保密资质和保密体系有什么区别？

没有资质的涉密业务企业也要建保密体系

很多做涉密业务的企业，都遇到过同一个困惑：“我们不做需要保密资质的业务，是不是就不用搞保密管理了？”

这个想法，是对《中华人民共和国保守国家秘密法》最典型的误读之一。

2024年修订的《中华人民共和国保守国家秘密》（2024年5月1日施行）和《中华人民共和国保守国家秘密法实施条例》（2024年9月1日施行），把涉密业务企业的管理画成了两条线：一条是保密资质这条准入线，一条是保密体系这条底线。

1先搞清前提：保密法给涉密业务画了两条线

先看保密法第四十一条，它是整个问题的源头。这一条其实分两款：

第一款：从事涉及国家秘密业务的企业事业单位，应当具备相应的保密管理能力，遵守国家保密规定。

第二款：从事国家秘密载体制作、复制、维修、销毁，涉密信息系统集成，武器装备科研生产，或者涉密军事设施建设等涉及国家秘密业务的企业事业单位，应当经过审查批准，取得保密资质。

第一款是面向所有涉密业务企业的普遍义务；第二款只指向四类特定业务，是叠加的特别门槛。

很多人只记住了第二款，恰恰忘了第一款。忘了第一款，就会得出一个错误结论：没有资质，就不用做保密管理。

2保密资质：一条“准入线”，管的是“能不能接”

保密资质在性质上属于法定前置许可，解决的是你有没有资格承接特定涉密业务。它有四个明显特征：

只覆盖四类业务。载体制作、复制、维修、销毁，涉密信息系统集成，武器装备科研生产，涉密军事设施建设——超出这四类，不在资质管理范围内。

须经审查批准。由保密行政管理部门单独或者会同有关部门进行保密审查，取得保密资质（实施条例第四十八条）。

取得后仍受约束。不得超出资质业务种类范围承接业务，不得变造、出卖、出租、出借资质证书，不得将涉密业务转包或分包给无相应资质的单位。

实行年度自检。每年向作出准予行政许可决定的保密行政管理部门报送上一年度自检报告。

一句话：保密资质管的是“能不能进这个门”。

3保密体系：一条“底线”，管的是“接得稳不稳”

保密体系（法律上的表述是“保密管理能力”）是更底层的通用要求。实施条例第四十七条把涉密业务企业的条件列成了七项，核心包括：

在中华人民共和国境内依法成立1年以上的法人

无犯罪记录，近1年内未发生泄密案件

从事涉密业务的人员具有中华人民共和国国籍

保密制度完善，有专门的机构或者人员负责保密工作

用于涉密业务的场所、设施、设备符合国家保密规定和标准

具有从事涉密业务的专业能力

注意这七项条件的设置逻辑：它只要求你从事涉密业务，不要求你取得保密资质。

与此同时，委托方（机关、单位）也有义务：确定密级，签订保密协议，提出保密要求，采取保密措施，实施全过程管理（保密法第四十二条、实施条例第四十九条）。也就是说，即使业务不属于四类资质范围，机关单位委托时也要核验你的业务能力和保密管理能力。

核心关系只有一句话：保密资质不等于保密体系。资质是叠加在体系之上的特别门槛。四类业务企业要资质也要体系；其他涉密业务企业没有资质要求，但体系一条都不能少。

4最容易踩的三个坑

坑一：没有资质，就不用管保密。错。资质只针对四类业务；其他涉密业务照样受保密法第四十一条第1款约束，实施条例第四十七条的七项条件一项不少。

坑二：有资质，就等于保密没问题。错。资质只是“进门”；进门之后还有年度自检、禁止性行为约束和日常保密管理。

坑三：保密协议只是走个形式。错。实施条例第四十九条要求“实施全过程管理”，保密行政管理部门、政府采购监督管理部门都会依法监督检查。

5一份可以照着做的自检清单

即使不需要资质，只要承接涉密业务，建议逐条自查：

l 是否有一部成文的保密管理制度？

l 是否指定了专门的保密机构或保密员？

l 涉密业务人员是否均为中国国籍，是否经过保密审查和教育培训？

l 涉密场所、设施、设备是否符合国家保密规定和标准？

l 是否与委托方签订了保密协议，并逐项落实保密要求？

l 是否建立了涉密载体、涉密信息系统的台账和管理流程？

l 近一年内是否发生过泄密案件或涉密违规问题？

所以，判断一家企业涉密管理是否到位，别只看它有没有资质证书。

先看它有没有资格承接（资质），再看它接得稳不稳（体系）。

资质管的是“能不能进这个门”，体系管的是“进门之后每一步都走得稳”。

对绝大多数涉密业务企业来说，后者才是真正的日常。

若在日常保密管理工作中有任何疑问，或是需要专业咨询、上门现场指导、保密体系梳理等配套服务，均可拨打下方电话咨询。我们将结合单位实际情况，定制实操性解决方案，协助各单位健全内部保密组织管理体系。