“商用密码产品品种和型号审批和进出口管理公告”解读

12月30日，国家密码管理局、商务部、海关总署发布第38号公告（“38号公告”）[1]，对《中华人民共和国密码法》（“《密码法》”）生效后的商用密码进出口管理予以规定；同时，国家密码管理局、市场监管总局发布《关于调整商用密码产品管理方式的公告(第39号)》（“39号公告”）[2]，规定《密码法》生效后的商用密码产品管理工作。上述38号公告和39号公告的发布，旨在落实《密码法》的“放管”要求，确保商用密码管理工作平稳有序衔接和过渡，对相关企业商用密码管理工作有着重大影响。我们结合《密码法》及密码制度的沿革，对上述38号公告和39号公告进行如下解读和分析。
一、38号公告：聚焦商用密码进出口管理制度
1.具体内容
《密码法》第二十八条规定商用密码进口许可清单和出口管制清单管理制度，“商务部、国家密码管理局依法对涉及国家安全、社会公共利益且具有加密保护功能的商用密码实施进口许可，对涉及国家安全、社会公共利益或者中国承担国际义务的商用密码实施出口管制。商用密码进口许可清单和出口管制清单由商务部会同国家密码管理局和海关总署制定并公布”。因此，在《密码法》生效之际，鉴于商用密码进口许可清单和出口管制清单尚未公布实施，商务部、国家密码管理局、海关总署作出以下过渡安排：
1) 在商用密码进口许可清单和出口管制清单公布实施前，商用密码进出口暂按如下许可条件和程序依法实施进出口许可管理：
从事密码产品和含有密码技术的设备进口的，按照国家密码管理局、海关总署联合发布的国密局第18号、第27号公告办理；
从事商用密码产品出口的，应当向国家密码管理局或者各省（区、市）密码管理局提出“商用密码产品出口许可”申请，办理《商用密码产品出口许可证》。
2) 在商用密码进口许可清单和出口管制清单制定完成后，将由商务部、国家密码管理局、海关总署另行发布公告，对商用密码实施进口许可和出口管制。
2. 解读：从“批准制”到“进口许可清单和出口管制清单制度”
在《密码法》生效前，我国对于商用密码进出口采取“批准制”，《商用密码管理条例》第十三条规定，“进口密码产品以及含有密码技术的设备或者出口商用密码产品，必须报经国家密码管理机构批准。任何单位或者个人不得销售境外的密码产品。”上文国密局第18号公告、第27号公告，对《密码产品和含有密码技术的设备进口管理目录》进行公告，并对目录所列商品实行《密码产品和含有密码技术的设备进口许可证》（“密码进口许可证”）管理。根据18号公告，即使暂未列入目录的，进口单位知道或者应当知道其所进口的商品含有密码技术，也应当申领密码进口许可证。
随着《密码法》的生效，“进口许可清单和出口管制清单制度”取代“批准制”，仅对涉及国家安全、社会公共利益且具有加密保护功能的商用密码等实施进口许可清单、出口管制清单管理[3]。而且，大众消费类产品所采用的商用密码不实行进口许可和出口管制制度[4]。值此《密码法》生效之际，由于商用密码进口许可清单和出口管制清单尚未公布实施，还不能真正落实进口许可清单与出口管制清单管理制度，因此主管机构仍依照“批准制”从事密码产品和含有密码技术的设备进口管理。
二、39号公告：聚焦商用密码产品管理制度
1. 具体内容
根据39号公告，我国取消“商用密码产品品种和型号审批”，并建立国家统一推行的商用密码认证制度，具体如下：
1) 自2020年1月1日起，国家密码管理局不再受理商用密码产品品种和型号申请，停止发放《商用密码产品型号证书》。自2020年7月1日起，已发放的《商用密码产品型号证书》自动失效；
