密评（商用密码应用安全性评估）是检验网络与信息系统密码使用合规性、正确性和有效性的专业测评活动，它与等保（网络安全等级保护）是两项独立但紧密关联的合规动作，等保解决“安全基线”问题，密评解决“密码应用”问题。
密评是什么？先理解它解决的问题
很多刚接触合规工作的朋友，第一次听到“密评”这个词都会愣一下它和等保听起来确实很像，都是检查，都有关联,但它们的着力点完全不一样。
密评全称商用密码应用安全性评估，依据《中华人民共和国密码法》及《商用密码应用安全性评估管理办法》开展，简单说，它检查的是你的系统里“密码技术用得对不对、合不合规”。
这里说的“密码”，不是我们平时登录账号输的密码口令，而是指密码算法、密码协议、密钥管理等密码技术，举个实际场景：系统里的用户数据传输时是不是用了合规的加密算法？存储敏感数据时有没有做加密保护？密钥的生成和保管有没有建立完整机制？这些都是密评的检查对象。
行业共识认为,密评的核心价值在于三件事：
- 合规性：系统使用的密码算法和产品是否列入国家密码管理局的合规目录
- 正确性：密码技术是否按照国家标准和行业规范正确使用
- 有效性：密码技术是否真正起到了应有的安全防护作用
而“等保”即网络安全等级保护，它的关注点是整个系统的安全防护能力，覆盖物理安全、网络安全、主机安全、应用安全、数据安全等多个维度,密码技术只是其中一个检查项。
密评和等保的核心区别在哪
要搞清楚两者关系,先做一个直观对比：
| 对比维度 | 密评（商用密码应用安全性评估） | 等保（网络安全等级保护） |
|---|---|---|
| 法律依据 | 《密码法》 | 《网络安全法》 |
| 主管部门 | 国家密码管理局 | 公安部 |
| 测评对象 | 密码应用情况（算法、协议、密钥、产品） | 系统整体安全防护能力 |
| 核心标准 | GM/T 0054、GB/T 39786 | GB/T 22239 |
| 覆盖范围 | 仅密码相关技术和管理 | 物理、网络、主机、应用、数据等全领域 |
| 定级方式 | 与被测系统等保级别一致 | 自主定级+专家评审+公安备案 |
| 结果判定 | 符合、基本符合、不符合 | 优、良、中、差 |
从这张表能清晰看到，密评和等保的“管辖范围”天然不同，一个系统可以等保评级很高，但密评仍然不达标因为它可能用了不满足合规要求的加密算法，或者在密钥管理上存在明显漏洞。等保是安全基线的“总检查”，密评是密码专项的“深检查”。
举个例子，某政务系统在等保测评中拿到了不错的分数，但密评发现它的数据传输使用了国际算法而未采用国密算法，这就属于严重不符项,这种情况在密评实践中并不少见。
密评和等保在实际执行中如何协同
理解了差异之后,再看它们在落地层面的关系。
定级备案是两者的共同起点
等保要求系统先完成定级备案，然后才能开展后面的测评，密评的级别划分和等保保持一致你做的是等保三级系统，那么密评也按三级标准执行，这一点很重要,因为密评的测评指标和检查项是根据系统等级动态调整的。
实际操作中，多数省份的要求是：先过等保定级备案，再做密评，因为密评的测评依据（GB/T 39786）本身就是按等级分章节的,系统的等保级别决定了密评的具体评估范围。
密评和等保的测评结论互相引用
通过等保测评不代表密评自动通过，同样，通过密评也不代表等保没有任何问题，但在实际执行过程中,两者可以互相借鉴材料：
- 等保测评的安全管理体系文档（策略、制度、操作规程）可以直接复用于密评的合规性检查
- 密评的密码应用方案和整改记录，可以在等保测评中作为密码专项的评估证据
- 两类测评共用一套资产清单和网络拓扑，前期准备可以合并开展
时间线上谁先谁后
业内专家指出，从实操角度来看，密评和等保测评可以同步开展，甚至一同进场，很多测评机构同时具备等保测评和密评的资质，可以在一次现场检查中同时完成两类测评工作,减少重复沟通成本。
但需要注意：密评整改通常比等保整改更复杂，比如一个系统要把原本使用的国际算法迁移到国密算法，涉及代码改造和硬件替换，往往需要数周甚至数月的周期，如果项目时间比较紧张，建议先把密码应用合规做在前面,等保层面很多问题反而会迎刃而解。
哪些单位需要做密评？费用多少？
