Umsetzung und Auswirkung der Maßnahmen zur Überprüfung der Cybersicherheit

Die Maßnahmen zur Überprüfung der Cybersicherheit (die „Maßnahmen“) treten am 15. Februar 2022 in Kraft. Die Maßnahmen wurden von der Cyberspace Administration of China („CAC“) verabschiedet und von anderen zuständigen Behörden wie der Staatliche Kommission für Entwicklung und Reform, dem Ministerium für Industrie und Informationstechnologie, dem Ministerium für öffentliche Sicherheit usw. genehmigt und bereits am 28. Dezember 2021 veröffentlicht.

Um Netzprodukte oder -dienste zu erwerben, muss ein Betreiber kritischer Informationsinfrastrukturen mögliche Risiken für die nationale Sicherheit vorhersehen, nachdem diese Produkte oder Dienste in Betrieb genommen wurden. Er meldet dem Büro für die Überprüfung der Cybersicherheit (Office of Cybersecurity Review) alle Netzprodukte oder -dienste, die die nationale Sicherheit berühren oder berühren könnten, zur Überprüfung der Cybersicherheit. Für die Zwecke dieser Maßnahmen bezieht sich der Begriff „Netzprodukte und -dienste“ hauptsächlich auf Kernnetzausrüstungen, wichtige Kommunikationsprodukte, Hochleistungscomputer und -server, Massenspeichergeräte, große Datenbanken und Anwendungssoftware, Cybersicherheitsausrüstungen, Cloud-Computing-Dienste und andere Netzprodukte und -dienste, die einen erheblichen Einfluss auf die Sicherheit kritischer Informationsinfrastrukturen haben.

Führt ein Betreiber einer Online-Plattform Datenverarbeitungstätigkeiten durch, die die nationale Sicherheit berühren oder berühren könnten, so führt er eine Überprüfung der Cybersicherheit im Einklang mit diesen Maßnahmen durch.

Um im Ausland an die Öffentlichkeit zu treten, muss ein Betreiber einer Online-Plattform, der im Besitz der personenbezogenen Daten von mehr als 1 Million Nutzern ist, dies dem Büro für die Überprüfung der Cybersicherheit zur Überprüfung der Cybersicherheit melden.

Um einen Antrag auf Überprüfung der Cybersicherheit zu stellen, muss der Betreiber die folgenden Erklärungsunterlagen einreichen:

Das Büro für die Überprüfung der Cybersicherheit entscheidet innerhalb von 10 Arbeitstagen nach Eingang der Erklärungsunterlagen, ob eine Überprüfung der Cybersicherheit erforderlich ist, und teilt dies dem Betreiber schriftlich mit.

Die Überprüfung der Cybersicherheit konzentriert sich auf die Bewertung der nationalen Sicherheitsrisikofaktoren des betreffenden Objekts oder der betreffenden Situation:

Die Überprüfung der Cybersicherheit besteht aus einer Vorprüfung, die vom Büro für die Überprüfung der Cybersicherheit („Büro“) für einen Zeitraum von 30 bis 45 Arbeitstagen durchgeführt wird. Danach dauert es bis zu 15 Arbeitstage, um auf eine schriftliche Antwort der Mitglieder des Arbeitsmechanismus für die Überprüfung der Cybersicherheit und der zuständigen Behörden zu warten, nachdem diese die Ergebnisse der Vorprüfung und die Vorschläge des Büros erhalten haben („Konsultationsprozess“). In umfassenden Fällen wird das Büro außerdem ein mögliches Sonderprüfungsverfahren von 90 Arbeitstagen einleiten, wenn die Ergebnisse der Vorprüfung und des Konsultationsprozesses nicht übereinstimmen.

Ausländisch investierte Unternehmen, die als Betreiber kritischer Informationsinfrastrukturen in Branchen wie Kommunikations- und Informationsdienste, Energie, Verkehr, Wasserwirtschaft, Finanzen, öffentlicher Dienst usw. eingestuft werden können, müssen diese Maßnahmen strikt befolgen und die Risiken gemäß den für ihre eigene Branche oder ihren eigenen Bereich entwickelten Leitlinien für die Vorabbeurteilung beurteilen, bevor sie den Fall zur Überprüfung einreichen (falls zutreffend). Darüber hinaus sollten ausländisch investierte Unternehmen, die Betreibern kritischer Informationsinfrastrukturen Netzwerkprodukte und -dienste als Zulieferer zur Verfügung stellen, bei der Bereitstellung der erforderlichen Dokumente kooperieren und die Betreiber bei der Ergreifung von Präventiv- und Risikominderungsmaßnahmen gemäß den Anforderungen der Cybersicherheitsüberprüfung unterstützen und sogar die in der Cybersicherheitsüberprüfung eingegangenen Verpflichtungen erfüllen, einschließlich, aber nicht beschränkt auf die Verpflichtung, die Bereitstellung des Produkts oder des Dienstes nicht auszunutzen, um unrechtmäßig Nutzerdaten zu erhalten, die Nutzerausrüstung unrechtmäßig zu kontrollieren und zu manipulieren und die Produktbereitstellung oder die erforderlichen technischen Unterstützungsdienste nicht ohne gerechtfertigte Gründe auszusetzen. Jeder Verstoß gegen diese Maßnahmen wird als Verstoß gegen das Cybersicherheitsgesetz der Volksrepublik China und das Datensicherheitsgesetz der Volksrepublik China angesehen und unterliegt den entsprechenden Haftungsbestimmungen.