近年来，我国的科技水平不断提升，密码技术水平也开始进入国际前列，伴随着我国各种有关防扩散义务的政策与措施，国家对密码技术出口的管控措施也开始逐步落实。
2020年最后一天12月31日，商务部和海关总署联合发布了2020年第75号公告（简称“75号文”），对《两用物项和技术进出口许可证管理目录》（简称“《两用物项目录》”）进行了调整；在《两用物项目录》中明确增加了商用密码进口许可清单和商用密码管制清单。该《两用物项目录》已经于2021年1月1日起正式实施。
此次在《两用物项目录》中明确增加了商用密码出口管制清单，标志着商用密码被正式纳入了《出口管制法》的出口管制范围。呼应于2020年陆续出台的《密码法》《出口管制法》以及新修订的《技术进出口管理条例》（简称“《进出口条例》”）和目前仍处于征求意见中的《商用密码管理条例（修订草案征求意见稿）》（简称“《管理条例（草案意见稿）》”），我国较为全面的商用密码进出口监管体系的框架已经初步形成。
随着商用密码出口监管体系的建立和完善，中国企业特别是互联网、金融以及其他高科技企业在开展海外业务或进行出口时，应对商用密码出口的合规问题予以重点关注，及时根据相关法律法规进行内部筛查、关注执法动态、梳理并调整商用密码出口及使用策略并建立完善的内部合规制度。此外，应当注意的是，对于国内的外商投资企业而言，在与境外母公司分享密码技术和产品时也需要注意中国法下的合规问题，以规避相关法律风险。
一、商用密码出口监管相关法规体系
目前我国与商用密码出口监管相关的法律法规主要包括《密码法》《出口管制法》以及《技术进出口管理条例》。其中，《密码法》总括性地对商用密码的出口问题做出了规定，《出口管制法》和《技术进出口管理条例》则分别从出口管制和技术禁限管理制度两个角度出发对商用密码出口问题做出了规定。
（一）《密码法》对商用密码出口问题的规定
2019年10月26日，全国人大常委会审议通过了《密码法》，并于2020年1月1日起施行。《密码法》是密码领域第一部综合性的法律，该法的出台填补了密码领域内法律的空白，其中安排了专门章节对于商用密码相关问题做出了规定，首次以法律形式确立了涉及国家安全、社会公共利益且具有加密保护功能的商用密码受到出口管制的制度，并明确了由国务院商务主管部门、国家密码管理部门和海关总署作为管制清单的制定及发布主体[1]。
在《密码法》出台之前，商用密码进出口问题主要通过1999年10月发布生效的《商用密码管理条例》（简称“《管理条例》”）以及国家密码管理局（简称“国密局”）和海关总署联合于2009年12月发布的18号公告（简称“18号文”）和2013年12月发布的27号公告（简称“27号文”）中的《密码产品和含有密码技术的设备进口管理目录》等相关规章实施监管，18号文和27号文仅对商用密码的进口管理做出了具体规定。
值得注意的是，商务部、国密局以及海关总署联合于2020年11月26日发布的2020年第63号公告《关于发布商用密码进口许可清单、出口管制清单和相关管理措施的公告》（简称“63号文”）中，已经公布了《商用密码进口许可清单》和《商用密码出口管制清单》。该规定也已经于2021年1月1日起正式实施。厘清63号文与75号文之间的关系，对于企业实操中合规体系和流程的建立十分重要。
在此前的规定中，涉及商用密码的进出口需由国密局批准[2]，而按照《密码法》规定，在63号文生效后，相关的申请、批准手续将转由商务部负责，但在申请的审查过程中，国密局依旧承担配合商务部的职责，商务部、国密局及其他有关部门的分工协调还需在后续的实践中进一步明确[3]。此外，2020年8月发布的《管理条例（草案意见稿）》也安排专门章节对于商用密码的出口问题进行了规定，明确了属于《商用密码出口管制清单》的商用密码出口的制度以及申请、审查、报关等具体规定[4]。
