TLDR; Nachstehend finden Sie die englisch übersetzte Fassung von Chinas Cybersicherheitsgesetz (网络安全法), angenommen am 7. November 2016 vom Ständigen Ausschuss des Nationalen Volkskongresses und novelliert am 28. Oktober 2025.
Das Cybersicherheitsgesetz ist das grundlegende Gesetz dafür, wie Netze in Festlandchina errichtet, betrieben und abgesichert werden. Es begründet das mehrstufige Schutzsystem (MLPS, „abgestufter Schutz“), das jeder Netzbetreiber erfüllen muss, legt Betreibern kritischer Informationsinfrastruktur strengere Pflichten und Datenlokalisierungsregeln auf und stellt Basisregeln für den Umgang mit personenbezogenen Daten auf. Ein Großteil von Chinas späterem Datenregime geht darauf zurück — das Datensicherheitsgesetz, das Gesetz zum Schutz personenbezogener Daten (PIPL) und die Maßnahmen zur Cybersicherheitsüberprüfung bauen allesamt auf dem hier gelegten Rahmen auf —, sodass jedes internationale Unternehmen, das eine Website, App oder einen Dienst betreibt, der Nutzer in China erreicht, mit qualifiziertem Rechtsbeistand klären sollte, wie seine Vorkehrungen auf diese Anforderungen abzubilden sind.
Hinweis zur Artikelnummerierung. Die Novelle vom 28. Oktober 2025 (in Kraft seit 1. Januar 2026) fügte mehrere neue Artikel ein und nummerierte spätere Vorschriften um. Die Datenlokalisierungspflicht für Betreiber kritischer Informationsinfrastruktur — wonach im Festland erhobene personenbezogene Daten und wichtige Daten im Festland zu speichern sind — war Artikel 37 im ursprünglichen Text von 2016 und ist nun Artikel 39. Ältere Leitlinien und englischsprachige Kommentare, die vor der Novelle verfasst wurden, zitieren weiterhin Artikel 37; es handelt sich um dieselbe Pflicht, nur umnummeriert.
Cybersicherheitsgesetz der Volksrepublik China (angenommen am 7. November 2016 vom Ständigen Ausschuss des 12. Nationalen Volkskongresses; novelliert durch den Beschluss des Ständigen Ausschusses des 14. Nationalen Volkskongresses vom 28. Oktober 2025)
Kapitel I — Allgemeine Bestimmungen
Artikel 1. Dieses Gesetz wird erlassen, um die Cybersicherheit zu gewährleisten, die Souveränität im Cyberspace sowie die nationale Sicherheit und das öffentliche Interesse der Gesellschaft zu wahren, die rechtmäßigen Rechte und Interessen von Bürgern, juristischen Personen und anderen Organisationen zu schützen und die gesunde Entwicklung der Informatisierung von Wirtschaft und Gesellschaft zu fördern.
Artikel 2. Dieses Gesetz gilt für die Errichtung, den Betrieb, die Wartung und die Nutzung von Netzen innerhalb des Hoheitsgebiets der Volksrepublik China sowie für die Aufsicht und Verwaltung der Cybersicherheit.
Artikel 3. Die Arbeit zur Cybersicherheit folgt der Führung der Kommunistischen Partei Chinas, setzt die ganzheitliche Sicht der nationalen Sicherheit um, bringt Entwicklung und Sicherheit in Einklang und treibt den Aufbau des Landes zu einer Macht im Cyberspace voran.
Artikel 4. Der Staat misst Cybersicherheit und Informatisierungsentwicklung gleichermaßen Bedeutung bei; er folgt der Leitlinie der aktiven Nutzung, der wissenschaftlichen Entwicklung, der Verwaltung nach dem Recht und der Gewährleistung der Sicherheit; er treibt den Aufbau von Netzinfrastruktur und Vernetzung voran, fördert Innovation bei und Anwendung von Netztechnik, unterstützt die Heranbildung von Fachkräften für Cybersicherheit, errichtet und verbessert das Sicherungssystem für Cybersicherheit und steigert die Fähigkeit zum Schutz der Cybersicherheit.
Artikel 5. Der Staat formuliert und verbessert fortlaufend die Cybersicherheitsstrategie, legt die grundlegenden Anforderungen und Hauptziele zur Gewährleistung der Cybersicherheit fest und bestimmt Cybersicherheitspolitik, Arbeitsaufgaben und Maßnahmen für Schlüsselbereiche.
Artikel 6. Der Staat trifft Maßnahmen, um Cybersicherheitsrisiken und -bedrohungen zu überwachen, abzuwehren und zu bewältigen, die sowohl innerhalb als auch außerhalb des Hoheitsgebiets der Volksrepublik China entstehen, um kritische Informationsinfrastruktur vor Angriff, Eindringen, Störung und Sabotage zu schützen, um rechtswidrige und kriminelle Handlungen in Netzen nach dem Recht zu ahnden und um die Sicherheit und Ordnung des Cyberspace zu wahren.
Artikel 7. Der Staat befürwortet ein ehrliches, vertrauenswürdiges, gesundes und zivilisiertes Verhalten im Netz, fördert die Verbreitung der sozialistischen Grundwerte, trifft Maßnahmen zur Steigerung des Cybersicherheitsbewusstseins und -niveaus der gesamten Gesellschaft und schafft ein gesundes Umfeld, in dem die gesamte Gesellschaft gemeinsam an der Förderung der Cybersicherheit mitwirkt.
Artikel 8. Der Staat betreibt aktiv internationalen Austausch und Zusammenarbeit in Bereichen wie der Governance des Cyberspace, der Forschung und Entwicklung von Netztechnik und der Ausarbeitung von Standards sowie der Bekämpfung rechtswidriger und krimineller Handlungen in Netzen; er fördert den Aufbau eines friedlichen, sicheren, offenen und kooperativen Cyberspace und die Errichtung eines multilateralen, demokratischen und transparenten Systems der Netz-Governance.
Artikel 9. Die staatliche Cyberspace-Verwaltung ist für die Gesamtkoordinierung der Cybersicherheitsarbeit und der damit verbundenen Aufsicht und Verwaltung zuständig. Die Telekommunikationsbehörde des Staatsrats, die Behörde für öffentliche Sicherheit und andere zuständige Stellen sind im Rahmen ihrer jeweiligen Zuständigkeiten für den Schutz der Cybersicherheit sowie für die Aufsicht und Verwaltung nach diesem Gesetz und nach den Bestimmungen einschlägiger Gesetze und Verwaltungsvorschriften zuständig.
Die Zuständigkeiten für den Schutz der Cybersicherheit sowie für die Aufsicht und Verwaltung der einschlägigen Stellen der lokalen Volksregierungen auf oder oberhalb der Kreisebene werden nach den einschlägigen Bestimmungen des Staates bestimmt.
Artikel 10. Bei der Ausübung von Geschäfts- und Diensttätigkeiten müssen Netzbetreiber Gesetze und Verwaltungsvorschriften einhalten, die gesellschaftliche Moral achten, die Geschäftsethik beachten, ehrlich und vertrauenswürdig sein, ihre Pflichten zum Schutz der Cybersicherheit erfüllen, die Aufsicht durch den Staat und die Gesellschaft hinnehmen und gesellschaftliche Verantwortung tragen.
Artikel 11. Wer Netze errichtet oder betreibt oder Dienste über Netze erbringt, muss nach den Bestimmungen der Gesetze und Verwaltungsvorschriften und den verbindlichen Anforderungen der nationalen Standards technische und sonstige erforderliche Maßnahmen treffen, um den sicheren und stabilen Betrieb der Netze zu gewährleisten, wirksam auf Cybersicherheitsvorfälle zu reagieren, rechtswidrige und kriminelle Handlungen in Netzen zu verhindern und die Integrität, Vertraulichkeit und Verfügbarkeit von Netzdaten zu wahren.
Artikel 12. Netzbezogene Branchenorganisationen stärken nach ihren Satzungen die Selbstdisziplin der Branche, formulieren Verhaltensregeln für die Cybersicherheit, leiten ihre Mitglieder zur Stärkung des Cybersicherheitsschutzes an, heben das Niveau des Cybersicherheitsschutzes und fördern die gesunde Entwicklung der Branche.
