Kurzfassung: Nachstehend finden Sie die deutsche Übersetzung von Chinas Verordnung über den Sicherheitsschutz kritischer Informationsinfrastrukturen (关键信息基础设施安全保护条例, Anordnung Nr. 745 des Staatsrats), verkündet am 30. Juli 2021 und in Kraft seit dem 1. September 2021.
Wenn Ihr Unternehmen in Festlandchina als Betreiber kritischer Informationsinfrastruktur (KII) eingestuft wird, ist diese Verordnung die Quelle der schwersten Pflichten im Cybersicherheitsregime des Landes — eine eigene Sicherheitsverwaltungsstelle, jährliche Tests und Risikobewertung, Vorfallmeldung und eine verpflichtende Sicherheitsüberprüfung bestimmter Beschaffungen von Netzwerkprodukten. Erlassen auf Grundlage des Cybersicherheitsgesetzes, definiert sie, was als KII gilt, wie Betreiber identifiziert werden und welche Pflichten sich daraus ergeben; Beschaffungen, die die nationale Sicherheit berühren können, müssen zusätzlich die in den Maßnahmen zur Cybersicherheitsüberprüfung festgelegte Überprüfung bestehen. Weil der KII-Status auch das ist, was einen Betreiber in die Datenlokalisierungsanforderungen hineinzieht, gehört die Bestätigung, ob Sie in den Anwendungsbereich fallen, zu den ersten Fragen, die internationale Unternehmen mit qualifiziertem Rechtsbeistand klären sollten.
Verordnung über den Sicherheitsschutz kritischer Informationsinfrastrukturen (Verkündet am 30. Juli 2021 durch Anordnung Nr. 745 des Staatsrats; in Kraft seit dem 1. September 2021)
Kapitel I — Allgemeine Bestimmungen
Artikel 1. Diese Verordnung wird im Einklang mit dem „Cybersicherheitsgesetz der Volksrepublik China“ formuliert, um die Sicherheit kritischer Informationsinfrastrukturen zu gewährleisten und die Cybersicherheit zu wahren.
Artikel 2. „Kritische Informationsinfrastruktur“ im Sinne dieser Verordnung bezeichnet wichtige Netzwerkeinrichtungen, Informationssysteme und dergleichen in wichtigen Branchen und Bereichen — etwa öffentliche Kommunikation und Informationsdienste, Energie, Verkehr, Wasserwirtschaft, Finanzen, öffentliche Dienste, E-Government und den Sektor Wissenschaft, Technologie und Industrie der Landesverteidigung — sowie andere, die, einmal zerstört, funktionsunfähig gemacht oder einem Datenleck ausgesetzt, die nationale Sicherheit, die Volkswirtschaft und die Lebensgrundlage der Bevölkerung oder das öffentliche Interesse ernsthaft gefährden können.
Artikel 3. Unter der Gesamtkoordinierung der nationalen Cyberspace-Verwaltungsbehörde ist die Behörde für öffentliche Sicherheit des Staatsrats für die Anleitung und Beaufsichtigung der Arbeit zum Sicherheitsschutz kritischer Informationsinfrastrukturen zuständig. Die Telekommunikationsbehörde des Staatsrats und andere einschlägige Behörden sind im Rahmen ihrer jeweiligen Pflichten für den Sicherheitsschutz sowie die Beaufsichtigung und Verwaltung kritischer Informationsinfrastrukturen im Einklang mit dieser Verordnung und den Bestimmungen einschlägiger Gesetze und Verwaltungsvorschriften zuständig.
Die einschlägigen Behörden der Volksregierungen auf Provinzebene führen den Sicherheitsschutz sowie die Beaufsichtigung und Verwaltung kritischer Informationsinfrastrukturen im Einklang mit ihren jeweiligen Pflichten durch.
Artikel 4. Der Sicherheitsschutz kritischer Informationsinfrastrukturen hat an umfassender Koordinierung, Aufgabenteilung und Schutz im Einklang mit dem Gesetz festzuhalten; hat die Hauptverantwortung der Betreiber kritischer Informationsinfrastrukturen (nachstehend „Betreiber“) zu stärken und umzusetzen; und hat die Rollen der Regierung und aller gesellschaftlichen Bereiche beim gemeinsamen Schutz der Sicherheit kritischer Informationsinfrastrukturen voll zur Geltung zu bringen.
