Ngày 1 tháng 8 năm 2025, "Quy định quản lý sử dụng mật mã thương mại trong cơ sở hạ tầng thông tin quan trọng" chính thức có hiệu lực

Ngày 1 tháng 8 năm 2025, "Quy định quản lý sử dụng mật mã thương mại trong cơ sở hạ tầng thông tin quan trọng" chính thức có hiệu lực. Quy định này được xây dựng dựa trên "Luật Mật mã", "Luật An toàn dữ liệu", "Luật Bảo vệ thông tin cá nhân", "Quy chế quản lý mật mã thương mại", "Quy chế bảo vệ an ninh cơ sở hạ tầng thông tin quan trọng", "Quy chế quản lý an ninh dữ liệu mạng" và các luật, quy định hành chính liên quan khác, nhằm chuẩn hóa việc sử dụng mật mã thương mại trong cơ sở hạ tầng thông tin quan trọng và bảo vệ an ninh của cơ sở hạ tầng thông tin quan trọng.

Dưới đây là toàn văn "Quy định quản lý sử dụng mật mã thương mại trong cơ sở hạ tầng thông tin quan trọng":

Quy định quản lý sử dụng mật mã thương mại trong cơ sở hạ tầng thông tin quan trọng

Điều 1 Để chuẩn hóa việc sử dụng mật mã thương mại trong cơ sở hạ tầng thông tin quan trọng và bảo vệ an ninh của cơ sở hạ tầng thông tin quan trọng, căn cứ theo "Luật Mật mã nước Cộng hòa Nhân dân Trung Hoa", "Luật An ninh mạng nước Cộng hòa Nhân dân Trung Hoa", "Luật An toàn dữ liệu nước Cộng hòa Nhân dân Trung Hoa", "Luật Bảo vệ thông tin cá nhân nước Cộng hòa Nhân dân Trung Hoa", "Quy chế quản lý mật mã thương mại", "Quy chế bảo vệ an ninh cơ sở hạ tầng thông tin quan trọng", "Quy chế quản lý an ninh dữ liệu mạng" và các luật, quy định hành chính liên quan khác, ban hành quy định này.

Điều 2 Quy định này áp dụng đối với việc quản lý sử dụng mật mã thương mại của cơ sở hạ tầng thông tin quan trọng được xác định theo "Luật An ninh mạng nước Cộng hòa Nhân dân Trung Hoa", "Quy chế bảo vệ an ninh cơ sở hạ tầng thông tin quan trọng" và các luật, quy định hành chính, quy định quốc gia liên quan khác.

Điều 3 Cơ quan quản lý mật mã quốc gia phối hợp với cơ quan quản lý không gian mạng quốc gia và cơ quan công an thuộc Quốc vụ viện chịu trách nhiệm lập kế hoạch, chỉ đạo và giám sát công tác quản lý sử dụng mật mã thương mại trong cơ sở hạ tầng thông tin quan trọng trên toàn quốc, đồng thời thiết lập cơ chế chia sẻ thông tin quản lý sử dụng mật mã thương mại trong cơ sở hạ tầng thông tin quan trọng.

Cơ quan quản lý mật mã các cấp từ cấp huyện trở lên tại địa phương phối hợp với cơ quan quản lý không gian mạng và cơ quan công an chịu trách nhiệm chỉ đạo, giám sát công tác quản lý sử dụng mật mã thương mại trong cơ sở hạ tầng thông tin quan trọng tại khu vực hành chính của mình.

Điều 4 Cơ quan bảo vệ cơ sở hạ tầng thông tin quan trọng (sau đây gọi tắt là cơ quan bảo vệ) trong phạm vi chức trách của mình chịu trách nhiệm giám sát, quản lý công tác sử dụng mật mã thương mại trong cơ sở hạ tầng thông tin quan trọng của ngành, lĩnh vực mình; lập riêng kế hoạch sử dụng mật mã thương mại của ngành, lĩnh vực hoặc đưa vào kế hoạch an ninh cơ sở hạ tầng thông tin quan trọng của ngành, lĩnh vực và tổ chức thực hiện; hướng dẫn đơn vị vận hành cơ sở hạ tầng thông tin quan trọng (sau đây gọi tắt là đơn vị vận hành) trong ngành, lĩnh vực mình triển khai công tác bảo đảm về chế độ, nhân sự, kinh phí và các mặt khác liên quan đến mật mã thương mại.