Artikel 13. Der Staat schützt das Recht von Bürgern, juristischen Personen und anderen Organisationen, Netze nach dem Recht zu nutzen, fördert die Verbreitung des Netzzugangs, hebt das Niveau der Netzdienste, stellt der Gesellschaft sichere und bequeme Netzdienste bereit und gewährleistet den rechtmäßigen, geordneten und freien Fluss von Netzinformationen.
Jede Einzelperson oder Organisation, die ein Netz nutzt, hat die Verfassung und die Gesetze einzuhalten, die öffentliche Ordnung zu beachten und die gesellschaftliche Moral zu achten; sie darf die Cybersicherheit nicht gefährden und darf Netze nicht nutzen, um Tätigkeiten auszuüben, die die nationale Sicherheit, Ehre und Interessen gefährden, die zum Umsturz der Staatsgewalt oder zum Sturz des sozialistischen Systems aufwiegeln, die zur Spaltung des Landes aufwiegeln oder die nationale Einheit untergraben, die Terrorismus oder Extremismus propagieren, die ethnischen Hass oder ethnische Diskriminierung propagieren, die gewalttätige, obszöne oder pornografische Informationen verbreiten, die falsche Informationen erfinden oder verbreiten, um die Wirtschafts- und Gesellschaftsordnung zu stören, oder die den Ruf, die Privatsphäre, das geistige Eigentum und andere rechtmäßige Rechte und Interessen anderer verletzen.
Artikel 14. Der Staat unterstützt die Forschung und Entwicklung von Netzprodukten und -diensten, die dem gesunden Heranwachsen Minderjähriger förderlich sind, ahndet nach dem Recht Tätigkeiten, die Netze nutzen, um die körperliche und geistige Gesundheit Minderjähriger zu gefährden, und stellt Minderjährigen ein sicheres und gesundes Netzumfeld bereit.
Artikel 15. Jede Einzelperson oder Organisation hat das Recht, Verhalten, das die Cybersicherheit gefährdet, bei der Cyberspace-Verwaltung sowie den Telekommunikations-, Behörden für öffentliche Sicherheit und anderen Stellen zu melden. Die eine Meldung empfangende Stelle hat sie nach dem Recht umgehend zu bearbeiten; fällt die Angelegenheit nicht in die Zuständigkeit dieser Stelle, so ist sie umgehend an die zur Bearbeitung befugte Stelle weiterzuleiten.
Die einschlägigen Stellen haben die einschlägigen Informationen der meldenden Person vertraulich zu behandeln und deren rechtmäßige Rechte und Interessen zu schützen.
Kapitel II — Unterstützung und Förderung der Cybersicherheit
Artikel 16. Der Staat errichtet und verbessert das System der Cybersicherheitsstandards. Die Standardisierungsbehörde des Staatsrats und andere einschlägige Stellen des Staatsrats organisieren nach ihren jeweiligen Zuständigkeiten die Ausarbeitung und rechtzeitige Überarbeitung nationaler Standards und Branchenstandards zur Cybersicherheitsverwaltung sowie zur Sicherheit von Netzprodukten, -diensten und -betrieb.
Der Staat unterstützt Unternehmen, Forschungseinrichtungen, Hochschulen und netzbezogene Branchenorganisationen bei der Mitwirkung an der Ausarbeitung nationaler Standards und Branchenstandards für die Cybersicherheit.
Artikel 17. Der Staatsrat und die Volksregierungen der Provinzen, autonomen Gebiete und regierungsunmittelbaren Städte betreiben Gesamtplanung, erhöhen Investitionen, unterstützen Schlüsseltechnologiebranchen und -projekte der Cybersicherheit, unterstützen die Forschung, Entwicklung und Anwendung von Cybersicherheitstechnik, fördern sichere und vertrauenswürdige Netzprodukte und -dienste, schützen das geistige Eigentum an Netztechnik und unterstützen Unternehmen, Forschungseinrichtungen, Hochschulen und dergleichen bei der Mitwirkung an nationalen Innovationsprojekten der Cybersicherheitstechnik.
Artikel 18. Der Staat treibt den Aufbau eines vergesellschafteten Dienstleistungssystems für Cybersicherheit voran und ermutigt einschlägige Unternehmen und Einrichtungen, Sicherheitsdienste wie Cybersicherheitszertifizierung, -prüfung und -risikobewertung zu erbringen.
Artikel 19. Der Staat ermutigt die Entwicklung von Techniken zum Sicherheitsschutz und zur Nutzung von Netzdaten, fördert die Öffnung öffentlicher Datenressourcen und treibt technische Innovation sowie wirtschaftliche und gesellschaftliche Entwicklung voran.
Artikel 20. Der Staat unterstützt die Forschung an den Grundlagentheorien der künstlichen Intelligenz und die Forschung und Entwicklung von Schlüsseltechnologien wie Algorithmen, treibt den Aufbau von Infrastruktur wie Trainingsdatenressourcen und Rechenleistung voran, verbessert ethische Normen für künstliche Intelligenz, verstärkt die Risikoüberwachung und -bewertung sowie die Sicherheitsaufsicht und fördert die Anwendung und gesunde Entwicklung künstlicher Intelligenz.
Der Staat unterstützt Innovation bei den Methoden der Cybersicherheitsverwaltung und den Einsatz neuer Techniken wie künstlicher Intelligenz, um das Niveau des Cybersicherheitsschutzes zu heben.
Artikel 21. Die Volksregierungen aller Ebenen und ihre einschlägigen Stellen organisieren und führen regelmäßige Öffentlichkeitsarbeit und Aufklärung zur Cybersicherheit durch und leiten einschlägige Einheiten an und halten sie dazu an, gute Öffentlichkeitsarbeit und Aufklärung zur Cybersicherheit zu leisten.
Die Massenmedien führen zielgerichtete Öffentlichkeitsarbeit und Aufklärung zur Cybersicherheit für die Gesellschaft durch.
Artikel 22. Der Staat unterstützt Unternehmen sowie Bildungs- und Ausbildungseinrichtungen wie Hochschulen und Berufsschulen bei der Durchführung von cybersicherheitsbezogener Bildung und Ausbildung, bei der Heranbildung von Fachkräften für Cybersicherheit auf vielfältige Weise und bei der Förderung des Austauschs von Fachkräften für Cybersicherheit.
Kapitel III — Sicherheit des Netzbetriebs
Abschnitt 1 — Allgemeine Bestimmungen
Artikel 23. Der Staat setzt ein mehrstufiges Schutzsystem für die Cybersicherheit um. Netzbetreiber erfüllen nach den Anforderungen des mehrstufigen Schutzsystems für die Cybersicherheit die folgenden Pflichten zum Sicherheitsschutz, um Netze vor Störung, Sabotage oder unbefugtem Zugriff zu bewahren und um zu verhindern, dass Netzdaten preisgegeben, gestohlen oder verändert werden:
(1) Aufstellung interner Sicherheitsverwaltungssysteme und Betriebsabläufe, Bestimmung der für die Cybersicherheit verantwortlichen Personen und Umsetzung der Verantwortung für den Schutz der Cybersicherheit;
(2) Ergreifen technischer Maßnahmen zur Abwehr von Computerviren, Netzangriffen, Netzeinbrüchen und sonstigem die Cybersicherheit gefährdenden Verhalten;
(3) Ergreifen technischer Maßnahmen zur Überwachung und Aufzeichnung des Betriebszustands des Netzes und von Cybersicherheitsvorfällen sowie Aufbewahrung der einschlägigen Netzprotokolle für mindestens sechs Monate nach den Vorschriften;
(4) Ergreifen von Maßnahmen wie der Klassifizierung von Daten und der Sicherung und Verschlüsselung wichtiger Daten;
(5) sonstige durch Gesetze und Verwaltungsvorschriften vorgesehene Pflichten.
Artikel 24. Netzprodukte und -dienste müssen den verbindlichen Anforderungen der einschlägigen nationalen Standards entsprechen. Anbieter von Netzprodukten und -diensten dürfen keine Schadprogramme installieren; entdecken sie, dass ihre Netzprodukte oder -dienste Risiken wie Sicherheitsmängel oder Schwachstellen aufweisen, so haben sie unverzüglich Abhilfemaßnahmen zu treffen und nach den Vorschriften umgehend die Nutzer zu unterrichten und der zuständigen Stelle zu berichten.
