中国 重要情報インフラにおける商用暗号の使用管理に関する規定 （2025.06.11）

こんにちは、丸山満彦です。

2025.06.11に国家暗号管理局、国家インターネット情報弁公室、中華人民共和国公安部で重要情報インフラにおける商用暗号の使用管理に関する規定が決定され、2025年8月1日からの適用となりますね...

中国は2019年に制定された暗号法や、商用暗号管理条例に基づいて、重要インフラ等において商用暗号を適切に利用することが義務付けられているものの、詳細に規定されていない部分もあり、運用が適切に行われていない可能性もあるため、サイバー攻撃の増加等を踏まえて、詳細な運用規定を定めたものと思われます。当然ですが、中国側でも地政学リスクの高まりを感じているのでしょうね...

罰則も具体的に定められていますね...

● 中央网络安全和信息化委员会办公室 (Cyberspace Administration of China: CAC)

・2025.07.01 关键信息基础设施商用密码使用管理规定

关键信息基础设施商用密码使用管理规定	重要情報インフラの商用暗号の使用に関する管理規定
第一条　为规范关键信息基础设施商用密码使用，保护关键信息基础设施安全，根据《中华人民共和国密码法》、《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》、《商用密码管理条例》和《关键信息基础设施安全保护条例》、《网络数据安全管理条例》等有关法律、行政法规，制定本规定。	第1条　重要情報インフラの商用暗号の使用を規範化し、重要情報インフラの安全を確保するため、「中華人民共和国暗号法」、「中華人民共和国サイバーセキュリティ法」、「中華人民共和国データセキュリティ法」、「中華人民共和国個人情報保護法」、「商用暗号管理条例」、「重要情報インフラのセキュリティ保護に関する条例」、「ネットワークデータセキュリティ管理条例」などの関連法規に基づき、本規定を制定する。
第二条　依据《中华人民共和国网络安全法》、《关键信息基础设施安全保护条例》等法律、行政法规和国家有关规定认定的关键信息基础设施的商用密码使用管理，适用本规定。	第2条　本規定は、「中華人民共和国ネットワークセキュリティ法」、「重要情報インフラのセキュリティ保護に関する規則」などの法律、行政法規、および国の関連規定により認定された重要情報インフラの商用暗号の使用管理に適用される。
第三条　国家密码管理部门会同国家网信部门、国务院公安部门负责规划、指导和监督全国的关键信息基础设施商用密码使用管理工作，建立关键信息基础设施商用密码使用管理信息共享机制。	第3条　国家暗号管理部門は、国家ネット情報部門、国務院公安部門と協力し、全国における重要情報インフラの商用暗号の使用管理に関する計画、指導、監督を行い、重要情報インフラの商用暗号の使用管理に関する情報共有メカニズムを構築する。
县级以上地方各级密码管理部门会同网信部门、公安机关负责指导和监督本行政区域的关键信息基础设施商用密码使用管理工作。	県級以上の地方各級暗号管理部門は、ネット情報部門、公安機関と協力し、管轄区域における重要情報インフラの商用暗号の使用管理に関する指導、監督を行う。
第四条　关键信息基础设施保护工作部门（以下简称保护工作部门）在职责范围内负责监督管理本行业、本领域关键信息基础设施商用密码使用工作，单独编制本行业、本领域商用密码使用规划或者纳入本行业、本领域的关键信息基础设施安全规划并组织实施，指导本行业、本领域关键信息基础设施运营者（以下简称运营者）开展商用密码相关制度、人员、经费等保障工作。	第4条 重要情報インフラ保護業務部門（以下「保護業務部門」という）は、その職務の範囲内で、その業界、分野における重要情報インフラの商用暗号の使用を監督管理し、その業界、分野における商用暗号の使用計画を単独で策定するか、その業界、分野における重要情報インフラのセキュリティ計画に組み込み、実施し、その業界、分野における重要情報インフラの運営者（以下「運営者」という）に対して、商用暗号に関する制度、人員、経費などの確保に関する指導を行う。
