Kurzfassung: Nachstehend finden Sie die deutsche Übersetzung von Chinas Kryptografiegesetz (中华人民共和国密码法, Präsidialanordnung Nr. 35), verkündet am 26. Oktober 2019 und in Kraft seit dem 1. Januar 2020.
Für ein ausländisches Unternehmen ist dies das Gesetz hinter einer wiederkehrenden Frage: Unterliegen meine Verschlüsselung, mein Sicherheitstool für verschlüsselte Verbindungen, mein TLS-prüfendes Gateway oder mein Endpunkt-Sicherheitsprodukt chinesischen Kontrollen? Das Kryptografiegesetz beantwortet sie, indem es Kryptografie in Kern-Kryptografie und gewöhnliche Kryptografie einteilt, die Staatsgeheimnisinformationen schützen (Artikel 7–8), und kommerzielle Kryptografie, die alles abdeckt, was kein Staatsgeheimnis ist (Artikel 8) — und kommerzielle Kryptografie ist die Stufe, die gewöhnliche kommerzielle Produkte und Dienste erreicht. Für diese Stufe legt das Gesetz Einfuhrlizenzierung und Ausfuhrkontrolle fest (Artikel 28) und, für Produkte, die die nationale Sicherheit oder das öffentliche Interesse betreffen, Tests und Zertifizierung, bevor sie verkauft oder bereitgestellt werden dürfen (Artikel 26), während Betreiber kritischer Informationsinfrastruktur einem weiteren Sicherheitsüberprüfungsweg gegenüberstehen (Artikel 27). Es untermauert das Cybersicherheitsgesetz und das Datensicherheitsgesetz und wirkt neben ihnen, auf die es wiederholt querverweist. Weil die Frage, ob ein bestimmtes Produkt oder ein bestimmter Dienst in diese Kontrollen fällt, von einer tatsachenspezifischen Klassifizierung abhängt, behandeln Sie dies als etwas, das mit qualifiziertem Rechtsbeistand zu bestätigen ist, statt es selbst einzuschätzen.
Kryptografiegesetz der Volksrepublik China (Angenommen am 26. Oktober 2019 auf der 14. Sitzung des Ständigen Ausschusses des 13. Nationalen Volkskongresses; in Kraft seit dem 1. Januar 2020)
Kapitel I Allgemeine Bestimmungen
Artikel 1. Dieses Gesetz wird formuliert, um die Anwendung und Verwaltung von Kryptografie zu regulieren, die Entwicklung der Kryptografie-Sache zu fördern, die Netzwerk- und Informationssicherheit zu wahren, die nationale Sicherheit und das öffentliche Interesse zu wahren und die legitimen Rechte und Interessen von Bürgern, juristischen Personen und anderen Organisationen zu schützen.
Artikel 2. Im Sinne dieses Gesetzes bezeichnet „Kryptografie“ die Technologien, Produkte und Dienste, die spezifische Transformationsmethoden nutzen, um an Informationen und dergleichen Verschlüsselungsschutz und Sicherheitsauthentifizierung durchzuführen.
Artikel 3. Die Kryptografie-Arbeit hat an einer ganzheitlichen Sicht der nationalen Sicherheit festzuhalten und den Grundsätzen der einheitlichen Führung und abgestuften Verantwortung, der innovativen Entwicklung und des Dienstes an der Gesamtlage und der rechtsbasierten Verwaltung und Wahrung der Sicherheit zu folgen.
Artikel 4. Die Führung der Kommunistischen Partei Chinas über die Kryptografie-Arbeit ist aufrechtzuerhalten. Das zentrale Leitungsgremium für die Kryptografie-Arbeit übt die einheitliche Führung über die Kryptografie-Arbeit im ganzen Land aus, formuliert wesentliche Leitlinien und Richtlinien für die nationale Kryptografie-Arbeit, koordiniert wesentliche Angelegenheiten und wichtige Arbeit zur nationalen Kryptografie in integrierter Weise und treibt die Entwicklung der Rechtsstaatlichkeit in der nationalen Kryptografie voran.
Artikel 5. Die staatliche Kryptografieverwaltungsbehörde ist für die Verwaltung der Kryptografie-Arbeit im ganzen Land zuständig. Lokale Kryptografieverwaltungsbehörden auf allen Ebenen auf oder oberhalb der Kreisebene sind für die Verwaltung der Kryptografie-Arbeit innerhalb ihrer jeweiligen Verwaltungsregionen zuständig.
