关基保护“强监管”落地：26项政策标准清单，密码合规划重点
2026/10/12
2025 年以来，我国围绕关基安全的立法与标准供给明显提速。监管手段更硬，处罚上限更高；合规要求从原则走向细则，可操作性显著增强；商用密码相关的技术规范逐步清晰，其底层支撑作用被反复强调。对关基运营者来说，与其被动等着被检查，不如主动把合规做实、把安全能力体系化地搭起来。本文将把关基保护相关的重要法律、法规与标准逐项梳理清楚，为关基密码应用提供思路与落地经验。
01国家法律法规类
1.《中华人民共和国网络安全法》（2025 年修订）
通过 2025-10-28 ｜ 施行 2026-01-01 ｜已施行
此次修法把“不依法履行网络运行安全保护义务”的法律责任作为重点，按后果轻重分档追责：造成大量数据泄露、关基丧失局部功能等属于“严重”情形；造成关基丧失主要功能等属于“特别严重”情形，并参照数据安全法的思路整体抬高了罚款幅度。同时，对关基运营者使用未经安全审查、或安全审查未通过的网络产品和服务的行为，补齐了处置处罚措施。
一般网络运营者不履行第二十三条、第二十七条义务的，责令改正、警告，可处 1 万至 5 万元罚款；拒不改正或导致危害后果的，处 5 万至 50 万元，对直接负责的主管人员和其他直接责任人员处 1 万至 10 万元。
关基运营者不履行第三十五、三十六、三十八、四十条义务的，责令改正、警告，可处 5 万至 10 万元；拒不改正或导致危害后果的，处 10 万至 100 万元，对责任人员处 1 万至 10 万元。
严重危害后果（大量数据泄露、关基丧失局部功能等）对单位处 50 万至 200 万元，对责任人员处 5 万至 20 万元。
特别严重危害后果（关基丧失主要功能等）对单位处 200 万至 1000 万元，对责任人员处 20 万至 100 万元。
2.《中华人民共和国密码法》
通过 2019-10-26 ｜ 施行 2020-01-01 ｜已施行
这部法律为密码的应用与管理立规矩，也为密码事业发展、网络与信息安全、国家安全与社会公共利益、公民和组织的合法权益提供保障。针对关基，它给出了明确约束：法律、行政法规和国家有关规定要求使用商用密码进行保护的关基，其运营者必须使用商用密码实施保护，并自行或者委托商用密码检测机构开展商用密码应用安全性评估；密评还应当与关基安全检测评估、网络安全等级测评制度衔接，避免重复评估、测评。关基运营者采购涉及商用密码的网络产品和服务、可能影响国家安全的，应当通过国家网信部门会同国家密码管理部门等组织的国家安全审查。
3.《中华人民共和国数据安全法》
通过 2021-06-10 ｜ 施行 2021-09-01 ｜已施行
该法规范数据处理活动、保障数据安全，同时促进数据开发利用，保护个人和组织的合法权益，维护国家主权、安全和发展利益。与关基直接相关的是第三十一条：关基运营者在境内运营中收集和产生的重要数据，其出境安全管理适用网络安全法的规定；其他数据处理者的重要数据出境安全管理办法，由国家网信部门会同国务院有关部门制定。
4.《中华人民共和国个人信息保护法》
通过 2021-08-20 ｜ 施行 2021-11-01 ｜已施行
该法保护个人信息权益、规范个人信息处理活动。其中第四十条对关基提出了本地化要求：关基运营者，以及处理个人信息达到国家网信部门规定数量的个人信息处理者，应当把在境内收集和产生的个人信息存储在境内；确需向境外提供的，应当通过国家网信部门组织的安全评估。
5.《关键信息基础设施安全保护条例》（国务院令第 745 号）
施行 2021-09-01 ｜已施行
条例界定了关基的范围：公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重要行业和领域的，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的重要网络设施、信息系统等。条例同时强化并细化了运营者的主体责任，要求其建立健全网络安全保护制度、设置专门安全管理机构、实施安全背景审查、落实安全保护措施“三同步”（同步规划、同步建设、同步使用）、每年开展安全检测和风险评估、及时报告安全事件等。