（二）《出口管制法》对属于两用物项的商用密码的出口问题的规定
如前所述，目前涉及商用密码出口的环节中，主要通过《出口管制法》和《进出口条例》两套体系分别进行具体规制。其中，《出口管制法》从出口管制的角度对属于两用物项的商用密码的出口作出了规制。
《出口管制法》于2020年10月26日由人大常委会审议通过，2020年12月1日正式生效，其立法的根本目的在于维护国家安全和利益，对涉及军民两用品或军品等物项采取禁止或限制性措施。《出口管制法》覆盖了此前有关核、导弹、生物、化学等军民两用品以及军品等管制物项的行政法规，除《军品出口管理清单》外，其他已有清单中的项已列入《两用物项目录》中。
针对商用密码，63号文首次公布了《商用密码进口许可清单》和《商用密码出口管制清单》，同时废止了此前的国密局18号文、27号文，首次将商用密码的监管范围由进口扩大至进出口，并对目录中的商用密码进行了进一步的细化，将商用密码出口问题纳入了《出口管制法》体系。应当注意的是，后续在75号文所涉及的《两用物项目录》中调整的内容实际与上述63号文中公布的清单内容一致，实质上可以理解为针对此前2020年1月1日生效的旧版《两用物项目录》内容的更新，这也是对《出口管制法》下商用密码出口管制制度的形式上的完善。
（三）《进出口条例》对属于禁限技术的商用密码的出口问题的规定
除《出口管制法》涉及的两用物项管制之外，在技术出口禁限管理范畴，主要以维护进出口贸易秩序为目的的《进出口条例》也在《密码法》出台后修订并将商用密码的进出口纳入了其规制的范围，商务部、科技部于2020年8月28日联合发布的2020年第38号公告（简称“38号文”）调整了《中国禁止出口限制出口技术目录》（简称“《禁限目录》”），其中增加了“密码安全技术”，具体涉及了商用密码相关技术内容。
二、两种体系下商用密码出口的具体适用和操作程序
《出口管制法》与《进出口条例》综合地对商用密码的进出口实施监管，下文将进一步地说明上述两个体系的关系与区别。
（一）商用密码出口的监管范围
在目前的框架下，《密码法》中的密码指的是采用特定变换的方法对信息等进行加密保护、安全认证的技术、产品和服务（简称“密码”）[5]，类型分为核心密码、普通密码及商用密码，其中商用密码用于保护不属于国家秘密的信息[6]。
根据上述规定并结合《两用物项目录》以及《禁限目录》分析，目前被明确列入管制范围的商用密码既包括密码机、VPN设备、安全芯片、验证设备等商用密码产品，也包括了用于研发、设计、制造、使用密码产品的技术和软件。此外，实际上还应当包括涉及商用密码的相关服务。尽管目前《两用物项目录》和《禁限目录》中均未明确列入商用密码服务相关内容，但《密码法》《出口管制法》《进出口条例》中均明确规定了服务属于其规定的范畴[7]，因此，不能排除未来在相应目录中将商用密码服务明确列入监管范围。
另外，《密码法》还明确规定了大众消费类产品所采用的商用密码不实行进口许可和出口管制制度[8]。根据国密局做出的政策解读，大众消费类产品所采用的商用密码，是指社会公众可以不受限制地通过常规零售渠道购买、供个人使用、不能轻易改变密码功能的产品或技术[9]。按照上述解读，直接面对用户端的商用密码产品及技术服务不应当属于出口受到限制的商用技术范畴。
（二）两套体系下商用密码出口的监管适用
如上文所提到的，商用密码的出口涉及《出口管制法》以及《进出口条例》两套体系，其主要的区别如下表所示：
《出口管制法》 | 《进出口条例》 | |
