涉密集成资质与密评：企业涉密合规的两条主线

两条主线：一个管“能不能接”，一个管“密码合不合格”

涉密合规经常被当成一件事，实际上是两条不能互相替代的主线：

• 涉密信息系统集成资质——由保密行政管理部门实施的行政许可，解决的是“企业有没有资格承接涉密信息系统业务”；
• 商用密码应用安全性评估（密评）——围绕商用密码应用开展的法定评估，解决的是“重要网络与信息系统的密码应用是否合规、正确、有效”。

两者的主管部门、法律依据、适用对象都不一样。混在一起准备，最常见的结果是：以为拿到资质就不用做密评，或者反过来，说不清自己到底该办哪一项。

涉密集成资质：等级、业务类别与硬性门槛

现行《涉密信息系统集成资质管理办法》（国家保密局令 2020 年第 1 号，2021 年 3 月 1 日起施行）明确：涉密集成是指涉密信息系统的规划、设计、建设、监理和运行维护等活动；从事涉密集成业务的企业事业单位应当取得资质，机关和涉及国家秘密的单位也应当选择有资质的单位承接。

两个等级、八类业务

资质分甲级、乙级两个等级，差别在可承接业务的涉密等级：甲级可从事绝密级、机密级和秘密级涉密集成业务，乙级可从事机密级、秘密级业务。

业务类别包括总体集成、系统咨询、软件开发、安防监控、屏蔽室建设、运行维护、数据恢复、工程监理八类，以及国家保密行政管理部门许可的其他涉密集成业务。两条限制要特别注意：取得总体集成许可的，除系统集成外还可从事软件开发、安防监控和所承建系统的运行维护；承接系统咨询、工程监理业务的，不得承接所咨询、监理业务的其他涉密集成业务。

门槛集中在“人、股、场所、制度”

• 主体资格：在中华人民共和国境内依法成立三年以上的法人；无犯罪记录，且近三年内未被吊销保密资质（资格）；法定代表人、主要负责人、实际控制人未被列入失信人员名单。
• 人员国籍：法定代表人、主要负责人、实际控制人、董（监）事会人员、高级管理人员以及从事涉密集成业务的人员，应当具有中国国籍，无境外永久居留权或者长期居留许可，与境外人员无婚姻关系（国家另有规定的除外）。
• 外资穿透：申请单位不得有外国投资者直接投资；通过间接方式投资的外国投资者，在申请单位中的出资比例最终不得超过 20%；申请单位及其股东的实际控制人不得为外国投资者，外国投资者在申请单位母公司中的出资比例最终不得超过 20%。新三板挂牌企业另有要求（参与挂牌交易的股份比例不高于总股本 30%、实际控制人在申请期间及资质有效期内保持控制地位不变）。
• 保密条件：有专门机构或者人员负责保密工作、保密制度完善、从事涉密集成业务的人员经过保密教育培训、用于涉密集成业务的场所设施设备符合国家保密规定和标准、有专门的保密工作经费。

需要提醒的是，各业务类别的具体条件与评分标准由主管部门另行规定，且《涉密信息系统集成资质管理办法》的修订已在推进。准备申报前，建议以国家保密局、国家保密科技测评中心的最新公示为准，不要直接沿用旧材料里的门槛数字。

申报流程：从申请到证后管理

1. 申请。申请甲级资质向国家保密行政管理部门提出，申请乙级资质向注册地省级保密行政管理部门提出。材料通常包括：资质申请书、营业执照（或事业单位法人证书）、备案章程、法定代表人及涉密业务人员情况、资本结构与股权情况、场所产权证书或租赁合同、近三年集成业务合同清单、涉密业务场所和保密设施设备情况、管理制度与保密体系运行情况。
2. 受理与书面审查。保密行政管理部门收到材料后 5 日内完成审查；材料齐全且符合法定形式的予以受理，不齐全或不符合法定形式的一次性告知 15 日内补正。
3. 现场审查。对书面审查合格的单位，指派两名以上工作人员（可结合工作加派审查专家），依据审查细则和评分标准，对保密制度、保密工作机构、保密监督管理、涉密人员管理、保密技术防护以及专业能力进行现场审查，包括听取汇报、与主要负责人谈话、组织涉密人员保密知识测试、实地查看涉密场所与设备等环节。
4. 许可决定与发证。自受理之日起 20 日内作出准予或者不予行政许可的决定，特殊情况可延长 10 日，专家评审、鉴定所需时间不计入；准予许可的，自作出决定之日起 10 日内颁发资质证书。
5. 证后义务。证书有效期 5 年，届满前 3 个月提出延续申请；承接业务后 30 日内向业务所在地省级保密行政管理部门备案（乙级跨省承接同样需要备案）；每年 3 月 31 日前报送上一年度自检报告；注册资本或股权结构、控股股东或实际控制人、单位性质或隶属关系、涉密业务场所发生变更的，需要在变更前书面报告，部分情形还要重新组织现场审查；拟公开上市的，应当先做资质剥离后重新申请。

