通知第08/2008/TT-BNV号关于民用密码产品生产和经营许可证的颁发程序和手续以及民用密码产品的符合标准和符合规范证书的颁发

通知

关于颁发生产、经营商用密码产品许可证和商用密码产品符合标准、符合规范证书的程序和手续的指导意见

--------------------------------

根据越南政府二〇〇八年四月十七日第48/2008/NĐ-CP号法令关于内务部职能、任务、权限和组织结构的规定；

根据越南政府二〇〇七年五月八日第73/2007/NĐ-CP号法令关于研究、生产和使用密码以保护不属于国家机密的信息活动的规定；
经与计划投资部、科学技术部协商一致，内务部就颁发商用密码产品生产、经营许可证和商用密码产品符合标准、符合规范证书的程序和手续指导如下：

第一章 调整范围及适用对象

1. 调整范围本通知指导颁发商用密码产品生产、经营许可证和商用密码产品符合标准、符合规范证书的程序和手续；参与商用密码产品生产、经营活动的组织和个人的责任；负责商用密码管理的机关的责任。

2. 适用对象本通知适用于参与商用密码产品生产、经营活动的组织和个人。

第二章 颁发商用密码产品生产、经营许可证的程序和手续

1. 颁发商用密码产品生产、经营许可证的条件

a) 主体条件：是根据《企业法》成立的企业。

b) 人员条件：

- 商用密码产品生产、经营企业的负责人必须有清晰的背景，具备法律知识能力，毕业于电子通信、信息技术、计算机科学或信息安全专业之一，或者如果毕业于其他专业，则需提供短期信息安全培训证书，并且在信息技术和通信领域至少有五年的工作经验；

- 技术负责人必须有清晰的背景并毕业于电子通信、信息技术、计算机科学或信息安全专业之一；

- 技术人员、管理人员、运营人员、安全人员和服务人员必须签订劳动合同，并具备与其工作相适应的专业技能。

c) 其他保障条件：

- 确保安全、防火防爆和资源环境保护条件；

- 制定可行的技术方案和商业方案，符合商用密码产品的技术标准和质量标准。

2. 提交商用密码产品生产、经营许可证申请的文件应准备两份。每份文件包括：

a) 按照本通知附件I中的表格01提交的商用密码产品生产、经营许可证申请表；

b) 按照本通知附件I中的表格02提交的拟申请生产、经营的商用密码产品和服务目录；

c) 企业的营业执照副本或投资许可证副本；

d) 包括所有领导成员、技术负责人、技术人员、管理人员、运营人员、安全人员和服务人员在内的员工名单，内容包括姓名、出生日期、身份证号码、户籍所在地、专业资格和职位；

đ) 企业负责人的文件和技术负责人的文件，包括：- 经常居住地人民委员会或有权机关确认的简历；- 大学毕业证书复印件（电子通信、信息技术、计算机科学或信息安全专业之一）。对于企业负责人，如果没有上述文凭，则需提交大学学历证书复印件和短期信息安全培训证书复印件。

e) 技术方案文件，包括：- 产品的技术特性、技术参数资料（每个产品的密码技术标准和规范；产品在信息和通信技术系统中的环境和运行条件等）；- 保证商用密码产品和服务安全的技术措施、解决方案、保修和维护方案。

g) 生产、经营方案文件，包括：- 企业将提供的商用密码产品和服务的范围和对象；- 预计生产的商用密码产品数量；- 客户服务和支持系统；- 投资形式。

3. 提交商用密码产品生产、经营许可证申请的文件可以直接递交或通过邮政寄送至以下地址：

社会经济信息安全中心-政府密码局-内务部。地址：河内市东城区宁志堂街62号。电话/传真：04-3775.6896 电子邮件：[email protected]

4. 文件审查

收到商用密码产品生产、经营许可证申请文件后，受理机关负责直接接收文件的审查（直接递交的文件），并在收到邮寄文件后的三个工作日内完成审查（通过邮政寄送的文件）。如文件不完整或不符合要求，受理机关须通知企业补充。