保护工作部门应当于每年3月31日前向国家密码管理部门、国家网信部门、国务院公安部门报告上一年度本行业、本领域关键信息基础设施商用密码使用管理情况。	保護業務部門は、毎年3月31日までに、国家暗号管理部門、国家ネット情報部門、国務院公安部門に対し、前年度における自業界、自分野における重要情報インフラの商用暗号の使用管理状況について報告しなければならない。
关键信息基础设施发生涉及商用密码的重大网络安全事件或者发现涉及商用密码的重大网络安全威胁时，保护工作部门应当及时向国家密码管理部门、国家网信部门、国务院公安部门报告，指导运营者开展应急处置，必要时开展商用密码应用安全性评估。	重要な情報インフラにおいて、商用暗号に関する重大なネットワークセキュリティ事件が発生した場合、または商用暗号に関する重大なネットワークセキュリティの脅威が発見された場合、保護業務部門は、国家暗号管理部門、国家情報通信部門、国務院公安部門に報告し、運営者に緊急対応を指導し、必要に応じて商用暗号の適用安全性アセスメントを実施する。
第五条　运营者应当按照相关法律、行政法规和国家有关规定，遵循国家商用密码管理、网络安全等级保护、关键信息基础设施安全保护等制度要求，使用商用密码保护关键信息基础设施，同步规划、同步建设、同步运行商用密码保障系统，并定期开展商用密码应用安全性评估。	第5条 運営者は、関連する法律、行政法規、および国の関連規定に従い、国の商用暗号管理、ネットワークセキュリティの保護レベル、重要情報インフラのセキュリティ保護などの制度上の要件を遵守し、商用暗号を使用して重要情報インフラを保護し、商用暗号保障システムの同時計画、同時構築、同時運用を行い、商用暗号の適用に関するセキュリティ評価を定期的に実施しなければならない。
运营者应当于每年1月31日前向所属的保护工作部门报告上一年度关键信息基础设施商用密码使用以及商用密码应用安全性评估开展情况。	事業者は、毎年1月31日までに、所属の保護業務部門に、前年度の重要情報インフラの商用暗号の使用状況および商用暗号の適用安全性アセスメントの実施状況について報告しなければならない。
第六条　运营者应当加强关键信息基础设施商用密码使用制度保障，建立商用密码使用、应急处置、重大事件报告等关键信息基础设施商用密码使用管理制度。	第6条 運営者は、重要情報基盤商用暗号の使用に関する制度上の保障を強化し、商用暗号の使用、緊急対応、重大事象の報告などに関する重要情報基盤商用暗号の使用管理制度を確立しなければならない。
运营者的主要负责人对关键信息基础设施商用密码使用管理负总责，负责关键信息基础设施商用密码使用和涉及商用密码的重大网络安全事件处置工作。	運営者の主要責任者は、重要情報基盤商用暗号の使用管理について総責任を負い、重要情報基盤商用暗号の使用および商用暗号に関連する重大なネットワークセキュリティ事象の対応業務を担当する。
第七条　运营者应当加强关键信息基础设施商用密码使用人员保障，配备取得密码相关专业学历或者密码相关国家职业技能等级认定证书的专业人员分别承担密钥管理员、密码操作员等职责，配备具有安全审计专业能力的人员承担密码安全审计员职责。	第7条 運営者は、重要情報インフラの商用暗号の使用に関する人材の確保を強化し、暗号関連の専門的学歴または暗号関連の国家職業技能等級認定証を取得した専門職員を、鍵管理者、暗号操作員などの職務にそれぞれ配置し、セキュリティ監査の専門的能力を有する職員を暗号セキュリティ監査員の職務に配置しなければならない。
运营者应当对密码相关专业人员进行安全背景审查，并定期组织其参加密码相关业务技能培训，提高密码相关专业人员的商用密码使用能力。	運営者は、暗号関連の専門職員についてセキュリティに関する身元調査を実施し、定期的に暗号関連の業務技能研修に参加させ、商用暗号の使用に関する専門職員の能力の向上を図らなければならない。
第八条　运营者应当加强关键信息基础设施商用密码使用和应用安全性评估经费保障，将商用密码使用和应用安全性评估经费纳入网络安全和信息化经费安排。	第8条 事業者は、重要情報インフラの商用暗号の使用および適用に関するセキュリティアセスメントの経費確保を強化し、商用暗号の使用および適用に関するセキュリティアセスメントの経費を、ネットワークセキュリティおよび情報化に関する経費に組み込むものとする。