立法目的 | 维护国家安全和利益，履行防扩散等国际义务，加强和规范出口管制。 参见《出口管制法》第一条 | 规范技术进出口管理，维护技术进出口秩序，促进国民经济和社会发展。 参见《进出口条例》第一条 |
监管对象 | 两用物项、军品、核以及其他与维护国家安全和利益、履行防扩散等国际义务相关的货物、技术、服务等物项。 参见《出口管制法》第二条 | 从中华人民共和国境内向中华人民共和国境外，通过贸易、投资或者经济技术合作的方式转移技术的行为。 出口核技术、核两用品相关技术、监控化学品生产技术、军事技术等出口管制技术的，依照有关行政法规的规定办理。 参见《进出口条例》第二条、第四十二条 |
监管行为 | 从中华人民共和国境内向境外转移管制物项，以及中华人民共和国公民、法人和非法人组织向外国组织和个人提供管制物项。 还包括管制物项的过境、转运、通运、再出口或者从保税区、出口加工区等海关特殊监管区域和出口监管仓库、保税物流中心等保税监管场所向境外出口。 参见《出口管制法》第二条、第四十五条 | 从中华人民共和国境外向中华人民共和国境内，或者从中华人民共和国境内向中华人民共和国境外，通过贸易、投资或者经济技术合作的方式转移技术的行为，包括专利权转让、专利申请权转让、专利实施许可、技术秘密转让、技术服务和其他方式的技术转移。 参见《进出口条例》第二条 |
监管形式 | 出口管制 | 自由出口、限制出口、禁止出口 |
监管机构 | 商务部产业安全与进出口管制局 | 商务部服务贸易和商贸服务业司 |
相关清单 | 《两用物项目录》 国家实行统一的出口管制制度，通过制定管制清单、名录或者目录、实施出口许可等方式进行管理。 参见《出口管制法》第四条 | 《禁限目录》 国务院外经贸主管部门会同国务院有关部门，制定、调整并公布禁止或者限制出口的技术目录。 参见《进出口条例》第二十九条 |
法律责任 | 出口经营者未取得相关管制物项的出口经营资格从事有关管制物项出口的，给予警告，责令停止违法行为，没收违法所得，违法经营额五十万元以上的，并处违法经营额五倍以上十倍以下罚款；没有违法经营额或者违法经营额不足五十万元的，并处五十万元以上五百万元以下罚款。 出口经营者有下列行为之一的，责令停止违法行为，没收违法所得，违法经营额五十万元以上的，并处违法经营额五倍以上十倍以下罚款；没有违法经营额或者违法经营额不足五十万元的，并处五十万元以上五百万元以下罚款；情节严重的，责令停业整顿，直至吊销相关管制物项出口经营资格： （一）未经许可擅自出口管制物项； （二）超出出口许可证件规定的许可范围出口管制物项； （三）出口禁止出口的管制物项。 参见《出口管制法》第三十三条、第三十四条 | 进口或者出口属于禁止进出口的技术的，或者未经许可擅自进口或者出口属于限制进出口的技术的，依照刑法关于走私罪、非法经营罪、泄露国家秘密罪或者其他罪的规定，依法追究刑事责任；尚不够刑事处罚的，区别不同情况，依照海关法的有关规定处罚，或者由国务院外经贸主管部门给予警告，没收违法所得，处违法所得1倍以上5倍以下的罚款；国务院外经贸主管部门并可以撤销其对外贸易经营许可。 擅自超出许可的范围进口或者出口属于限制进出口的技术的，依照刑法关于非法经营罪或者其他罪的规定，依法追究刑事责任；尚不够刑事处罚的，区别不同情况，依照海关法的有关规定处罚，或者由国务院外经贸主管部门给予警告，没收违法所得，处违法所得1倍以上3倍以下的罚款；国务院外经贸主管部门并可以暂停直至撤销其对外贸易经营许可。 参见《进出口条例》第四十四条、第四十五条 |