Artikel 5. Der Staat setzt einen Schwerpunktschutz kritischer Informationsinfrastrukturen um und ergreift Maßnahmen zur Überwachung, Abwehr und Behandlung von Cybersicherheitsrisiken und -bedrohungen, die sowohl innerhalb als auch außerhalb des Hoheitsgebiets der Volksrepublik China entstehen, um kritische Informationsinfrastrukturen vor Angriff, Eindringen, Störung und Sabotage zu schützen und die rechtswidrigen und kriminellen Tätigkeiten, die die Sicherheit kritischer Informationsinfrastrukturen gefährden, im Einklang mit dem Gesetz zu bestrafen.
Keine Einzelperson oder Organisation darf Tätigkeiten ausüben, die rechtswidrig in kritische Informationsinfrastrukturen eindringen, diese stören oder sabotieren oder die Sicherheit kritischer Informationsinfrastrukturen gefährden.
Artikel 6. Betreiber haben im Einklang mit dieser Verordnung, den Bestimmungen einschlägiger Gesetze und Verwaltungsvorschriften und den zwingenden Anforderungen nationaler Standards und auf der Grundlage des abgestuften Cybersicherheits-Schutzschemas technische Schutzmaßnahmen und andere notwendige Maßnahmen zu ergreifen, um auf Cybersicherheitsvorfälle zu reagieren, Cyberangriffe sowie rechtswidrige und kriminelle Tätigkeiten abzuwehren, den sicheren und stabilen Betrieb kritischer Informationsinfrastrukturen zu gewährleisten und die Integrität, Vertraulichkeit und Verfügbarkeit von Daten zu wahren.
Artikel 7. Einheiten und Einzelpersonen, die bei der Arbeit zum Sicherheitsschutz kritischer Informationsinfrastrukturen bemerkenswerte Ergebnisse erzielen oder herausragende Beiträge leisten, sind im Einklang mit einschlägigen staatlichen Bestimmungen zu würdigen.
Kapitel II — Identifizierung kritischer Informationsinfrastrukturen
Artikel 8. Die zuständigen Behörden sowie die Beaufsichtigungs- und Verwaltungsbehörden der durch Artikel 2 dieser Verordnung erfassten wichtigen Branchen und Bereiche sind die für die Arbeit zum Sicherheitsschutz kritischer Informationsinfrastrukturen zuständigen Behörden (nachstehend „Schutzarbeitsbehörden“).
Artikel 9. Schutzarbeitsbehörden haben unter Berücksichtigung der tatsächlichen Bedingungen ihrer Branche oder ihres Bereichs Regeln für die Identifizierung kritischer Informationsinfrastrukturen zu formulieren und diese bei der Behörde für öffentliche Sicherheit des Staatsrats zur Aufnahme in die Akten zu hinterlegen.
Bei der Formulierung von Identifizierungsregeln sind vorrangig die folgenden Faktoren zu berücksichtigen:
(1) der Grad der Bedeutung der Netzwerkeinrichtungen, Informationssysteme und dergleichen für die Schlüssel- und Kerntätigkeiten dieser Branche oder dieses Bereichs;
(2) der Grad des Schadens, der entstehen kann, sobald die Netzwerkeinrichtungen, Informationssysteme und dergleichen zerstört, funktionsunfähig gemacht oder einem Datenleck ausgesetzt werden;
(3) die damit verbundenen Auswirkungen auf andere Branchen und Bereiche.
Artikel 10. Schutzarbeitsbehörden sind im Einklang mit den Identifizierungsregeln dafür zuständig, die Identifizierung kritischer Informationsinfrastrukturen in ihrer Branche oder ihrem Bereich zu organisieren, die Betreiber umgehend über die Identifizierungsergebnisse zu benachrichtigen und diese der Behörde für öffentliche Sicherheit des Staatsrats zu melden.
Artikel 11. Wo eine kritische Informationsinfrastruktur eine verhältnismäßig wesentliche Änderung erfährt, die das Ergebnis ihrer Identifizierung berühren kann, hat der Betreiber die einschlägigen Umstände umgehend der Schutzarbeitsbehörde zu melden. Die Schutzarbeitsbehörde hat die erneute Identifizierung innerhalb von 3 Monaten ab dem Tag des Eingangs der Meldung abzuschließen, den Betreiber über das Identifizierungsergebnis zu benachrichtigen und es der Behörde für öffentliche Sicherheit des Staatsrats zu melden.
Kapitel III — Verantwortlichkeiten und Pflichten der Betreiber
Artikel 12. Sicherheitsschutzmaßnahmen sind gleichzeitig mit der kritischen Informationsinfrastruktur zu planen, zu errichten und in Betrieb zu nehmen.