第九条　关键信息基础设施使用的商用密码产品、服务应当经检测认证合格，使用的密码算法、密码协议、密钥管理机制等商用密码技术应当通过国家密码管理部门审查鉴定。	第9条 重要情報インフラで使用される商用暗号製品およびサービスは、検査認証に合格したものとし、使用する暗号アルゴリズム、暗号プロトコル、鍵管理メカニズムなどの商用暗号技術は、国家暗号管理部門による審査・認定を受けるものとする。
运营者采购涉及商用密码的网络产品和服务，影响或者可能影响国家安全的，应当按照《网络安全审查办法》进行网络安全审查。	事業者は、商用暗号に関連するネットワーク製品およびサービスを購入し、国家の安全に影響を及ぼす、またはそのおそれがある場合には、「ネットワークセキュリティ審査弁法」に基づき、ネットワークセキュリティ審査を行うこと。
第十条　关键信息基础设施应当按照国家数据安全保护、个人信息保护有关要求，使用商用密码对其存储、使用、传输的核心数据、重要数据和个人信息进行保护。	第10条　重要情報インフラは、国のデータセキュリティ保護、個人情報保護に関する要求事項に従い、商用暗号を使用して、その保存、使用、伝送されるコアデータ、重要データおよび個人情報を保護すること。
第十一条　关键信息基础设施规划阶段，其运营者应当依照相关法律、行政法规和标准规范，根据商用密码应用需求，制定商用密码应用方案，规划商用密码保障系统并纳入关键信息基础设施安全规划统筹部署。	第11条　重要情報インフラの計画段階では、その運営者は、関連する法律、行政法規および標準規範に基づき、商用暗号の適用ニーズに応じて、商用暗号の適用方案を策定し、商用暗号保障システムを計画し、重要情報インフラのセキュリティ計画に統合して配置しなければならない。
运营者应当自行或者委托商用密码检测机构对商用密码应用方案进行商用密码应用安全性评估。商用密码应用方案未通过商用密码应用安全性评估的，不得作为商用密码保障系统的建设依据。	運営者は、自ら、または商用暗号検査機関に委託して、商用暗号の適用方案について、商用暗号の適用セキュリティ評価を実施しなければならない。商用暗号の適用方案が商用暗号の適用セキュリティ評価に合格しなかった場合は、商用暗号保障システムの構築の根拠とすることはできない。
第十二条　关键信息基础设施建设阶段，其运营者应当按照通过商用密码应用安全性评估的商用密码应用方案组织实施，落实商用密码安全防护措施，建设商用密码保障系统。建设过程中需要调整商用密码应用方案的，应当重新开展商用密码应用安全性评估，评估通过后方可按照调整后的商用密码应用方案继续建设。	第12条 重要情報インフラの構築段階では、その運営者は、商用暗号の適用安全性評価に合格した商用暗号適用方案に従って、商用暗号のセキュリティ保護措置を実施し、商用暗号保障システムを構築しなければならない。構築の過程で商用暗号適用方案の調整が必要な場合は、商用暗号の適用安全性評価を再度実施し、評価に合格してから、調整後の商用暗号適用方案に従って構築を継続しなければならない。
关键信息基础设施运行前，其运营者应当自行或者委托商用密码检测机构开展商用密码应用安全性评估。关键信息基础设施未通过商用密码应用安全性评估的，运营者应当进行改造，改造期间不得投入运行。	重要情報インフラの運用開始前に、その運営者は、自らまたは商用暗号検査機関に委託して、商用暗号の適用安全性アセスメントを実施しなければならない。重要情報インフラが商用暗号の適用安全性アセスメントに合格しなかった場合、運営者は改造を行い、改造期間中は運用を開始してはならない。