清单内容 | 1. 系统、设备和部件：安全芯片、密码机（密码卡）、加密VPN设备、密钥管理产品、专用密码设备、量子密码设备、密码分析设备 2. 测试、检查和生产设备：密码研制生产设备、密码测试验证设备 3. 专门设计或改进用于研制、生产或使用前述密码产品的软件 4. 专门设计或改进用于研制、生产或使用前述密码产品的技术 参见75号文 | 1. 密码芯片设计和实现技术（高速密码算法、并行加密技术、密码芯片的安全设计技术、片上密码芯片（SOC）设计与实现技术、基于高速算法标准的高速芯片实现技术） 2. 量子密码技术（量子密码实现方法、量子密码的传输技术、量子密码网络、量子密码工程实现技术） 参见38号文 |
根据以上对比可知，《出口管制法》和《进出口条例》在商业密码出口的监管方面存在较为明显的区别，但也有大量的重合之处，现从以下几点出发简要分析两者的异同和适用问题。
01 在监管对象上，两种体系存在重合，对于两者重合的范围，应当受《出口管制法》的规制
《出口管制法》第二条明确了两用物项、军品、核以及其他与维护国家安全和利益、履行防扩散等国际义务相关的货物、技术、服务等物项适用于本法；而在《进出口条例》中，虽然未对其所规制的“技术”做出明确的界定，“货物”不属于其规制范畴，具体到商用密码领域，则是指不涉及商用密码产品。另外，根据其第二条第二款中列举的专利权转让、专利申请权转让、专利实施许可、技术秘密转让、技术服务等情形来看，商用密码在两个体系下均主要包含相关的技术以及服务。
随着38号文和75号文的出台，在上述两个体系下的商用密码已有明确的目录，对于涉及商用密码出口的企业而言，在大多数情况下均可以通过《禁限目录》和《两用物项目录》中罗列的具体项目确定具体的商用密码产品和技术是否属于两个体系规制的范畴。
然而，从上述两个目录的具体内容来看，仍然存在商业密码技术同时被二者均覆盖的情况。虽然目前尚未有相关的规定明确此种情况下两套体系和目录的适用问题的具体规定和解释出台，但38号文中已规定了“属于军民两用技术的，纳入出口管制管理”，《密码法》第28条第2款也规定了“大众消费类产品所采用的商用密码不实行进口许可和出口管制制度”。由此可以认为，对于《两用物项目录》范围内的商用密码产品，无论其是否包括在《禁限目录》中，应优先由《出口管制法》监管；对于不在《两用物项目录》中的商用密码产品进出口，应归由《进出口条例》管理。另一方面，无论从立法目的还是法律位阶的角度，旨在维护国家安全和利益的法律《出口管制法》也理应优先于以维护技术进出口秩序为目的的行政法规《进出口条例》。
02 在监管行为上，《出口管制法》的范围宽于《进出口条例》
《进出口条例》所监管的行为是通过贸易、投资或者经济技术合作的方式转移技术的进出口行为；而在《出口管制法》中，监管的行为包括向境外转移和提供管制物项，其中的“转移”和“提供”在范围上不限于“通过贸易、投资或者经济技术合作的方式”，还可以包括运输、过境、非经济合作等方式。可以看出，《出口管制法》所监管的行为范围要宽于《进出口条例》，管制物项以任何形式流向境外几乎都将受到《出口管制法》的监管。
03 在清单内容上，《两用物项目录》比《禁限目录》更为具体，后者更倾向于原则性规定
《两用物项目录》中具体包括了系统、设备和部件，测试、检查和生产设备，软件，技术这四大类物项。其中，系统、设备和部件具体包括安全芯片、密码机（密码卡）、加密VPN设备、密钥管理产品、专用密码设备、量子密码设备、密码分析设备，测试、检查和生产设备包括密码研制生产设备、密码测试验证设备。对于每一类物项，还明确了具体的参数特征，以加密VPN设备为例，其描述为“以IPSec/SSL VPN为主要功能的设备，且具有以下两种特征：1.含有64位以上密钥长度的对称密码算法、768位以上密钥长度的基于整数因子分解的非对称密码算法或128位以上密钥长度基于椭圆曲线的非对称密码算法；2.加密通信速率10Gbps以上。”