Cơ quan bảo vệ công tác phải trước ngày 31 tháng 3 hằng năm báo cáo cơ quan quản lý mật mã nhà nước, cơ quan quản lý không gian mạng nhà nước, cơ quan công an Quốc vụ viện về tình hình sử dụng, quản lý mật mã thương mại của cơ sở hạ tầng thông tin quan trọng trong ngành, lĩnh vực mình năm trước.

Khi cơ sở hạ tầng thông tin quan trọng xảy ra sự kiện an ninh mạng nghiêm trọng liên quan đến mật mã thương mại hoặc phát hiện mối đe dọa an ninh mạng nghiêm trọng liên quan đến mật mã thương mại, cơ quan bảo vệ công tác phải kịp thời báo cáo cơ quan quản lý mật mã nhà nước, cơ quan quản lý không gian mạng nhà nước, cơ quan công an Quốc vụ viện, hướng dẫn đơn vị vận hành triển khai xử lý khẩn cấp, khi cần thiết tiến hành đánh giá an toàn ứng dụng mật mã thương mại.

Điều 5 Đơn vị vận hành phải theo các quy định pháp luật, quy phạm pháp luật hành chính liên quan và quy định quốc gia, tuân thủ yêu cầu của các chế độ như quản lý mật mã thương mại nhà nước, bảo vệ cấp độ an ninh mạng, bảo vệ an toàn cơ sở hạ tầng thông tin quan trọng, sử dụng mật mã thương mại để bảo vệ cơ sở hạ tầng thông tin quan trọng, đồng thời quy hoạch, đồng thời xây dựng, đồng thời vận hành hệ thống bảo đảm mật mã thương mại, và định kỳ triển khai đánh giá an toàn ứng dụng mật mã thương mại.

Đơn vị vận hành phải trước ngày 31 tháng 1 hằng năm báo cáo cơ quan bảo vệ công tác thuộc quyền quản lý về tình hình sử dụng mật mã thương mại và tình hình triển khai đánh giá an toàn ứng dụng mật mã thương mại của cơ sở hạ tầng thông tin quan trọng năm trước.

Điều 6 Đơn vị vận hành phải tăng cường bảo đảm chế độ sử dụng mật mã thương mại của cơ sở hạ tầng thông tin quan trọng, thiết lập chế độ quản lý sử dụng mật mã thương mại của cơ sở hạ tầng thông tin quan trọng như sử dụng mật mã thương mại, xử lý khẩn cấp, báo cáo sự kiện nghiêm trọng.

Người phụ trách chính của đơn vị vận hành chịu trách nhiệm chung về quản lý sử dụng mật mã thương mại của cơ sở hạ tầng thông tin quan trọng, phụ trách công tác sử dụng mật mã thương mại và xử lý sự kiện an ninh mạng nghiêm trọng liên quan đến mật mã thương mại của cơ sở hạ tầng thông tin quan trọng.

Điều 7 Đơn vị vận hành phải tăng cường bảo đảm nhân sự sử dụng mật mã thương mại của cơ sở hạ tầng thông tin quan trọng, bố trí nhân viên chuyên môn có bằng cấp chuyên ngành liên quan đến mật mã hoặc chứng chỉ xác nhận cấp bậc kỹ năng nghề quốc gia liên quan đến mật mã đảm nhiệm riêng các trách nhiệm như quản trị viên khóa mật mã, nhân viên vận hành mật mã, bố trí nhân viên có năng lực chuyên môn kiểm toán an toàn đảm nhiệm trách nhiệm nhân viên kiểm toán an toàn mật mã.