Artikel 13. Betreiber haben Cybersicherheits-Schutzsysteme und Verantwortungssysteme zu errichten und zu verbessern und den Einsatz personeller, finanzieller und materieller Ressourcen zu gewährleisten. Der Hauptverantwortliche eines Betreibers trägt die Gesamtverantwortung für den Sicherheitsschutz kritischer Informationsinfrastrukturen, leitet den Sicherheitsschutz kritischer Informationsinfrastrukturen und die Behandlung wesentlicher Cybersicherheitsvorfälle und organisiert die Untersuchung und Lösung wesentlicher Cybersicherheitsprobleme.
Artikel 14. Betreiber haben eine eigene Sicherheitsverwaltungsstelle einzurichten und Sicherheitshintergrundüberprüfungen des Verantwortlichen der eigenen Sicherheitsverwaltungsstelle und des Personals in Schlüsselpositionen durchzuführen. Bei der Durchführung solcher Überprüfungen haben die Organe für öffentliche Sicherheit und die Organe für Staatssicherheit Hilfe zu leisten.
Artikel 15. Die eigene Sicherheitsverwaltungsstelle ist speziell für die Arbeit zum Sicherheitsschutz der kritischen Informationsinfrastruktur ihrer Einheit zuständig und nimmt die folgenden Pflichten wahr:
(1) Errichtung und Verbesserung von Cybersicherheits-Verwaltungs- sowie Evaluierungs- und Bewertungssystemen und Ausarbeitung des Sicherheitsschutzplans für die kritische Informationsinfrastruktur;
(2) Organisation und Förderung der Entwicklung von Cybersicherheits-Schutzfähigkeiten und Durchführung von Cybersicherheitsüberwachung, -tests und -risikobewertung;
(3) Formulierung des eigenen Notfallplans der Einheit im Einklang mit den staatlichen und branchenbezogenen Notfallplänen für Cybersicherheitsvorfälle, regelmäßige Durchführung von Notfallübungen und Behandlung von Cybersicherheitsvorfällen;
(4) Identifizierung von Schlüsselpositionen der Cybersicherheit, Organisation und Durchführung von Bewertungen der Cybersicherheitsarbeit und Unterbreitung von Empfehlungen für Belohnungen und Bestrafungen;
(5) Organisation von Cybersicherheitsbildung und -schulung;
(6) Wahrnehmung der Verantwortung für den Schutz personenbezogener Informationen und die Datensicherheit sowie Errichtung und Verbesserung von Systemen zum Schutz personenbezogener Informationen und der Datensicherheit;
(7) Umsetzung der Sicherheitsverwaltung über Dienste wie Entwurf, Errichtung, Betrieb und Wartung der kritischen Informationsinfrastruktur;
(8) Meldung von Cybersicherheitsvorfällen und wichtigen Angelegenheiten im Einklang mit den Vorschriften.
Artikel 16. Betreiber haben die Betriebsmittel der eigenen Sicherheitsverwaltungsstelle zu gewährleisten und ihr entsprechendes Personal bereitzustellen, und das Personal der eigenen Sicherheitsverwaltungsstelle hat an der Entscheidungsfindung in Bezug auf Cybersicherheit und Informatisierung teilzunehmen.
Artikel 17. Betreiber haben selbst oder durch Beauftragung einer Cybersicherheits-Dienstinstitution mindestens einmal jährlich Cybersicherheitstests und eine Risikobewertung ihrer kritischen Informationsinfrastruktur durchzuführen, festgestellte Sicherheitsprobleme umgehend zu beheben und die Situation wie von der Schutzarbeitsbehörde verlangt zu melden.
Artikel 18. Wenn ein wesentlicher Cybersicherheitsvorfall in einer kritischen Informationsinfrastruktur eintritt oder eine wesentliche Cybersicherheitsbedrohung für sie festgestellt wird, hat der Betreiber dies im Einklang mit einschlägigen Bestimmungen der Schutzarbeitsbehörde und den Organen für öffentliche Sicherheit zu melden.
Wenn ein besonders wesentlicher Cybersicherheitsvorfall eintritt — etwa die vollständige Betriebsunterbrechung oder der Ausfall der Hauptfunktionen kritischer Informationsinfrastrukturen, ein Leck nationaler Basisinformationen oder anderer wichtiger Daten, ein verhältnismäßig großflächiges Leck personenbezogener Informationen, die Verursachung verhältnismäßig großer wirtschaftlicher Verluste oder die verhältnismäßig weitreichende Verbreitung rechtswidriger Informationen — oder eine besonders wesentliche Cybersicherheitsbedrohung festgestellt wird, hat die Schutzarbeitsbehörde dies nach Eingang der Meldung umgehend der nationalen Cyberspace-Verwaltungsbehörde und der Behörde für öffentliche Sicherheit des Staatsrats zu melden.