5. 文件审核和颁发许可证

自收到企业提交的完整有效文件之日起十个工作日内，中央机要局应进行文件审查。如需进一步核实企业提供信息是否充分明确，中央机要局可对企业实际情况进行核查。当企业满足本通知第二部分第1款规定的条件时，中央机要局将根据本通知附件I中的表05向企业颁发商用密码产品生产销售许可证。若不具备发证条件，中央机要局将以书面形式通知并说明理由。

6. 商用密码产品生产销售许可证的有效期为五年。如果企业的营业执照或投资许可证失效，则该企业的商用密码产品生产销售许可证自动失效。

7. 旧许可证到期后申请新许可证

在商用密码产品生产销售许可证有效期届满前三十天，希望继续生产销售商用密码产品和服务的企业应提交新许可证申请文件。

新许可证申请文件应准备两份。

每份文件包括：

- 根据本通知附件I中的表01填写的商用密码产品生产销售许可证申请书；

- 如有变更或补充内容；

- 过去五年的生产和销售报告；

- 有效许可证副本及相关文件（如有）。

自收到企业提交的完整有效文件之日起七个工作日内，中央机要局应进行文件审查。如需进一步核实企业提供信息是否充分明确，中央机要局可对企业实际情况进行核查。当企业满足本通知第二部分第1款规定的条件时，中央机要局将根据本通知附件I中的表05向企业颁发商用密码产品生产销售许可证。若不具备发证条件，中央机要局将以书面形式通知并说明理由。

8. 变更或补充已获许可的产品和服务目录内容

在获得许可后，如果企业需要变更或补充其被允许生产的商用密码产品和服务目录内容，应向中央机要局提出变更或补充申请。

变更或补充申请文件应准备两份。

每份文件包括：

- 根据本通知附件I中的表03填写的变更或补充商用密码产品和服务目录许可申请书；

- 本通知附件I；

- 根据本通知附件I中的表02填写的申请变更或补充许可的商用密码产品和服务目录；

- 符合申请变更或补充许可内容的技术方案文件；

- 符合申请变更或补充许可内容的生产和销售方案文件。

自收到完整有效的申请文件之日起七个工作日内，中央机要局应作出关于变更或补充已获许可内容的决定，并根据本通知附件I中的表06向企业发出决定书。若不具备作出上述决定的条件，中央机要局将以书面形式通知并说明理由。

9. 补发丢失、损坏或因营业执照变更而需更换的许可证

a) 补发丢失的许可证

如果许可证丢失，企业必须向最近的公安机关报案，并书面通知中央机要局，同时提交一份补发许可证的申请文件。申请文件包括：

- 根据本通知附件I中的表04填写的补发许可证申请书；

- 公安机关出具的丢失许可证报案确认书。

b) 补发损坏的许可证

如果许可证损坏，企业应向中央机要局提交一份补发许可证的申请文件。申请文件包括：

- 根据本通知附件I中的表04填写的补发许可证申请书；

- 已损坏的许可证原件。

c) 因营业执照变更而补发许可证

如果企业变更了营业执照，企业必须向中央机要局提交一份申请补发商用密码产品和服务生产销售许可证的申请文件。申请文件包括：

- 根据本通知附件I中的表04填写的补发许可证申请书；

- 新营业执照的合法副本，

- 正在使用的许可证原件。如变更企业负责人（法定代表人），除上述补发申请文件外，企业还须提交一份新的企业负责人的申请文件，包括：

- 经所在街道办事处或乡政府确认的个人简历，或由有权机构确认的个人简历；

- 合法的大学学位证书复印件，专业为电子通信、信息技术、计算机科学或信息安全之一。（如无上述任何专业学位证书，则提交合法的大学学位证书复印件和合法的信息安全短期培训证书复印件）。

d) 自收到完整有效的申请文件之日起七个工作日内，中央机要局应对申请进行审核并补发许可证，补发的许可证格式见本通知附件I中的表05。如因原许可证损坏而补发，则补发的许可证编号与原损坏许可证编号相同；如因原许可证丢失而补发，则补发的许可证编号为新编号。补发的许可证上应注明补发次数和补发日期。