Anbieter von Netzprodukten und -diensten haben für ihre Produkte und Dienste fortlaufende Sicherheitswartung bereitzustellen; sie dürfen die Bereitstellung der Sicherheitswartung nicht innerhalb des durch Vorschriften bestimmten oder von den Parteien vereinbarten Zeitraums einstellen.
Haben Netzprodukte oder -dienste die Funktion, Nutzerinformationen zu erheben, so haben ihre Anbieter die Nutzer ausdrücklich zu unterrichten und ihre Einwilligung einzuholen; sind personenbezogene Daten der Nutzer betroffen, so haben sie auch dieses Gesetz und die Bestimmungen einschlägiger Gesetze und Verwaltungsvorschriften zum Schutz personenbezogener Daten einzuhalten.
Artikel 25. Kritische Netzausrüstung und spezialisierte Cybersicherheitsprodukte dürfen erst verkauft oder bereitgestellt werden, nachdem sie nach den verbindlichen Anforderungen der einschlägigen nationalen Standards von einer qualifizierten Einrichtung als sicher zertifiziert wurden oder eine den Anforderungen genügende Sicherheitsprüfung bestanden haben. Die staatliche Cyberspace-Verwaltung erarbeitet und veröffentlicht gemeinsam mit den einschlägigen Stellen des Staatsrats einen Katalog kritischer Netzausrüstung und spezialisierter Cybersicherheitsprodukte und fördert die gegenseitige Anerkennung der Ergebnisse von Sicherheitszertifizierung und Sicherheitsprüfung, um doppelte Zertifizierung und Prüfung zu vermeiden.
Artikel 26. Wickeln Netzbetreiber für Nutzer Netzzugangs- oder Domainnamen-Registrierungsdienste ab, erledigen sie die Formalitäten für den Anschluss von Festnetztelefonen, Mobiltelefonen und dergleichen an das Netz oder erbringen sie für Nutzer Dienste wie Informationsveröffentlichung oder Sofortnachrichtenübermittlung, so haben sie beim Abschluss einer Vereinbarung mit dem Nutzer oder bei der Bestätigung der Diensterbringung vom Nutzer die Angabe echter Identitätsinformationen zu verlangen. Gibt ein Nutzer keine echten Identitätsinformationen an, so darf der Netzbetreiber dem Nutzer die einschlägigen Dienste nicht erbringen.
Der Staat setzt eine Strategie vertrauenswürdiger Netzidentität um, unterstützt die Forschung und Entwicklung sicherer und bequemer Technik zur elektronischen Identitätsauthentifizierung und fördert die gegenseitige Anerkennung verschiedener Formen der elektronischen Identitätsauthentifizierung.
Artikel 27. Netzbetreiber stellen Notfallpläne für Cybersicherheitsvorfälle auf und bewältigen umgehend Sicherheitsrisiken wie Systemschwachstellen, Computerviren, Netzangriffe und Netzeinbrüche; tritt ein die Cybersicherheit gefährdender Vorfall ein, so aktivieren sie unverzüglich den Notfallplan, treffen entsprechende Abhilfemaßnahmen und berichten der zuständigen Stelle nach den Vorschriften.
Artikel 28. Die Durchführung von Tätigkeiten wie Cybersicherheitszertifizierung, -prüfung und -risikobewertung sowie die Freigabe von Cybersicherheitsinformationen an die Öffentlichkeit, etwa zu Systemschwachstellen, Computerviren, Netzangriffen und Netzeinbrüchen, haben den einschlägigen Bestimmungen des Staates zu entsprechen.
Artikel 29. Keine Einzelperson oder Organisation darf Tätigkeiten ausüben, die die Cybersicherheit gefährden, etwa rechtswidrig in das Netz eines anderen eindringen, das normale Funktionieren des Netzes eines anderen stören oder Netzdaten stehlen; darf Programme oder Werkzeuge bereitstellen, die eigens dazu dienen, Tätigkeiten zur Gefährdung der Cybersicherheit auszuüben, etwa in Netze einzudringen, das normale Funktionieren von Netzen und ihren Schutzmaßnahmen zu stören oder Netzdaten zu stehlen; oder darf, in Kenntnis dessen, dass ein anderer Tätigkeiten zur Gefährdung der Cybersicherheit ausübt, diesem Beistand wie technische Unterstützung, Werbung und Vermarktung oder Zahlungsabwicklung leisten.
Artikel 30. Netzbetreiber leisten den Behörden für öffentliche Sicherheit und den Behörden für Staatssicherheit bei ihren Tätigkeiten zur Wahrung der nationalen Sicherheit und zur Ermittlung von Straftaten nach dem Recht technische Unterstützung und Beistand.
Artikel 31. Der Staat unterstützt die Zusammenarbeit von Netzbetreibern in Bereichen wie der Sammlung, Analyse, Meldung und Notfallbewältigung von Cybersicherheitsinformationen, um die Sicherungsfähigkeit der Netzbetreiber zu stärken.
Die einschlägigen Branchenorganisationen errichten und verbessern Normen und Kooperationsmechanismen zum Cybersicherheitsschutz für ihre Branche, verstärken die Analyse und Bewertung von Cybersicherheitsrisiken, geben ihren Mitgliedern regelmäßig Risikowarnungen und unterstützen ihre Mitglieder bei der Bewältigung von Cybersicherheitsrisiken.
Artikel 32. Informationen, die die Cyberspace-Verwaltung und die einschlägigen Stellen bei der Erfüllung ihrer Pflichten zum Cybersicherheitsschutz erlangen, dürfen nur für die Erfordernisse der Wahrung der Cybersicherheit genutzt und nicht für andere Zwecke verwendet werden.
Abschnitt 2 — Sicherheit des Betriebs kritischer Informationsinfrastruktur
Artikel 33. Der Staat setzt auf der Grundlage des mehrstufigen Schutzsystems für die Cybersicherheit einen Schwerpunktschutz für kritische Informationsinfrastruktur in wichtigen Branchen und Bereichen wie öffentliche Kommunikation und Informationsdienste, Energie, Verkehr, Wasserwirtschaft, Finanzwesen, öffentliche Dienste und E-Government um sowie für sonstige kritische Informationsinfrastruktur, die, einmal zerstört, funktionsunfähig gemacht oder von Datenpreisgabe betroffen, die nationale Sicherheit, die Volkswirtschaft und den Lebensunterhalt der Bevölkerung oder das öffentliche Interesse ernstlich gefährden könnte. Der konkrete Umfang kritischer Informationsinfrastruktur und die Maßnahmen zu ihrem Sicherheitsschutz werden vom Staatsrat ausgearbeitet.
Der Staat ermutigt Netzbetreiber, die keine Betreiber kritischer Informationsinfrastruktur sind, freiwillig am Schutzsystem für kritische Informationsinfrastruktur teilzunehmen.
Artikel 34. Nach der vom Staatsrat vorgeschriebenen Aufgabenteilung erstellen die für den Sicherheitsschutz kritischer Informationsinfrastruktur zuständigen Stellen jeweils gesondert Sicherheitspläne für die kritische Informationsinfrastruktur ihrer jeweiligen Branchen und Bereiche, organisieren deren Umsetzung und leiten und beaufsichtigen die Arbeit zum Schutz der Betriebssicherheit kritischer Informationsinfrastruktur.
Artikel 35. Bei der Errichtung kritischer Informationsinfrastruktur ist sicherzustellen, dass sie die Leistungsfähigkeit besitzt, einen stabilen und fortlaufenden Geschäftsbetrieb zu tragen, und dass Sicherheitstechnikmaßnahmen gleichzeitig geplant, errichtet und in Betrieb genommen werden.