6.《商用密码管理条例》（国务院令第 760 号）
施行 2023-07-01 ｜已施行
条例规范商用密码的应用与管理，鼓励并促进商用密码产业发展，保障网络与信息安全。第三十八条对关基作出硬性安排：依法需要商用密码保护的关基，运营者应当使用商用密码进行保护，制定商用密码应用方案，配备必要的资金和专业人员，同步规划、同步建设、同步运行商用密码保障系统，并自行或者委托商用密码检测机构开展密评。这类关基通过密评后方可投入运行，运行后每年至少评估一次，评估情况按规定报送国家密码管理部门或所在地省级密码管理部门备案。
7.《网络数据安全管理条例》（国务院令第 790 号）
施行 2025-01-01 ｜已施行
条例规范网络数据处理活动、保障网络数据安全。第十六条对服务提供方提出约束：网络数据处理者为国家机关、关基运营者提供服务，或者参与其他公共基础设施、公共服务系统的建设、运行、维护的，应当依照法律法规规定和合同约定履行网络数据安全保护义务，提供安全、稳定、持续的服务。未经委托方同意，不得访问、获取、留存、使用、泄露或者向他人提供网络数据，也不得对网络数据进行关联分析。
02部门规章及公告类
1.《网络安全审查办法》（十三部门令第 8 号）
施行 2022-02-15 ｜已施行
办法的落点是守住关基供应链安全。关基运营者采购网络产品和服务、网络平台运营者开展数据处理活动，影响或者可能影响国家安全的，应当按照办法进行网络安全审查。办法要求，关基运营者采购网络产品和服务前应当预判其投入使用后可能带来的国家安全风险；影响或者可能影响国家安全的，应当向网络安全审查办公室申报审查。
2.《促进和规范数据跨境流动规定》（网信办令第 16 号）
施行 2024-03-22 ｜已施行
规定在保障数据安全、保护个人信息权益的同时，促进数据依法有序自由流动。数据处理者应当按照相关规定识别、申报重要数据；未被相关部门、地区告知或者公开发布为重要数据的，不需要作为重要数据申报数据出境安全评估。
第七条向境外提供数据，符合以下条件之一须申报安全评估：
（一）关基运营者向境外提供个人信息或者重要数据；
（二）关基运营者以外的数据处理者向境外提供重要数据，或者自当年 1 月 1 日起累计向境外提供 100 万人以上个人信息（不含敏感个人信息）、或者 1 万人以上敏感个人信息。
3.《人脸识别技术应用安全管理办法》（网信办、公安部令第 19 号）
施行 2025-06-01 ｜已施行
办法规范应用人脸识别技术处理人脸信息的活动。第十四条要求，人脸识别技术应用系统应当采取数据加密、安全审计、访问控制、授权管理、入侵检测和防御等措施保护人脸信息安全；涉及网络安全等级保护、关基的，应当按照国家有关规定履行相应的等级保护、关基保护义务。
4.《关键信息基础设施商用密码使用管理规定》（密码局、网信办、公安部令第 5 号）
施行 2025-08-01 ｜已施行
这是关基密码合规最具操作性的抓手之一。规定适用于依据网络安全法、关基保护条例等认定的关基的商用密码使用管理。运营者应当遵循国家商用密码管理、网络安全等级保护、关基安全保护等制度要求，使用商用密码保护关基，同步规划、同步建设、同步运行商用密码保障系统，并定期开展密评。
运营者应当于每年 1 月 31 日前，向所属的保护工作部门报告上一年度关基商用密码使用以及密评开展情况。
5.《商用密码行政检查事项清单》（国家密码管理局公告第 52 号）
施行 2025-09-03 ｜已施行
清单为“依法需使用商用密码保护的网络与信息系统”的商用密码使用监督检查提供了依据，将检查依据纳入 2025 年 8 月 1 日起施行的第 5 号令，重点对应其第五至第十五条，以及第十七条、第十九条、第二十二条、第二十四条。这意味着密评与商用密码使用的检查已具备清单化的执法依据。
