导航
第一章 总则
第一条 为规范信息清静品级�；ぶ卫�，提高信息清静包管能力和水平，维护国家清静、社会稳固和公共利益，包管和增进信息化建设，凭证《中华人民共和国盘算机信息系统清静�；ぬ趵返扔泄刂绰衫�，制订本步伐 。
第二条 国家通过制订统一的信息清静品级�；ぶ卫砉娣逗褪忠毡曜�，组织公民、法人和其他组织对信息系统分品级实验清静�；�，对品级�；な虑榈氖笛榫傩屑嗍印⒅卫� 。
第三条 公安机关认真信息清静品级�；な虑榈募嗍印⒓觳椤⒅傅� 。国家保密事情部分认真品级�；な虑橹杏泄乇Ｃ苁虑榈募嗍印⒓觳椤⒅傅� 。国家密码治理部分认真品级�；な虑橹杏泄孛苈胧虑榈募嗍印⒓觳椤⒅傅� 。涉及其他职能部分统领规模的事项，由有关职能部分遵照国家执律例则的划定举行治理 。国务院信息化事情办公室及地方信息化向导小组效劳机构认真品级�；な虑榈牟糠旨湫� 。
第四条 信息系统主管部分应当遵照本步伐及相关标准规范，催促、检查、指导本行业、本部分或者外地区信息系统运营、使用单位的信息清静品级�；な虑� 。
第五条 信息系统的运营、使用单位应当遵照本步伐及其相关标准规范，推行信息清静品级�；さ囊逦窈驮鹑� 。
第二章 品级划分与�；�
第六条 国家信息清静品级�；ぜ岢肿灾鞫丁⒆灾鞅；さ脑� 。信息系统的清静�；て芳队Φ逼局ば畔⑾低吃诠仪寰病⒕媒ㄉ琛⑸缁嵘闹械闹饕�，信息系统遭到破损后对国家清静、社会秩序、公共利益以及公民、法人和其他组织的正当权益的危害水一律因素确定 。
第七条 信息系统的清静�；て芳斗治韵挛寮叮�
第一级，信息系统受到破损后，会对公民、法人和其他组织的正当权益造成损害，但不损害国家清静、社会秩序和公共利益 。
第二级，信息系统受到破损后，会对公民、法人和其他组织的正当权益爆发严重损害，或者对社会秩序和公共利益造成损害，但不损害国家清静 。
第三级，信息系统受到破损后，会对社会秩序和公共利益造成严重损害，或者对国家清静造成损害 。
第四级，信息系统受到破损后，会对社会秩序和公共利益造成特殊严重损害，或者对国家清静造成严重损害 。
第五级，信息系统受到破损后，会对国家清静造成特殊严重损害 。
第八条 信息系统运营、使用单位依据本步伐和相关手艺标准对信息系统举行�；�，国家有关信息清静羁系部分对其信息清静品级�；な虑榫傩屑嗍又卫� 。
第一级信息系统运营、使用单位应当依据国家有关治理规范和手艺标准举行�；� 。
第二级信息系统运营、使用单位应当依据国家有关治理规范和手艺标准举行�；� 。国家信息清静羁系部分对该级信息系统信息清静品级�；な虑榫傩兄傅� 。
第三级信息系统运营、使用单位应当依据国家有关治理规范和手艺标准举行�；� 。国家信息清静羁系部分对该级信息系统信息清静品级�；な虑榫傩屑嗍印⒓觳� 。
第四级信息系统运营、使用单位应当依据国家有关治理规范、手艺标准和营业专门需求举行�；� 。国家信息清静羁系部分对该级信息系统信息清静品级�；な虑榫傩星恐萍嗍印⒓觳� 。
第五级信息系统运营、使用单位应当依据国家治理规范、手艺标准和营业特殊清静需求举行�；� 。国家指定专门部分对该级信息系统信息清静品级�；な虑榫傩凶偶嗍印⒓觳� 。
第三章 品级�；さ氖笛橛胫卫�
第九条 信息系统运营、使用单位应当凭证《信息系统清静品级�；な笛橹改稀废晗甘笛槠芳侗；な虑� 。
第十条 信息系统运营、使用单位应当依据本步伐和《信息系统清静品级�；ざ吨改稀啡范ㄐ畔⑾低车那寰脖；て芳� 。有主管部分的，应当经主管部分审核批准 。
跨省或者天下统一联网运行的信息系统可以由主管部分统一确定清静�；て芳� 。
对拟确定为第四级以上信息系统的，运营、使用单位或者主管部分应当请国家信息清静�；て芳蹲移郎笪被崞郎� 。
