关键信息基础设施、网络安全等级保护第二级及以上信息系统，每年至少开展一次商用密码应用安全性评估（测评）。