6.《金融基础设施监督管理办法》（中国人民银行、中国证监会令〔2025〕第 7 号）
施行 2025-10-01 ｜已施行
办法加强金融基础设施的统筹监管与建设规划。第十五条要求运营机构建立完善的技术系统及管理机制，具体包括：符合必要的技术规范、通信程序与标准；具备系统故障应急处理与灾难备份机制，灾难备份中心应当位于中华人民共和国境内；建立有效的网络安全管理制度，系统重要性金融基础设施还应落实关基安全保护相关要求；建立完备的数据存储管理机制，在境内运营中收集和产生的个人信息和重要数据应当在境内存储，确需出境的应当符合国家有关规定。
7.《电子认证服务使用密码管理办法》（国家密码管理局令第 6 号）
施行 2026-07-01 ｜已施行新增
该办法聚焦以商用密码技术提供的电子认证服务：相关机构应当依法取得国家密码管理局颁发的《电子认证服务使用密码许可证》；许可证有效期明确为五年，并引入年度合规性评估机制，此前已持证的机构须按规定完成合规性评估并报送评估报告。监管逻辑由此从“入口资质”转向“持续合规”，对电子认证服务机构（CA）的日常合规能力提出了更高要求。
8.《网络数据安全风险评估办法》（网信办、工信部、公安部）
公布 2026-06-18 ｜ 施行 2026-08-20 ｜已施行新增
办法把数据安全风险评估变成一项常态化制度。重要数据处理者应当每年开展一次风险评估；重要数据安全状态发生重大变化、可能造成不利影响的，应当及时就变化及其影响部分开展评估；鼓励处理一般数据的网络数据处理者至少每 3 年评估一次。评估工作可由数据处理者自行组织，也可委托第三方评估机构实施。
省级以上有关部门可以对风险评估报告进行检查核验；发现重要数据处理活动可能危害国家安全、公共利益的，应当责令整改，对拒不整改或者未达到整改要求的，可以要求其停止处理重要数据。
9.《公安机关网络空间安全监督检查办法》（公安部令第 176 号）
公布 2026-08-06 ｜ 施行 2026-10-01 ｜即将施行
这是原《公安机关互联网安全监督检查规定》的修订版本，共 23 条，明确了六方面内容：检查对象（网络运营者、数据处理者、个人信息处理者等）、检查方式（线上巡查、线下核查，日常检查、专项检查）、检查内容（是否履行法定网络空间安全义务、重大活动安保期间的重点检查）、检查机制（加强部门协调、联合检查，减少企业负担）、检查结果运用（督促整改、公安提示函、处罚等）以及相关法律责任。
办法要求公安机关按照分级分类管理等原则建立并落实检查制度，对日常性现场检查，有行业主管部门的原则上以行业主管部门开展为主；同时鼓励采用线上巡查等方式，事先告知、尽量联合检查，避免重复检查、交叉检查。对关基运营者、等保三级以上网络运营者而言，这是一份需要在 10 月前完成自查对标的检查依据。
10.《大型个人信息处理者个人信息保护规定（征求意见稿）》
征求意见 2026-08-07，截止 2026-09-07 ｜征求意见中
国家网信部门将此前已公开征求意见的两份文件——《大型网络平台设立个人信息保护监督委员会规定（征求意见稿）》与《大型网络平台个人信息保护规定（征求意见稿）》——作了整合完善，形成本稿。文件面向“大型个人信息处理者”，认定时综合考虑三项条件：处理 1000 万人以上自然人个人信息；提供涉及个人信息处理的重要网络服务，或者经营范围涵盖多种业务且涉及个人信息处理；个人信息处理活动对国家安全、经济运行、社会稳定、公共健康和安全等具有重要影响。
对同时属于关基的主体，除落实网络安全等级保护有关要求外，还应当遵守国家关于关基安全的有关规定。该稿的推出，标志着大型平台的个人信息保护义务正在从“原则倡导”走向清单化、可核查。
11.《能源行业数据安全管理办法（试行）》（国能发规划规〔2025〕108 号）
施行 2026-07-01 ｜已施行
办法规范能源行业数据处理活动、加强数据安全管理。其中明确：利用互联网等信息网络开展能源行业数据处理活动的，应当落实网络安全等级保护、关基安全保护、密码保护和保密等制度要求；存储处理重要数据的信息网络应落实三级及以上等级保护要求；存储处理核心数据的信息网络，涉及关基的在等级保护基础上落实关基保护要求，不涉及关基的应落实四级等级保护要求。
