中華人民共和国サイバーセキュリティ法
中国の法制度については日本語の情報源が少ないが、独立行政法人のものと比較的中立的な情報源は以下の通り。
独立行政法人日本貿易振興機構 『中国「インターネット安全法」に基づく企業コンプライアンスについて』 『中国におけるサイバーセキュリティー法規制にかかわる対策マニュアル(2018年2月)』を公開している。
クララオンライン 『中国版サイバーセキュリティ法の概要』 『取得が広がるセキュリティ等級認定』 『今すぐやろう!サイバーセキュリティ法の概要と対策』 『サイバーセキュリティ法のデータ越境移転にかかる「重要データ」の想定範囲』 『国家標準「ネットワークセキュリティ等級保護 等級評価ガイドライン」の意見募集稿に関する通知』
インターネットイニシアティブ 『徹底解説:中国サイバーセキュリティ・個人情報規制』
第四級:破壊を受けた場合、社会秩序、公共の利益に特に重大な危害を与え、あるいは、国家安全の特に重要なネットワークに重大な危害を与える。
第五級:破壊を受けた場合、国家安全の極めて重要なネットワークに特に重大な危害を与える。
これら定義で「損害」「危害」ともに、通常、「重大な」、「特に重大な」の3段階に重みづけされている。つまり、自社のネットワークセキュリティ・インシデントが、個人・法人・組織に通常の範囲を超えた「重大な損害」を与えるか、国家安全、社会秩序、公共の利益にまで危害を与えないような業態であれば、公安機関による監督管理を受けない。
監督管理対象になる第二級以上の事業者は、社内で等級評価を実施後10営業日以内に県クラス以上の公安機関に報告し、公安機関は報告の受理後10営業日以内にネット安全等級保護登録証明書を交付すると定められている。
同じく監督管理対象になる第三級以上の事業者は、それに加えてさらに8項目からなる安全保護義務や、年一回のネット安全等級査定等の公安機関への報告、政府機関のセキュリティ審査など様々な義務が課される。
中華人民共和国スマートフォン実名登録制(中国人民共和国手机实名制)
中華人民共和国インターネット実名登録制(中国网络实名制)
同法制定後に公開された関連法制度として以下の三つがあるが、いずれもパブリックコメント募集完了または募集中で施行状況は明らかでない。
2017年4月11日公開『個人情報および重要データ輸出セキュリティ評価法(個人信息和重要數據出境安全評估辦法)』
2017年8月30日公開『情報セキュリティ技術 データ輸出セキュリティ評価ガイド(信息安全技術 數據出境安全評估指南)』
2018年6月27日公開『サイバーセキュリティ等級保護条例(網絡安全等級保護条例)』
うち『個人情報と重要データ輸出セキュリティ評価法』はサイバーセキュリティ法に対する行政法規、『情報セキュリティ技術 データ輸出セキュリティ評価ガイド』は国家標準と位置付けられている。
また『サイバーセキュリティ等級保護条例(網絡安全等級保護条例)』は2007年6月22日公布の『情報セキュリティ等級保護管理規則(信息安全等級保護管理辦法)』をサイバーセキュリティ法施行を受けて改正したもので、情報システムのセキュリティ等級を公民、法人、その他組織の権益、国家安全、社会秩序、公共の利益の観点から五段階に分類する基本的な考え方は変わらないが、クラウド、ビッグデータ、人工知能、IoTなど新技術のリスク管理にも言及されている。