在38号文中调整的《禁限目录》中，新增了密码芯片设计和实现技术（高速密码算法、并行加密技术、密码芯片的安全设计技术、片上密码芯片（SOC）设计与实现技术、基于高速算法标准的高速芯片实现技术）和量子密码技术（量子密码实现方法、量子密码的传输技术、量子密码网络、量子密码工程实现技术）两大类技术。
从两个目录的规定中不难看出，《两用物项目录》的规定更为详细，实践中的操作性更强。
另外，应当注意的是，如前所述，《进出口条例》与《出口管制法》均规定了服务属于其监管范围，但在目前的两个目录中均未明确列出相关的商用密码服务，对于涉及商用密码服务时的处理方式，还需由后续相关规定或在实践操作中进一步明确，对此应当予以持续关注。
04 在相关手续方面，申请流程、审查主体均不相同
《出口管制法》和《进出口条例》对于出口经营者就被监管商用密码的出口许可的申请和审查流程的规定均不相同。
《出口管制法》 | 《进出口条例》 |
属于两用物项的商用密码的出口许可 | 属于限制出口的商用密码的技术出口许可 |
根据63号文附件二《商用密码进出口许可程序》办理。 1. 通过省级商务主管部门向商务部提出申请、填写申请表、提交文件； 2. 商务部会同国密局等有关部门进行审查； 3. 审查通过后，由商务部颁发两用物项和技术进出口许可证； 4. 进出口许可证件申领和签发程序、特殊情况处理、文件资料保存年限等参照《两用物项和技术进出口许可证管理办法》； 5. 进出口经营者应当向海关出具两用物项和技术进出口许可证，依照海关法的规定办理海关手续，并接受海关监管。海关凭商务部签发的两用物项和技术进出口许可证办理验放手续。 | 根据《进出口条例》规定按照如下程序办理。 1. 向国务院外经贸主管部门（商务部）提出申请、提交文件； 2. 商务部会同科技部进行审查，其中需经有关部门进行保密审查的，按照国家有关规定执行； 3. 申请被批准后，由商务部发给技术出口许可意向书； 4. 申请人取得技术进口许可意向书后，方可对外进行实质性谈判，签订技术出口合同； 5. 签订合同后，申请技术出口许可证，需向商务部提交： （一）技术出口许可意向书， （二）技术出口合同副本， （三）技术资料出口清单， （四）签约双方法律地位的证明文件； 6. 商务部对技术出口合同的真实性进行审查，做出是否许可的决定； 7. 许可后颁发技术出口许可证。 |
三、企业在商用密码出口合规
方面的关注重点
（一）商用密码出口合规问题的重要性
75号文的实施标志着《出口管制法》下的管制清单正式确定了属于两用物项的商用密码范围，明确了商用密码与其他物项统一作为管制物项受到出口管制法的规制。伴随着涉及出口管制的75号文以及涉及技术进出口的38号文的生效，无论是直接涉及商用密码的技术转移的技术出口行为还是未涉及技术转移而仅涉及物项的转移和提供的商用密码出口行为都将受到相应的管控。
在这一背景下，中国企业特别是涉及互联网、金融等高科技领域的企业在向海外出口、提供技术服务以及开展商业活动时，都会在商用密码的合规风险方面面临着全新的挑战。如果不能准确理解和把握商业密码出口合规问题，可能会因此导致重大法律风险。
（二）把握企业自身商用密码与《两用物项目录》和《禁限目录》的对应关系
商用密码合规问题首要应当关注企业的出口或海外业务是否会涉及受到管控的商用业务。因此，企业应当积极组织内部筛查，对于自身的产品、技术以及日常业务中使用的商用密码技术与目录进行对照，明确是否存在涉及出口管制和禁限出口的相关技术、产品、软件以及服务。再在筛查的基础上确定海外业务或出口业务方面是否会涉及此类商用密码。