Staatliche Organe und Einheiten, die an der Kryptografie-Arbeit beteiligt sind, sind im Rahmen ihrer Pflichten für die Kryptografie-Arbeit ihres eigenen Organs, ihrer eigenen Einheit oder ihres eigenen Systems verantwortlich.
Artikel 6. Der Staat wendet eine klassifizierte Verwaltung auf Kryptografie an.
Kryptografie wird in Kern-Kryptografie, gewöhnliche Kryptografie und kommerzielle Kryptografie unterteilt.
Artikel 7. Kern-Kryptografie und gewöhnliche Kryptografie werden zum Schutz von Staatsgeheimnisinformationen genutzt. Die höchste Geheimhaltungsstufe der durch Kern-Kryptografie geschützten Informationen ist „streng geheim“, und die höchste Geheimhaltungsstufe der durch gewöhnliche Kryptografie geschützten Informationen ist „geheim“.
Kern-Kryptografie und gewöhnliche Kryptografie sind selbst Staatsgeheimnisse. Die Kryptografieverwaltungsbehörden wenden im Einklang mit diesem Gesetz und einschlägigen Gesetzen, Verwaltungsvorschriften und einschlägigen staatlichen Bestimmungen eine strenge und einheitliche Verwaltung auf Kern-Kryptografie und gewöhnliche Kryptografie an.
Artikel 8. Kommerzielle Kryptografie wird zum Schutz von Informationen genutzt, die kein Staatsgeheimnis sind.
Bürger, juristische Personen und andere Organisationen können kommerzielle Kryptografie nach dem Gesetz nutzen, um die Netzwerk- und Informationssicherheit zu schützen.
Artikel 9. Der Staat ermutigt und unterstützt die Erforschung und Anwendung kryptografischer Wissenschaft und Technologie, schützt die Rechte des geistigen Eigentums im Bereich der Kryptografie nach dem Gesetz und fördert den Fortschritt und die Innovation kryptografischer Wissenschaft und Technologie.
Der Staat stärkt die Ausbildung von Kryptografie-Fachkräften und den Aufbau seiner Belegschaft und würdigt und belohnt im Einklang mit einschlägigen staatlichen Bestimmungen Organisationen und Einzelpersonen, die herausragende Beiträge in der Kryptografie-Arbeit geleistet haben.
Artikel 10. Der Staat stärkt die Bildung zur Kryptografie-Sicherheit durch verschiedene Formen, nimmt die Bildung zur Kryptografie-Sicherheit in das nationale Bildungssystem und das Bildungs- und Schulungssystem für Beamte auf und stärkt das Bewusstsein für Kryptografie-Sicherheit von Bürgern, juristischen Personen und anderen Organisationen.
Artikel 11. Volksregierungen auf oder oberhalb der Kreisebene haben die Kryptografie-Arbeit in ihre wirtschaftlichen und sozialen Entwicklungspläne auf der entsprechenden Ebene aufzunehmen und die notwendigen Mittel in ihre Haushalte auf der entsprechenden Ebene aufzunehmen.
Artikel 12. Keine Organisation oder Einzelperson darf Informationen stehlen, die andere durch Verschlüsselung geschützt haben, oder rechtswidrig in die Kryptografie-Schutzsysteme anderer eindringen.
Keine Organisation oder Einzelperson darf Kryptografie nutzen, um rechtswidrige oder kriminelle Tätigkeiten auszuüben, die die nationale Sicherheit, das öffentliche Interesse oder die legitimen Rechte und Interessen anderer gefährden.
Kapitel II Kern-Kryptografie und gewöhnliche Kryptografie
Artikel 13. Der Staat stärkt die wissenschaftliche Planung, Verwaltung und Nutzung von Kern-Kryptografie und gewöhnlicher Kryptografie, stärkt die institutionelle Entwicklung, verbessert die Verwaltungsmaßnahmen und stärkt die Fähigkeiten zur Gewährleistung der Kryptografie-Sicherheit.
Artikel 14. Staatsgeheimnisinformationen, die über drahtgebundene und drahtlose Kommunikation übertragen werden, und Informationssysteme, die Staatsgeheimnisinformationen speichern oder verarbeiten, haben im Einklang mit Gesetzen, Verwaltungsvorschriften und einschlägigen staatlichen Bestimmungen Kern-Kryptografie und gewöhnliche Kryptografie für Verschlüsselungsschutz und Sicherheitsauthentifizierung zu nutzen.