第二十五条能源行业核心数据处理者可以采取以下措施加强保护：
（一）优先使用商用密码进行保护；
（二）优先使用安全可信的产品和服务；
（三）优先使用第三方评估机构开展风险评估；
（四）涉及核心数据安全事件处置、溯源的日志，留存时间不少于三年；
（五）对相关关键岗位人员、核心数据信息系统建设和运维单位等，依法依规提交公安机关、国家安全机关进行国家安全背景审查。
03国家行业团体标准类
1. GB/T 39786-2021《信息系统密码应用基本要求》
施行 2021-10-01 ｜ 归口 国家标准委 ｜已施行
这是落实密码法、指导商用密码应用与安全性评估的一项基础性标准，对规范和引导信息系统合规、正确、有效应用密码具有支撑作用。标准从物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全四个方面提出密码应用技术要求，同时给出管理制度、人员管理、建设运行、应急处置等管理要求，并按信息系统安全等级分别提出相应的密码应用要求。
2. GB/T 39204-2022《关键信息基础设施安全保护要求》
施行 2023-05-01 ｜ 归口 国家标准委 ｜已施行
这是我国第一项关基安全保护国家标准。它提出三项基本原则——以关键业务为核心的整体防控、以风险管理为导向的动态防护、以信息共享为基础的协同联防；并围绕分析识别、安全防护、检测评估、监测预警、主动防御、事件处置 6 个方面，给出 111 条安全要求，为运营者开展关基保护工作提供了标准依据。
3. GA/T 2182-2024《关键信息基础设施安全测评要求》
施行 2025-05-01 ｜ 主管部门 公安部 ｜已施行
该文件规定了针对关基开展安全测评的要求和方法，适用于规范关基运营者及网络安全服务机构开展测评工作。测评的目标是发现关基现存的或潜在的安全风险，为运营者开展建设整改、提升关基安全保护水平及安全管控能力提供指导。
4. YD/T 4999-2024《电信行业关基安全保护 安全管理总体要求》
施行 2025-02-01 ｜ 归口 中国通信标准化协会 ｜ 主管部门 工信部 ｜已施行
该文件规定了电信行业关基的安全管理要求，通过识别、防护、检测评估、监测预警、响应处置五个方面，实施行业关基全生命周期的安全保护，适用于电信行业关基的安全保护和监督管理工作。
5. GM/T 0133-2024《关键信息基础设施密码应用要求》
施行 2025-07-01 ｜ 归口 密码行业标准化技术委员会 ｜已施行
该文件规定了关基的密码应用实施要求、密码应用技术和管理要求、密码运行安全保障，用于指导和规范关基运营者对关基密码应用的规划、建设、运行及安全性评估，也可供关基安全保护的其他相关方参考使用。
6. GA/T 2380-2026《网络安全等级保护数据安全基本要求》
发布 2026-01-09 ｜ 施行 2026-06-01 ｜ 归口 公安部信息系统安全标准化技术委员会 ｜已施行
这是网络安全等级保护体系下首部数据安全专项标准。它在 GB/T 22239-2019 的框架上，保留十大安全大类并新增“安全数据处理”独立大类，形成“10+1”防护体系，把数据本体安全作为独立模块系统纳入等保制度，覆盖数据全生命周期；同时按第一级至第四级分别提出逐级增强的数据安全要求，对三级及以上系统提出强制性的密码技术要求。
该标准与 GA/T 2381-2026（测评机构能力要求）、GA/T 2394-2026（测评要求）、GA/T 2395-2026（测评过程指南）配套，构成“建设要求—机构能力—测评指标—测评流程”的完整闭环。
7. T/CIIPA 系列团体标准（关基保护联盟）
施行 2025-12-01 ｜ 归口 中关村华安关键信息基础设施保护联盟 ｜已施行
T/CIIPA 00001—2024 安全分析识别能力要求与评价
