Kurze Antwort: Wenn Ihr Unternehmen ein Informationssystem, eine Website, eine App oder ein Netzwerk in Festlandchina betreibt, ist MLPS — das abgestufte Cybersicherheits-Schutzschema (网络安全等级保护制度, gemeinhin „等保“, děngbǎo) — nicht optional. Es ist das grundlegende Cybersicherheits-Compliance-Regime, das durch Artikel 23 des Cybersicherheitsgesetzes vorgeschrieben ist, und es erreicht im Wesentlichen jeden Netzwerkbetreiber, inländisch oder ausländisch. Die meisten von internationalen Unternehmen betriebenen Systeme werden mit Stufe 2 oder Stufe 3 eingestuft, und Stufe 3 ist der Punkt, an dem die Pflichten wesentlich schwerer werden. Diese Seite erläutert, was MLPS ist, wie die Einstufung funktioniert, ob Sie es brauchen und was der Prozess umfasst — verankert an den Primärquellen, damit Sie jeden Punkt mit qualifiziertem Rechtsbeistand und einer lizenzierten Bewertungsstelle bestätigen können.
Dies ist Orientierung, keine Rechtsberatung. MLPS ist eine klassische Frage „funktioniert es in China?“, deren eigentliche Achse Compliance ist, nicht Geschwindigkeit: Ein System kann schnell und dennoch rechtswidrig zu betreiben sein, wenn es seine Schutzstufe nicht erfüllt hat.
Was MLPS ist
MLPS ist das System, das von jedem Netzwerkbetreiber verlangt, jedes seiner Systeme nach seiner Sicherheitsauswirkungsstufe zu klassifizieren und dann die für diese Stufe festgelegten Schutzanforderungen zu erfüllen. Es ist keine Zertifizierung, die man einmal kauft; es ist eine fortlaufende Pflicht, einzustufen, zu registrieren, zu testen und aufrechtzuerhalten.
Die aktuelle Generation ist „MLPS 2.0“ (等保2.0), aufgebaut auf dem nationalen Standard GB/T 22239-2019, Informationssicherheitstechnik — Basisanforderungen für den abgestuften Schutz der Cybersicherheit (信息安全技术 网络安全等级保护基本要求), in Kraft seit dem 1. Dezember 2019. MLPS 2.0 weitete den Anwendungsbereich von traditionellen Informationssystemen auf Cloud-Plattformen, mobiles Internet, das Internet der Dinge, industrielle Steuerungssysteme und Big-Data-Plattformen aus — sodass moderne SaaS-, Cloud- und App-Architekturen eindeutig abgedeckt sind.
Die rechtliche Grundlage ist Artikel 23 des Cybersicherheitsgesetzes, den wir auf unserer Cybersicherheitsgesetz-Seite vollständig übersetzen:
Der Staat setzt ein abgestuftes Cybersicherheits-Schutzschema um. Netzwerkbetreiber haben im Einklang mit den Anforderungen des abgestuften Cybersicherheits-Schutzschemas die folgenden Sicherheitsschutzpflichten zu erfüllen, um Netzwerke vor Störung, Sabotage oder unbefugtem Zugriff zu schützen und zu verhindern, dass Netzwerkdaten offengelegt, gestohlen oder manipuliert werden.
Eine verwandte Bestimmung, Artikel 33, legt den Schutz kritischer Informationsinfrastruktur (KII) über die MLPS-Grundlinie — wenn Sie also als KII eingestuft sind, ist MLPS der Boden, nicht die Decke.
Die fünf Stufen
Die Stufe eines Systems wird dadurch bestimmt, wie viel Schaden eine Schädigung an ihm verursachen würde — für (a) die legitimen Rechte und Interessen von Bürgern, juristischen Personen und anderen Organisationen; (b) die öffentliche Ordnung und das öffentliche Interesse; und (c) die nationale Sicherheit.
| Stufe | Chinesisch | Schaden bei Kompromittierung | Aufsicht | Typische Systeme |
|---|---|---|---|---|
| 1 | 自主保护 | Nur Schaden für Einzelpersonen/Organisationen | Selbstverwaltet | Kleine, wenig folgenreiche Seiten |
| 2 | 指导保护 | Schwerer Schaden für Einzelpersonen/Organisationen oder Schaden für das öffentliche Interesse | Anleitung; Registrierung | Viele allgemeine kommerzielle Systeme |
| 3 | 监督保护 | Schwerer Schaden für das öffentliche Interesse oder Schaden für die nationale Sicherheit | Beaufsichtigung; jährliche Bewertung | Systeme, die bedeutende personenbezogene Informationen oder wichtiges Geschäft verarbeiten |
| 4 | 强制保护 | Besonders schwerer Schaden für das öffentliche Interesse oder schwerer Schaden für die nationale Sicherheit | Verpflichtende Aufsicht | Kernbranchen- / KII-nahe Systeme |
| 5 | 专控保护 | Besonders schwerer Schaden für die nationale Sicherheit | Spezialisierte Kontrolle | Selten; kritische Staatssysteme |
In der Praxis landen die meisten von internationalen Unternehmen betriebenen Systeme bei Stufe 2 oder Stufe 3. Stufe 3 ist die gängige Schwelle, sobald ein System ein nennenswertes Volumen personenbezogener Informationen verarbeitet oder wichtige Geschäftsabläufe unterstützt — und es ist der Punkt, an dem die Einstufung eine Expertenprüfung erfordert und die Bewertung zu einer wiederkehrenden, mindestens jährlichen Übung wird.