10. 收回许可证

中央机要局应在符合国务院令第73号第十四条第一款规定的情况下，根据本通知附件I中的表07作出收回已发放许可证的决定。

国务院机要局根据国务院令第73号第十四条第一款的规定作出决定，收回已颁发的许可证，并使用本通知附件一中的表格07。

自决定收回许可证生效之日起，企业必须停止与客户签订合同。自决定收回许可证生效之日起三十日内，企业必须处理完毕与客户商定的所有提供密码产品的服务合同，并根据法律规定赔偿损失（如有）。

自被收回商用密码产品生产、经营许可证之日起三个月后，如符合国务院令第73号令第10条规定的条件，则企业有权重新申请商用密码产品生产、经营许可证。手续同新申请。

11. 企业可以通过电子网络在网址http://www.bis.gov.vn提交商用密码产品生产、经营许可证的申请或重新申请，或者提交变更、补充许可目录内容的申请。在这种情况下，经审查申请材料后，国家密码管理局将通知法定代表人需要修改和补充的内容（如有）。企业必须按照本通知的规定提交一份纸质原件以供国家密码管理局核对并存档。

12. 许可费用按照财政部的规定执行。

三、商用密码产品合格证、合规证的办理程序。

国家密码管理局负责检查、评估和颁发商用密码产品的合规证书。当组织或个人有要求时，国家密码管理局会颁发商用密码产品的合格证书。合格证、合规证的办理程序如下：

1. 商用密码产品合格证、合规证的申请材料应准备三份。每份材料包括：

a) 按照本通知附件III发布的格式01填写的商用密码产品合格证申请表，或按照本通知附件III发布的格式02填写的商用密码产品合规证申请表；

b) 对于个人，提交有效的身份证或护照复印件；对于企业，提交有效的营业执照副本复印件；对于组织，提交成立决定书复印件；

c) 产品技术资料的有效中文翻译件，包括：产品来源文件、技术特性、技术参数、适用的技术标准/规范、试验方法（如有）、业务解决方案、技术说明、使用手册、产品外观照片、软件安装和使用指南及其他相关文件。

对于已经通过国内或国外机构检测和评估的产品，需提交检测和评估结果的有效中文翻译件。

d) 样品

（在评估和认证过程结束后，样品将保存在认证机构。对于硬件样品，在组织或个人请求退还时，认证机构将退还给该组织或个人；退还的样品必须由认证机构封存并记录交接情况。）

2. 商用密码产品合格证、合规证的申请材料可以直接提交或邮寄至以下地址：

社会经济信息安全中心-政府密码局-内务部。地址：河内市东城区宁志堂街62号。电话/传真：04-3775.6896 电子邮件：[email protected]

3. 材料审核

在收到组织或个人提交的商用密码产品合格证、合规证申请材料后，认证机构应在三个工作日内完成审核。如果材料不完整或不符合规定，认证机构将以书面形式通知申请人补充材料。

4. 合格性检测、评估及合格证、合规证的颁发期限

在收到有效申请材料后的三个工作日内，认证机构将材料转交检测机构。检测机构应在收到有效申请材料后的二十个工作日内完成产品检测和评估，并将结果报告提交给认证机构。认证机构在收到检测机构报告后的七个工作日内，将审查并决定是否颁发合格证或合规证。拒绝颁发时，认证机构将以书面形式通知并说明理由。

特殊情况下，检测、评估、颁发或拒绝颁发合格证、合规证的时间可以延长，但不得超过六个月。认证机构有责任以书面形式向申请人通报原因。

5. 如有必要，认证机构有权要求组织或个人提供额外的技术文件、解决方案、设备和环境以满足检测机构的要求。

6. 合格性评估、检测、认证费用以及合格证、合规证的颁发费用按照财政部的规定执行。

7. 商用密码产品合格证、合规证及其合格标志样本按照本通知附件III发布的格式03、04、05颁发；合规标志按照科技部2007年第24号部长决定（2007年9月28日发布）的规定和指导进行颁发。

