2026年，作为“十五五”规划的开局之年，我国数字化转型进入纵深推进的关键阶段，网络空间已成为国家主权、经济发展、社会稳定的核心阵地。“十五五”规划《纲要》明确将网络安全纳入国家安全体系重点部署，强调要强化关键信息基础设施安全防护、健全网络安全保障体系，而商用密码作为网络安全的核心技术支撑，其应用安全性直接关系到“十五五”数字化发展目标的落地。网络安全密评项目（即商用密码应用安全性评估项目），作为规范商用密码应用、防范网络安全风险的核心抓手，在十五五规划开局的历史节点上，被赋予了更重要的使命，成为落实国家网络安全战略、护航高质量发展的重要制度保障。本文结合十五五规划相关部署，详解密评项目的核心内涵、政策演进、实施要点及核心价值，厘清其“是什么、为什么”，全面呈现这一网络安全基础性工作在十五五开局之年的重要意义。

一、政策动向

密评项目的规范化发展，始终与国家政策导向紧密相关。从2020年《密码法》确立法律地位，到2023年进入强制实施阶段，我国已逐步构建起以《密码法》为核心，以行政法规、部门规章、标准规范为支撑的密评政策体系。2026年作为十五五规划开局之年，密评工作迎来新的发展契机，政策导向进一步贴合十五五规划“健全网络安全保障体系、强化关键信息基础设施防护”的核心部署，实现从“强制实施”向“提质增效、精准防控”的转型。

回顾政策演进，为十五五期间密评工作开展奠定了坚实基础：2020年，《中华人民共和国密码法》正式实施，首次在法律层面确立了密评工作的法律地位，明确规定关键信息基础设施的运营者应当使用商用密码进行保护，并开展密评工作，为密评提供了最根本的法律依据；2023年，新修订的《商用密码管理条例》正式施行，细化“三同步”要求，明确密评与等保的衔接，为等级保护对象开展密评提供基本遵循；2023年11月，《商用密码应用安全性评估管理办法》实施，标志着密评进入强制执行阶段，明确评估范围、流程和处罚标准；2025年，《关键信息基础设施商用密码使用管理规定》升级要求，加大处罚力度，强化关键信息基础设施密评刚性约束。

进入2026年十五五开局之年，密评政策进一步衔接十五五规划部署，呈现三大新导向。一是紧扣十五五规划“健全关键信息基础设施安全防护”要求，扩大密评覆盖范围，将新兴技术应用场景、跨境数据传输相关系统全面纳入评估，强化对关键信息基础设施的密码防护，呼应十五五规划“维护重点领域国家秘密安全”的部署。二是结合十五五规划“强化科技赋能，加强新兴领域国家安全能力建设”的要求，推动密评技术升级，引入人工智能、大数据等技术提升评估精准度和效率，实现“告警日清”“风险闭环管理”，贴合十五五网络安全“实战化防御”的发展方向。三是落实十五五规划“完善网络安全法规体系”要求，进一步细化密评标准规范，衔接信创产业发展，推动密评与信创替代工作协同推进，确保密码应用与自主可控技术体系适配，筑牢网络安全自主防线。

在标准规范层面，十五五开局之年进一步完善密评技术支撑体系，在GB/T-39786《信息安全技术 信息系统密码应用基本要求》的基础上，新增新兴技术场景密码应用评估标准，细化人工智能、大数据、卫星互联网等新场景的密码应用要求，同时优化“量化评估＋风险判定”机制，强化高风险项“一票否决”制，确保密评工作贴合十五五数字化发展的新需求，为密评提质增效提供标准支撑。此外，2026年各地已逐步落实十五五网络安全工作部署，如浙江省明确提出深化关键信息基础设施安全保护，将密评工作纳入年度网络安全重点任务，细化量化考核指标，推动密评工作落地见效。

二、密评项目“为什么”：十五五开局之年的实施必要性与核心价值

2026年作为十五五规划开局之年，密评项目之所以成为网络安全工作的重中之重，核心源于其在落实十五五网络安全战略、保障数字化高质量发展、维护国家和社会利益方面的不可替代的价值，具体可从四个层面理解，与十五五规划部署同频共振。

其一，落实十五五合规要求，规避安全风险。十五五规划明确提出“完善网络安全审查、商用密码应用评估等基础制度”，开展密评已成为重要网络与信息系统运营者落实十五五规划要求、履行法律义务的核心举措。未按要求开展密评，不仅会面临行政处罚，还可能影响系统正常运行、业务开展，甚至影响十五五数字化发展相关任务的落地，密评是运营者规避合规风险、落实国家战略的必然选择。同时，密评也契合十五五“守牢合规红线”的要求，推动政企机构实现安全建设与业务发展同步推进。

其二，强化安全保障，护航十五五数字化转型。十五五规划强调“推动数字化高质量发展”，而密码是保障信息安全、数据安全的核心技术手段。当前网络攻击、数据泄露等安全事件频发，很多安全隐患源于密码应用不规范、不有效——如算法不合规、密钥管理混乱、传输未加密等，这些隐患会严重阻碍数字化转型进程。通过密评，能够精准发现这些潜在隐患，指导运营者优化密码应用方案，提升系统的抗攻击能力，保护敏感信息、国家秘密不被非法获取、篡改或泄露，筑牢网络安全防线，为十五五数字化转型保驾护航，呼应十五五“加强数据安全保护、强化关键信息基础设施防护”的部署。