Artikel 19. Betreiber haben der Beschaffung sicherer und vertrauenswürdiger Netzwerkprodukte und -dienste Vorrang einzuräumen; wo die Beschaffung von Netzwerkprodukten und -diensten die nationale Sicherheit berühren kann, hat sie im Einklang mit den staatlichen Cybersicherheitsbestimmungen eine Sicherheitsüberprüfung zu bestehen.
Artikel 20. Bei der Beschaffung von Netzwerkprodukten und -diensten haben Betreiber im Einklang mit einschlägigen staatlichen Bestimmungen mit dem Anbieter der Netzwerkprodukte und -dienste eine Sicherheits- und Geheimhaltungsvereinbarung zu schließen, die die Pflichten und Verantwortlichkeiten des Anbieters für technischen Support sowie für Sicherheit und Geheimhaltung festlegt, und die Erfüllung dieser Pflichten und Verantwortlichkeiten zu beaufsichtigen.
Artikel 21. Wo ein Betreiber eine Verschmelzung, Spaltung, Auflösung oder dergleichen erfährt, hat er dies umgehend der Schutzarbeitsbehörde zu melden und die kritische Informationsinfrastruktur wie von der Schutzarbeitsbehörde verlangt zu handhaben, um die Sicherheit zu gewährleisten.
Kapitel IV — Gewährleistungen und Förderung
Artikel 22. Schutzarbeitsbehörden haben Sicherheitspläne für kritische Informationsinfrastrukturen in ihrer Branche oder ihrem Bereich zu formulieren, die die Schutzziele, grundlegenden Anforderungen, Arbeitsaufgaben und konkreten Maßnahmen festlegen.
Artikel 23. Die nationale Cyberspace-Verwaltungsbehörde hat die einschlägigen Behörden bei der Errichtung eines Mechanismus zur Weitergabe von Cybersicherheitsinformationen zu koordinieren und Informationen über Cybersicherheitsbedrohungen, Schwachstellen, Vorfälle und dergleichen umgehend zusammenzustellen, zu analysieren und zu bewerten, weiterzugeben und zu veröffentlichen, um die Weitergabe von Cybersicherheitsinformationen unter den einschlägigen Behörden, den Schutzarbeitsbehörden, Betreibern, Cybersicherheits-Dienstinstitutionen und anderen zu fördern.
Artikel 24. Schutzarbeitsbehörden haben ein System zur Cybersicherheitsüberwachung und Frühwarnung für kritische Informationsinfrastrukturen in ihrer Branche oder ihrem Bereich zu errichten und zu verbessern, den Betriebszustand und die Sicherheitslage kritischer Informationsinfrastrukturen in ihrer Branche oder ihrem Bereich zeitnah zu verfolgen, Frühwarnungen und Benachrichtigungen über Cybersicherheitsbedrohungen und verborgene Gefahren herauszugeben und die Durchführung von Sicherheitsvorkehrungen anzuleiten.
Artikel 25. Schutzarbeitsbehörden haben im Einklang mit den Anforderungen des staatlichen Notfallplans für Cybersicherheitsvorfälle Notfallpläne für Cybersicherheitsvorfälle für ihre Branche oder ihren Bereich zu errichten und zu verbessern und regelmäßig Notfallübungen zu organisieren; sie haben die Betreiber bei der Reaktion auf und Behandlung von Cybersicherheitsvorfällen anzuleiten und bei Bedarf die Bereitstellung von technischem Support und Hilfe zu organisieren.
Artikel 26. Schutzarbeitsbehörden haben regelmäßig Cybersicherheitsinspektionen und -tests kritischer Informationsinfrastrukturen in ihrer Branche oder ihrem Bereich zu organisieren und die Betreiber bei der umgehenden Behebung verborgener Sicherheitsgefahren und der Verbesserung von Sicherheitsmaßnahmen anzuleiten und zu beaufsichtigen.
Artikel 27. Die nationale Cyberspace-Verwaltungsbehörde hat die Behörde für öffentliche Sicherheit des Staatsrats und die Schutzarbeitsbehörden bei der Durchführung von Cybersicherheitsinspektionen und -tests kritischer Informationsinfrastrukturen und bei der Unterbreitung von Verbesserungsmaßnahmen zu koordinieren.
