商用密码产品认证目录发布 推动行业升级与市场监管

引言

随着信息化时代的深入发展，密码技术作为保障网络与信息安全的核心手段，其重要性日益凸显。商用密码广泛应用于金融、能源、通信、交通等关键领域，直接关系到国家安全和公共利益。为进一步规范商用密码产品市场，促进产业高质量发展，国家密码管理局会同相关部门发布了《商用密码产品认证目录》（以下简称《目录》）。这一重要举措标志着我国商用密码产品管理进入新阶段，对于推动行业升级、强化市场监管、保障商用密码产品生产质量具有深远意义。

一、政策背景：从行政许可到认证管理

长期以来，我国对商用密码产品实行严格的市场准入制度。2019年《中华人民共和国密码法》颁布实施，明确了商用密码的内涵、管理原则和应用要求，为商用密码产业发展提供了法律保障。此后，国家密码管理局逐步推进商用密码产品管理方式改革，将原有的行政许可转变为基于认证的市场化监管模式。2020年，国家市场监督管理总局与国家密码管理局联合发布《关于调整商用密码产品管理方式的公告》，决定对商用密码产品实施认证管理，并第一批发布了《商用密码产品认证目录》。

《目录》的发布是落实《密码法》和“放管服”改革要求的具体行动，旨在通过科学、规范的认证体系，引导企业提升产品质量，激发市场活力，同时确保国家安全和公共利益不受损害。

二、《目录》主要内容与认证规则

《商用密码产品认证目录》首批纳入了22类商用密码产品，涵盖了密码芯片、密码板卡、密码整机、密码系统等多个层次。具体包括：智能密码钥匙、动态令牌、密码机、密码卡、VPN产品、安全认证网关、数字证书认证系统、密码管理系统等。这些产品都是涉及国家安全、国计民生的重要领域，其安全性、可靠性和合规性至关重要。

根据认证规则，进入目录的产品必须通过国家密码管理局授权的认证机构按照统一标准进行检测和认证。认证机构将对产品的密码算法、密钥管理、安全功能、硬件设计等方面进行严格测试，确保其符合相关国家标准和密码行业标准。通过认证的产品将获得商用密码产品认证证书，并允许在市场中销售和使用。

《目录》并非一成不变，而是根据技术发展和市场需求进行动态调整。国家密码管理局将定期评估目录内容，适时增补新的产品类别，淘汰落后产品，保持目录的先进性和适用性。

三、对行业升级的推动作用

1. 促进技术创新与产品优化

认证目录的实施，提高了商用密码产品的技术门槛，促使企业加大研发投入，采用更先进的密码算法和安全技术。为了通过认证，企业必须不断优化产品设计，提升产品的安全性、性能和可靠性。这将带动整个行业的技术进步，推动商用密码产品向更高层次发展。

1. 引导产业健康有序发展

通过认证制度，可以淘汰不符合安全要求、质量低劣的产品，避免“劣币驱逐良币”现象。规范的认证体系有助于建立公平竞争的市场环境，鼓励企业通过技术创新和质量提升来赢得市场，从而引导产业健康、有序发展。

1. 增强企业市场竞争力

获得商用密码产品认证证书，意味着产品符合国家标准和监管要求，这将成为企业参与市场竞争的重要资质。特别是在政府采购、关键行业应用中，认证证书往往是投标的必备条件。因此，认证目录的实施有助于提升获证企业的市场信誉和竞争力，推动企业做大做强。

1. 促进产业链协同发展

商用密码产品认证涉及芯片设计、软件研发、系统集成等多个环节，认证要求的统一将促进产业链上下游企业的协同合作，形成从密码算法、芯片到整机系统的完整产业生态。这有助于提升我国商用密码产业的整体实力，保障供应链安全。

四、对市场监管的强化作用

1. 明确监管依据

《目录》及配套认证规则的发布，为监管部门提供了明确、具体的监管依据。监管部门可以据此对商用密码产品进行监督检查，依法查处未经认证或不符合认证要求的产品，维护市场秩序。

1. 实现全流程监管

认证管理覆盖了产品研发、生产、销售、使用等全生命周期。通过认证机构的检测和后续监督，可以确保产品持续符合标准要求。一旦发现质量问题或安全隐患，认证机构可以暂停或撤销证书，并向监管部门报告，实现快速响应和有效处置。

1. 提升监管效率

将事前行政许可转变为事后认证监管，既减轻了企业负担，又使监管部门能够集中力量进行事中事后监管或必要的事前监管。认证机构的专业化运作，也提高了监管的科学性和效率。

1. 促进社会共治

认证结果向社会公开，接受公众监督。用户可以查询产品认证信息，选择合规产品。行业协会、媒体和消费者等社会力量也可以参与监督，形成政府监管、企业自律、社会监督的多元共治格局。

五、商用密码产品生产的新要求

对于商用密码产品生产企业而言，《目录》的发布提出了新的要求：

1. 必须确保产品通过认证

企业生产列入《目录》的产品，必须委托具备资质的认证机构进行认证，获得认证证书后方可出厂销售。未通过认证的产品不得生产、销售。

1. 建立完善的质量管理体系

企业应按照认证要求，建立并运行质量管理体系，对原材料采购、生产过程、成品检验等环节进行严格控制，确保产品一致性和稳定性。要保存相关记录，以备监督检查。

1. 持续进行合规性维护

获证后，企业仍需持续关注标准变化和认证要求，确保产品持续符合要求。对于产品升级或变更，可能需要重新认证或申请变更。还要接受认证机构的定期监督审核。

1. 加强供应链安全管理

商用密码产品的安全性依赖于整个供应链。企业应对供应商进行严格管理，确保外购的密码芯片、软件组件等符合安全要求，防止供应链引入风险。

六、企业应对策略与建议

面对新的认证要求，商用密码产品生产企业应积极应对：

• 及早规划：梳理自身产品线，确定需要认证的产品，制定认证计划，合理安排时间和资源。
• 加大研发投入：提升产品技术含量，确保符合认证标准。特别是要关注密码算法、密钥管理等核心安全要求。
• 合作专业机构：与有经验的检测认证机构合作，提前进行预测试和差距分析，提高认证通过率。
• 全员参与：认证工作不仅是质检部门的事，需要研发、生产、采购、销售等部门协同配合，全员参与。
• 持续改进：将认证要求融入日常管理，建立长效机制，持续提升产品质量和安全水平。

七、挑战与展望

尽管《目录》的发布对行业升级和市场监管具有积极意义，但在实施过程中也可能面临一些挑战：认证成本可能给中小企业带来压力；新技术、新应用不断涌现，目录的动态调整需及时跟上；国际互认方面还需进一步推进，以助力企业开拓海外市场。

随着密码技术的演进和应用场景的拓展，商用密码产品认证目录将不断完善，认证体系将更加科学、高效。国家将继续加强商用密码领域的顶层设计，推动立法、标准、检测、认证等环节协同发展，营造有利于产业创新的政策环境。将积极参与国际密码标准制定，推动认证结果国际互认，提升我国商用密码产业的国际竞争力。

《商用密码产品认证目录》的发布是我国商用密码管理法治化、科学化的重要里程碑。它既为行业升级指明了方向，也为市场监管提供了有力抓手。对于商用密码产品生产企业来说，这既是挑战，更是机遇。唯有主动适应监管要求，不断提升产品安全性和质量，才能在激烈的市场竞争中立于不败之地，为我国网络空间安全贡献力量。相信在政府、企业和社会各界的共同努力下，我国商用密码产业必将迎来更加规范、繁荣的明天。