Đơn vị vận hành phải tiến hành thẩm tra lý lịch an toàn đối với nhân viên chuyên môn liên quan đến mật mã, và định kỳ tổ chức cho họ tham gia đào tạo kỹ năng nghiệp vụ liên quan đến mật mã, nâng cao năng lực sử dụng mật mã thương mại của nhân viên chuyên môn liên quan đến mật mã.

Điều 8 Đơn vị vận hành phải tăng cường bảo đảm kinh phí cho việc sử dụng mật mã thương mại và đánh giá an toàn ứng dụng mật mã thương mại trong hạ tầng thông tin quan trọng, đồng thời đưa kinh phí sử dụng mật mã thương mại và đánh giá an toàn ứng dụng vào dự toán kinh phí an ninh mạng và công nghệ thông tin.

Điều 9 Sản phẩm, dịch vụ mật mã thương mại mà hạ tầng thông tin quan trọng sử dụng phải đạt chứng nhận kiểm định hợp lệ; thuật toán mật mã, giao thức mật mã, cơ chế quản lý khóa và các công nghệ mật mã thương mại khác được sử dụng phải qua thẩm định của cơ quan quản lý mật mã quốc gia.

Khi đơn vị vận hành mua sắm sản phẩm, dịch vụ mạng liên quan đến mật mã thương mại mà có ảnh hưởng hoặc có khả năng ảnh hưởng đến an ninh quốc gia, phải tiến hành rà soát an ninh mạng theo "Biện pháp rà soát an ninh mạng".

Điều 10 Hạ tầng thông tin quan trọng phải căn cứ yêu cầu liên quan về bảo vệ an toàn dữ liệu quốc gia và bảo vệ thông tin cá nhân, sử dụng mật mã thương mại để bảo vệ dữ liệu cốt lõi, dữ liệu quan trọng và thông tin cá nhân trong quá trình lưu trữ, sử dụng và truyền tải.

Điều 11 Ở giai đoạn quy hoạch hạ tầng thông tin quan trọng, đơn vị vận hành phải căn cứ các luật, quy định hành chính và tiêu chuẩn, quy phạm liên quan, theo nhu cầu ứng dụng mật mã thương mại, xây dựng phương án ứng dụng mật mã thương mại, quy hoạch hệ thống bảo đảm mật mã thương mại và đưa vào triển khai tổng thể trong quy hoạch an toàn hạ tầng thông tin quan trọng.

Đơn vị vận hành phải tự thực hiện hoặc ủy thác cơ quan kiểm định mật mã thương mại tiến hành đánh giá an toàn ứng dụng mật mã thương mại đối với phương án ứng dụng mật mã thương mại. Phương án ứng dụng mật mã thương mại không đạt đánh giá an toàn ứng dụng mật mã thương mại thì không được dùng làm căn cứ xây dựng hệ thống bảo đảm mật mã thương mại.

Điều 12 Ở giai đoạn xây dựng hạ tầng thông tin quan trọng, đơn vị vận hành phải tổ chức thực hiện theo phương án ứng dụng mật mã thương mại đã đạt đánh giá an toàn ứng dụng mật mã thương mại, triển khai biện pháp bảo vệ an toàn mật mã thương mại và xây dựng hệ thống bảo đảm mật mã thương mại. Trong quá trình xây dựng, nếu cần điều chỉnh phương án ứng dụng mật mã thương mại, phải thực hiện lại đánh giá an toàn ứng dụng mật mã thương mại; chỉ sau khi đánh giá đạt yêu cầu mới được tiếp tục xây dựng theo phương án ứng dụng mật mã thương mại đã điều chỉnh.

Trước khi cơ sở hạ tầng thông tin trọng yếu vận hành, đơn vị vận hành phải tự mình hoặc ủy thác cho tổ chức kiểm định mật mã thương mại thực hiện đánh giá an toàn ứng dụng mật mã thương mại. Nếu cơ sở hạ tầng thông tin trọng yếu không đạt đánh giá an toàn ứng dụng mật mã thương mại, đơn vị vận hành phải tiến hành cải tạo; trong thời gian cải tạo không được đưa vào vận hành.