Bei der Durchführung von Cybersicherheitsinspektionen kritischer Informationsinfrastrukturen haben die einschlägigen Behörden Koordinierung, Zusammenarbeit und Informationsaustausch zu stärken und unnötige Inspektionen sowie überschneidende, doppelte Inspektionen zu vermeiden. Für die Inspektionsarbeit dürfen keine Gebühren erhoben werden, und von der inspizierten Einheit darf nicht verlangt werden, Produkte oder Dienste einer bestimmten Marke oder von einem bestimmten Hersteller oder Verkäufer zu erwerben.
Artikel 28. Betreiber haben mit der Arbeit der Cybersicherheitsinspektion und -tests kritischer Informationsinfrastrukturen, die von den Schutzarbeitsbehörden durchgeführt wird, sowie mit der Arbeit der Cybersicherheitsinspektion kritischer Informationsinfrastrukturen, die im Einklang mit dem Gesetz von den einschlägigen Behörden für öffentliche Sicherheit, Staatssicherheit, Geheimhaltungsverwaltung, Kryptografieverwaltung und dergleichen durchgeführt wird, mitzuwirken.
Artikel 29. Bei der Arbeit zum Sicherheitsschutz kritischer Informationsinfrastrukturen haben die nationale Cyberspace-Verwaltungsbehörde, die Telekommunikationsbehörde des Staatsrats, die Behörde für öffentliche Sicherheit des Staatsrats und andere nach dem Bedarf der Schutzarbeitsbehörden umgehend technischen Support und Hilfe bereitzustellen.
Artikel 30. Die einschlägigen Behörden wie Cyberspace-Verwaltungsbehörden, Organe für öffentliche Sicherheit und Schutzarbeitsbehörden sowie Cybersicherheits-Dienstinstitutionen und ihr Personal dürfen in der Arbeit zum Sicherheitsschutz kritischer Informationsinfrastrukturen erlangte Informationen nur zum Zweck der Wahrung der Cybersicherheit verwenden und haben die Sicherheit solcher Informationen im Einklang mit den Anforderungen einschlägiger Gesetze und Verwaltungsvorschriften strikt zu gewährleisten; sie dürfen solche Informationen nicht offenlegen, verkaufen oder rechtswidrig an andere bereitstellen.
Artikel 31. Ohne Genehmigung der nationalen Cyberspace-Verwaltungsbehörde oder der Behörde für öffentliche Sicherheit des Staatsrats oder ohne Ermächtigung der Schutzarbeitsbehörde oder des Betreibers darf keine Einzelperson oder Organisation gegen kritische Informationsinfrastrukturen Tätigkeiten wie Schwachstellen-Sondierung oder Penetrationstests ausüben, die die Sicherheit der kritischen Informationsinfrastruktur berühren oder gefährden können. Tätigkeiten wie Schwachstellen-Sondierung und Penetrationstests, die gegen grundlegende Telekommunikationsnetze durchgeführt werden, sind im Voraus der Telekommunikationsbehörde des Staatsrats zu melden.
Artikel 32. Der Staat ergreift Maßnahmen, um dem sicheren Betrieb kritischer Informationsinfrastrukturen in Sektoren wie Energie und Telekommunikation Vorrang einzuräumen.
Die Energie- und Telekommunikationsbranche haben Maßnahmen zu ergreifen, um Schlüsselgewährleistungen für den sicheren Betrieb kritischer Informationsinfrastrukturen in anderen Branchen und Bereichen bereitzustellen.
Artikel 33. Die Organe für öffentliche Sicherheit und die Organe für Staatssicherheit haben im Einklang mit ihren jeweiligen Pflichten und im Einklang mit dem Gesetz die Sicherheitsabwehr kritischer Informationsinfrastrukturen zu stärken und rechtswidrige und kriminelle Tätigkeiten, die gegen kritische Informationsinfrastrukturen gerichtet sind oder diese ausnutzen, abzuwehren und zu bekämpfen.
Artikel 34. Der Staat formuliert und verbessert Sicherheitsstandards für kritische Informationsinfrastrukturen, um die Arbeit zum Sicherheitsschutz kritischer Informationsinfrastrukturen anzuleiten und zu standardisieren.
Artikel 35. Der Staat ergreift Maßnahmen, um spezialisiertes Cybersicherheitspersonal zur Mitarbeit an der Arbeit zum Sicherheitsschutz kritischer Informationsinfrastrukturen zu ermutigen, und nimmt die Schulung des Sicherheitsverwaltungspersonals und des Sicherheitstechnikpersonals der Betreiber in das nationale System der Weiterbildung auf.
