商用密码应用安全性评估，是等保和关保制度的重要组成部分，是密码应用与安全管理的重要制度设计。

第二十七条 关键信息基础设施运营者应当使用商用密码进行保护，应当自行或者委托商用密码检测机构开展商用密码应用安全性评估。

第三十七条 关键信息基础设施的运营者，未按照要求开展商用密码应用安全性评估，拒不改正或者导致危害网络安全等后果的 ，处10万元以上100万元以下罚款，对直接负责的主管人员处1 万元以上10万元以下罚款。

密码应用与密评范围：非涉密的关键信息基础设施、网络安全等级保护第三级以上网络、国家政务信息系统等网络与信息系统。

第三十六条 国家支持网络产品、服务使用商用密码提升安全性， 支持并规范商用密码在信息领域新技术、新业态、新模式中的应用。

第三十八条 非涉密的关键信息基础设施、网络安全等级保护第三级以上网络、国家政务信息系统等网络与信息系统，其运营者应当使用使用商用密码进行保护，制定商用密码应用方案，配备必要资金和专业人员，同步规划、同步建设、同步运行商用密码保障系统，自行或者委托商用密码检测机构开展商用密码应用安全性评估。 每年至少评估一次，报送市级密码管理部门。