Artikel 36. Zusätzlich zu den Bestimmungen des Artikels 23 dieses Gesetzes erfüllen Betreiber kritischer Informationsinfrastruktur auch die folgenden Pflichten zum Sicherheitsschutz:
(1) Einrichtung einer spezialisierten Stelle für das Sicherheitsmanagement und einer für das Sicherheitsmanagement verantwortlichen Person sowie Durchführung sicherheitsbezogener Hintergrundüberprüfungen dieser Person und des Personals in Schlüsselpositionen;
(2) regelmäßige Durchführung von Bildung, technischer Ausbildung und Kompetenzbewertung zur Cybersicherheit für die Beschäftigten;
(3) Durchführung von Notfallsicherungen (Disaster Recovery) wichtiger Systeme und Datenbanken;
(4) Aufstellung von Notfallplänen für Cybersicherheitsvorfälle und regelmäßige Durchführung von Übungen;
(5) sonstige durch Gesetze und Verwaltungsvorschriften vorgesehene Pflichten.
Artikel 37. Beschafft ein Betreiber kritischer Informationsinfrastruktur Netzprodukte und -dienste, die die nationale Sicherheit berühren können, so muss die Beschaffung eine von der staatlichen Cyberspace-Verwaltung gemeinsam mit den einschlägigen Stellen des Staatsrats organisierte nationale Sicherheitsüberprüfung durchlaufen.
Artikel 38. Beschafft ein Betreiber kritischer Informationsinfrastruktur Netzprodukte und -dienste, so hat er nach den Vorschriften mit dem Anbieter eine Sicherheits- und Geheimhaltungsvereinbarung zu schließen, die die Pflichten und Verantwortlichkeiten für Sicherheit und Geheimhaltung festlegt.
Artikel 39. Personenbezogene Daten und wichtige Daten, die von Betreibern kritischer Informationsinfrastruktur im Zuge ihres Betriebs innerhalb des Hoheitsgebiets der Volksrepublik China erhoben und erzeugt werden, sind im Hoheitsgebiet zu speichern. Ist es aus geschäftlichen Erfordernissen wirklich notwendig, solche Informationen oder Daten außerhalb des Hoheitsgebiets bereitzustellen, so ist nach den von der staatlichen Cyberspace-Verwaltung gemeinsam mit den einschlägigen Stellen des Staatsrats ausgearbeiteten Maßnahmen eine Sicherheitsbewertung durchzuführen; bestimmen Gesetze oder Verwaltungsvorschriften etwas anderes, so gelten jene Bestimmungen.
Artikel 40. Betreiber kritischer Informationsinfrastruktur führen selbst oder durch Beauftragung einer Cybersicherheitsdiensteinrichtung mindestens einmal jährlich eine Prüfung und Bewertung der Sicherheit ihrer Netze und der möglicherweise bestehenden Risiken durch und legen der für den Sicherheitsschutz kritischer Informationsinfrastruktur zuständigen Stelle den Sachverhalt der Prüfung und Bewertung sowie die Verbesserungsmaßnahmen vor.
Artikel 41. Die staatliche Cyberspace-Verwaltung koordiniert die einschlägigen Stellen bei der Ergreifung der folgenden Maßnahmen zum Sicherheitsschutz kritischer Informationsinfrastruktur:
(1) Durchführung von Stichprobenprüfungen der Sicherheitsrisiken kritischer Informationsinfrastruktur, Vorlage von Verbesserungsmaßnahmen und erforderlichenfalls Beauftragung einer Cybersicherheitsdiensteinrichtung mit der Prüfung und Bewertung der im Netz bestehenden Sicherheitsrisiken;
(2) regelmäßige Organisation von Cybersicherheits-Notfallübungen für Betreiber kritischer Informationsinfrastruktur, um deren Niveau bei der Reaktion auf Cybersicherheitsvorfälle und deren Fähigkeit zu Koordinierung und Zusammenarbeit zu heben;
(3) Förderung des Austauschs von Cybersicherheitsinformationen zwischen den einschlägigen Stellen, den Betreibern kritischer Informationsinfrastruktur und einschlägigen Forschungseinrichtungen, Cybersicherheitsdiensteinrichtungen und dergleichen;
(4) Bereitstellung technischer Unterstützung und Beistands für die Notfallbewältigung von Cybersicherheitsvorfällen und die Wiederherstellung von Netzfunktionen und dergleichen.
Kapitel IV — Sicherheit der Netzinformationen
Artikel 42. Netzbetreiber haben die von ihnen erhobenen Nutzerinformationen streng vertraulich zu behandeln und ein System zum Schutz der Nutzerinformationen zu errichten und zu verbessern.
Verarbeiten Netzbetreiber personenbezogene Daten, so haben sie dieses Gesetz und die Bestimmungen von Gesetzen und Verwaltungsvorschriften wie des „Zivilgesetzbuchs der Volksrepublik China“ und des „Gesetzes zum Schutz personenbezogener Daten der Volksrepublik China“ einzuhalten.
Artikel 43. Netzbetreiber, die personenbezogene Daten erheben und nutzen, haben die Grundsätze der Rechtmäßigkeit, Legitimität und Erforderlichkeit zu beachten; sie haben ihre Regeln für Erhebung und Nutzung öffentlich zu machen; sie haben Zweck, Mittel und Umfang der Erhebung und Nutzung der Informationen ausdrücklich anzugeben; und sie haben die Einwilligung der Personen einzuholen, deren Informationen erhoben werden.
Netzbetreiber dürfen keine personenbezogenen Daten erheben, die mit den von ihnen erbrachten Diensten nicht zusammenhängen, dürfen personenbezogene Daten nicht unter Verstoß gegen die Bestimmungen von Gesetzen und Verwaltungsvorschriften oder gegen die Vereinbarung zwischen den beiden Parteien erheben oder nutzen und haben die von ihnen aufbewahrten personenbezogenen Daten nach den Bestimmungen von Gesetzen und Verwaltungsvorschriften und nach ihrer Vereinbarung mit den Nutzern zu verarbeiten.
Artikel 44. Netzbetreiber dürfen die von ihnen erhobenen personenbezogenen Daten nicht preisgeben, verändern oder beschädigen; ohne die Einwilligung der Person, deren Informationen erhoben werden, dürfen sie personenbezogene Daten nicht an andere bereitstellen. Dies gilt jedoch nicht für Informationen, die so verarbeitet wurden, dass eine bestimmte Einzelperson nicht identifiziert werden kann und die Informationen nicht wiederhergestellt werden können.
Netzbetreiber haben technische und sonstige erforderliche Maßnahmen zu treffen, um die Sicherheit der von ihnen erhobenen personenbezogenen Daten zu gewährleisten und zu verhindern, dass die Informationen preisgegeben, beschädigt oder verloren werden. Tritt eine Preisgabe, Beschädigung oder ein Verlust personenbezogener Daten ein oder kann dies eintreten, so haben sie unverzüglich Abhilfemaßnahmen zu treffen und nach den Vorschriften umgehend die Nutzer zu unterrichten und der zuständigen Stelle zu berichten.
Artikel 45. Stellt eine Einzelperson fest, dass ein Netzbetreiber ihre personenbezogenen Daten unter Verstoß gegen die Bestimmungen von Gesetzen oder Verwaltungsvorschriften oder gegen die Vereinbarung zwischen den beiden Parteien erhoben oder genutzt hat, so hat die Einzelperson das Recht zu verlangen, dass der Netzbetreiber ihre personenbezogenen Daten löscht; stellt die Einzelperson fest, dass die vom Netzbetreiber erhobenen oder gespeicherten personenbezogenen Daten Fehler enthalten, so hat sie das Recht zu verlangen, dass der Netzbetreiber Berichtigungen vornimmt. Der Netzbetreiber hat Maßnahmen zur Löschung oder Berichtigung der Informationen zu treffen.
Artikel 46. Keine Einzelperson oder Organisation darf personenbezogene Daten stehlen oder auf andere rechtswidrige Weise erlangen oder personenbezogene Daten rechtswidrig verkaufen oder rechtswidrig an andere bereitstellen.
Artikel 47. Stellen, die nach dem Recht Pflichten zur Aufsicht und Verwaltung der Cybersicherheit tragen, und ihr Personal haben die personenbezogenen Daten, die Privatsphäre und die Geschäftsgeheimnisse, von denen sie bei der Erfüllung ihrer Pflichten Kenntnis erlangen, streng vertraulich zu behandeln und dürfen solche Informationen nicht preisgeben, verkaufen oder rechtswidrig an andere bereitstellen.