Artikel 15. Institutionen, die an Arbeiten wie der Erforschung, Produktion, dem Dienst, der Prüfung, der Ausrüstung, der Nutzung und der Zerstörung von Kern-Kryptografie und gewöhnlicher Kryptografie beteiligt sind (nachstehend gemeinsam „Kryptografie-Arbeitsinstitutionen“), haben im Einklang mit den Anforderungen der Gesetze, Verwaltungsvorschriften, einschlägigen staatlichen Bestimmungen und der Standards für Kern-Kryptografie und gewöhnliche Kryptografie Sicherheitsverwaltungssysteme zu errichten und zu verbessern und strenge Geheimhaltungsmaßnahmen und ein Geheimhaltungs-Verantwortungssystem zu übernehmen, um die Sicherheit von Kern-Kryptografie und gewöhnlicher Kryptografie zu gewährleisten.
Artikel 16. Die Kryptografieverwaltungsbehörden haben im Einklang mit dem Gesetz die Kern-Kryptografie- und gewöhnliche-Kryptografie-Arbeit der Kryptografie-Arbeitsinstitutionen anzuleiten, zu beaufsichtigen und zu inspizieren, und die Kryptografie-Arbeitsinstitutionen haben mitzuwirken.
Artikel 17. Die Kryptografieverwaltungsbehörden haben nach dem Bedarf ihrer Arbeit und zusammen mit den einschlägigen Behörden kollaborative Mechanismen für Kern-Kryptografie und gewöhnliche Kryptografie zu errichten, etwa Sicherheitsüberwachung und Frühwarnung, Sicherheitsrisikobewertung, Informationsbenachrichtigung, Konsultation zu wesentlichen Angelegenheiten und Notfallreaktion, um sicherzustellen, dass die Sicherheitsverwaltung von Kern-Kryptografie und gewöhnlicher Kryptografie koordiniert, geordnet und effizient ist.
Wo eine Kryptografie-Arbeitsinstitution ein Leck von Kern-Kryptografie oder gewöhnlicher Kryptografie oder ein wesentliches Problem oder latentes Risiko entdeckt, das die Sicherheit von Kern-Kryptografie oder gewöhnlicher Kryptografie beeinträchtigt, hat sie unverzüglich Reaktionsmaßnahmen zu ergreifen und umgehend der Geheimhaltungsverwaltungsbehörde und der Kryptografieverwaltungsbehörde zu berichten; die Geheimhaltungsverwaltungsbehörde und die Kryptografieverwaltungsbehörde haben zusammen mit den einschlägigen Behörden eine Untersuchung und Behandlung zu organisieren und durchzuführen und die einschlägige Kryptografie-Arbeitsinstitution anzuleiten, das Sicherheitsrisiko zeitnah zu beseitigen.
Artikel 18. Der Staat stärkt die Entwicklung von Kryptografie-Arbeitsinstitutionen und wahrt die Wahrnehmung ihrer Pflichten.
Der Staat errichtet Personalverwaltungssysteme, die an die Bedürfnisse der Kern-Kryptografie- und gewöhnliche-Kryptografie-Arbeit angepasst sind und Angelegenheiten wie Anwerbung, Auswahl und Versetzung, Geheimhaltung, Beurteilung, Schulung, Vergütung, Belohnungen und Strafen, Austausch und Ausscheiden abdecken.
Artikel 19. Wo es für ihre Arbeit notwendig ist, können die Kryptografieverwaltungsbehörden im Einklang mit einschlägigen staatlichen Bestimmungen Behörden wie öffentliche Sicherheit, Verkehr und Zoll ersuchen, Erleichterungen wie die Befreiung von der Inspektion für Artikel und Personal im Zusammenhang mit Kern-Kryptografie und gewöhnlicher Kryptografie bereitzustellen, und die einschlägigen Behörden haben Hilfe zu leisten.
Artikel 20. Die Kryptografieverwaltungsbehörden und Kryptografie-Arbeitsinstitutionen haben strenge Beaufsichtigungs- und Sicherheitsüberprüfungssysteme zu errichten und zu verbessern, die Einhaltung von Gesetzen und Disziplin durch ihr Personal und dergleichen zu beaufsichtigen und notwendige Maßnahmen nach dem Gesetz zu ergreifen, um regelmäßig oder unregelmäßig Sicherheitsüberprüfungen zu organisieren und durchzuführen.