Artikel 36. Der Staat unterstützt technologische Innovation und industrielle Entwicklung beim Sicherheitsschutz kritischer Informationsinfrastrukturen und organisiert Kräfte, um Schlüsseltechnologieforschung zur Sicherheit kritischer Informationsinfrastrukturen durchzuführen.
Artikel 37. Der Staat stärkt die Entwicklung und Verwaltung von Cybersicherheits-Dienstinstitutionen, formuliert Verwaltungsanforderungen und stärkt Beaufsichtigung und Anleitung, hebt kontinuierlich die Fähigkeitsniveaus solcher Dienstinstitutionen und bringt ihre Rolle beim Sicherheitsschutz kritischer Informationsinfrastrukturen voll zur Geltung.
Artikel 38. Der Staat stärkt die zivil-militärische Integration in der Cybersicherheit, wobei die militärische und die zivile Seite bei der Sicherung kritischer Informationsinfrastrukturen zusammenarbeiten.
Kapitel V — Rechtliche Haftung
Artikel 39. Wo ein Betreiber einen der folgenden Umstände aufweist, ordnet die zuständige Behörde im Einklang mit ihren Pflichten Korrekturen an und erteilt eine Verwarnung; wo er die Korrektur verweigert oder Folgen wie die Gefährdung der Cybersicherheit eintreten, wird eine Geldbuße von nicht weniger als RMB 100.000 und nicht mehr als RMB 1.000.000 verhängt, und dem unmittelbar verantwortlichen Leiter wird eine Geldbuße von nicht weniger als RMB 10.000 und nicht mehr als RMB 100.000 auferlegt:
(1) Versäumnis, die einschlägigen Umstände umgehend der Schutzarbeitsbehörde zu melden, wenn die kritische Informationsinfrastruktur eine verhältnismäßig wesentliche Änderung erfährt, die das Ergebnis ihrer Identifizierung berühren kann;
(2) Versäumnis, Sicherheitsschutzmaßnahmen gleichzeitig mit der kritischen Informationsinfrastruktur zu planen, zu errichten und in Betrieb zu nehmen;
(3) Versäumnis, Cybersicherheits-Schutzsysteme und Verantwortungssysteme zu errichten und zu verbessern;
(4) Versäumnis, eine eigene Sicherheitsverwaltungsstelle einzurichten;
(5) Versäumnis, Sicherheitshintergrundüberprüfungen des Verantwortlichen der eigenen Sicherheitsverwaltungsstelle und des Personals in Schlüsselpositionen durchzuführen;
(6) Treffen von Entscheidungen in Bezug auf Cybersicherheit und Informatisierung ohne Teilnahme des Personals der eigenen Sicherheitsverwaltungsstelle;
(7) wo die eigene Sicherheitsverwaltungsstelle die in Artikel 15 dieser Verordnung festgelegten Pflichten nicht erfüllt;
(8) Versäumnis, mindestens einmal jährlich Cybersicherheitstests und eine Risikobewertung der kritischen Informationsinfrastruktur durchzuführen, festgestellte Sicherheitsprobleme umgehend zu beheben oder die Situation wie von der Schutzarbeitsbehörde verlangt zu melden;
(9) Beschaffung von Netzwerkprodukten und -diensten, ohne mit dem Anbieter der Netzwerkprodukte und -dienste im Einklang mit einschlägigen staatlichen Bestimmungen eine Sicherheits- und Geheimhaltungsvereinbarung zu schließen;
(10) Verschmelzung, Spaltung, Auflösung oder dergleichen ohne umgehende Meldung an die Schutzarbeitsbehörde oder ohne Handhabung der kritischen Informationsinfrastruktur wie von der Schutzarbeitsbehörde verlangt.
Artikel 40. Wo ein Betreiber, wenn ein wesentlicher Cybersicherheitsvorfall in einer kritischen Informationsinfrastruktur eintritt oder eine wesentliche Cybersicherheitsbedrohung für sie festgestellt wird, dies nicht im Einklang mit einschlägigen Bestimmungen der Schutzarbeitsbehörde und den Organen für öffentliche Sicherheit meldet, ordnen die Schutzarbeitsbehörde und die Organe für öffentliche Sicherheit im Einklang mit ihren Pflichten Korrekturen an und erteilen eine Verwarnung; wo er die Korrektur verweigert oder Folgen wie die Gefährdung der Cybersicherheit eintreten, wird eine Geldbuße von nicht weniger als RMB 100.000 und nicht mehr als RMB 1.000.000 verhängt, und dem unmittelbar verantwortlichen Leiter wird eine Geldbuße von nicht weniger als RMB 10.000 und nicht mehr als RMB 100.000 auferlegt.