Artikel 48. Jede Einzelperson und Organisation ist für ihr Verhalten bei der Nutzung von Netzen verantwortlich und darf keine Websites oder Kommunikationsgruppen einrichten, die für rechtswidrige oder kriminelle Tätigkeiten wie Betrug, die Vermittlung krimineller Methoden oder die Herstellung oder den Verkauf verbotener Güter oder kontrollierter Gegenstände genutzt werden, und darf Netze nicht nutzen, um Informationen zu veröffentlichen, die die Begehung von Betrug, die Herstellung oder den Verkauf verbotener Güter oder kontrollierter Gegenstände oder sonstige rechtswidrige oder kriminelle Tätigkeiten betreffen.
Artikel 49. Netzbetreiber verstärken die Verwaltung der von ihren Nutzern veröffentlichten Informationen; entdecken sie Informationen, deren Veröffentlichung oder Übermittlung durch Gesetze oder Verwaltungsvorschriften verboten ist, so haben sie unverzüglich die Übermittlung dieser Informationen einzustellen, Entsorgungsmaßnahmen wie Löschung zu treffen, um die Verbreitung der Informationen zu verhindern, die einschlägigen Aufzeichnungen aufzubewahren und der zuständigen Stelle zu berichten.
Artikel 50. Die von einer Einzelperson oder Organisation versendeten elektronischen Informationen und die von ihr bereitgestellte Anwendungssoftware dürfen keine Schadprogramme installieren und keine Informationen enthalten, deren Veröffentlichung oder Übermittlung durch Gesetze oder Verwaltungsvorschriften verboten ist.
Anbieter von Diensten zum Versand elektronischer Informationen und Anbieter von Diensten zum Herunterladen von Anwendungssoftware erfüllen Pflichten zum Sicherheitsmanagement; wissen sie, dass ein Nutzer von ihnen das im vorstehenden Absatz vorgesehene Verhalten ausgeübt hat, so haben sie die Diensterbringung einzustellen, Entsorgungsmaßnahmen wie Löschung zu treffen, die einschlägigen Aufzeichnungen aufzubewahren und der zuständigen Stelle zu berichten.
Artikel 51. Netzbetreiber errichten ein System für Beschwerden und Meldungen zur Sicherheit von Netzinformationen, machen Informationen wie die Mittel zur Einreichung von Beschwerden und Meldungen bekannt und nehmen Beschwerden und Meldungen zur Sicherheit von Netzinformationen umgehend an und bearbeiten sie.
Netzbetreiber wirken an der nach dem Recht durchgeführten Aufsicht und Inspektion durch die Cyberspace-Verwaltung und die einschlägigen Stellen mit.
Artikel 52. Entdecken die staatliche Cyberspace-Verwaltung und die einschlägigen Stellen bei der Erfüllung ihrer Pflichten zur Aufsicht und Verwaltung der Sicherheit von Netzinformationen nach dem Recht Informationen, deren Veröffentlichung oder Übermittlung durch Gesetze oder Verwaltungsvorschriften verboten ist, so haben sie von den Netzbetreibern zu verlangen, die Übermittlung einzustellen, Entsorgungsmaßnahmen wie Löschung zu treffen und die einschlägigen Aufzeichnungen aufzubewahren; hinsichtlich solcher Informationen, die von außerhalb des Hoheitsgebiets der Volksrepublik China stammen, haben sie die einschlägigen Einrichtungen zu benachrichtigen, technische und sonstige erforderliche Maßnahmen zu treffen, um ihre Verbreitung zu unterbinden.
Kapitel V — Überwachung, Frühwarnung und Notfallreaktion
Artikel 53. Der Staat errichtet ein System zur Überwachung und Frühwarnung der Cybersicherheit und zur Informationsmeldung. Die staatliche Cyberspace-Verwaltung koordiniert die einschlägigen Stellen bei der Stärkung der Sammlung, Analyse und Meldung von Cybersicherheitsinformationen und gibt Informationen zur Überwachung und Frühwarnung der Cybersicherheit nach den Vorschriften einheitlich frei.
Artikel 54. Die für den Sicherheitsschutz kritischer Informationsinfrastruktur zuständigen Stellen errichten und verbessern Systeme zur Überwachung, Frühwarnung und Informationsmeldung der Cybersicherheit für ihre jeweiligen Branchen und Bereiche und legen Informationen zur Überwachung und Frühwarnung der Cybersicherheit nach den Vorschriften vor.
Artikel 55. Die staatliche Cyberspace-Verwaltung koordiniert die einschlägigen Stellen bei der Errichtung und Verbesserung von Arbeitsmechanismen zur Risikobewertung und Notfallreaktion der Cybersicherheit, bei der Aufstellung von Notfallplänen für Cybersicherheitsvorfälle und bei der regelmäßigen Organisation von Übungen.
Die für den Sicherheitsschutz kritischer Informationsinfrastruktur zuständigen Stellen stellen Notfallpläne für Cybersicherheitsvorfälle in ihren jeweiligen Branchen und Bereichen auf und organisieren regelmäßig Übungen.
Notfallpläne für Cybersicherheitsvorfälle haben Cybersicherheitsvorfälle nach Faktoren wie dem Grad des Schadens und dem Umfang der Auswirkung nach Eintritt eines Vorfalls einzustufen und die entsprechenden Notfallentsorgungsmaßnahmen vorzuschreiben.
Artikel 56. Steigt das Risiko eines Cybersicherheitsvorfalls, so treffen die einschlägigen Stellen der Volksregierungen auf oder oberhalb der Provinzebene nach den vorgeschriebenen Befugnissen und Verfahren und auf der Grundlage der Merkmale des Cybersicherheitsrisikos und des von ihm möglicherweise verursachten Schadens die folgenden Maßnahmen:
(1) Verlangen von den einschlägigen Stellen, Einrichtungen und Personen, einschlägige Informationen umgehend zu sammeln und zu melden und die Überwachung der Cybersicherheitsrisiken zu verstärken;
(2) Organisation der einschlägigen Stellen, Einrichtungen und Fachleute zur Analyse und Bewertung von Cybersicherheitsrisikoinformationen und zur Vorhersage der Eintrittswahrscheinlichkeit eines Vorfalls, seines Auswirkungsumfangs und seines Schadensgrades;
(3) Ausgabe von Cybersicherheitsrisikowarnungen an die Gesellschaft und Freigabe von Maßnahmen zur Vermeidung oder Milderung des Schadens.
Artikel 57. Tritt ein Cybersicherheitsvorfall ein, so ist unverzüglich der Notfallplan für Cybersicherheitsvorfälle zu aktivieren, der Cybersicherheitsvorfall zu untersuchen und zu bewerten, von den Netzbetreibern zu verlangen, technische und sonstige erforderliche Maßnahmen zu treffen, um Sicherheitsgefahren zu beseitigen und die Ausweitung des Schadens zu verhindern, und sind der Öffentlichkeit umgehend einschlägige Warninformationen freizugeben.
Artikel 58. Entdecken die einschlägigen Stellen der Volksregierungen auf oder oberhalb der Provinzebene bei der Erfüllung ihrer Pflichten zur Aufsicht und Verwaltung der Cybersicherheit, dass ein Netz ein verhältnismäßig großes Sicherheitsrisiko aufweist oder dass ein Sicherheitsvorfall eingetreten ist, so können sie nach den vorgeschriebenen Befugnissen und Verfahren ein regulatorisches Gespräch mit dem gesetzlichen Vertreter oder der hauptverantwortlichen Person des Betreibers dieses Netzes führen. Der Netzbetreiber hat die geforderten Maßnahmen zu treffen, Berichtigungen vorzunehmen und die Gefahren zu beseitigen.
Artikel 59. Tritt infolge eines Cybersicherheitsvorfalls ein Notfall oder ein Arbeitssicherheitsunfall ein, so ist nach den Bestimmungen einschlägiger Gesetze und Verwaltungsvorschriften wie des „Notfallreaktionsgesetzes der Volksrepublik China“ und des „Arbeitssicherheitsgesetzes der Volksrepublik China“ zu verfahren.