Kapitel III Kommerzielle Kryptografie
Artikel 21. Der Staat ermutigt die Erforschung und Entwicklung, den akademischen Austausch, die Transformation von Errungenschaften und die Förderung und Anwendung kommerzieller Kryptografie-Technologie; verbessert ein einheitliches, offenes, wettbewerbsfähiges und geordnetes Marktsystem für kommerzielle Kryptografie; und ermutigt und fördert die Entwicklung der Branche der kommerziellen Kryptografie.
Volksregierungen auf allen Ebenen und ihre einschlägigen Behörden haben dem Grundsatz der Nichtdiskriminierung zu folgen und nach dem Gesetz die Einheiten gleich zu behandeln, die an der Erforschung, Produktion, dem Verkauf, dem Dienst und der Ein- und Ausfuhr kommerzieller Kryptografie beteiligt sind, einschließlich ausländisch investierter Unternehmen (nachstehend gemeinsam „kommerzielle Kryptografie-Praktikereinheiten“). Der Staat ermutigt dazu, kommerzielle Kryptografie-Technologiekooperationen im Zuge ausländischer Investitionen auf Grundlage des Grundsatzes der Freiwilligkeit und kommerzieller Regeln durchzuführen. Verwaltungsorgane und ihr Personal dürfen keine Verwaltungsmittel nutzen, um die Übertragung kommerzieller Kryptografie-Technologie zu erzwingen.
Die Erforschung, Produktion, der Verkauf, der Dienst und die Ein- und Ausfuhr kommerzieller Kryptografie dürfen weder die nationale Sicherheit, das öffentliche Interesse noch die legitimen Rechte und Interessen anderer schädigen.
Artikel 22. Der Staat errichtet und verbessert das Standardsystem für kommerzielle Kryptografie.
Die Standardisierungsverwaltungsbehörde des Staatsrats und die staatliche Kryptografieverwaltungsbehörde organisieren im Einklang mit ihren jeweiligen Pflichten die Formulierung nationaler Standards und Branchenstandards für kommerzielle Kryptografie.
Der Staat unterstützt gesellschaftliche Organisationen und Unternehmen bei der Nutzung eigenständig innovierter Technologie zur Formulierung von Gruppenstandards und Unternehmensstandards für kommerzielle Kryptografie, deren einschlägige technische Anforderungen höher sind als die nationalen und Branchenstandards.
Artikel 23. Der Staat fördert die Teilnahme an internationalen Standardisierungsaktivitäten für kommerzielle Kryptografie, beteiligt sich an der Formulierung internationaler Standards für kommerzielle Kryptografie und treibt die Umwandlung und Anwendung zwischen Chinas Standards und ausländischen Standards für kommerzielle Kryptografie voran.
Der Staat ermutigt Unternehmen, gesellschaftliche Organisationen und Bildungs- und wissenschaftliche Forschungseinrichtungen unter anderem, an internationalen Standardisierungsaktivitäten für kommerzielle Kryptografie teilzunehmen.
Artikel 24. Wo eine kommerzielle Kryptografie-Praktikereinheit kommerzielle Kryptografie-Tätigkeiten ausübt, hat sie den technischen Anforderungen der einschlägigen Gesetze, Verwaltungsvorschriften, der zwingenden nationalen Standards für kommerzielle Kryptografie und der von dieser Praktikereinheit öffentlich offengelegten Standards zu entsprechen.
Der Staat ermutigt kommerzielle Kryptografie-Praktikereinheiten, die empfohlenen nationalen Standards und Branchenstandards für kommerzielle Kryptografie zu übernehmen, um die Schutzfähigkeit kommerzieller Kryptografie zu stärken und die legitimen Rechte und Interessen der Nutzer zu wahren.
Artikel 25. Der Staat treibt die Entwicklung des Prüf- und Zertifizierungssystems für kommerzielle Kryptografie voran, formuliert technische Spezifikationen und Regeln für die Prüfung und Zertifizierung kommerzieller Kryptografie und ermutigt kommerzielle Kryptografie-Praktikereinheiten, sich freiwillig einer Prüfung und Zertifizierung kommerzieller Kryptografie zu unterziehen, um ihre Marktwettbewerbsfähigkeit zu stärken.
