重要信息系统功能测试完成，服务商希望客户签最终验收、付清尾款，运营者却发现密码应用安全性评估未通过。应先核该系统是否依法需要密评，再分别处理法定上线条件、技术整改与合同款项。完成软件功能，并不自动代表已经满足所有密码应用要求。
先确认系统是否真正落入适用范围
《商用密码应用安全性评估管理办法》针对依法要求使用商用密码保护的重要网络与信息系统设置评估义务。不能只因为一个企业网站提供登录或采用加密，就概括为全部普通网站均须办理同样程序。系统用途、依法确定的范围和适用要求，应有真实材料。
已经依法认定为关键信息基础设施的，还要核2025年8月1日起施行的专门使用管理规定。关基身份不能由供应商自行宣布，也不能仅凭项目名称重要便推定。运营者可要求相应部门和技术人员说明适用依据，合同约定自愿开展评估的又需核其真实范围。
规划、上线和运行的任务分别核对
现行密评办法第七至九条将规划、投入运行前与运行后的工作衔接。规划方案评估未通过，不能作为相应建设依据；正式投入运行前评估不通过，改造期间不得投入运行。不要把已经有一份规划报告，当成实际建成系统也已通过。
投入运行后至少每年开展一次评估，发现问题按规定整改并保障运行安全。这里与上线前限制并非同一句话，不能自行宣布所有运行中问题一律立即停掉全部业务，也不能以已经运行多年为由不再整改。涉及关基方案调整等事项，还需落实对应的重新评估要求。
委托技术工作，不会转走运营者责任
核评估机构是否具备所需资格、受托系统和范围是否一致，以及报告真正对应哪个版本。运营者仍须依法提供必要资料、配合评估和落实措施；开发、集成或运维机构按合同及实际义务协助，不能只约定全部由测评方负责便消除自身责任。
准备拓扑、系统方案、密码产品和服务、运行管理及必要授权资料时，应控制接触范围与安全。不能为了快速拿报告随意交出全部敏感数据、真实密钥或管理员权限；需要什么资料和安全方式，应由有职责的专业主体依法明确。
将报告问题落到交付版本和整改范围
把未通过项与采购技术要求、原方案、实际部署、服务商提交内容和运营者提供条件逐一对应。是产品选择、集成配置、管理制度还是后续环境变化，应依据真实报告和专业意见判断，不能由律师凭截图代替技术结论。
每次整改保留版本、处理人、复核结果与未完成项，不倒签已经通过的验收记录。报告备案与实质评估结果亦不同，按规定提交备案，不等于主管部门已经为系统安全或供应商交付作保证。
付款条件与法定上线条件分别解释
合同可能将功能验收、密评结果、试运行和最终验收设置为不同节点。应按有效约定核哪些价款已经到期、哪些成果尚未交付，以及运营者应提供的配合是否落实，不能一见未通过便无依据拒付所有已完成工作。
相反，服务商承诺交付依法符合要求的系统，也不能只以功能能用要求客户先违规上线。整改费、迟延与损失应核原义务、过错和因果，不把评估机构收费和合同违约金随意合成一项全国固定成本。
用材料明确能否验收和下一步
北碚有实际此类系统采购的企业，可整理适用范围、合同方案、机构报告、问题整改和付款五组材料。评估、等级保护、产品检测认证及依法应有的其他审查，应按各自规则衔接，不能拿其中一张证覆盖全部事项。律师可审合同和程序，技术合格与上线条件仍须按真实规范由相应主体核实。