Kurzfassung: Nachstehend finden Sie die deutsche Übersetzung von Chinas Maßnahmen zur Cybersicherheitsüberprüfung (网络安全审查办法, Anordnung Nr. 8 der Cyberspace-Verwaltung Chinas), verkündet am 28. Dezember 2021 und in Kraft seit dem 15. Februar 2022.
Die Maßnahmen zur Cybersicherheitsüberprüfung regeln, wann die Beschaffung von Netzwerkprodukten und -diensten durch Betreiber kritischer Informationsinfrastrukturen (KII) sowie Datenverarbeitungstätigkeiten von Netzwerkplattformbetreibern in China einer nationalen Sicherheitsüberprüfung unterzogen werden müssen. Sie sind das Regime hinter der viel beachteten Regel, dass ein Netzwerkplattformbetreiber, der die personenbezogenen Informationen von mehr als einer Million Nutzern hält, vor einer Börsennotierung seiner Wertpapiere im Ausland eine Überprüfung beantragen muss. Sie bauen auf dem Cybersicherheitsgesetz, dem Datensicherheitsgesetz und dem Gesetz zum Schutz personenbezogener Informationen auf — den Gesetzen, die entscheiden, ob eine bestimmte Daten- oder Infrastrukturvereinbarung in Festlandchina rechtmäßig ist.
Maßnahmen zur Cybersicherheitsüberprüfung (Verkündet am 28. Dezember 2021 durch Anordnung Nr. 8 der Cyberspace-Verwaltung Chinas und zwölf weiterer Behörden; in Kraft seit dem 15. Februar 2022)
Artikel 1. Diese Maßnahmen werden im Einklang mit dem „Gesetz über die nationale Sicherheit der Volksrepublik China“, dem „Cybersicherheitsgesetz der Volksrepublik China“, dem „Datensicherheitsgesetz der Volksrepublik China“ und der „Verordnung über den Sicherheitsschutz kritischer Informationsinfrastrukturen“ formuliert, um die Sicherheit der Lieferkette kritischer Informationsinfrastrukturen zu gewährleisten, die Cybersicherheit und Datensicherheit zu wahren und die nationale Sicherheit zu schützen.
Artikel 2. Wo Betreiber kritischer Informationsinfrastrukturen Netzwerkprodukte und -dienste beschaffen oder Netzwerkplattformbetreiber Datenverarbeitungstätigkeiten durchführen, die die nationale Sicherheit berühren oder berühren können, ist eine Cybersicherheitsüberprüfung im Einklang mit diesen Maßnahmen durchzuführen.
Die im vorstehenden Absatz genannten Betreiber kritischer Informationsinfrastrukturen und Netzwerkplattformbetreiber werden gemeinsam als „die Parteien“ bezeichnet.
Artikel 3. Cybersicherheitsüberprüfungen verbinden die Vermeidung von Cybersicherheitsrisiken mit der Förderung der Anwendung fortschrittlicher Technologie, verbinden Fairness und Transparenz des Verfahrens mit dem Schutz geistigen Eigentums, verbinden die vorherige Überprüfung mit fortlaufender Aufsicht und verbinden Zusagen der Unternehmen mit gesellschaftlicher Aufsicht; die Überprüfung erfolgt aus der Perspektive der Sicherheit der Produkte, Dienste und Datenverarbeitungstätigkeiten sowie der nationalen Sicherheitsrisiken, die sie mit sich bringen können.
Artikel 4. Unter der Leitung der Zentralen Kommission für Cyberspace-Angelegenheiten errichtet die Cyberspace-Verwaltung Chinas gemeinsam mit der Nationalen Entwicklungs- und Reformkommission, dem Ministerium für Industrie und Informationstechnologie, dem Ministerium für öffentliche Sicherheit, dem Ministerium für Staatssicherheit, dem Finanzministerium, dem Handelsministerium, der Chinesischen Volksbank, der Staatlichen Verwaltung für Marktregulierung, der Nationalen Rundfunk- und Fernsehverwaltung, der Chinesischen Wertpapieraufsichtskommission, der Nationalen Verwaltung zum Schutz von Staatsgeheimnissen und der Staatlichen Kryptografieverwaltung den nationalen Arbeitsmechanismus für die Cybersicherheitsüberprüfung.