Artikel 41. Wo ein Betreiber Netzwerkprodukte und -dienste beschafft, die die nationale Sicherheit berühren können, ohne im Einklang mit den staatlichen Cybersicherheitsbestimmungen eine Sicherheitsüberprüfung zu durchlaufen, ordnen die nationale Cyberspace-Verwaltungsbehörde und andere einschlägige zuständige Behörden im Einklang mit ihren Pflichten Korrekturen an, verhängen eine Geldbuße von nicht weniger als dem Einfachen und nicht mehr als dem Zehnfachen des Beschaffungsbetrags und verhängen gegen den unmittelbar verantwortlichen Leiter und andere unmittelbar verantwortliche Personen eine Geldbuße von nicht weniger als RMB 10.000 und nicht mehr als RMB 100.000.
Artikel 42. Wo ein Betreiber nicht mit der Arbeit der Cybersicherheitsinspektion und -tests kritischer Informationsinfrastrukturen, die von der Schutzarbeitsbehörde durchgeführt wird, oder mit der Arbeit der Cybersicherheitsinspektion kritischer Informationsinfrastrukturen, die im Einklang mit dem Gesetz von den einschlägigen Behörden für öffentliche Sicherheit, Staatssicherheit, Geheimhaltungsverwaltung, Kryptografieverwaltung und dergleichen durchgeführt wird, mitwirkt, ordnet die zuständige Behörde Korrekturen an; wo er die Korrektur verweigert, wird eine Geldbuße von nicht weniger als RMB 50.000 und nicht mehr als RMB 500.000 verhängt, und gegen den unmittelbar verantwortlichen Leiter und andere unmittelbar verantwortliche Personen wird eine Geldbuße von nicht weniger als RMB 10.000 und nicht mehr als RMB 100.000 verhängt; wo die Umstände schwerwiegend sind, wird die entsprechende rechtliche Haftung im Einklang mit dem Gesetz verfolgt.
Artikel 43. Wo Tätigkeiten, die rechtswidrig in kritische Informationsinfrastrukturen eindringen, diese stören oder sabotieren und ihre Sicherheit gefährden, noch keine Straftat darstellen, beschlagnahmen die Organe für öffentliche Sicherheit im Einklang mit den einschlägigen Bestimmungen des „Cybersicherheitsgesetzes der Volksrepublik China“ die rechtswidrigen Gewinne und verhängen einen Gewahrsam von nicht mehr als 5 Tagen und können zudem eine Geldbuße von nicht weniger als RMB 50.000 und nicht mehr als RMB 500.000 verhängen; wo die Umstände verhältnismäßig schwerwiegend sind, wird ein Gewahrsam von nicht weniger als 5 Tagen und nicht mehr als 15 Tagen verhängt, und es kann zudem eine Geldbuße von nicht weniger als RMB 100.000 und nicht mehr als RMB 1.000.000 verhängt werden.
Wo eine Einheit eine im vorstehenden Absatz beschriebene Handlung begeht, beschlagnahmen die Organe für öffentliche Sicherheit die rechtswidrigen Gewinne, verhängen eine Geldbuße von nicht weniger als RMB 100.000 und nicht mehr als RMB 1.000.000 und bestrafen den unmittelbar verantwortlichen Leiter und andere unmittelbar verantwortliche Personen im Einklang mit den Bestimmungen des vorstehenden Absatzes.
Personen, die gegen die Bestimmungen des zweiten Absatzes des Artikels 5 und des Artikels 31 dieser Verordnung verstoßen und eine Strafe der Verwaltung der öffentlichen Sicherheit erhalten, dürfen 5 Jahre lang keine Schlüsselpositionen in der Cybersicherheitsverwaltung oder im Netzwerkbetrieb bekleiden; Personen, die eine strafrechtliche Strafe erhalten, dürfen lebenslang keine Schlüsselpositionen in der Cybersicherheitsverwaltung oder im Netzwerkbetrieb bekleiden.
Artikel 44. Wo Cyberspace-Verwaltungsbehörden, Organe für öffentliche Sicherheit, Schutzarbeitsbehörden und andere einschlägige Behörden und ihr Personal ihre Pflichten für den Sicherheitsschutz sowie die Beaufsichtigung und Verwaltung kritischer Informationsinfrastrukturen nicht erfüllen oder ihre Pflichten vernachlässigen, ihre Befugnisse missbrauchen oder sich zum persönlichen Vorteil in Missbräuche verstricken, werden dem unmittelbar verantwortlichen Leiter und anderen unmittelbar verantwortlichen Personen Sanktionen im Einklang mit dem Gesetz auferlegt.