Điều 13 Sau khi cơ sở hạ tầng thông tin trọng yếu được xây dựng xong và đưa vào vận hành, đơn vị vận hành phải tự mình hoặc ủy thác cho tổ chức kiểm định mật mã thương mại thực hiện đánh giá an toàn ứng dụng mật mã thương mại ít nhất mỗi năm một lần, bảo đảm sử dụng đúng mật mã thương mại và hệ thống bảo đảm mật mã thương mại của cơ sở hạ tầng thông tin trọng yếu vận hành hiệu quả. Nếu cơ sở hạ tầng thông tin trọng yếu không đạt đánh giá an toàn ứng dụng mật mã thương mại, đơn vị vận hành phải tiến hành cải tạo và trong thời gian cải tạo phải áp dụng các biện pháp cần thiết để bảo đảm an toàn vận hành của cơ sở hạ tầng thông tin trọng yếu.

Điều 14 Đối với cơ sở hạ tầng thông tin trọng yếu đang trong quá trình xây dựng trước khi Quy định này có hiệu lực, đơn vị vận hành phải tăng cường lập và luận chứng phương án ứng dụng mật mã thương mại, xây dựng hoàn thiện hệ thống bảo đảm mật mã thương mại, đồng thời thực hiện đánh giá an toàn ứng dụng mật mã thương mại theo Điều 12 của Quy định này.

Đối với cơ sở hạ tầng thông tin trọng yếu đã đưa vào vận hành trước khi Quy định này có hiệu lực, đơn vị vận hành phải thực hiện đánh giá an toàn ứng dụng mật mã thương mại theo Điều 13 của Quy định này.

Điều 15 Việc thực hiện đánh giá an toàn ứng dụng mật mã thương mại đối với cơ sở hạ tầng thông tin trọng yếu phải tuân thủ các quy định liên quan của "Biện pháp quản lý đánh giá an toàn ứng dụng mật mã thương mại".

Việc đánh giá an toàn ứng dụng mật mã thương mại đối với cơ sở hạ tầng thông tin quan trọng cần được tăng cường kết nối với hoạt động kiểm tra, đánh giá an toàn cơ sở hạ tầng thông tin quan trọng và đánh giá cấp độ an ninh mạng để tránh đánh giá, kiểm tra trùng lặp.

Điều 16 Cơ quan quản lý mật mã quốc gia chịu trách nhiệm xây dựng và quản lý hạ tầng quản lý an toàn vận hành mật mã thương mại của cơ sở hạ tầng thông tin quan trọng quốc gia, điều phối các cơ quan bảo vệ xây dựng hạ tầng quản lý an toàn vận hành mật mã thương mại của cơ sở hạ tầng thông tin quan trọng trong ngành, lĩnh vực của mình, phối hợp với cơ quan quản lý không gian mạng quốc gia và cơ quan công an thuộc Quốc vụ viện phân tích, đánh giá tình hình an toàn vận hành mật mã thương mại của cơ sở hạ tầng thông tin quan trọng, cùng phối hợp ứng phó xử lý các mối đe dọa an toàn vận hành mật mã thương mại nghiêm trọng.

Điều 17 Cơ quan quản lý mật mã cần định kỳ tổ chức kiểm tra, giám sát tình hình sử dụng mật mã thương mại đối với cơ sở hạ tầng thông tin quan trọng. Cơ quan bảo vệ cần định kỳ kiểm tra tình hình sử dụng mật mã thương mại của cơ sở hạ tầng thông tin quan trọng trong ngành, lĩnh vực của mình và đề xuất biện pháp cải tiến; khi cần thiết có thể tự thực hiện hoặc ủy thác cho cơ quan kiểm định mật mã thương mại và các tổ chức chuyên môn khác tiến hành đánh giá an toàn ứng dụng mật mã thương mại.

Đơn vị vận hành cần phối hợp với hoạt động kiểm tra, giám sát tình hình sử dụng mật mã thương mại của cơ sở hạ tầng thông tin quan trọng do cơ quan quản lý mật mã và cơ quan bảo vệ thực hiện, kịp thời khắc phục theo ý kiến kiểm tra, giám sát và báo cáo tình hình khắc phục cho cơ quan bảo vệ; cơ quan bảo vệ cần báo cáo tình hình khắc phục cho cơ quan quản lý mật mã quốc gia.