第十一条 信息系统的清静�；て芳度范ê�，运营、使用单位应当凭证国家信息清静品级�；ぶ卫砉娣逗褪忠毡曜�，使用切合国家有关划定，知足信息系统清静�；て芳缎枨蟮男畔⑹忠詹�，开展信息系统清静建设或者改建事情 。
第十二条 在信息系统建设历程中，运营、使用单位应当凭证《盘算机信息系统清静�；て芳痘肿荚颉罚℅B17859-1999）、《信息系统清静品级�；せ疽蟆返仁忠毡曜�，参照《信息清静手艺 信息系统通用清静手艺要求》（GB/T20271-2006）、《信息清静手艺 网络基础清静手艺要求》（GB/T20270-2006）、《信息清静手艺操作系统清静手艺要求》（GB/T20272-2006）、《信息清静手艺 数据库治理系统清静手艺要求》（GB/T20273-2006）、《信息清静手艺 效劳器手艺要求》、《信息清静手艺 终端盘算机系统清静品级手艺要求》（GA/T671-2006）等手艺标准同步建设切合该品级要求的信息清静设施 。
第十三条 运营、使用单位应当参照《信息清静手艺 信息系统清静治理要求》（GB/T20269-2006）、《信息清静手艺信息系统清静工程治理要求》（GB/T20282-2006）、《信息系统清静品级�；せ疽蟆返戎卫砉娣�，制订并落实切合本系统清静�；て芳兑蟮那寰仓卫碇贫� 。
第十四条 信息系统建设完成后，运营、使用单位或者其主管部分应中选择切合本步伐划定条件的测评机构，依据《信息系统清静品级�；げ馄酪蟆返仁忠毡曜�，按期对信息系统清静品级状态开展品级测评 。第三级信息系统应当每年至少举行一次品级测评，第四级信息系统应当每半年至少举行一次品级测评，第五级信息系统应当依据特殊清静需求举行品级测评 。
信息系统运营、使用单位及其主管部分应当按期对信息系统清静状态、清静�；ぶ贫燃安椒サ穆湔嫦嘈尉傩凶圆� 。第三级信息系统应当每年至少举行一次自查，第四级信息系统应当每半年至少举行一次自查，第五级信息系统应当依据特殊清静需求举行自查 。
经测评或者自查，信息系统清静状态未抵达清静�；て芳兑蟮�，运营、使用单位应当制订计划举行整改 。
第十五条 已运营（运行）的第二级以上信息系统，应当在清静�；て芳度范ê�30日内，由其运营、使用单位到所在地设区的市级以上公安机关治理备案手续 。
新建第二级以上信息系统，应当在投入运行后30日内，由其运营、使用单位到所在地设区的市级以上公安机关治理备案手续 。
隶属于中央的在京单位，其跨省或者天下统一联网运行并由主管部分统一定级的信息系统，由主管部分向公安部治理备案手续 �？缡』蛘咛煜峦骋涣诵械男畔⑾低吃诟鞯卦诵小⒂τ玫姆种低�，应当向外地设区的市级以上公安机关备案 。
第十六条 治理信息系统清静�；て芳侗赴甘中�，应当填写《信息系统清静品级�；け赴副怼�，第三级以上信息系统应当同时提供以下质料：
（一）系统拓扑结构及说明；
（二）系统清静组织机构和治理制度；
（三）系统清静�；ど枋┥杓剖笛榧苹蛘吒慕ㄊ笛榧苹�；
（四）系统使用的信息清静产品清单及其认证、销售允许证实；
（五）测评后切合系统清静�；て芳兜氖忠占觳馄拦辣ǜ�；
（六）信息系统清静�；て芳蹲移郎笠饧�；
（七）主管部分审核批准信息系统清静�；て芳兜囊饧� 。
第十七条 信息系统备案后，公安机关应当对信息系统的备案情形举行审核，对切合品级�；ひ蟮�，应当在收到备案质料之日起的10个事情日内揭晓信息系统清静品级�；け赴钢な�；发明不切合本步伐及有关标准的，应当在收到备案质料之日起的10个事情日内通知备案单位予以纠正；发明定级禁绝的，应当在收到备案质料之日起的10个事情日内通知备案单位重新审核确定 。
运营、使用单位或者主管部分重新确定信息系统品级后，应当凭证本步伐向公安机关重新备案 。