Prüf- und Zertifizierungsinstitutionen für kommerzielle Kryptografie haben die einschlägigen Qualifikationen nach dem Gesetz zu erlangen und die Prüfung und Zertifizierung kommerzieller Kryptografie im Einklang mit den Bestimmungen der Gesetze und Verwaltungsvorschriften und den technischen Spezifikationen und Regeln für die Prüfung und Zertifizierung kommerzieller Kryptografie durchzuführen.
Prüf- und Zertifizierungsinstitutionen für kommerzielle Kryptografie tragen eine Geheimhaltungspflicht in Bezug auf die Staatsgeheimnisse und Geschäftsgeheimnisse, von denen sie im Zuge der Prüfung und Zertifizierung kommerzieller Kryptografie Kenntnis erlangen.
Artikel 26. Kommerzielle Kryptografie-Produkte, die die nationale Sicherheit, die Volkswirtschaft und die Lebensgrundlage der Bevölkerung oder das öffentliche Interesse betreffen, sind nach dem Gesetz in den Katalog kritischer Netzwerkausrüstung und spezialisierter Cybersicherheitsprodukte aufzunehmen und dürfen erst verkauft oder bereitgestellt werden, nachdem sie von einer qualifizierten Institution als tauglich geprüft und zertifiziert wurden. Die Prüfung und Zertifizierung kommerzieller Kryptografie-Produkte hat die einschlägigen Bestimmungen des Cybersicherheitsgesetzes der Volksrepublik China anzuwenden, um doppelte Prüfung und Zertifizierung zu vermeiden.
Wo ein kommerzieller Kryptografie-Dienst kritische Netzwerkausrüstung oder spezialisierte Cybersicherheitsprodukte nutzt, hat dieser kommerzielle Kryptografie-Dienst von einer Zertifizierungsinstitution für kommerzielle Kryptografie als tauglich zertifiziert zu werden.
Artikel 27. Für kritische Informationsinfrastruktur, die Gesetze, Verwaltungsvorschriften und einschlägige staatliche Bestimmungen unter Nutzung kommerzieller Kryptografie zu schützen verlangen, hat der Betreiber kommerzielle Kryptografie zum Schutz zu nutzen und selbst oder durch Beauftragung einer Prüfinstitution für kommerzielle Kryptografie eine Sicherheitsbewertung der Anwendung kommerzieller Kryptografie durchzuführen. Die Sicherheitsbewertung der Anwendung kommerzieller Kryptografie ist mit der Sicherheitsprüfung und -bewertung kritischer Informationsinfrastruktur und mit dem System der abgestuften Cybersicherheitsschutz-Evaluierung zu verknüpfen, um doppelte Bewertung und Evaluierung zu vermeiden.
Wo ein Betreiber kritischer Informationsinfrastruktur Netzwerkprodukte und -dienste erwirbt, die kommerzielle Kryptografie betreffen und die die nationale Sicherheit berühren können, hat er im Einklang mit den Bestimmungen des Cybersicherheitsgesetzes der Volksrepublik China die von der staatlichen Cyberspace-Verwaltungsbehörde zusammen mit der staatlichen Kryptografieverwaltungsbehörde und anderen einschlägigen Behörden organisierte nationale Sicherheitsüberprüfung zu bestehen.
Artikel 28. Die zuständige Handelsbehörde des Staatsrats und die staatliche Kryptografieverwaltungsbehörde haben nach dem Gesetz eine Einfuhrlizenzierung auf kommerzielle Kryptografie zu verhängen, die die nationale Sicherheit oder das öffentliche Interesse betrifft und Verschlüsselungsschutzfunktionen hat, und eine Ausfuhrkontrolle auf kommerzielle Kryptografie zu verhängen, die die nationale Sicherheit, das öffentliche Interesse oder die von China übernommenen internationalen Verpflichtungen betrifft. Die Einfuhrlizenzierungsliste und die Ausfuhrkontrollliste für kommerzielle Kryptografie werden von der zuständigen Handelsbehörde des Staatsrats zusammen mit der staatlichen Kryptografieverwaltungsbehörde und der Allgemeinen Zollverwaltung formuliert und veröffentlicht.
Kommerzielle Kryptografie, die in Massenkonsumprodukten genutzt wird, unterliegt nicht den Systemen der Einfuhrlizenzierung und Ausfuhrkontrolle.
Artikel 29. Die staatliche Kryptografieverwaltungsbehörde hat Institutionen zu akkreditieren, die kommerzielle Kryptografie-Technologie nutzen, um elektronische Zertifizierungsdienste für E-Government auszuüben, und ist zusammen mit den einschlägigen Behörden für die Verwaltung der Nutzung elektronischer Signaturen und Datennachrichten in Regierungsangelegenheitstätigkeiten zuständig.