（三）关注执法动态，有针对性地选择降低风险的预防措施
在规定刚刚出台的情况下，相关案例较少，有关部门的具体的执法态度和尺度仍然处于不明朗的状态。在此情况下，企业应当密切关注执法动态，特别是有关部门针对商用密码产品（例如，安全芯片、密码机等）的制造和出口商以及同行业其他企业的出口申请、批准动态，结合自身情况分析相关风险，并采取针对相应商用密码提出申请或者尽量避免产生出口行为等具体措施。
（四）建立并完善内部合规体系
为避免商用密码出口方面的合规风险，企业需要通过建立内部的合规体系以从源头上规避风险。可以考虑建立监控和管理制度，并重点关注如下问题：1）被管控的产品向海外转移时的合规；2）与海外主体合作中涉及被管控技术的转让或许可时的合规；3）加强技术资料的管理，在向海外传送技术相关信息时采用完善的加密和存储手段；4）如必须提供被管控的技术服务时应当明确约定相应技术的权属；5）及时办理相关的申请、审批手续等。
四、结语
随着相继出台、实施的《出口管制法》《密码法》、修改后的《技术进出口管理条例》和配套的38号文、75号文，以及正在征求意见的《商用密码管理条例》修订工作的推进，我国的商用密码出口管制的完整体系已经基本形成。未来势必会在此领域中继续出台一系列的落地措施并出现能够起到指导、规范作用的具体案例。作为中国企业在走出去过程中不可避免的一个环节，为了避免产生商用密码出口方面的法律风险，企业应当尽早地完善商用密码相关的合规制度，并密切关注相关的执法动态，才能为海外业务的顺利开展扫清合规障碍。
[1] 《密码法》第二十八条规定，国务院商务主管部门、国家密码管理部门依法对涉及国家安全、社会公共利益且具有加密保护功能的商用密码实施进口许可，对涉及国家安全、社会公共利益或者中国承担国际义务的商用密码实施出口管制。商用密码进口许可清单和出口管制清单由国务院商务主管部门会同国家密码管理部门和海关总署制定并公布。
大众消费类产品所采用的商用密码不实行进口许可和出口管制制度。
[2] 《管理条例》第十三条规定，进口密码产品以及含有密码技术的设备或者出口商用密码产品，必须报经国家密码管理机构批准。任何单位或者个人不得销售境外的密码产品。
[3] 63号文规定，出口《商用密码出口管制清单》所列物项和技术，应向商务部申请办理两用物项和技术出口许可证。商务部、密码管理部门、海关依法对本公告所列物项和技术的进出口活动进行监督检查。违反商用密码进口许可和出口管制有关规定，进出口商用密码的，由商务部或者海关依法予以行政处罚；构成犯罪的，依法追究刑事责任。
[4] 《管理条例（草案意见稿）》第三十一至三十四条对上述问题做出了明确规定。
[5] 《密码法》第二条规定，本法所称密码，是指采用特定变换的方法对信息等进行加密保护、安全认证的技术、产品和服务。
[6] 《密码法》第六条规定，国家对密码实行分类管理。密码分为核心密码、普通密码和商用密码。第八条规定，商用密码用于保护不属于国家秘密的信息。
[7] 《出口管制法》第二条规定，国家对两用物项、军品、核以及其他与维护国家安全和利益、履行防扩散等国际义务相关的货物、技术、服务等物项（以下统称管制物项）的出口管制，适用本法。
《进出口条例》第二条第二款规定，前款规定的行为包括专利权转让、专利申请权转让、专利实施许可、技术秘密转让、技术服务和其他方式的技术转移。
[8] 《密码法》第二十八条第二款规定，大众消费类产品所采用的商用密码不实行进口许可和出口管制制度。
[9] 参见国密局2020年4月2日发布的《密码政策问答（八十七）》https://sca.gov.cn/sca/xxgk/2020-04/02/content_1060694.shtml