第十八条 受理备案的公安机关应当对第三级、第四级信息系统的运营、使用单位的信息清静品级�；な虑榍樾尉傩屑觳� 。对第三级信息系统每年至少检查一次，对第四级信息系统每半年至少检查一次 。对跨省或者天下统一联网运行的信息系统的检查，应当会同其主管部分举行 。
对第五级信息系统，应当由国家指定的专门部分举行检查 。
公安机关、国家指定的专门部分应当对下列事项举行检查：
（一） 信息系统清静需求是否爆发转变，原定�；て芳妒欠褡既�；
（二） 运营、使用单位清静治理制度、步伐的落真相形；
（三） 运营、使用单位及其主管部分对信息系统清静状态的检查情形；
（四） 系统清静品级测评是否切合要求；
（五） 信息清静产品使用是否切合要求；
（六） 信息系统清静整改情形；
（七） 备案质料与运营、使用单位、信息系统的切合情形；
（八） 其他应当举行监视检查的事项 。
第十九条 信息系统运营、使用单位应当接受公安机关、国家指定的专门部分的清静监视、检查、指导，如实向公安机关、国家指定的专门部分提供下列有关信息清静�；さ男畔⒆柿霞笆菸募�
（一） 信息系统备案事项变换情形；
（二） 清静组织、职员的变换情形；
（三） 信息清静治理制度、步伐变换情形；
（四） 信息系统运行状态纪录；
（五） 运营、使用单位及主管部分按期对信息系统清静状态的检查纪录；
（六） 对信息系统开展品级测评的手艺测评报告；
（七） 信息清静产品使用的变换情形；
（八） 信息清静事务应急预案，信息清静事务应急处置惩罚效果报告；
（九） 信息系统清静建设、整改效果报告 。
第二十条 公安机关检查发明信息系统清静�；ぷ刺磺泻闲畔⑶寰财芳侗；び泄刂卫砉娣逗褪忠毡曜嫉�，应当向运营、使用单位发出整改通知 。运营、使用单位应当凭证整改通知要求，凭证治理规范和手艺标准举行整改 。整改完成后，应当将整改报告向公安机关备案 。须要时，公安机关可以对整改情形组织检查 。
第二十一条 第三级以上信息系统应中选择使用切合以下条件的信息清静产品：
（一）产品研制、生产单位是由中国公民、法人投资或者国家投资或者控股的，在中华人民共和国境内具有自力的法人资格；
（二）产品的焦点手艺、要害部件具有我国自主知识产权；
（三）产品研制、生产单位及其主要营业、手艺职员无犯法纪录；
（四）产品研制、生产单位声明没有居心留有或者设置误差、后门、木马等程序和功效；
（五）对国家清静、社会秩序、公共利益不组成危害；
（六）对已列入信息清静产品认证目录的，应当取得国家信息清静产品认证机构揭晓的认证证书 。
第二十二条 第三级以上信息系统应中选择切合下列条件的品级�；げ馄阑咕傩胁馄溃�
（一） 在中华人民共和国境内注册建设（港澳台地区除外）；
（二） 由中国公民投资、中王法人投资或者国家投资的企事业单位（港澳台地区除外）；
（三） 从事相关检测评估事情两年以上，无违法纪录；
（四） 事情职员仅限于中国公民；
（五） 法人及主要营业、手艺职员无犯法纪录；
（六） 使用的手艺装备、设施应当切合本步伐对信息清静产品的要求；
（七） 具有完整的保密治理、项目治理、质量治理、职员治理和培训教育等清静治理制度；
（八） 对国家清静、社会秩序、公共利益不组成威胁 。
第二十三条 从事信息系统清静品级测评的机构，应当推行下列义务：
（一）遵守国家有关执律例则和手艺标准，提供清静、客观、公正的检测评估效劳，包管测评的质量和效果；
（二）守旧在测评运动中知悉的国家神秘、商业神秘和小我私家隐私，提防测评危害；
（三）对测评职员举行清静保密教育，与其签署清静保密责任书，划定应当推行的清静保密义务和肩负的执法责任，并认真检查落实 。
第四章 涉及国家神秘信息系统的分级�；ぶ卫�
第二十四条 涉密信息系统应当依据国家信息清静品级�；さ幕疽�，凭证国家保密事情部分有关涉密信息系统分级�；さ闹卫砘ê褪忠毡曜�，团结系统现真相形举行�；� 。
非涉密信息系统不得处置惩罚国家神秘信息 。
第二十五条 涉密信息系统凭证所处置惩罚信息的最高密级，由低到高分为神秘、神秘、绝密三个品级 。
涉密信息系统建设使用单位应当在信息规范定密的基础上，依据涉密信息系统分级�；ぶ卫聿椒ズ凸冶Ｃ鼙曜糂MB17-2006《涉及国家神秘的盘算机信息系统分级�；な忠找蟆啡范ㄏ低称芳� 。关于包括多个清静域的涉密信息系统，各清静域可以划分确定�；て芳� 。
保密事情部分和机构应当监视指导涉密信息系统建设使用单位准确、合理地举行系统定级 。
第二十六条 涉密信息系统建设使用单位应当将涉密信息系统定级和建设使用情形，实时上报营业主管部分的保密事情机构和认真系统审批的保密事情部分备案，并接受保密部分的监视、检查、指导 。
第二十七条 涉密信息系统建设使用单位应中选择具有涉麋集成资质的单位承�；蛘呒尤肷婷苄畔⑾低车纳杓朴胧笛� 。
涉密信息系统建设使用单位应当依据涉密信息系统分级�；ぶ卫砉娣逗褪忠毡曜�，凭证神秘、神秘、绝密三级的差别要求，团结系统现实举行计划设计，实验分级�；�，其�；に阶芴迳喜坏陀诠倚畔⑶寰财芳侗；さ谌丁⒌谒募丁⒌谖寮兜乃� 。
第二十八条 涉密信息系统使用的信息清静保密产品原则上应中选用国产品，并应当通过国家保密局授权的检测机构依据有关国家保密标准举行的检测，通过检测的产品由国家保密局审核宣布目录 。
第二十九条 涉密信息系统建设使用单位在系统工程实验竣事后，应当向保密事情部分提出申请，由国家保密局授权的系统测评机构依据国家保密标准BMB22-2007《涉及国家神秘的盘算机信息系统分级�；げ馄乐改稀�，对涉密信息系统举行清静保密测评 。
涉密信息系统建设使用单位在系统投入使用前，应当凭证《涉及国家神秘的信息系统审批治理划定》，向设区的市级以上保密事情部分申请举行系统审批，涉密信息系统通过审批后方可投入使用 。已投入使用的涉密信息系统，其建设使用单位在凭证分级�；ひ笸瓿上低痴暮�，应当向保密事情部分备案 。
第三十条 涉密信息系统建设使用单位在申请系统审批或者备案时，应当提交以下质料：
（一）系统设计、实验计划及审查论证意见；
（二）系统承建单位资质证实质料；
（三）系统建设和工程监理情形报告；
（四）系统清静保密检测评估报告；
（五）系统清静保密组织机构和治理制度情形；
（六）其他有关质料 。
第三十一条 涉密信息系统爆发涉密品级、毗连规模、情形设施、主要应用、清静保密治理责任单位变换时，其建设使用单位应当实时向认真审批的保密事情部分报告 。保密事情部分应当凭证现真相形，决议是否对其重新举行测评和审批 。
第三十二条 涉密信息系统建设使用单位应当依据国家保密标准BMB20-2007《涉及国家神秘的信息系统分级�；ぶ卫砉娣丁�，增强涉密信息系统运行中的保密治理，按期举行危害评估，消除泄密隐患和误差 。
第三十三条 国家和地方各级保密事情部分依法对各地区、各部分涉密信息系统分级�；な虑槭笛榧嗍又卫�，并做好以下事情：
（一）指导、监视和检查分级�；な虑榈目�；
（二）指导涉密信息系统建设使用单位规范信息定密，合理确定系统�；て芳�；
（三）加入涉密信息系统分级�；ぜ苹壑�，指导建设使用单位做好保密设施的同步妄想设计；
（四）依法对涉密信息系统集成资质单位举行监视治理；
（五）严酷举行系统测评和审批事情，监视检查涉密信息系统建设使用单位分级�；ぶ卫碇贫群褪忠詹椒サ穆湔嫦嘈�；