Artikel 30. Branchenverbände und andere Organisationen im Bereich der kommerziellen Kryptografie haben im Einklang mit Gesetzen, Verwaltungsvorschriften und ihren eigenen Satzungen Dienste wie Information, Technologie und Schulung für kommerzielle Kryptografie-Praktikereinheiten bereitzustellen; kommerzielle Kryptografie-Praktikereinheiten anzuleiten und anzuhalten, kommerzielle Kryptografie-Tätigkeiten nach dem Gesetz auszuüben; die Selbstregulierung der Branche zu stärken; den Aufbau der Branchenintegrität zu fördern; und die gesunde Entwicklung der Branche zu fördern.
Artikel 31. Die Kryptografieverwaltungsbehörden und die einschlägigen Behörden haben ein prozessbegleitendes und nachträgliches Beaufsichtigungssystem für kommerzielle Kryptografie zu errichten, das routinemäßige Beaufsichtigung mit Stichprobenkontrollen verbindet, eine einheitliche Informationsplattform für die Beaufsichtigung und Verwaltung kommerzieller Kryptografie zu errichten, die Verknüpfung der prozessbegleitenden und nachträglichen Beaufsichtigung mit dem Sozialkreditsystem voranzutreiben und die Selbstregulierung kommerzieller Kryptografie-Praktikereinheiten und die gesellschaftliche Aufsicht zu stärken.
Die Kryptografieverwaltungsbehörden und die einschlägigen Behörden und ihr Personal dürfen von kommerziellen Kryptografie-Praktikereinheiten oder Prüf- und Zertifizierungsinstitutionen für kommerzielle Kryptografie nicht verlangen, ihnen kryptografiebezogene proprietäre Informationen wie Quellcode offenzulegen, und haben die Geschäftsgeheimnisse und die persönliche Privatsphäre, von denen sie im Zuge der Wahrnehmung ihrer Pflichten Kenntnis erlangen, streng vertraulich zu behandeln und dürfen solche Informationen nicht weitergeben oder rechtswidrig an andere bereitstellen.
Kapitel IV Rechtliche Haftung
Artikel 32. Wer unter Verstoß gegen die Bestimmungen des Artikels 12 dieses Gesetzes Informationen stiehlt, die andere durch Verschlüsselung geschützt haben, rechtswidrig in die Kryptografie-Schutzsysteme anderer eindringt oder Kryptografie nutzt, um rechtswidrige Tätigkeiten auszuüben, die die nationale Sicherheit, das öffentliche Interesse oder die legitimen Rechte und Interessen anderer gefährden, wird von den einschlägigen Behörden im Einklang mit den Bestimmungen des Cybersicherheitsgesetzes der Volksrepublik China und anderer einschlägiger Gesetze und Verwaltungsvorschriften rechtlich zur Verantwortung gezogen.
Artikel 33. Wer unter Verstoß gegen die Bestimmungen des Artikels 14 dieses Gesetzes Kern-Kryptografie oder gewöhnliche Kryptografie nicht wie verlangt nutzt, wird von der Kryptografieverwaltungsbehörde angewiesen, Korrekturen vorzunehmen oder das rechtswidrige Verhalten einzustellen, und erhält eine Verwarnung; wo die Umstände schwerwiegend sind, hat die Kryptografieverwaltungsbehörde dem einschlägigen Staatsorgan oder der einschlägigen Einheit zu empfehlen, dem unmittelbar verantwortlichen Leiter und anderen unmittelbar verantwortlichen Personen nach dem Gesetz Sanktionen oder eine andere Behandlung aufzuerlegen.
Artikel 34. Wo unter Verstoß gegen die Bestimmungen dieses Gesetzes ein Fall des Lecks von Kern-Kryptografie oder gewöhnlicher Kryptografie eintritt, haben die Geheimhaltungsverwaltungsbehörde und die Kryptografieverwaltungsbehörde dem einschlägigen Staatsorgan oder der einschlägigen Einheit zu empfehlen, dem unmittelbar verantwortlichen Leiter und anderen unmittelbar verantwortlichen Personen nach dem Gesetz Sanktionen oder eine andere Behandlung aufzuerlegen.