Artikel 60. Ist es zum Zweck der Wahrung der nationalen Sicherheit und der öffentlichen Ordnung und der Bewältigung eines schweren Notfalls der öffentlichen Sicherheit erforderlich, so können in bestimmten Regionen auf Entscheidung oder mit Genehmigung des Staatsrats vorübergehende Maßnahmen wie Beschränkungen der Netzkommunikation getroffen werden.
Kapitel VI — Rechtliche Haftung
Artikel 61. Erfüllt ein Netzbetreiber die in den Artikeln 23 und 27 dieses Gesetzes vorgesehenen Pflichten zum Cybersicherheitsschutz nicht, so ordnet die zuständige Stelle Berichtigungen an, erteilt eine Verwarnung und kann eine Geldbuße von mindestens RMB 10.000 und höchstens RMB 50.000 verhängen; verweigert er die Berichtigung oder treten Folgen wie die Gefährdung der Cybersicherheit ein, so wird eine Geldbuße von mindestens RMB 50.000 und höchstens RMB 500.000 verhängt, und gegen die unmittelbar verantwortliche leitende Person und die übrigen unmittelbar verantwortlichen Personen wird eine Geldbuße von mindestens RMB 10.000 und höchstens RMB 100.000 verhängt.
Erfüllt ein Betreiber kritischer Informationsinfrastruktur die in den Artikeln 35, 36, 38 und 40 dieses Gesetzes vorgesehenen Pflichten zum Cybersicherheitsschutz nicht, so ordnet die zuständige Stelle Berichtigungen an, erteilt eine Verwarnung und kann eine Geldbuße von mindestens RMB 50.000 und höchstens RMB 100.000 verhängen; verweigert er die Berichtigung oder treten Folgen wie die Gefährdung der Cybersicherheit ein, so wird eine Geldbuße von mindestens RMB 100.000 und höchstens RMB 1.000.000 verhängt, und gegen die unmittelbar verantwortliche leitende Person und die übrigen unmittelbar verantwortlichen Personen wird eine Geldbuße von mindestens RMB 10.000 und höchstens RMB 100.000 verhängt.
Verursacht ein in den beiden vorstehenden Absätzen beschriebenes Verhalten Folgen, die die Cybersicherheit ernstlich gefährden, etwa die Preisgabe großer Datenmengen oder den Verlust eines Teils der Funktionsfähigkeit kritischer Informationsinfrastruktur, so verhängt die zuständige Stelle eine Geldbuße von mindestens RMB 500.000 und höchstens RMB 2.000.000 sowie gegen die unmittelbar verantwortliche leitende Person und die übrigen unmittelbar verantwortlichen Personen eine Geldbuße von mindestens RMB 50.000 und höchstens RMB 200.000; verursacht es Folgen, die die Cybersicherheit besonders schwer gefährden, etwa den Verlust der Hauptfunktionsfähigkeit kritischer Informationsinfrastruktur, so wird eine Geldbuße von mindestens RMB 2.000.000 und höchstens RMB 10.000.000 verhängt sowie gegen die unmittelbar verantwortliche leitende Person und die übrigen unmittelbar verantwortlichen Personen eine Geldbuße von mindestens RMB 200.000 und höchstens RMB 1.000.000.
Artikel 62. Tritt unter Verstoß gegen die Bestimmungen des ersten und zweiten Absatzes des Artikels 24 und des ersten Absatzes des Artikels 50 dieses Gesetzes eines der folgenden Verhalten ein, so ordnet die zuständige Stelle Berichtigungen an und erteilt eine Verwarnung; wird die Berichtigung verweigert oder treten Folgen wie die Gefährdung der Cybersicherheit ein, so wird eine Geldbuße von mindestens RMB 50.000 und höchstens RMB 500.000 verhängt sowie gegen die unmittelbar verantwortliche leitende Person eine Geldbuße von mindestens RMB 10.000 und höchstens RMB 100.000:
(1) Installation von Schadprogrammen;
(2) Versäumnis, für Risiken wie in seinen Produkten oder Diensten bestehende Sicherheitsmängel oder Schwachstellen unverzüglich Abhilfemaßnahmen zu treffen, oder Versäumnis, die Nutzer umgehend zu unterrichten und der zuständigen Stelle nach den Vorschriften zu berichten;
(3) unbefugte Einstellung der Bereitstellung der Sicherheitswartung für seine Produkte oder Dienste.
Verursacht ein in den Nummern (1) und (2) des vorstehenden Absatzes beschriebenes Verhalten die im dritten Absatz des Artikels 61 dieses Gesetzes vorgesehenen Folgen, so ist die Ahndung nach den Bestimmungen jenes Absatzes zu verhängen.
Artikel 63. Werden unter Verstoß gegen die Bestimmungen des Artikels 25 dieses Gesetzes kritische Netzausrüstung oder spezialisierte Cybersicherheitsprodukte, die keine Sicherheitszertifizierung oder Sicherheitsprüfung durchlaufen haben oder die die Sicherheitszertifizierung nicht bestanden haben oder den Anforderungen der Sicherheitsprüfung nicht genügen, verkauft oder bereitgestellt, so ordnet die zuständige Stelle an, den Verkauf oder die Bereitstellung einzustellen, erteilt eine Verwarnung und zieht die rechtswidrigen Einnahmen ein; bestehen keine rechtswidrigen Einnahmen oder betragen die rechtswidrigen Einnahmen weniger als RMB 100.000, so wird zusätzlich eine Geldbuße von mindestens RMB 20.000 und höchstens RMB 100.000 verhängt; betragen die rechtswidrigen Einnahmen RMB 100.000 oder mehr, so wird zusätzlich eine Geldbuße in Höhe des Einfachen bis Fünffachen der rechtswidrigen Einnahmen verhängt; sind die Umstände schwerwiegend, so kann auch angeordnet werden, das einschlägige Geschäft auszusetzen, den Betrieb zur Berichtigung einzustellen oder die einschlägige Geschäftserlaubnis oder Geschäftslizenz zu entziehen. Bestimmen Gesetze oder Verwaltungsvorschriften etwas anderes, so gelten jene Bestimmungen.
Artikel 64. Versäumt es ein Netzbetreiber unter Verstoß gegen die Bestimmungen des ersten Absatzes des Artikels 26 dieses Gesetzes, von den Nutzern die Angabe echter Identitätsinformationen zu verlangen, oder erbringt er einschlägige Dienste für Nutzer, die keine echten Identitätsinformationen angeben, so ordnet die zuständige Stelle Berichtigungen an; wird die Berichtigung verweigert oder sind die Umstände schwerwiegend, so wird eine Geldbuße von mindestens RMB 50.000 und höchstens RMB 500.000 verhängt, und es kann auch angeordnet werden, das einschlägige Geschäft auszusetzen, den Betrieb zur Berichtigung einzustellen, die Website oder Anwendung zu schließen oder die einschlägige Geschäftserlaubnis oder Geschäftslizenz zu entziehen, und gegen die unmittelbar verantwortliche leitende Person und die übrigen unmittelbar verantwortlichen Personen wird eine Geldbuße von mindestens RMB 10.000 und höchstens RMB 100.000 verhängt.
Artikel 65. Werden unter Verstoß gegen die Bestimmungen des Artikels 28 dieses Gesetzes Tätigkeiten wie Cybersicherheitszertifizierung, -prüfung oder -risikobewertung durchgeführt oder werden Cybersicherheitsinformationen wie zu Systemschwachstellen, Computerviren, Netzangriffen oder Netzeinbrüchen an die Öffentlichkeit freigegeben, so ordnet die zuständige Stelle Berichtigungen an, erteilt eine Verwarnung und kann eine Geldbuße von mindestens RMB 10.000 und höchstens RMB 100.000 verhängen; wird die Berichtigung verweigert oder sind die Umstände schwerwiegend, so wird eine Geldbuße von mindestens RMB 100.000 und höchstens RMB 1.000.000 verhängt, und es kann auch angeordnet werden, das einschlägige Geschäft auszusetzen, den Betrieb zur Berichtigung einzustellen, die Website oder Anwendung zu schließen oder die einschlägige Geschäftserlaubnis oder Geschäftslizenz zu entziehen, und gegen die unmittelbar verantwortliche leitende Person und die übrigen unmittelbar verantwortlichen Personen wird eine Geldbuße von mindestens RMB 10.000 und höchstens RMB 100.000 verhängt.