第十三条　关键信息基础设施建成运行后，其运营者应当自行或者委托商用密码检测机构每年至少开展一次商用密码应用安全性评估，确保关键信息基础设施商用密码的正确使用和商用密码保障系统的有效运行。关键信息基础设施未通过商用密码应用安全性评估的，运营者应当进行改造，并在改造期间采取必要措施保证关键信息基础设施运行安全。	第13条　重要情報インフラの建設および運用開始後、その運営者は、自らまたは商用暗号検査機関に委託して、少なくとも年に1回、商用暗号の適用安全性アセスメントを実施し、重要情報インフラの商用暗号の正しい使用および商用暗号保障システムの有効な運用を確保しなければならない。重要情報インフラが商用暗号適用セキュリティ評価に合格しなかった場合、運営者は改造を行い、改造期間中は重要情報インフラの安全な運用を確保するために必要な措置を講じなければならない。
第十四条　本规定施行前正在建设的关键信息基础设施，其运营者应当加强商用密码应用方案编制论证，建设完善商用密码保障系统，并按照本规定第十二条开展商用密码应用安全性评估。	第14条　本規定の施行前に建設中の重要情報インフラについては、その運営者は商用暗号適用方案の策定・検討を強化し、商用暗号保障システムの整備を行い、本規定第十二条の規定に基づき商用暗号適用セキュリティ評価を実施しなければならない。
本规定施行前已经投入运行的关键信息基础设施，其运营者应当按照本规定第十三条开展商用密码应用安全性评估。	本規定の実施前に運用が開始されていた重要情報インフラについては、その運営者は、本規定第13条に基づき、商用暗号の適用セキュリティ評価を実施しなければならない。
第十五条　开展关键信息基础设施商用密码应用安全性评估，应当符合《商用密码应用安全性评估管理办法》有关规定。	第15条　重要情報インフラの商用暗号の適用セキュリティ評価は、「商用暗号の適用セキュリティ評価管理方法」の関連規定に準拠して実施しなければならない。
关键信息基础设施商用密码应用安全性评估应当与关键信息基础设施安全检测评估、网络安全等级测评加强衔接，避免重复评估、测评。	重要情報インフラの商用暗号の適用セキュリティ評価は、重要情報インフラのセキュリティ検査評価、ネットワークセキュリティレベル評価との連携を強化し、評価、検査の重複を回避しなければならない。
第十六条　国家密码管理部门负责建设和管理国家关键信息基础设施商用密码运行安全管理基础设施，统筹保护工作部门建设本行业、本领域关键信息基础设施商用密码运行安全管理基础设施，会同国家网信部门、国务院公安部门分析研判关键信息基础设施商用密码运行安全态势，协同应对处置重大商用密码运行安全威胁。	第16条　国家暗号管理部門は、国家重要情報インフラの商用暗号運用安全管理インフラの構築および管理を担当し、保護業務担当部門が各業界、各分野における重要情報インフラの商用暗号運用安全管理インフラの構築を統括し、国家インターネット情報部門、国務院公安部門と協力して、重要情報インフラの商用暗号運用安全の状況を分析・判断し、重大な商用暗号運用安全の脅威に協調して対応し、対処する。
第十七条　密码管理部门应当定期组织开展关键信息基础设施商用密码使用情况监督检查。保护工作部门应当定期对本行业、本领域关键信息基础设施商用密码使用情况进行检查并提出改进措施，必要时可以自行或者委托商用密码检测机构等专业机构进行商用密码应用安全性评估。	第17条　暗号管理部門は、重要情報インフラの商用暗号の使用状況について、定期的に監督・検査を実施する。保護業務部門は、定期的に、自業界、自分野における重要情報インフラの商用暗号の使用状況を検査し、改善措置を提案するものとし、必要に応じて、自ら、または商用暗号検査機関などの専門機関に委託して、商用暗号の適用安全性アセスメントを実施することができる。
运营者对密码管理部门和保护工作部门开展的关键信息基础设施商用密码使用情况监督检查应当予以配合，根据监督检查意见及时进行整改并向保护工作部门报告整改情况，保护工作部门应当将整改情况向国家密码管理部门报告。	事業者は、暗号管理部門および保護業務部門が実施する重要情報インフラの商用暗号の使用状況の監督検査に協力し、監督検査の意見に基づき、速やかに改善措置を講じ、その改善状況を保護業務部門に報告するものとし、保護業務部門は、その改善状況を国家暗号管理部門に報告するものとする。
