังไม่ได้ดำเนินการปรับปรุงแก้ไข

(7) หลังจากโครงสร้างพื้นฐานสารสนเทศสำคัญสร้างเสร็จและเริ่มดำเนินการแล้ว หากไม่ได้ดำเนินการประเมินความปลอดภัยของการประยุกต์ใช้รหัสลับเชิงพาณิชย์เป็นประจำ หรือไม่ผ่านการประเมินความปลอดภัยของการประยุกต์ใช้รหัสลับเชิงพาณิชย์ที่ดำเนินการเป็นประจำและยังไม่ได้ดำเนินการปรับปรุงแก้ไข

ข้อ 20 หากผู้ประกอบการฝ่าฝืนกฎหมายรหัสลับแห่งสาธารณรัฐประชาชนจีน กฎหมายความมั่นคงปลอดภัยไซเบอร์แห่งสาธารณรัฐประชาชนจีน ระเบียบการจัดการรหัสลับเชิงพาณิชย์ ระเบียบการคุ้มครองความปลอดภัยโครงสร้างพื้นฐานสารสนเทศสำคัญ และข้อ 9 ของระเบียบนี้ โดยใช้ผลิตภัณฑ์หรือบริการเครือข่ายที่เกี่ยวข้องกับรหัสลับเชิงพาณิชย์ซึ่งไม่ผ่านการตรวจสอบความปลอดภัยหรือไม่ผ่านการตรวจสอบความปลอดภัย ให้หน่วยงานกำกับดูแลที่เกี่ยวข้องสั่งให้หยุดใช้ และปรับเป็นเงินตั้งแต่ 1 เท่าถึง 10 เท่าของมูลค่าการจัดซื้อ พร้อมปรับผู้รับผิดชอบโดยตรงและผู้รับผิดชอบโดยตรงอื่น ๆ เป็นเงินตั้งแต่ 10,000 หยวนถึง 100,000 หยวน

ข้อ 21 หากผู้ประกอบการฝ่าฝืนกฎหมายรหัสลับแห่งสาธารณรัฐประชาชนจีน กฎหมายความมั่นคงปลอดภัยไซเบอร์แห่งสาธารณรัฐประชาชนจีน ระเบียบการจัดการรหัสลับเชิงพาณิชย์ ระเบียบการคุ้มครองความปลอดภัยโครงสร้างพื้นฐานสารสนเทศสำคัญ และข้อ 17 ของระเบียบนี้ โดยไม่มีเหตุผลอันสมควรปฏิเสธ ไม่ให้ความร่วมมือ หรือแทรกแซง ขัดขวางการกำกับดูแลรหัสลับเชิงพาณิชย์ของหน่วยงานจัดการรหัสลับหรือหน่วยงานที่เกี่ยวข้อง ให้หน่วยงานจัดการรหัสลับหรือหน่วยงานที่เกี่ยวข้องสั่งให้แก้ไขและออกคำเตือน หากไม่แก้ไขหรือมีพฤติการณ์ร้ายแรงอื่น ๆ ให้ปรับเป็นเงินตั้งแต่ 50,000 หยวนถึง 500,000 หยวน และปรับผู้รับผิดชอบโดยตรงและผู้รับผิดชอบโดยตรงอื่น ๆ เป็นเงินตั้งแต่ 10,000 หยวนถึง 100,000 หยวน หากมีพฤติการณ์ร้ายแรงเป็นพิเศษ ให้สั่งหยุดประกอบการเพื่อปรับปรุงแก้ไข

ข้อ 22 หากผู้ประกอบการฝ่าฝืนระเบียบนี้โดยมีพฤติการณ์อย่างใดอย่างหนึ่งดังต่อไปนี้ ให้หน่วยงานจัดการรหัสลับหรือหน่วยงานที่เกี่ยวข้องสั่งให้แก้ไขตามอำนาจหน้าที่

(1) ไม่รายงานสถานะการใช้รหัสลับเชิงพาณิชย์ของโครงสร้างพื้นฐานสารสนเทศสำคัญและสถานะการดำเนินการประเมินความปลอดภัยของการประยุกต์ใช้รหัสลับเชิงพาณิชย์ในปีที่ผ่านมาตามข้อกำหนด

(2) ไม่จัดทำระบบการจัดการการใช้รหัสลับเชิงพาณิชย์ของโครงสร้างพื้นฐานสารสนเทศสำคัญ

(3) ไม่จัดให้มีผู้ดูแลกุญแจรหัส ผู้ปฏิบัติการรหัส และผู้ตรวจสอบความปลอดภัยรหัสตามข้อกำหนด

(4) ล้มเหลวในการรับประกันงบประมาณสำหรับการใช้รหัสลับเชิงพาณิชย์และการประเมินความปลอดภัยในการใช้งานในโครงสร้างพื้นฐานข้อมูลสำคัญ

ข้อ 23 บุคลากรที่ปฏิบัติงานกำกับดูแลการใช้รหัสลับเชิงพาณิชย์ในโครงสร้างพื้นฐานข้อมูลสำคัญ ซึ่งใช้อำนาจโดยมิชอบ ละเลยหน้าที่ กระทำการทุจริต หรือเปิดเผยหรือให้ข้อมูลความลับทางการค้า ความเป็นส่วนตัว หรือข้อมูลของผู้แจ้งเบาะแสที่ตนล่วงรู้ในการปฏิบัติหน้าที่แก่ผู้อื่นโดยมิชอบด้วยกฎหมาย จะถูกลงโทษทางวินัยตามกฎหมาย

ข้อ 24 การจัดการการใช้รหัสลับเชิงพาณิชย์สำหรับโครงสร้างพื้นฐานข้อมูลสำคัญที่เป็นระบบข้อมูลกิจการของรัฐ นอกจากการปฏิบัติตามข้อกำหนดฉบับนี้แล้ว ยังต้องดำเนินการตามข้อกำหนดที่เกี่ยวข้อง เช่น มาตรการการบริหารโครงการก่อสร้างระบบข้อมูลกิจการของรัฐ (กปภ. [2019] ฉบับที่ 57)

ข้อ 25 ข้อกำหนดฉบับนี้มีผลใช้บังคับตั้งแต่วันที่ 1 สิงหาคม 2025 เป็นต้นไป

ที่มา: เครือข่ายข้อมูลข่าวสารอินเทอร์เน็ตแห่งประเทศจีน