2) 市场监管总局会同国家密码管理局另行制定发布国推商用密码认证的产品目录、认证规则和有关实施要求。自认证规则实施之日起，商用密码从业单位可自愿向具备资质的商用密码认证机构提交认证申请。对于有效期内的《商用密码产品型号证书》，持证单位可于2020年6月30日前，自愿申请转换国推商用密码产品认证证书，经认证机构审核符合认证要求后，直接换发认证证书，认证证书有效期与原《商用密码产品型号证书》有效期保持一致；
3) 对于尚未完成商用密码产品品种和型号审批的，原审批申请单位可于2020年6月30日前，自愿转为认证申请；审批期间已经开展的审查及检测，认证机构不再重复审查、检测。
2. 解读：从“审批制”到“检测认证制”
随着《密码法》的出台，我国商用密码产品的管理制度经历了“审批制”到“检测认证制”的过程，具体如下：
1999年10月7日
《商用密码管理条例》颁布生效，对商用密码产品的科研、生产、销售和使用实行专控管理；
2017年9月22日
国务院发布《关于取消一批行政许可事项的决定》（国发〔2017〕46 号），取消了国家密码管理局负责实施的商用密码产品生产单位审批、商用密码产品销售单位许可、外商投资企业使用境外密码产品审批、境外组织和个人在华使用密码产品或者含有密码技术的设备审批4项行政许可事项；
2017年10月11日
国家密码管理局发布《关于做好商用密码产品生产单位审批等4项行政许可取消后相关管理政策衔接工作的通知》（国密局字〔2017〕336号），生产、销售的商用密码产品仍应当依法办理《商用密码产品型号证书》，并且对商用密码产品销售企业继续实施商用密码产品销售登记备案制度；
2017年12月1日
国家密码管理局发布《关于废止和修改部分管理规定的决定》，对《商用密码产品销售管理规定》、《商用密码产品使用管理规定》和《境外组织和个人在华使用密码产品管理办法》三部管理规定予以废止，对《商用密码科研管理规定》、《商用密码产品生产管理规定》和《电子认证服务密码管理办法》三部管理规定的部分条款予以修订；
2019年10月26日
全国人大常委发布《密码法》，公民、法人和其他组织可以依法使用商用密码保护网络与信息安全，并推进商用密码检测认证体系建设。
值得提示的是，在《密码法》体系下，商用密码从业单位进行商用密码检测认证采取自愿方式，仅对于“涉及国家安全、国计民生、社会公共利益的商用密码产品”才实行强制检测、认证。该等强制检测、认证也与《网络安全法》的网络关键设备和网络安全专用产品制度有效衔接，适用《网络安全法》的有关规定，避免重复检测认证[5]。
综上，39号公告明确取消了“商用密码产品品种和型号审批”，并规定商用密码产品品种和型号审批与认证制度的衔接，有利于进一步落实《密码法》的“放管”要求，促进国家统一推行的商用密码认证制度的建立。
随着《密码法》正式生效实施，相关配套落地文件也会逐一出台，我们也会持续关注《密码法》的立法活动和执法实践，为企业合规管理工作提供有益帮助。
[注]
[1] 国家密码管理局：
https://mp.weixin.qq.com/s/fRDwlk7uL6hMbiPJ4QRYUA，访问时间：2019年12月31日。
[2] 国家密码管理局：
https://mp.weixin.qq.com/s/rUPHJsdzaS8TexFywVH5Uw，访问时间：2019年12月31日。
[3]《密码法》第二十八条。
[4]《密码法》第二十八条。
[5]《密码法》第二十六条，“涉及国家安全、国计民生、社会公共利益的商用密码产品，应当依法列入网络关键设备和网络安全专用产品目录，由具备资格的机构检测认证合格后，方可销售或者提供。商用密码产品检测认证适用《中华人民共和国网络安全法》的有关规定，避免重复检测认证。商用密码服务使用网络关键设备和网络安全专用产品的，应当经商用密码认证机构对该商用密码服务认证合格。”