Das Büro für die Cybersicherheitsüberprüfung ist innerhalb der Cyberspace-Verwaltung Chinas angesiedelt und ist für die Formulierung der einschlägigen Systeme und Normen für die Cybersicherheitsüberprüfung sowie für die Organisation von Cybersicherheitsüberprüfungen zuständig.
Artikel 5. Wo ein Betreiber kritischer Informationsinfrastrukturen Netzwerkprodukte und -dienste beschafft, hat er im Voraus die nationalen Sicherheitsrisiken zu bewerten, die nach Inbetriebnahme des Produkts oder Dienstes entstehen können. Wo die nationale Sicherheit berührt wird oder berührt werden kann, hat er die Angelegenheit beim Büro für die Cybersicherheitsüberprüfung zur Cybersicherheitsüberprüfung anzumelden.
Die Behörden, die in einer bestimmten Branche oder einem bestimmten Bereich für den Sicherheitsschutz kritischer Informationsinfrastrukturen zuständig sind, können Leitlinien für die Vorabbewertung für diese Branche oder diesen Bereich formulieren.
Artikel 6. Für eine Beschaffungstätigkeit, die zur Cybersicherheitsüberprüfung angemeldet wird, hat der Betreiber kritischer Informationsinfrastrukturen durch Beschaffungsunterlagen, Vereinbarungen und dergleichen den Produkt- oder Dienstanbieter zu verpflichten, bei der Cybersicherheitsüberprüfung mitzuwirken — einschließlich der Zusagen, die Gelegenheit der Bereitstellung des Produkts oder Dienstes nicht zu nutzen, um rechtswidrig Nutzerdaten zu erlangen oder Nutzergeräte rechtswidrig zu steuern oder zu manipulieren, und die Lieferung des Produkts oder notwendiger technischer Supportleistungen nicht ohne legitimen Grund zu unterbrechen.
Artikel 7. Ein Netzwerkplattformbetreiber, der die personenbezogenen Informationen von mehr als einer Million Nutzern hält und eine Börsennotierung seiner Wertpapiere im Ausland anstrebt, muss die Angelegenheit beim Büro für die Cybersicherheitsüberprüfung zur Cybersicherheitsüberprüfung anmelden.
Artikel 8. Bei der Anmeldung einer Cybersicherheitsüberprüfung hat die Partei die folgenden Unterlagen einzureichen:
(1) ein Anmeldeformular;
(2) einen Analysebericht darüber, wie die nationale Sicherheit berührt wird oder berührt werden kann;
(3) Beschaffungsunterlagen, Vereinbarungen, den abzuschließenden Vertrag oder die einzureichenden Notierungsantragsunterlagen, etwa für einen Börsengang (IPO);
(4) weitere für die Cybersicherheitsüberprüfung erforderliche Unterlagen.
Artikel 9. Das Büro für die Cybersicherheitsüberprüfung hat innerhalb von 10 Werktagen nach Eingang von Überprüfungsanmeldeunterlagen, die Artikel 8 dieser Maßnahmen entsprechen, zu bestimmen, ob eine Überprüfung erforderlich ist, und die Partei schriftlich zu benachrichtigen.
Artikel 10. Die Cybersicherheitsüberprüfung konzentriert sich auf die Bewertung der folgenden nationalen Sicherheitsrisikofaktoren des betreffenden Objekts oder Sachverhalts:
(1) das Risiko, dass die kritische Informationsinfrastruktur nach Nutzung des Produkts oder Dienstes rechtswidrig gesteuert, gestört oder sabotiert wird;
(2) der Schaden für die Geschäftskontinuität der kritischen Informationsinfrastruktur, der durch eine Unterbrechung der Lieferung des Produkts oder Dienstes verursacht wird;
(3) die Sicherheit, Offenheit, Transparenz und Quellenvielfalt des Produkts oder Dienstes, die Zuverlässigkeit der Lieferkanäle und das Risiko einer Lieferunterbrechung aufgrund politischer, diplomatischer, handelsbezogener oder sonstiger Faktoren;
(4) die Einhaltung der chinesischen Gesetze, Verwaltungsvorschriften und Behördenregeln durch den Produkt- oder Dienstanbieter;
(5) das Risiko, dass Kerndaten, wichtige Daten oder große Mengen personenbezogener Informationen gestohlen, offengelegt, beschädigt oder rechtswidrig genutzt oder rechtswidrig außerhalb Chinas übermittelt werden;
(6) das Risiko, dass nach einer Notierung die kritische Informationsinfrastruktur, Kerndaten, wichtige Daten oder große Mengen personenbezogener Informationen durch ausländische Regierungen beeinflusst, kontrolliert oder böswillig ausgenutzt werden, sowie Risiken für die Sicherheit von Cyberinformationen;
(7) sonstige Faktoren, die die Sicherheit kritischer Informationsinfrastrukturen, die Cybersicherheit oder die Datensicherheit gefährden können.