Verursacht ein im vorstehenden Absatz beschriebenes Verhalten die im dritten Absatz des Artikels 61 dieses Gesetzes vorgesehenen Folgen, so ist die Ahndung nach den Bestimmungen jenes Absatzes zu verhängen.
Artikel 66. Übt unter Verstoß gegen die Bestimmungen des Artikels 29 dieses Gesetzes eine Person Tätigkeiten aus, die die Cybersicherheit gefährden, stellt sie Programme oder Werkzeuge bereit, die eigens dazu dienen, Tätigkeiten zur Gefährdung der Cybersicherheit auszuüben, oder leistet sie anderen, die Tätigkeiten zur Gefährdung der Cybersicherheit ausüben, Beistand wie technische Unterstützung, Werbung und Vermarktung oder Zahlungsabwicklung, und ist eine Straftat noch nicht begründet, so zieht die Behörde für öffentliche Sicherheit die rechtswidrigen Einnahmen ein und verhängt Gewahrsam von höchstens fünf Tagen und kann auch eine Geldbuße von mindestens RMB 50.000 und höchstens RMB 500.000 verhängen; sind die Umstände verhältnismäßig schwerwiegend, so wird Gewahrsam von mindestens fünf und höchstens fünfzehn Tagen verhängt, und es kann auch eine Geldbuße von mindestens RMB 100.000 und höchstens RMB 1.000.000 verhängt werden.
Übt eine Einheit das im vorstehenden Absatz beschriebene Verhalten aus, so zieht die Behörde für öffentliche Sicherheit die rechtswidrigen Einnahmen ein, verhängt eine Geldbuße von mindestens RMB 100.000 und höchstens RMB 1.000.000 und ahndet die unmittelbar verantwortliche leitende Person und die übrigen unmittelbar verantwortlichen Personen nach den Bestimmungen des vorstehenden Absatzes.
Eine Person, die unter Verstoß gegen die Bestimmungen des Artikels 29 dieses Gesetzes einer öffentlich-sicherheitsrechtlichen Verwaltungssanktion unterworfen wird, darf fünf Jahre lang nicht in Schlüsselpositionen der Cybersicherheitsverwaltung oder des Netzbetriebs tätig sein; eine Person, die einer strafrechtlichen Sanktion unterworfen wird, darf lebenslang nicht in Schlüsselpositionen der Cybersicherheitsverwaltung oder des Netzbetriebs tätig sein.
Artikel 67. Nutzt ein Betreiber kritischer Informationsinfrastruktur unter Verstoß gegen die Bestimmungen des Artikels 37 dieses Gesetzes Netzprodukte oder -dienste, die keine Sicherheitsüberprüfung durchlaufen haben oder die eine Sicherheitsüberprüfung nicht bestanden haben, so ordnet die zuständige Stelle Berichtigungen innerhalb einer Frist an, ordnet an, die Nutzung einzustellen, und ordnet an, die Auswirkung auf die nationale Sicherheit zu beseitigen, verhängt eine Geldbuße in Höhe des Einfachen bis Zehnfachen des Beschaffungsbetrags und verhängt gegen die unmittelbar verantwortliche leitende Person und die übrigen unmittelbar verantwortlichen Personen eine Geldbuße von mindestens RMB 10.000 und höchstens RMB 100.000.
Artikel 68. Richtet unter Verstoß gegen die Bestimmungen des Artikels 48 dieses Gesetzes eine Person eine Website oder Kommunikationsgruppe ein, die zur Ausübung rechtswidriger oder krimineller Tätigkeiten genutzt wird, oder nutzt sie ein Netz, um Informationen zu veröffentlichen, die die Ausübung rechtswidriger oder krimineller Tätigkeiten betreffen, und ist eine Straftat noch nicht begründet, so verhängt die Behörde für öffentliche Sicherheit Gewahrsam von höchstens fünf Tagen und kann auch eine Geldbuße von mindestens RMB 10.000 und höchstens RMB 100.000 verhängen; sind die Umstände verhältnismäßig schwerwiegend, so wird Gewahrsam von mindestens fünf und höchstens fünfzehn Tagen verhängt, und es kann auch eine Geldbuße von mindestens RMB 50.000 und höchstens RMB 500.000 verhängt werden. Die zur Ausübung rechtswidriger oder krimineller Tätigkeiten genutzte Website oder Kommunikationsgruppe wird geschlossen.
Übt eine Einheit das im vorstehenden Absatz beschriebene Verhalten aus, so verhängt die Behörde für öffentliche Sicherheit eine Geldbuße von mindestens RMB 100.000 und höchstens RMB 500.000 und ahndet die unmittelbar verantwortliche leitende Person und die übrigen unmittelbar verantwortlichen Personen nach den Bestimmungen des vorstehenden Absatzes.
Artikel 69. Versäumt es ein Netzbetreiber unter Verstoß gegen die Bestimmungen des Artikels 49 dieses Gesetzes, die Übermittlung von Informationen, deren Veröffentlichung oder Übermittlung durch Gesetze oder Verwaltungsvorschriften verboten ist, einzustellen, Entsorgungsmaßnahmen wie Löschung zu treffen, die einschlägigen Aufzeichnungen aufzubewahren oder der zuständigen Stelle zu berichten, oder versäumt es ein Netzbetreiber unter Verstoß gegen die Bestimmungen des Artikels 52 dieses Gesetzes, wie von der einschlägigen Stelle gefordert, die Übermittlung von Informationen, deren Veröffentlichung oder Übermittlung durch Gesetze oder Verwaltungsvorschriften verboten ist, einzustellen, dafür Entsorgungsmaßnahmen wie Löschung zu treffen oder die einschlägigen Aufzeichnungen aufzubewahren, so ordnet die zuständige Stelle Berichtigungen an, erteilt eine Verwarnung und gibt eine öffentliche Bekanntmachung heraus und kann eine Geldbuße von mindestens RMB 50.000 und höchstens RMB 500.000 verhängen; wird die Berichtigung verweigert oder sind die Umstände schwerwiegend, so wird eine Geldbuße von mindestens RMB 500.000 und höchstens RMB 2.000.000 verhängt, und es kann auch angeordnet werden, das einschlägige Geschäft auszusetzen, den Betrieb zur Berichtigung einzustellen, die Website oder Anwendung zu schließen oder die einschlägige Geschäftserlaubnis oder Geschäftslizenz zu entziehen, und gegen die unmittelbar verantwortliche leitende Person und die übrigen unmittelbar verantwortlichen Personen wird eine Geldbuße von mindestens RMB 50.000 und höchstens RMB 200.000 verhängt.
Verursacht ein im vorstehenden Absatz beschriebenes Verhalten eine besonders schwere Auswirkung oder besonders schwere Folgen, so verhängt die zuständige Stelle eine Geldbuße von mindestens RMB 2.000.000 und höchstens RMB 10.000.000, ordnet an, das einschlägige Geschäft auszusetzen, den Betrieb zur Berichtigung einzustellen, die Website oder Anwendung zu schließen oder die einschlägige Geschäftserlaubnis oder Geschäftslizenz zu entziehen, und verhängt gegen die unmittelbar verantwortliche leitende Person und die übrigen unmittelbar verantwortlichen Personen eine Geldbuße von mindestens RMB 200.000 und höchstens RMB 1.000.000.
Versäumt ein Anbieter von Diensten zum Versand elektronischer Informationen oder ein Anbieter von Diensten zum Herunterladen von Anwendungssoftware die Erfüllung der im zweiten Absatz des Artikels 50 dieses Gesetzes vorgesehenen Pflichten zum Sicherheitsmanagement, so ist die Ahndung nach den Bestimmungen der beiden vorstehenden Absätze zu verhängen.