Khi triển khai kiểm tra, giám sát tình hình sử dụng mật mã thương mại của cơ sở hạ tầng thông tin quan trọng cần tăng cường phối hợp và trao đổi thông tin, tránh kiểm tra không cần thiết và kiểm tra trùng lặp chéo. Hoạt động kiểm tra, giám sát không được thu phí, không được yêu cầu đơn vị được kiểm tra, giám sát mua hoặc sử dụng sản phẩm, dịch vụ mật mã thương mại của đơn vị hoặc thương hiệu được chỉ định.

Điều 18 Cơ quan quản lý mật mã, các cơ quan liên quan, cơ quan kiểm định mật mã thương mại và nhân viên của họ có nghĩa vụ bảo mật đối với bí mật nhà nước, bí mật thương mại và quyền riêng tư cá nhân mà họ biết được trong quá trình thực hiện nhiệm vụ, không được tiết lộ hoặc cung cấp trái phép cho người khác.

Điều 19 Trường hợp đơn vị vận hành vi phạm Luật Mật mã nước Cộng hòa Nhân dân Trung Hoa, Luật An ninh mạng nước Cộng hòa Nhân dân Trung Hoa, Quy chế quản lý mật mã thương mại, Quy chế bảo vệ an ninh cơ sở hạ tầng thông tin trọng yếu và các điều khoản liên quan của Quy định này, thuộc một trong các tình huống sau đây, cơ quan quản lý mật mã ra lệnh khắc phục và cảnh cáo; trường hợp không khắc phục hoặc có tình tiết nghiêm trọng khác, phạt tiền từ 100.000 nhân dân tệ đến 1.000.000 nhân dân tệ, đối với người phụ trách trực tiếp chịu trách nhiệm phạt tiền từ 10.000 nhân dân tệ đến 100.000 nhân dân tệ:

(1) Không sử dụng mật mã thương mại theo yêu cầu để bảo vệ cơ sở hạ tầng thông tin trọng yếu, không đồng bộ quy hoạch, đồng bộ xây dựng, đồng bộ vận hành hệ thống bảo đảm mật mã thương mại;

(2) Sản phẩm, dịch vụ mật mã thương mại mà cơ sở hạ tầng thông tin trọng yếu sử dụng chưa qua kiểm định, chứng nhận đạt yêu cầu;

(3) Thuật toán mật mã, giao thức mật mã, cơ chế quản lý khóa và các công nghệ mật mã thương mại khác mà cơ sở hạ tầng thông tin trọng yếu sử dụng chưa được cơ quan quản lý mật mã quốc gia thẩm tra, giám định thông qua;

(4) Trong giai đoạn quy hoạch cơ sở hạ tầng thông tin trọng yếu, chưa xây dựng phương án ứng dụng mật mã thương mại hoặc chưa thực hiện đánh giá an toàn ứng dụng mật mã thương mại đối với phương án ứng dụng mật mã thương mại;

(5) Trong giai đoạn xây dựng cơ sở hạ tầng thông tin trọng yếu, chưa xây dựng hệ thống bảo đảm mật mã thương mại theo phương án ứng dụng mật mã thương mại đã thông qua đánh giá an toàn ứng dụng mật mã thương mại;

(6) Trước khi cơ sở hạ tầng thông tin trọng yếu đưa vào vận hành, chưa thực hiện đánh giá an toàn ứng dụng mật mã thương mại hoặc chưa thông qua đánh giá an toàn ứng dụng mật mã thương mại và chưa tiến hành cải tạo;

(7) Sau khi cơ sở hạ tầng thông tin trọng yếu xây dựng xong và vận hành, chưa định kỳ thực hiện đánh giá an toàn ứng dụng mật mã thương mại hoặc chưa thông qua đánh giá an toàn ứng dụng mật mã thương mại được thực hiện định kỳ và chưa tiến hành cải tạo.