开展关键信息基础设施商用密码使用情况监督检查应当加强协同配合、信息沟通，避免不必要的检查和交叉重复检查。监督检查不得收取费用，不得要求被监督检查单位购买、使用指定单位或者指定品牌的商用密码产品、服务。	重要情報インフラの商用暗号の使用状況の監督検査を実施する際には、連携と情報共有を強化し、不必要な検査や重複検査を避けること。監督検査は、費用を徴収してはならず、監督検査の対象となる機関に対して、指定機関または指定ブランドの商用暗号製品またはサービスの購入または使用を要求してはならない。
第十八条　密码管理部门、有关部门、商用密码检测机构及其工作人员对其在履行职责中知悉的国家秘密、商业秘密和个人隐私承担保密义务，不得泄露或者非法向他人提供。	第18条 暗号管理部門、関係機関、商用暗号検査機関およびその職員は、職務遂行中に知り得た国家機密、営業秘密および個人のプライバシーについて、秘密保持義務を負い、漏えいまたは違法に他人に提供してはならない。
第十九条　运营者违反《中华人民共和国密码法》、《中华人民共和国网络安全法》、《商用密码管理条例》、《关键信息基础设施安全保护条例》和本规定有关条款，有下列情形之一的，由密码管理部门责令改正，给予警告；拒不改正或者有其他严重情节的，处10万元以上100万元以下罚款，对直接负责的主管人员处1万元以上10万元以下罚款：	第19条 運営者が「中華人民共和国暗号法」、「中華人民共和国ネットワークセキュリティ法」、「商用暗号管理条例」、「重要情報インフラのセキュリティ保護に関する条例」および本規定の関連条項に違反し、次のいずれかに該当する場合、暗号管理部門は是正を命じ、警告を与える。是正を拒否した場合またはその他の重大な事情がある場合、10万元以上100万元以下の罰金、直接責任のある管理者に1万元以上10万元以下の罰金を科す。
（一）未按照要求使用商用密码保护关键信息基础设施，同步规划、同步建设、同步运行商用密码保障系统的；	(1) 要求に従って商用暗号を使用して重要情報インフラを保護せず、商用暗号保障システムを同期して計画、建設、運用しなかった場合；
（二）关键信息基础设施使用的商用密码产品、服务未经检测认证合格的；	(2) 重要情報インフラで使用する商用暗号製品またはサービスが検査認証に合格していない場合；
（三）关键信息基础设施使用的密码算法、密码协议、密钥管理机制等商用密码技术未通过国家密码管理部门审查鉴定的；	(3) 重要情報インフラで使用する暗号アルゴリズム、暗号プロトコル、鍵管理メカニズム等の商用暗号技術が国家暗号管理部門の審査鑑定に合格していない場合；
（四）关键信息基础设施规划阶段，未制定商用密码应用方案，或者未对商用密码应用方案进行商用密码应用安全性评估的；	(4) 重要な情報インフラの計画段階で、商用暗号アプリケーションの計画を立てなかった、または商用暗号アプリケーションの商用暗号アプリケーションのセキュリティ評価を行わなかった場合。
（五）关键信息基础设施建设阶段，未按照通过商用密码应用安全性评估的商用密码应用方案建设商用密码保障系统的；	(5) 重要な情報インフラの建設段階で、商用暗号アプリケーションのセキュリティ評価に合格した商用暗号アプリケーションの計画に従って、商用暗号保障システムを構築しなかった場合。
（六）关键信息基础设施运行前，未开展商用密码应用安全性评估，或者未通过商用密码应用安全性评估且未进行改造的；	(6) 重要な情報インフラの運用開始前に、商用暗号アプリケーションのセキュリティ評価を行わなかった、または商用暗号アプリケーションのセキュリティ評価に合格しなかったにもかかわらず、改造を行わなかった場合。
（七）关键信息基础设施建成运行后，未定期开展商用密码应用安全性评估，或者未通过定期开展的商用密码应用安全性评估且未进行改造的。	(7) 重要情報インフラの建設・運用開始後、商用暗号の適用に関する定期的なセキュリティアセスメントを実施していない、または定期的な商用暗号の適用に関するセキュリティアセスメントに合格せず、改造を行っていない場合。