Artikel 11. Wo das Büro für die Cybersicherheitsüberprüfung eine Cybersicherheitsüberprüfung für erforderlich hält, hat es die Vorprüfung innerhalb von 30 Werktagen nach Ausstellung einer schriftlichen Benachrichtigung an die Partei abzuschließen — einschließlich der Bildung einer vorgeschlagenen Überprüfungsschlussfolgerung und deren Übersendung an die Mitgliedseinheiten des Arbeitsmechanismus für die Cybersicherheitsüberprüfung und die zuständigen Behörden zur Stellungnahme; in komplexen Fällen kann dies um 15 Werktage verlängert werden.
Artikel 12. Die Mitgliedseinheiten des Arbeitsmechanismus für die Cybersicherheitsüberprüfung und die zuständigen Behörden haben innerhalb von 15 Werktagen nach Eingang der vorgeschlagenen Überprüfungsschlussfolgerung mit einer schriftlichen Stellungnahme zu antworten.
Wo die Mitgliedseinheiten und zuständigen Behörden übereinstimmen, hat das Büro für die Cybersicherheitsüberprüfung die Partei schriftlich über die Überprüfungsschlussfolgerung zu benachrichtigen; wo sie nicht übereinstimmen, ist die Angelegenheit nach dem besonderen Überprüfungsverfahren zu behandeln, und die Partei ist zu benachrichtigen.
Artikel 13. Wo die Angelegenheit nach dem besonderen Überprüfungsverfahren behandelt wird, hat das Büro für die Cybersicherheitsüberprüfung die Meinungen der zuständigen Einheiten und Behörden einzuholen, eine eingehende Analyse und Bewertung durchzuführen, erneut eine vorgeschlagene Überprüfungsschlussfolgerung zu bilden und die Meinungen der Mitgliedseinheiten des Arbeitsmechanismus für die Cybersicherheitsüberprüfung und der zuständigen Behörden einzuholen; nach Berichterstattung an die Zentrale Kommission für Cyberspace-Angelegenheiten und Erlangung ihrer Genehmigung gemäß dem Verfahren hat es die Überprüfungsschlussfolgerung zu bilden und die Partei schriftlich zu benachrichtigen.
Artikel 14. Das besondere Überprüfungsverfahren ist in der Regel innerhalb von 90 Werktagen abzuschließen; in komplexen Fällen kann es verlängert werden.
Artikel 15. Wo das Büro für die Cybersicherheitsüberprüfung ergänzende Unterlagen anfordert, haben die Partei und der Produkt- oder Dienstanbieter mitzuwirken. Die für die Einreichung ergänzender Unterlagen aufgewendete Zeit wird nicht auf den Überprüfungszeitraum angerechnet.
Artikel 16. Netzwerkprodukte und -dienste sowie Datenverarbeitungstätigkeiten, die nach Auffassung einer Mitgliedseinheit des Arbeitsmechanismus für die Cybersicherheitsüberprüfung die nationale Sicherheit berühren oder berühren können, sind nach diesen Maßnahmen durch das Büro für die Cybersicherheitsüberprüfung zu überprüfen, nach Berichterstattung an die Zentrale Kommission für Cyberspace-Angelegenheiten und Erlangung ihrer Genehmigung gemäß dem Verfahren.
Zur Risikoabwehr hat die Partei während der Überprüfung Maßnahmen zur Vermeidung und Minderung von Risiken im Einklang mit den Anforderungen der Cybersicherheitsüberprüfung zu ergreifen.
