依据《信息系统密码应用高风险判定指引》，二级及以上的信息系统必须具备密码安全管理制度，否则在密评时会因不具备密码应用安全管理制度而面临高风险。