其三，规范管理行为，提升网络安全治理水平。十五五规划提出“健全网络安全治理体系，提升网络安全治理能力”，密评不仅关注技术层面的密码应用，更注重管理层面的规范落实，要求运营者建立完善的密码管理制度、配备专业人员、落实经费保障，避免密码滥用、误用和泄露等问题。通过密评，能够推动运营者形成标准化、规范化的密码管理体系，提升整体网络安全运营水平，实现“以评促改、以评促建”，助力十五五网络安全治理能力提升，同时推动网络安全投入达标，契合十五五“强化安全投入保障”的导向。

其四，保障业务连续，维护国家和公共利益。十五五规划聚焦“保障国计民生、维护社会稳定”，对于关键信息基础设施、重要信息系统而言，任何安全事件都可能导致业务中断，进而影响国计民生、社会稳定和公民权益。密评能够提前发现密码应用中的薄弱环节，通过整改消除安全隐患，减少安全事件发生的概率和影响程度，保障业务连续性，间接维护国家利益、社会公共利益和公民合法权益，贴合十五五“建设更高水平平安中国”的目标要求。

三、密评项目“是什么”：核心内容与实施流程，适配十五五发展需求

明确了十五五规划导向和政策背景后，进一步拆解密评项目的核心内容与实施流程，更能清晰理解其在十五五开局之年的具体定位和实施要求。密评项目的核心目标是通过专业化评估，发现密码应用中的安全隐患，规范密码使用行为，确保商用密码在信息系统中有效发挥防护作用，其核心评估内容和实施流程均围绕十五五“精准防控、提质增效”的网络安全要求进行优化。

从评估内容来看，密评主要围绕合规性、技术、管理三个维度展开，全面适配十五五网络安全建设需求。合规性要求信息系统使用的密码算法、产品和服务符合《密码法》等法律法规及国家、行业相关标准，契合十五五“完善网络安全法规体系”的要求；技术要求覆盖物理和环境安全（密码设备物理防护）、网络和通信安全（数据传输加密，含跨境数据传输）、设备和计算安全（密码设备安全管理）、应用和数据安全（数据全生命周期加密、密钥管理），同时新增新兴技术场景密码应用评估，呼应十五五“加强新兴领域网络安全防护”的部署；管理要求包括建立完善的密码应用管理制度、配备专业人员、落实经费保障、制定应急处置机制，贴合十五五“健全网络安全责任体系”的要求，其中，技术要求占量化评估的70分，管理要求占30分，形成科学完善的评估体系，确保密评工作精准落地。

从实施流程来看，密评项目结合十五五“高效协同、闭环管理”的要求，优化为七个核心环节：一是项目启动与准备，明确评估对象、范围（含新兴技术场景），制定贴合十五五要求的评估计划，收集系统相关资料；二是密码应用方案评估，审查密码应用设计方案的合规性、合理性，重点核查与信创体系、新兴技术的适配性；三是测评准备，编制项目计划书，准备智能化测评工具和相关资料，提升评估效率；四是现场测评，通过执行测试用例，实地核查密码应用的实际情况，重点排查新兴技术场景的密码安全隐患；五是分析与报告编制，梳理评估数据，识别安全风险，结合十五五安全要求提出针对性整改建议；六是反馈与整改，向运营者反馈评估结果，指导其完成隐患整改并进行验证，实现风险闭环管理；七是复评与持续监控，按照十五五“常态化防控”要求，定期开展复评，建立持续监控机制，及时应对新的安全威胁，确保密码应用持续符合要求。

四、厘清密评的本质与边界，契合十五五安全导向

要理解密评项目在十五五规划中的定位，首先需明确其核心定义与相关关联概念，避免与其他网络安全评估工作混淆，精准把握其在网络安全体系中的专项价值。

网络安全密评项目，全称商用密码应用安全性评估项目，本质是对采用商用密码技术、产品和服务集成建设的网络和信息系统，开展的密码应用合规性、正确性和有效性评估活动。简单来说，密评就是通过系统化、专业化的评估手段，检查信息系统是否按国家要求应用了符合国密标准的密码技术，是否能通过密码防护抵御安全风险，确保密码应用在系统全生命周期中发挥有效作用，这与十五五规划中“强化网络安全技术防护、保障数据安全”的核心导向高度契合。

与网络安全领域常见的等级保护测评（简称“等保”）相比，两者相互补充、各有侧重，共同构成我国网络安全防御体系的重要组成部分，也是十五五规划中网络安全建设的两大核心抓手。等保侧重于对网络信息系统进行整体的安全管理与技术防护评估，覆盖物理安全、网络安全、主机安全等多个维度；而密评则聚焦于商用密码的应用本身，重点评估密码算法选择、密码协议设计、密钥管理以及密码模块的安全性与合规性，是对密码应用专项的深度核查，更是落实十五五规划“关键信息基础设施安全防护”要求的核心举措。

结合十五五规划中“加强新兴领域国家安全能力建设”“强化重点领域国家秘密安全”的部署，密评项目的核心评估对象进一步明确，主要包括基础信息网络、涉及国计民生和基础信息资源的重要信息系统、重要工业控制系统、面向社会服务的政务信息系统，以及关键信息基础设施、网络安全等级保护第三级及以上信息系统，同时将人工智能、大数据等新兴技术应用场景纳入评估范围。只要系统在处理、存储、传输敏感信息时采用了商用密码技术，且其安全性对国家安全、社会稳定、公民权益具有重要影响，均需纳入密评范围，这与十五五规划“全方位筑牢网络安全防线”的要求高度一致。

····