Artikel 17. Die an der Cybersicherheitsüberprüfung beteiligten einschlägigen Institutionen und Personen haben das geistige Eigentum strikt zu schützen und tragen eine Geheimhaltungspflicht in Bezug auf Geschäftsgeheimnisse und personenbezogene Informationen, von denen sie im Zuge der Überprüfung Kenntnis erlangen, in Bezug auf nicht offengelegte, von der Partei und dem Produkt- oder Dienstanbieter eingereichte Unterlagen sowie in Bezug auf sonstige nicht offengelegte Informationen; ohne Zustimmung der die Informationen bereitstellenden Partei dürfen solche Informationen nicht an nicht beteiligte Parteien offengelegt oder für einen anderen Zweck als die Überprüfung verwendet werden.
Artikel 18. Wo eine Partei oder ein Netzwerkprodukt- oder -dienstanbieter der Auffassung ist, dass Überprüfungspersonal nicht objektiv und fair gehandelt oder die Geheimhaltungspflicht in Bezug auf im Zuge der Überprüfung erlangte Informationen nicht getragen hat, kann sie dies dem Büro für die Cybersicherheitsüberprüfung oder der zuständigen Behörde melden.
Artikel 19. Die Partei hat den Produkt- oder Dienstanbieter dazu anzuhalten, die während der Cybersicherheitsüberprüfung gemachten Zusagen einzuhalten.
Das Büro für die Cybersicherheitsüberprüfung stärkt die Aufsicht vor, während und nach dem Ereignis durch Mittel wie die Entgegennahme von Meldungen.
Artikel 20. Wo eine Partei gegen die Bestimmungen dieser Maßnahmen verstößt, ist die Angelegenheit im Einklang mit den Bestimmungen des „Cybersicherheitsgesetzes der Volksrepublik China“ und des „Datensicherheitsgesetzes der Volksrepublik China“ zu behandeln.
Artikel 21. Die in diesen Maßnahmen genannten Netzwerkprodukte und -dienste beziehen sich hauptsächlich auf zentrale Netzwerkausrüstung, wichtige Kommunikationsprodukte, Hochleistungscomputer und -server, Speichergeräte hoher Kapazität, große Datenbanken und Anwendungssoftware, Cybersicherheitsausrüstung, Cloud-Computing-Dienste und sonstige Netzwerkprodukte und -dienste, die für die Sicherheit kritischer Informationsinfrastrukturen, die Cybersicherheit und die Datensicherheit von erheblicher Bedeutung sind.
Artikel 22. Wo Staatsgeheimnisinformationen betroffen sind, ist die Angelegenheit im Einklang mit den einschlägigen staatlichen Geheimhaltungsbestimmungen zu behandeln.
Wo der Staat gesonderte Bestimmungen über die Datensicherheitsüberprüfung oder die Sicherheitsüberprüfung ausländischer Investitionen hat, sind auch diese Bestimmungen einzuhalten.
Artikel 23. Diese Maßnahmen treten am 15. Februar 2022 in Kraft. Die am 13. April 2020 verkündeten „Maßnahmen zur Cybersicherheitsüberprüfung“ (Anordnung Nr. 6 der Cyberspace-Verwaltung Chinas, der Nationalen Entwicklungs- und Reformkommission, des Ministeriums für Industrie und Informationstechnologie, des Ministeriums für öffentliche Sicherheit, des Ministeriums für Staatssicherheit, des Finanzministeriums, des Handelsministeriums, der Chinesischen Volksbank, der Staatlichen Verwaltung für Marktregulierung, der Nationalen Rundfunk- und Fernsehverwaltung, der Nationalen Verwaltung zum Schutz von Staatsgeheimnissen und der Staatlichen Kryptografieverwaltung) werden gleichzeitig aufgehoben.
Abschluss
Das Originaldokument wurde auf Chinesisch von der Cyberspace-Verwaltung Chinas veröffentlicht; wir haben es ins Deutsche übersetzt, was Sie oben lesen. Diese Übersetzung dient ausschließlich dem schnellen Verständnis und sollte nach eigenem Ermessen und auf eigenes Risiko verwendet werden — bestätigen Sie die aktuellen Anforderungen stets mit qualifiziertem Rechtsbeistand.
Wenn Sie weitere Hilfe von unserem Team benötigen, kontaktieren Sie uns noch heute, und unsere Experten helfen Ihnen, Ihre Präsenz in China von Grund auf konform zu halten.