（六）增强涉密信息系统运行中的保密监视检查 。对神秘级、神秘级信息系统每两年至少举行一次保密检查或者系统测评，对绝密级信息系统每年至少举行一次保密检查或者系统测评；
（七）相识掌握各级种种涉密信息系统的治理使用情形，实时发明和查处种种违规违法行为和泄密事务 。
第五章 信息清静品级�；さ拿苈胫卫�
第三十四条 国家密码治理部分对信息清静品级�；さ拿苈胧笛榉掷喾旨吨卫� 。凭证被�；すぞ咴诠仪寰病⑸缁嵛裙獭⒕媒ㄉ柚械淖饔煤椭饕�，被�；すぞ叩那寰卜阑ひ蠛蜕婷芩�，被�；すぞ弑黄扑鸷蟮奈：λ揭约懊苈胧褂貌糠值男宰拥�，确定密码的品级�；ぷ荚� 。
信息系统运营、使用单位接纳密码举行品级�；さ�，应当遵照《信息清静品级�；っ苈胫卫聿椒ァ贰ⅰ缎畔⑶寰财芳侗；ど逃妹苈胧忠找蟆返让苈胫卫砘ê拖喙乇曜� 。
第三十五条 信息系统清静品级�；ぶ忻苈氲呐浔浮⑹褂煤椭卫淼�，应当严酷执行国家密码治理的有关划定 。
第三十六条 信息系统运营、使用单位应当充分运用密码手艺对信息系统举行�；� 。接纳密码对涉及国家神秘的信息和信息系统举行�；さ�，应报经国家密码治理局审批，密码的设计、实验、使用、运行维护和一样平常治理等，应当凭证国家密码治理有关划定和相关标准执行；接纳密码对不涉及国家神秘的信息和信息系统举行�；さ�，须遵守《商用密码治理条例》和密码分类分级�；び泄鼗ㄓ胂喙乇曜�，其密码的配备使用情形应当向国家密码治理机构备案 。
第三十七条 运用密码手艺对信息系统举行系统品级�；そㄉ韬驼牡�，必需接纳经国家密码治理部分批准使用或者准于销售的密码产品举行清静�；�，不得接纳外洋引进或者私自研制的密码产品；未经批准不得接纳含有加密功效的入口信息手艺产品 。
第三十八条 信息系统中的密码及密码装备的测评事情由国家密码治理局认可的测评机构肩负，其他任何部分、单位和小我私家不得对密码举行评测和监控 。
第三十九条 各级密码治理部分可以按期或者未必期对信息系统品级�；な虑橹忻苈肱浔浮⑹褂煤椭卫淼那樾尉傩屑觳楹筒馄�，对主要涉密信息系统的密码配备、使用和治理情形每两年至少举行一次检查和测评 。在监视检查历程中，发明保存清静隐患或者违反密码治理相关划定或者未抵达密码相关标准要求的，应当凭证国家密码治理的相关划定举行处置惩罚 。
第六章 执法责任
第四十条 第三级以上信息系统运营、使用单位违反本步伐划定，有下列行为之一的，由公安机关、国家保密事情部分和国家密码事情治理部分凭证职责分工责令其限期纠正；逾期不纠正的，给予忠言，并向其上级主管部分转达情形，建议对其直接认真的主管职员和其他直接责任职员予以处置惩罚，并实时反响处置惩罚效果：
（一） 未按本步伐划定备案、审批的；
（二） 未按本步伐划定落实清静治理制度、步伐的；
（三） 未按本步伐划定开展系统清静状态检查的；
（四） 未按本步伐划定开展系统清静手艺测评的；
（五） 接到整改通知后，拒不整改的；
（六） 未按本步伐划定选择使用信息清静产品和测评机构的；
（七） 未按本步伐划定如实提供有关文件和证实质料的；
（八） 违反保密治理划定的；
（九） 违反密码治理划定的；
（十） 违反本步伐其他划定的 。
违反前款划定，造成严重损害的，由相关部分遵照有关执法、规则予以处置惩罚 。
第四十一条 信息清静羁系部分及其事情职员在推行监视治理职责中，玩忽职守、滥用职权、徇私舞弊的，依法给予行政处分；组成犯法的，依法追究刑事责任 。
第七章 附则
第四十二条 已运行信息系统的运营、使用单位自本步伐施行之日起180日内确定信息系统的清静�；て芳�；新建信息系统在设计、妄想阶段确定清静�；て芳� 。
第四十三条 本步伐所称“以上”包括本数（级） 。
第四十四条 本步伐自宣布之日起施行，《信息清静品级�；ぶ卫聿椒ィㄊ孕校罚üㄗ諿2006]7号）同时废止 。