第二十条　运营者违反《中华人民共和国密码法》、《中华人民共和国网络安全法》、《商用密码管理条例》、《关键信息基础设施安全保护条例》和本规定第九条，使用未经安全审查或者安全审查未通过的涉及商用密码的网络产品或者服务的，由有关主管部门责令停止使用，处采购金额1倍以上10倍以下罚款；对直接负责的主管人员和其他直接责任人员处1万元以上10万元以下罚款。	第20条 運営者が『中華人民共和国暗号法』、『中華人民共和国ネットワークセキュリティ法』、『商用暗号管理条例』、『重要情報インフラセキュリティ保護条例』および本規定第九条に違反し、安全審査を受けていないまたは安全審査に合格していない商用暗号に関連するネットワーク製品またはサービスを使用した場合は、関係主管部門は使用の停止を命じ、購入金額の1倍以上10倍以下の罰金を科する。直接責任のある管理者およびその他の直接責任のある者に対して、1万元以上10万元以下の罰金を科する。
第二十一条　运营者违反《中华人民共和国密码法》、《中华人民共和国网络安全法》、《商用密码管理条例》、《关键信息基础设施安全保护条例》和本规定第十七条，无正当理由拒不接受、不配合或者干预、阻挠密码管理部门、有关部门的商用密码监督管理的，由密码管理部门、有关部门责令改正，给予警告；拒不改正或者有其他严重情节的，处5万元以上50万元以下罚款，对直接负责的主管人员和其他直接责任人员处1万元以上10万元以下罚款；情节特别严重的，责令停业整顿。	第21条 事業者が、「中華人民共和国暗号法」、「中華人民共和国ネットワークセキュリティ法」、「商用暗号管理条例」、「重要情報インフラセキュリティ保護条例」および本規定第十七条に違反し、正当な理由なく、暗号管理部門または関係機関の商用暗号監督管理を受け入れず、協力せず、または妨害、阻害した場合、暗号管理部門または関係機関は、是正を命じ、警告を与える。是正を拒否し、またはその他の重大な事情がある場合には、5万元以上50万元以下の罰金を科し、直接責任のある主管者およびその他の直接責任者に1万元以上10万元以下の罰金を科する。事情が特に重大な場合には、営業の停止を命じる。
第二十二条　运营者违反本规定，有下列情形之一的，由密码管理部门、有关部门依据职责责令改正：	第22条　事業者が本規定に違反し、次のいずれかに該当する場合には、暗号管理部門および関係部門は、その職務に基づき、是正を命じる。
（一）未按照要求报告上一年度关键信息基础设施商用密码使用以及商用密码应用安全性评估开展情况的；	(1) 前年度における重要情報インフラの商用暗号の使用状況および商用暗号の適用セキュリティ評価の実施状況について、要求どおりに報告しなかった場合。
（二）未建立关键信息基础设施商用密码使用管理制度的；	(2) 重要情報インフラの商用暗号の使用管理体制を構築しなかった場合。
（三）未按照要求配备密钥管理员、密码操作员、密码安全审计员的；	(3) 要求どおりに鍵管理者、暗号操作者、暗号セキュリティ監査員を配置しなかった場合。
（四）未保障关键信息基础设施商用密码使用和应用安全性评估经费的。	(4) 重要情報インフラの商用暗号の使用および適用セキュリティ評価に必要な経費を確保しなかった場合。
第二十三条　从事关键信息基础设施商用密码使用监督管理工作的人员滥用职权、玩忽职守、徇私舞弊，或者泄露、非法向他人提供在履行职责中知悉的商业秘密、个人隐私、举报人信息的，依法给予处分。	第23条　重要情報インフラの商用暗号の使用に関する監督管理業務に従事する者が、職権を濫用し、職務を怠り、私情に任せて不正行為を行い、または職務上知り得た営業秘密、個人プライバシー、通報者情報を漏洩し、または不正に他人に提供した場合は、法律に基づき処分される。
第二十四条　属于国家政务信息系统的关键信息基础设施的商用密码使用管理，除应当遵守本规定以外，还应当按照《国家政务信息化项目建设管理办法》（国办发〔2019〕57号）等有关规定要求执行。	第24条　国家行政情報システムに属する重要情報インフラの商用暗号の使用管理については、本規定を遵守するほか、「国家行政情報化プロジェクト建設管理方法」（国務院発〔2019〕57号）などの関連規定の要求に従って実施するものとする。
第二十五条　本规定自2025年8月1日起施行。	第25条　本規定は、2025年8月1日から施行する。