Điều 20 Người vận hành vi phạm "Luật Mật mã nước Cộng hòa Nhân dân Trung Hoa", "Luật An ninh mạng nước Cộng hòa Nhân dân Trung Hoa", "Quy chế quản lý mật mã thương mại", "Quy chế bảo vệ an ninh hạ tầng thông tin quan trọng" và Điều 9 của Quy định này, sử dụng sản phẩm hoặc dịch vụ mạng liên quan đến mật mã thương mại chưa qua thẩm định an ninh hoặc chưa đạt thẩm định an ninh, sẽ bị cơ quan chủ quản có thẩm quyền ra lệnh ngừng sử dụng và phạt tiền từ 1 đến 10 lần giá trị mua sắm; người phụ trách trực tiếp và những người chịu trách nhiệm trực tiếp khác bị phạt từ 10.000 đến 100.000 nhân dân tệ.

Điều 21 Người vận hành vi phạm "Luật Mật mã nước Cộng hòa Nhân dân Trung Hoa", "Luật An ninh mạng nước Cộng hòa Nhân dân Trung Hoa", "Quy chế quản lý mật mã thương mại", "Quy chế bảo vệ an ninh hạ tầng thông tin quan trọng" và Điều 17 của Quy định này, không có lý do chính đáng mà từ chối tiếp nhận, không phối hợp hoặc can thiệp, cản trở hoạt động giám sát, quản lý mật mã thương mại của cơ quan quản lý mật mã hoặc các cơ quan có thẩm quyền khác, sẽ bị cơ quan quản lý mật mã hoặc cơ quan có thẩm quyền ra lệnh sửa chữa và cảnh cáo; nếu không sửa chữa hoặc có tình tiết nghiêm trọng khác, bị phạt từ 50.000 đến 500.000 nhân dân tệ, người phụ trách trực tiếp và những người chịu trách nhiệm trực tiếp khác bị phạt từ 10.000 đến 100.000 nhân dân tệ; nếu tình tiết đặc biệt nghiêm trọng, bị ra lệnh đình chỉ kinh doanh để chấn chỉnh.

Điều 22 Người vận hành vi phạm Quy định này, thuộc một trong các trường hợp sau đây, sẽ bị cơ quan quản lý mật mã hoặc cơ quan có thẩm quyền căn cứ theo trách nhiệm ra lệnh sửa chữa:

(1) Không báo cáo theo yêu cầu về tình hình sử dụng mật mã thương mại và kết quả đánh giá an ninh ứng dụng mật mã thương mại của hạ tầng thông tin quan trọng trong năm trước;

(2) Không xây dựng quy chế quản lý sử dụng mật mã thương mại cho hạ tầng thông tin quan trọng;

(3) Không bố trí nhân viên quản lý khóa, nhân viên vận hành mật mã, nhân viên kiểm toán an ninh mật mã theo yêu cầu;

(4) Không bảo đảm kinh phí cho việc sử dụng mật mã thương mại và đánh giá an ninh ứng dụng của hạ tầng thông tin quan trọng.

Điều 23 Nhân viên thực hiện công tác giám sát, quản lý việc sử dụng mật mã thương mại của hạ tầng thông tin quan trọng có hành vi lạm quyền, bỏ bê nhiệm vụ, mưu lợi riêng, hoặc tiết lộ, cung cấp trái phép cho người khác bí mật thương mại, quyền riêng tư cá nhân, thông tin người tố cáo mà mình biết được trong khi thi hành công vụ, sẽ bị xử lý kỷ luật theo quy định pháp luật.

Điều 24 Việc quản lý sử dụng mật mã thương mại đối với cơ sở hạ tầng thông tin quan trọng thuộc hệ thống thông tin chính phủ quốc gia, ngoài việc tuân thủ các quy định này, còn phải thực hiện theo các yêu cầu liên quan của "Biện pháp quản lý xây dựng dự án thông tin hóa chính phủ quốc gia" (Quốc bạn phát [2019] số 57).

Điều 25 Quy định này có hiệu lực từ ngày 1 tháng 8 năm 2025.

Nguồn: Mạng tin tức Trung Quốc