Artikel 70. Übt ein Netzbetreiber unter Verstoß gegen die Bestimmungen dieses Gesetzes eines der folgenden Verhalten aus, so ordnet die zuständige Stelle Berichtigungen an; wird die Berichtigung verweigert oder sind die Umstände schwerwiegend, so wird eine Geldbuße von mindestens RMB 50.000 und höchstens RMB 500.000 verhängt, und gegen die unmittelbar verantwortliche leitende Person und die übrigen unmittelbar verantwortlichen Personen wird eine Geldbuße von mindestens RMB 10.000 und höchstens RMB 100.000 verhängt:
(1) Verweigerung oder Behinderung der von der einschlägigen Stelle nach dem Recht durchgeführten Aufsicht und Inspektion;
(2) Verweigerung der Bereitstellung technischer Unterstützung und Beistands für Behörden für öffentliche Sicherheit oder Behörden für Staatssicherheit.
Artikel 71. Jedes der folgenden Verhalten wird nach den Bestimmungen einschlägiger Gesetze und Verwaltungsvorschriften behandelt und geahndet:
(1) Veröffentlichung oder Übermittlung von Informationen, deren Veröffentlichung oder Übermittlung durch den zweiten Absatz des Artikels 13 dieses Gesetzes und durch andere Gesetze und Verwaltungsvorschriften verboten ist;
(2) Verletzung der Rechte und Interessen an personenbezogenen Daten unter Verstoß gegen die Bestimmungen des dritten Absatzes des Artikels 24 und der Artikel 43 bis 45 dieses Gesetzes;
(3) wenn ein Betreiber kritischer Informationsinfrastruktur unter Verstoß gegen die Bestimmungen des Artikels 39 dieses Gesetzes personenbezogene Daten und wichtige Daten außerhalb des Hoheitsgebiets speichert oder personenbezogene Daten und wichtige Daten an Parteien außerhalb des Hoheitsgebiets bereitstellt.
Stiehlt oder erlangt eine Person unter Verstoß gegen die Bestimmungen des Artikels 46 dieses Gesetzes auf andere rechtswidrige Weise personenbezogene Daten oder verkauft oder stellt sie personenbezogene Daten rechtswidrig an andere bereit, und ist eine Straftat noch nicht begründet, so verhängt die Behörde für öffentliche Sicherheit die Ahndung nach den Bestimmungen einschlägiger Gesetze und Verwaltungsvorschriften.
Artikel 72. Besteht rechtswidriges Verhalten, das in diesem Gesetz vorgesehen ist, so wird es nach den Bestimmungen einschlägiger Gesetze und Verwaltungsvorschriften in Bonitätsakten erfasst und bekannt gemacht.
Artikel 73. Liegt ein Verstoß gegen die Bestimmungen dieses Gesetzes vor, bestehen jedoch Umstände für eine mildere, gemilderte oder entfallende Ahndung, wie sie im „Gesetz über Verwaltungssanktionen der Volksrepublik China“ vorgesehen sind, so ist eine mildere, gemilderte oder entfallende Ahndung nach den Bestimmungen jenes Gesetzes zu verhängen.
Artikel 74. Erfüllt der Betreiber eines Verwaltungsnetzes einer staatlichen Stelle die in diesem Gesetz vorgesehenen Pflichten zum Cybersicherheitsschutz nicht, so ordnet seine vorgesetzte Stelle oder die einschlägige Stelle Berichtigungen an; die unmittelbar verantwortliche leitende Person und die übrigen unmittelbar verantwortlichen Personen werden nach dem Recht mit Disziplinarmaßnahmen belegt.
Artikel 75. Nutzt die Cyberspace-Verwaltung oder eine einschlägige Stelle unter Verstoß gegen die Bestimmungen des Artikels 32 dieses Gesetzes Informationen, die bei der Erfüllung ihrer Pflichten zum Cybersicherheitsschutz erlangt wurden, für andere Zwecke, so werden die unmittelbar verantwortliche leitende Person und die übrigen unmittelbar verantwortlichen Personen nach dem Recht mit Disziplinarmaßnahmen belegt.
Vernachlässigt das Personal der Cyberspace-Verwaltung oder einer einschlägigen Stelle seine Pflichten, missbraucht es seine Befugnisse oder begeht es zum persönlichen Vorteil Amtspflichtverletzungen, und ist eine Straftat noch nicht begründet, so wird es nach dem Recht mit Disziplinarmaßnahmen belegt.
Artikel 76. Verursacht ein Verstoß gegen die Bestimmungen dieses Gesetzes einem anderen einen Schaden, so ist nach dem Recht zivilrechtliche Haftung zu tragen.
Stellt ein Verstoß gegen die Bestimmungen dieses Gesetzes ein Verhalten dar, das die Verwaltung der öffentlichen Sicherheit verletzt, so ist nach dem Recht eine öffentlich-sicherheitsrechtliche Verwaltungssanktion zu verhängen; ist eine Straftat begründet, so ist nach dem Recht strafrechtliche Haftung zu verfolgen.
Artikel 77. Übt eine Einrichtung, Organisation oder Einzelperson außerhalb des Hoheitsgebiets Tätigkeiten aus, die die Cybersicherheit der Volksrepublik China gefährden, so ist nach dem Recht rechtliche Haftung zu verfolgen; treten schwere Folgen ein, so können die Behörde für öffentliche Sicherheit des Staatsrats und die einschlägigen Stellen auch beschließen, gegen diese Einrichtung, Organisation oder Einzelperson Maßnahmen wie das Einfrieren von Vermögen oder sonstige erforderliche Sanktionen zu ergreifen.
Kapitel VII — Ergänzende Bestimmungen
Artikel 78. Die Bedeutungen der folgenden Begriffe in diesem Gesetz sind wie folgt:
(1) „Netz“ bezeichnet ein aus Computern oder anderen Informationsendgeräten und zugehöriger Ausrüstung bestehendes System, das Informationen nach bestimmten Regeln und Verfahren sammelt, speichert, übermittelt, austauscht und verarbeitet.
(2) „Cybersicherheit“ bezeichnet die durch Ergreifen erforderlicher Maßnahmen erreichte Fähigkeit, Angriffe auf, Eindringen in, Störung von, Sabotage an und rechtswidrige Nutzung von Netzen sowie Unfälle abzuwehren, um Netze in einem Zustand stabilen und zuverlässigen Betriebs zu halten und die Integrität, Vertraulichkeit und Verfügbarkeit von Netzdaten zu wahren.
(3) „Netzbetreiber“ bezeichnet den Eigentümer oder Verwalter eines Netzes und einen Netzdiensteanbieter.
(4) „Netzdaten“ bezeichnet alle Arten elektronischer Daten, die über Netze gesammelt, gespeichert, übermittelt, verarbeitet und erzeugt werden.
(5) „Personenbezogene Daten“ bezeichnet alle Arten von Informationen, die elektronisch oder auf andere Weise aufgezeichnet werden und die für sich allein oder in Verbindung mit anderen Informationen die persönliche Identität einer natürlichen Person identifizieren können, einschließlich, aber nicht beschränkt auf den Namen, das Geburtsdatum, die Nummer des Identitätsdokuments, personenbezogene biometrische Informationen, die Anschrift und die Telefonnummer der natürlichen Person.
Artikel 79. Der Schutz der Betriebssicherheit von Netzen, die Informationen speichern oder verarbeiten, die Staatsgeheimnisse betreffen, hat zusätzlich zur Einhaltung dieses Gesetzes auch die Bestimmungen der Geheimhaltungsgesetze und -verwaltungsvorschriften einzuhalten.
Artikel 80. Der Sicherheitsschutz militärischer Netze wird von der Zentralen Militärkommission gesondert geregelt.
Artikel 81. Dieses Gesetz tritt am 1. Juni 2017 in Kraft.
Abschluss
Das Originaldokument wurde auf Chinesisch vom Nationalen Volkskongress der Volksrepublik China veröffentlicht; wir haben es ins Englische übersetzt, was Sie oben gelesen haben. Diese Übersetzung dient allein dem schnellen Verständnis und ist auf eigenes Ermessen und Risiko zu verwenden — bestätigen Sie die geltenden Anforderungen stets mit qualifiziertem Rechtsbeistand.
Wenn Sie weitere Unterstützung durch unser Team benötigen, kontaktieren Sie uns noch heute, und unsere Fachleute helfen Ihnen, Ihre Präsenz in China von Grund auf rechtskonform zu halten.