IV. 主体参与民用密码产品生产、经营活动的责任

1. 民用密码产品生产、经营企业有责任：

a) 管理技术方案和生产技术的档案资料；

b) 在生产和经营过程中采取安全措施，保管民用密码产品；

c) 对民用密码产品的质量和服务承担法律责任；遵守国家管理机关关于合格评定、符合性声明的规定，并公布其生产的民用密码产品的合格评定结果和符合性声明；

d) 根据国家有关机关的要求，在紧急情况下暂停或停止提供民用密码产品和服务以保障国家安全；

e) 配合并为有权机关执行业务措施提供便利，如有法律规定的要求；

e) 按照本通知附件二发布的《范本01》签订合同；

g) 不向不同客户提供相同的密码产品及其系统密钥；

h) 对需要使用电子认证系统的密码产品，企业必须遵守并指导客户遵守服务提供商关于电子认证服务的规定；

i) 维修、修理并保修企业提供给客户的民用密码产品；

k) 保存并保密客户的个人信息以及企业提供的系统密钥信息，按照双方签署的合同，保存期限为五年，除非客户另有要求；

l) 每半年或每年通过书面形式向国家密码管理局报告民用密码产品的生产和经营情况及客户信息汇总，根据本通知附件二发布的《范本02》，半年度报告应在六月三十日前提交，年度报告应在十二月三十一日前提交；

m) 履行其他法律规定的责任。

2. 使用民用密码产品的组织和个人有责任：

a) 遵守与提供民用密码产品的企业达成的协议：密码密钥管理、转让、维修、保养民用密码产品及其他相关约定；

b) 配合并为有权机关执行确保密码安全、信息安全、防止非法获取信息和密码犯罪以及将民用密码产品用于非法目的的措施提供便利；

c) 购买民用密码产品和服务时，组织和个人必须按照本通知附件二发布的《范本01》签订合同；

d) 对自身违反法律法规或允许他人利用民用密码产品和服务进行违法活动的行为承担法律责任。

（e）履行法律法规规定的其他义务；

V. 许可和认证机构在管理许可和认证民用密码产品中的责任

1. 许可机构在管理许可民用密码产品生产、经营中的责任

a) 接收并审查企业的申请，颁发新的、更新或撤销民用密码产品生产、经营许可证，按照本通知第二部分的规定进行；

b) 保护申请生产、经营民用密码产品和服务许可的档案资料和其他由企业提供的信息的安全；

c) 检查民用密码产品生产、经营场所，处理违规行为，解决关于民用密码产品生产、经营的投诉和举报。

2. 认证机构在管理认证民用密码产品合格评定和符合性声明中的责任

a) 接收并审查申请，评估并颁发民用密码产品合格证书，有效期不超过三年，按照本通知第三部分的规定进行；

b) 向获得合格评定的组织和个人授予使用合格标志的权利，并按照本通知附件三发布的《范本05》指导使用方法；

向获得符合性声明的组织和个人授予使用符合性标志的权利。符合性标志按照科学技术部2007年9月28日发布的第24号决定（2007年第24号科学技术部长决定）规定的样式发放；

c) 当组织和个人严重违反合格评定和符合性声明规定时，收回合格证书、符合性声明、合格标志和符合性标志使用权；

d) 确保合格评定和符合性声明活动的客观性和公正性，不得为申请合格评定和符合性声明的组织和个人提供咨询服务；

e) 监督已获得合格评定和符合性声明的民用密码产品，确保其持续符合相应标准和规范；

f) 保护在合格评定和符合性声明过程中收集的信息的安全；

g) 在适当的媒体上公开发布合格评定和符合性声明证书的发放和收回情况，以及合格标志和符合性标志的使用权限；

h) 制定并指导国家质量标准和技术规范，报有权机关批准。

VI. 组织实施

1. 国家密码管理局负责牵头与相关部门和地方合作实施本通知

2. 本通知自发布之日起十五日后生效

3. 在执行过程中如遇问题，请及时反映至民政部以便审议和解决。