容易被忽略的是“终止审查”与“不予许可”的几类情形：隐瞒有关情况或提供虚假材料、采取贿赂请托等不正当手段影响审查公平公正、无正当理由拒绝按通知时间接受现场审查、现场审查中发现不符合评分标准基本项的，都会被终止审查。因隐瞒情况或提供虚假材料被不予受理或不予许可的，自决定之日起一年内不得再次申请；现场审查不合格的，通常需要全面整改后重新提交申请。

密评：谁必须做、评什么、什么时候做

密评的法律链条比较清晰：《密码法》确立了关键信息基础设施使用商用密码并开展应用安全性评估的要求；《商用密码管理条例》（2023 年 7 月 1 日施行）细化了商用密码管理；《商用密码应用安全性评估管理办法》（2023 年 11 月 1 日施行）把评估对象、程序、备案与罚则落到了可执行的层面。

适用对象：不止关键信息基础设施

《商用密码应用安全性评估管理办法》使用的概念是“重要网络与信息系统”，范围包括基础信息网络、涉及国计民生和基础信息资源的重要信息系统、重要工业控制系统、面向社会服务的政务信息系统，以及关键信息基础设施、网络安全等级保护第三级及以上信息系统。也就是说，不少企业的等保三级系统同样落在范围内，且密评应当与关键信息基础设施安全检测评估、网络安全等级测评制度相衔接，避免重复评估。

三同步一评估：三个阶段都有要求

1. 规划阶段：运营者应制定商用密码应用方案，自行或者委托检测机构对方案开展密评；未通过评估的方案，不得作为商用密码保障系统的建设依据。
2. 建设与运行前：按照通过评估的方案组织实施，建设完成后、系统运行前再次开展密评；未通过的应当进行改造，改造期间不得投入运行。
3. 建成运行后：每年至少开展一次密评，确保商用密码保障系统正确有效运行；未通过的应当改造，并在改造期间采取必要措施保证系统运行安全。

评什么：四个技术层面 + 四个管理方面

评估内容包括合规性、正确性、有效性三个方面，判定依据主要是 GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》——从物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全四个技术层面，以及管理制度、人员管理、建设运行、应急处置四个管理方面提出要求。配套的标准还有 GB/T 43206-2023《信息安全技术 信息系统密码应用测评要求》、GB/T 43207-2023《信息安全技术 信息系统密码应用设计指南》等，编制方案和推进整改时可以直接对照。

谁来做、做完还要做什么

运营者可以自行开展密评，但需要同时具备相适应的设备设施、规章制度、专业人员和专业能力，报告须由本单位密码或者网络安全负责人签字确认并加盖公章。更常见的是委托取得商用密码检测机构资质的机构开展：委托方应按要求提供重要数据备份、完整有效的设备清单和网络拓扑、详细的密码应用方案与密码相关管理制度及配置运维记录，安排网络管理员、系统管理员、密钥管理员等人员配合，并且不得对评估结果施加不当影响。

报告形成后 30 日内，运营者应按照国家有关规定报送国家密码管理局或者网络与信息系统所在地省级密码管理部门备案；无论评估结果是否通过，都需要履行备案程序，备案材料还要接受形式审查与抽样检查。原始记录和评估报告的保存期限不得少于 6 年。

责任层面：规划阶段未对方案做密评、未按通过评估的方案建设、运行前未开展或未通过且未改造、建成运行后未定期评估等情形，由密码管理部门责令改正、给予警告；拒不改正或者有其他严重情节的，处 10 万元以上 100 万元以下罚款，对直接负责的主管人员处 1 万元以上 10 万元以下罚款。未按要求备案、未提供必要支持等情形另有处罚。关键信息基础设施还需遵守《关键信息基础设施商用密码使用管理规定》的相关要求。

六个最常踩的坑

1. 把资质和密评当成一件事。主管部门、法律依据、适用对象都不同：资质面向企业资格，密评面向系统合规，两边要准备的材料几乎不重叠。
2. 先接业务再补资质。涉密集成业务必须在许可的业务种类范围内承接，无资质承接本身即属违规，委托方选择无资质单位同样会被追责。
3. 只看技术能力，忽略“人与股”。国籍、境外永久居留权或长期居留许可、与境外人员的婚姻关系、失信记录，以及股东层面的外资穿透比例，都是硬性项，而且需要长期维持。
4. 场所与设备不达标就报现场审查。现场审查会实地查看涉密场所、设施设备与保密技术防护，评分标准设有基本项，不达标会被直接终止审查。
5. 拿到证书就放松证后管理。备案、年度自检、变更报告、延续申请都是持续义务；未按规定备案、未提交自检报告、存在泄密隐患等，会被责令限期整改，逾期不改或者整改后仍不符合要求的，可能被暂停资质六个月以上十二个月以下。
6. 密评报告做完就进档案柜。报告需在形成后 30 日内报送备案，评估结论还要能支撑后续的整改与复评；未定期开展密评属于明确的处罚情形。

常见问题

结语

涉密合规的难点不在技术，而在“资格 + 系统”两条线的时序安排：资质决定能不能接，密评决定系统能不能上线运行。建议先做一次现状盘点——业务落在哪些涉密等级与业务类别、系统是否属于等保三级以上或关键信息基础设施范围，再据此排出申报与整改的时间表。在投标和立项之前把这些问题想清楚，比事后补材料省力得多。