第27条：要求使用商用密码进行保护的关键信息基础设施，其运营者应当使用商用密码进行保护，自行或者委托商用密码检测机构开展商用密码应用安全性评估。

第38、39条：关键信息基础设施，其运营者应当使用商用密码进行保护，制定商用密码应用方案，自行或者委托商用密码检测机构开展商用密码应用安全性评估。

第41条：网络运营者应当按照国家网络安全等级保护制度要求，使用商用密码保护网络安全。国家密码管理部门根据网络的安全保护等级，确定商用密码的使用、管理和应用安全性评估要求，制定网络安全等级保护密码标准规范。

第47条：第三级以上网络运营者应在网络规划、建设和运行阶段，按照密码应用安全性评估管理办法和相关标准，委托密码应用安全性测评机构开展密码应用安全性评估。

网络通过评估后，方可上线运行，并在投入运行后，每年至少组织一次评估。

第25条：政务信息化项目建成后半年内应组织验收，验收报告须有密码应用安全性评估报告。材料验收不合格的，不得通过项目验收。