从法规要求来看,下列系统属于密评范围：
- 关键信息基础设施（CII），范围涵盖能源、交通、金融、政务、医疗等重点行业
- 等保三级及以上系统，这是目前明确要求完成密评的主流范围
- 国家政务信息系统和政务云平台
- 各省市另有明确规定的其他系统
关于密评费用，这是很多企业关心的问题，实际情况是，密评的收费标准因地区和系统复杂度差异较大，大多数情况下一次三级系统的密评费用在3万-8万元区间，二级系统大致在2万-5万元区间，政务系统的密评往往通过政府采购流程确定价格,企业自建系统则需要和测评机构直接谈价。
一个需要了解的现实判断：相比等保测评，密评的通过难度更高，原因在于很多系统在建设初期没有充分考虑密码应用合规，后续改造会涉及架构调整，整改成本远大于测评本身，新建系统建议在需求分析阶段就融入密评要求,而不是等建设完成后再来补救。
密评怎么做：流程与操作要点
密评的完整流程大致分为五个阶段：
- 系统定级与备案：先完成等保定级备案，明确系统等级，确定密评的适用标准
- 选择测评机构：需要确认机构在国家密码管理局公布的《商用密码应用安全性评估机构目录》内
- 编制测评方案：测评机构进场后，先梳理系统密码应用的现状，制定详细测评方案
- 现场测评与检测：包括技术检测（算法验证、协议分析、密钥管理检查）和管理检查（制度、人员、应急处置）
- 出具测评报告：给出“符合”“基本符合”“不符合”的结论，基本符合和不符合都需要整改后复评
系统过密评的若干实操建议
结合近年来密评项目的实际经验,以下几点值得注意：
密码产品和算法合规性是最常见的不符合项。 检查你的系统里是否使用了国密算法（SM2、SM3、SM4），是否采用了国家密码管理局批准使用的密码芯片和密码模块，如果还在使用国际算法且没有迁移计划,密评基本无法通过。
密钥管理是另一个高频问题。 很多系统对密钥的存储和使用缺乏完整机制，比如密钥明文保存在数据库中、没有定期轮换机制、没有密钥备份和恢复方案,这些问题在密评检查中几乎必被提出。
密码应用方案先行，新建系统建议先编制《商用密码应用方案》，明确系统各个层面使用的密码技术和产品，再进入开发阶段,这是目前提升密评通过率最有效的方式。
还有一种情况需要注意：系统托管在云平台上，云平台一般会提供密码服务和密钥管理能力，但使用方仍需确认这些服务是否满足密评要求，不能想当然认为“云上就天然合规”。
密评和等保的未来趋势
从政策走向来看，密码合规的热度还在提升，2026年施行的《商用密码应用安全性评估管理办法》进一步细化了密评的实施要求，包括评估频次（一般每年一次）、整改时限等具体规定。
在监管实践上，密评结果正在成为行业审批、项目验收、预算申请等场景的硬性参考，政府采购和招投标活动中，具备密评合格报告的企业在资质评审中占有更明显优势，行业共识认为，未来几年密评会逐步向等保一样成为网络安全合规的“标配动作”。
企业应对的关键是在系统全生命周期内绑定密码合规意识，从设计、开发、上线、运维各阶段持续满足密评要求,而非把密评当作一次性检查任务来应付。
密评和等保常见疑问解答
问：通过了等保三级测评，还需要再做密评吗？
需要，等保测评和密评是两套独立的合规要求，法律依据不同、测评标准不同、检查内容也不同，等保通过只说明系统整体安全能力达标，不代表密码应用符合《密码法》要求，实际工作中,等保通过但密评不达标的情况非常普遍。
问：密评不合格会有什么后果？
根据《密码法》第四十九条，关键信息基础设施的运营者未按照要求使用密码进行保护、未开展密评或经评估不符合要求的，由密码管理部门责令改正，给予警告；拒不改正或导致危害后果的，处一定数额罚款，对直接负责的主管人员处以相应罚款，除了法律后果，密评不合格还会影响系统后续的项目验收、风险评估和行业年检。
问：除了北上广深之外，其他地区的企业开展密评方便吗？
目前全国多数省份已经建立了具备密评资质的测评机构，二线城市和部分三线城市也能找到本地或就近的测评服务团队，企业可以通过所在地省、市密码管理局官网查询已备案的测评机构名单，也可以委托具备相关资质的安全服务厂商统筹安排，密评的技术要求全国一致，测评结果的权威性由测评机构资质决定,与机构所在地无关。