Wo unter Verstoß gegen die Bestimmungen des zweiten Absatzes des Artikels 17 dieses Gesetzes ein Leck von Kern-Kryptografie oder gewöhnlicher Kryptografie oder ein wesentliches Problem oder latentes Risiko, das die Sicherheit von Kern-Kryptografie oder gewöhnlicher Kryptografie beeinträchtigt, entdeckt wird, aber nicht unverzüglich Reaktionsmaßnahmen ergriffen werden oder kein rechtzeitiger Bericht erfolgt, haben die Geheimhaltungsverwaltungsbehörde und die Kryptografieverwaltungsbehörde dem einschlägigen Staatsorgan oder der einschlägigen Einheit zu empfehlen, dem unmittelbar verantwortlichen Leiter und anderen unmittelbar verantwortlichen Personen nach dem Gesetz Sanktionen oder eine andere Behandlung aufzuerlegen.
Artikel 35. Wo eine Prüf- oder Zertifizierungsinstitution für kommerzielle Kryptografie die Prüfung oder Zertifizierung kommerzieller Kryptografie unter Verstoß gegen die Bestimmungen des zweiten und dritten Absatzes des Artikels 25 dieses Gesetzes durchführt, hat die Marktregulierungsbehörde zusammen mit der Kryptografieverwaltungsbehörde sie anzuweisen, Korrekturen vorzunehmen oder das rechtswidrige Verhalten einzustellen, ihr eine Verwarnung zu erteilen und ihre rechtswidrigen Gewinne zu beschlagnahmen; wo die rechtswidrigen Gewinne RMB 300.000 oder mehr betragen, kann zudem eine Geldbuße von nicht weniger als dem Einfachen, aber nicht mehr als dem Dreifachen der rechtswidrigen Gewinne verhängt werden; wo es keine rechtswidrigen Gewinne gibt oder die rechtswidrigen Gewinne weniger als RMB 300.000 betragen, kann zudem eine Geldbuße von nicht weniger als RMB 100.000, aber nicht mehr als RMB 300.000 verhängt werden; wo die Umstände schwerwiegend sind, ist die einschlägige Qualifikation nach dem Gesetz zu widerrufen.
Artikel 36. Wer unter Verstoß gegen die Bestimmungen des Artikels 26 dieses Gesetzes kommerzielle Kryptografie-Produkte verkauft oder bereitstellt, die nicht geprüft und zertifiziert wurden oder die die Prüfung und Zertifizierung nicht bestanden haben, oder kommerzielle Kryptografie-Dienste bereitstellt, die nicht zertifiziert wurden oder die die Zertifizierung nicht bestanden haben, wird von der Marktregulierungsbehörde zusammen mit der Kryptografieverwaltungsbehörde angewiesen, Korrekturen vorzunehmen oder das rechtswidrige Verhalten einzustellen, erhält eine Verwarnung und lässt sich die rechtswidrigen Produkte und rechtswidrigen Gewinne beschlagnahmen; wo die rechtswidrigen Gewinne RMB 100.000 oder mehr betragen, kann zudem eine Geldbuße von nicht weniger als dem Einfachen, aber nicht mehr als dem Dreifachen der rechtswidrigen Gewinne verhängt werden; wo es keine rechtswidrigen Gewinne gibt oder die rechtswidrigen Gewinne weniger als RMB 100.000 betragen, kann zudem eine Geldbuße von nicht weniger als RMB 30.000, aber nicht mehr als RMB 100.000 verhängt werden.
Artikel 37. Wo ein Betreiber kritischer Informationsinfrastruktur unter Verstoß gegen die Bestimmungen des ersten Absatzes des Artikels 27 dieses Gesetzes kommerzielle Kryptografie nicht wie verlangt nutzt oder eine Sicherheitsbewertung der Anwendung kommerzieller Kryptografie nicht wie verlangt durchführt, hat die Kryptografieverwaltungsbehörde ihn anzuweisen, Korrekturen vorzunehmen, und ihm eine Verwarnung zu erteilen; wo er Korrekturen verweigert oder Folgen wie die Schädigung der Cybersicherheit eintreten, wird eine Geldbuße von nicht weniger als RMB 100.000, aber nicht mehr als RMB 1 Million verhängt, und dem unmittelbar verantwortlichen Leiter wird eine Geldbuße von nicht weniger als RMB 10.000, aber nicht mehr als RMB 100.000 auferlegt.