T/CIIPA 00003—2024 网络安全事件分类分级与处置能力要求
T/CIIPA 00004—2024 安全防护能力要求与评价
T/CIIPA 00008—2024 数据安全能力要求
它们覆盖安全防护、威胁识别、数据保护及事件响应等关键环节，明确了相关能力的技术要求、建设路径和评价方法，可为关基运营单位开展安全能力建设提供指导，也为监管机构和第三方评估机构提供技术依据。
04一张表看懂
| 层级 | 名称 | 施行 |
|---|---|---|
| 法律 | 网络安全法（2025 年修订） | 2026-01-01 |
| 法律 | 密码法 | 2020-01-01 |
| 法律 | 数据安全法 | 2021-09-01 |
| 法律 | 个人信息保护法 | 2021-11-01 |
| 行政法规 | 关基安全保护条例（745 号） | 2021-09-01 |
| 行政法规 | 商用密码管理条例（760 号） | 2023-07-01 |
| 行政法规 | 网络数据安全管理条例（790 号） | 2025-01-01 |
| 部门规章 | 网络安全审查办法（8 号令） | 2022-02-15 |
| 部门规章 | 促进和规范数据跨境流动规定（16 号令） | 2024-03-22 |
| 部门规章 | 人脸识别技术应用安全管理办法（19 号令） | 2025-06-01 |
| 部门规章 | 关基商用密码使用管理规定（5 号令） | 2025-08-01 |
| 公告 | 商用密码行政检查事项清单（公告 52 号） | 2025-09-03 |
| 部门规章 | 金融基础设施监督管理办法（2025 第 7 号） | 2025-10-01 |
| 部门规章 | 电子认证服务使用密码管理办法（6 号令） | 2026-07-01 |
| 部门规章 | 网络数据安全风险评估办法 | 2026-08-20 |
| 部门规章 | 公安机关网络空间安全监督检查办法（176 号令） | 2026-10-01 |
| 部门规章 | 能源行业数据安全管理办法（试行）（108 号） | 2026-07-01 |
| 征求意见稿 | 大型个人信息处理者个人信息保护规定 | — |
| 国家标准 | GB/T 39786-2021 信息系统密码应用基本要求 | 2021-10-01 |
| 国家标准 | GB/T 39204-2022 关基安全保护要求 | 2023-05-01 |
| 行业标准 | GA/T 2182-2024 关基安全测评要求 | 2025-05-01 |
| 行业标准 | YD/T 4999-2024 电信行业关基安全管理总体要求 | 2025-02-01 |
| 行业标准 | GM/T 0133-2024 关基密码应用要求 | 2025-07-01 |
| 行业标准 | GA/T 2380-2026 等保数据安全基本要求 | 2026-06-01 |
| 团体标准 | T/CIIPA 00001/00003/00004/00008—2024 | 2025-12-01 |
总结
把上述条目放在一起看，2026 年的关基合规呈现出三条清晰的主线。
1责任到人。修订后的网络安全法不仅对单位罚款，还明确对直接负责的主管人员和其他直接责任人员一并追责，特别严重情形下单位最高可罚 1000 万元、个人最高可罚 100 万元。合规不再是“整个公司的事”，而是能被具体问责到岗的事。
2从查到罚、从虚到实。公安机关的监督检查办法、商用密码行政检查清单、网络数据安全风险评估办法相继落地，监管方式从“看有没有制度”转向“看制度有没有落地、防护有没有效果”，实战化、场景化的检查成为常态。
3密码筑基。从关基商用密码使用管理规定到 GM/T 0133，从密评“投入运行前必过”到“每年至少一次”，商用密码已由“鼓励应用”转为关基保护的刚性技术底座。只做算法替换远远不够，需要打通身份认证、传输加密、存储加密到密钥管理的全链路。