Artikel 45. Wo die Organe für öffentliche Sicherheit, Schutzarbeitsbehörden und andere einschlägige Behörden im Zuge der Durchführung der Cybersicherheitsinspektionsarbeit an kritischen Informationsinfrastrukturen Gebühren erheben oder von der inspizierten Einheit verlangen, Produkte oder Dienste einer bestimmten Marke oder von einem bestimmten Hersteller oder Verkäufer zu erwerben, ordnet ihr übergeordnetes Organ Korrekturen und die Rückerstattung der erhobenen Gebühren an; wo die Umstände schwerwiegend sind, werden dem unmittelbar verantwortlichen Leiter und anderen unmittelbar verantwortlichen Personen Sanktionen im Einklang mit dem Gesetz auferlegt.
Artikel 46. Wo die einschlägigen Behörden wie Cyberspace-Verwaltungsbehörden, Organe für öffentliche Sicherheit und Schutzarbeitsbehörden oder Cybersicherheits-Dienstinstitutionen und ihr Personal in der Arbeit zum Sicherheitsschutz kritischer Informationsinfrastrukturen erlangte Informationen für andere Zwecke verwenden oder an andere offenlegen, verkaufen oder rechtswidrig bereitstellen, werden dem unmittelbar verantwortlichen Leiter und anderen unmittelbar verantwortlichen Personen Sanktionen im Einklang mit dem Gesetz auferlegt.
Artikel 47. Wo ein wesentlicher oder besonders wesentlicher Cybersicherheitsvorfall in einer kritischen Informationsinfrastruktur eintritt und bei der Untersuchung als haftungsbegründender Vorfall festgestellt wird, ist zusätzlich zur Feststellung und Verfolgung der Haftung des Betreibers im Einklang mit dem Gesetz auch die Haftung der einschlägigen Cybersicherheits-Dienstinstitutionen und einschlägigen Behörden festzustellen, und wo Pflichtvernachlässigung, Pflichtverletzung oder anderes rechtswidriges Verhalten vorliegt, ist die Haftung im Einklang mit dem Gesetz zu verfolgen.
Artikel 48. Wo ein Betreiber einer kritischen Informationsinfrastruktur des E-Government die in dieser Verordnung festgelegten Pflichten zum Cybersicherheitsschutz nicht erfüllt, ist die Angelegenheit im Einklang mit den einschlägigen Bestimmungen des „Cybersicherheitsgesetzes der Volksrepublik China“ zu behandeln.
Artikel 49. Wo ein Verstoß gegen die Bestimmungen dieser Verordnung anderen Schaden zufügt, ist die zivilrechtliche Haftung im Einklang mit dem Gesetz zu tragen.
Wo ein Verstoß gegen die Bestimmungen dieser Verordnung eine Handlung darstellt, die gegen die Verwaltung der öffentlichen Sicherheit verstößt, wird im Einklang mit dem Gesetz eine Strafe der Verwaltung der öffentlichen Sicherheit verhängt; wo er eine Straftat darstellt, wird die strafrechtliche Haftung im Einklang mit dem Gesetz verfolgt.
Kapitel VI — Ergänzende Bestimmungen
Artikel 50. Der Sicherheitsschutz kritischer Informationsinfrastrukturen, die Informationen speichern oder verarbeiten, die Staatsgeheimnisse betreffen, hat zusätzlich den Bestimmungen der Gesetze und Verwaltungsvorschriften über die Geheimhaltung zu entsprechen.
Die Nutzung und Verwaltung von Kryptografie in kritischen Informationsinfrastrukturen hat zusätzlich den Bestimmungen einschlägiger Gesetze und Verwaltungsvorschriften zu entsprechen.
Artikel 51. Diese Verordnung tritt am 1. September 2021 in Kraft.
Abschluss
Das Originaldokument wurde auf Chinesisch vom Staatsrat der Volksrepublik China veröffentlicht; wir haben es ins Deutsche übersetzt, was Sie oben lesen. Diese Übersetzung dient ausschließlich dem schnellen Verständnis und sollte nach eigenem Ermessen und auf eigenes Risiko verwendet werden — bestätigen Sie die aktuellen Anforderungen stets mit qualifiziertem Rechtsbeistand.
Wenn Sie weitere Hilfe von unserem Team benötigen, kontaktieren Sie uns noch heute, und unsere Experten helfen Ihnen, Ihre Präsenz in China von Grund auf konform zu halten.