Wo ein Betreiber kritischer Informationsinfrastruktur unter Verstoß gegen die Bestimmungen des zweiten Absatzes des Artikels 27 dieses Gesetzes ein Produkt oder einen Dienst nutzt, das bzw. der keiner Sicherheitsüberprüfung unterzogen wurde oder eine Sicherheitsüberprüfung nicht bestanden hat, hat die einschlägige zuständige Behörde ihn anzuweisen, die Nutzung des Produkts oder Dienstes einzustellen, und eine Geldbuße von nicht weniger als dem Einfachen, aber nicht mehr als dem Zehnfachen des Kaufbetrags zu verhängen; und dem unmittelbar verantwortlichen Leiter und anderen unmittelbar verantwortlichen Personen wird eine Geldbuße von nicht weniger als RMB 10.000, aber nicht mehr als RMB 100.000 auferlegt.
Artikel 38. Wer kommerzielle Kryptografie unter Verstoß gegen die Bestimmungen des Artikels 28 dieses Gesetzes über Einfuhrlizenzierung und Ausfuhrkontrolle ein- oder ausführt, wird von der zuständigen Handelsbehörde des Staatsrats oder vom Zoll nach dem Gesetz bestraft.
Artikel 39. Wer unter Verstoß gegen die Bestimmungen des Artikels 29 dieses Gesetzes elektronische Zertifizierungsdienste für E-Government ohne Akkreditierung ausübt, wird von der Kryptografieverwaltungsbehörde angewiesen, Korrekturen vorzunehmen oder das rechtswidrige Verhalten einzustellen, erhält eine Verwarnung und lässt sich die rechtswidrigen Produkte und rechtswidrigen Gewinne beschlagnahmen; wo die rechtswidrigen Gewinne RMB 300.000 oder mehr betragen, kann zudem eine Geldbuße von nicht weniger als dem Einfachen, aber nicht mehr als dem Dreifachen der rechtswidrigen Gewinne verhängt werden; wo es keine rechtswidrigen Gewinne gibt oder die rechtswidrigen Gewinne weniger als RMB 300.000 betragen, kann zudem eine Geldbuße von nicht weniger als RMB 100.000, aber nicht mehr als RMB 300.000 verhängt werden.
Artikel 40. Wo ein Mitarbeiter der Kryptografieverwaltungsbehörden oder der einschlägigen Behörden oder Einheiten in der Kryptografie-Arbeit seine Macht missbraucht, seine Pflichten vernachlässigt oder sich zum persönlichen Vorteil in Missbräuche verstrickt oder Geschäftsgeheimnisse oder persönliche Privatsphäre, von denen er im Zuge der Wahrnehmung seiner Pflichten Kenntnis erlangt hat, weitergibt oder rechtswidrig an andere bereitstellt, ist nach dem Gesetz eine Sanktion zu verhängen.
Artikel 41. Wer gegen die Bestimmungen dieses Gesetzes verstößt und eine Straftat begeht, wird nach dem Gesetz strafrechtlich zur Verantwortung gezogen; wer anderen Schaden zufügt, trägt die zivilrechtliche Haftung nach dem Gesetz.
Kapitel V Ergänzende Bestimmungen
Artikel 42. Die staatliche Kryptografieverwaltungsbehörde hat im Einklang mit den Bestimmungen der Gesetze und Verwaltungsvorschriften Kryptografie-Verwaltungsregeln zu formulieren.
Artikel 43. Die Maßnahmen zur Verwaltung der Kryptografie-Arbeit der Chinesischen Volksbefreiungsarmee und der Chinesischen Bewaffneten Volkspolizei werden von der Zentralen Militärkommission im Einklang mit diesem Gesetz formuliert.
Artikel 44. Dieses Gesetz tritt am 1. Januar 2020 in Kraft.
Primärquelle: 《中华人民共和国密码法》（主席令第35号）, Volltext veröffentlicht vom Nationalen Volkskongress: npc.gov.cn. Die detaillierten Regeln für kommerzielle Kryptografie sind in der Verordnung zur Verwaltung kommerzieller Kryptografie (Anordnung Nr. 760 des Staatsrats, in revidierter Fassung, in Kraft seit 1. Juli 2023) festgelegt, die hier nicht wiedergegeben wird.
Diese Übersetzung ist unsere und wird ausschließlich zur Orientierung bereitgestellt. Wo das Deutsche und das Chinesische voneinander abweichen, ist das Chinesische maßgeblich. Diese Seite ist keine Rechtsberatung; bestätigen Sie Ihre Position mit qualifiziertem Rechtsbeistand.