Brauchen Sie es?
Mit ziemlicher Sicherheit, wenn Sie ein System in Festlandchina betreiben. Artikel 23 fasst MLPS als Pflicht jedes Netzwerkbetreibers — es wird nicht durch Unternehmensgröße oder Branche ausgelöst; es ist die Grundlinie, die von jedem erwartet wird.
Es ist auch eng mit dem Hosting in China gekoppelt:
- Der Druck zur Datenlokalisierung (Cybersicherheitsgesetz Artikel 39 (vormals Artikel 37) für KII und die umfassenderen Verordnung über die Verwaltung der Netzwerkdatensicherheit) drängt internationale Unternehmen dazu, Systeme auf Infrastruktur in China zu betreiben — und genau diese Systeme in China stuft MLPS ein. Das gilt auch, wenn Sie eine SaaS-Abhängigkeit im Land eingehen: In unserer Erhebung von 763 SaaS-Tools, die im Oktober 2026 anhand ihrer eigenen Dokumentation geprüft wurde, überlassen die 254 mit einem echten Hebel im Land — Selbsthosting, einer souveränen Partition oder einer Festland-Region — MLPS für das resultierende System alle Ihnen als dessen Betreiber.
- Der Aufbau konformen China-Hostings und der Abschluss Ihrer ICP-Registrierung gehen Hand in Hand mit der MLPS-Einstufung und -Registrierung; sie sind Teile derselben „rechtmäßig zu betreiben“-Checkliste, keine getrennten Stränge.
- Wenn Ihre Systeme als kritische Informationsinfrastruktur eingestuft sind, ist MLPS der Boden unter dem schwereren KII-Regime.
Der Prozess: Einstufung → Registrierung → Bewertung → Berichtigung
- Einstufung (定级). Klassifizieren Sie die Schutzstufe des Systems. Für Stufe 3 und höher muss die vorgeschlagene Einstufung eine Expertenprüfung (专家评审) bestehen, bevor sie registriert werden kann.
- Registrierung (备案). Registrieren Sie das eingestufte System bei der lokalen Behörde für öffentliche Sicherheit (公安机关). Der verfahrensrechtliche Rahmen stammt aus den Verwaltungsmaßnahmen für den abgestuften Schutz der Informationssicherheit (信息安全等级保护管理办法, 公通字〔2007〕43号), unter denen die Registrierung in der Regel innerhalb von 30 Tagen erfolgt.
- Bewertung (测评). Eine von den Behörden anerkannte Prüfinstitution bewertet das System anhand der Anforderungen von GB/T 22239-2019. Für Stufe 3 ist diese Bewertung mindestens einmal jährlich erforderlich.
- Berichtigung (整改). Beheben Sie die von der Bewertung festgestellten Lücken und halten Sie die Kontrollen fortlaufend aufrecht — MLPS ist eine fortlaufende Pflicht, kein einmaliges Bestehen.
Was es in der Praxis umfasst
GB/T 22239-2019 gliedert die Anforderungen in einen technischen und einen Verwaltungs-Satz:
- Technisch — sichere physische Umgebung, sicheres Kommunikationsnetz, sichere Bereichsgrenze, sichere Rechenumgebung und Sicherheitsverwaltungszentrum: in einfachen Worten Grenzschutz, Zugriffskontrolle, Eindringlingsprävention, Audit-Protokollierung, Datenintegrität und -sicherung und (auf höheren Stufen) stärkere Identitäts- und Verschlüsselungskontrollen.
- Verwaltung — Sicherheitsrichtlinien, eine Sicherheitsverwaltungsorganisation und -personal sowie Verfahren für das Aufbau- und Betriebsmanagement.
Höhere Stufen erben die Anforderungen der niedrigeren Stufen und fügen weitere hinzu. Wir geben den Standard hier nicht wieder — es ist ein urheberrechtlich geschützter nationaler Standard —, aber er ist die autoritative Quelle für die genauen Kontrollen, gegen die Ihr Bewerter testen wird.
Wie MLPS in den Rest Ihrer China-Compliance passt
MLPS steht nicht allein. Für ein internationales Unternehmen fügt es sich in ein zusammenhängendes Bild:
- Cybersicherheitsgesetz — Artikel 23 schreibt MLPS vor; Artikel 39 treibt die Datenlokalisierung an, die Ihre Systeme überhaupt erst nach China bringt.
- ICP-Registrierung — die Erlaubnis, eine Site aus China heraus zu bedienen; parallel zu MLPS registriert.
- KII-Verordnung — wenn Sie als KII eingestuft sind, ist MLPS die Grundlinie, und schwerere Pflichten stapeln sich obendrauf.
- PIPL und das grenzüberschreitende Datenregime — regeln die personenbezogenen Informationen, die diese eingestuften Systeme halten und bewegen.
Welches Tor für Ihre spezifische Architektur gilt, ist genau die Art von Frage, die vor dem Bauen mit Rechtsbeistand zu klären ist — weil es eine Architekturentscheidung ist, keine Papierkram-Entscheidung.
Wie 21YunBox hilft
21YunBox stellt die konforme Auslieferungs- und Hosting-Grundlage in China bereit, auf der Ihre MLPS-eingestuften Systeme laufen, und wir helfen internationalen Kunden, diese Infrastruktur aufzubauen und den Einstufungs-, Registrierungs- und Bewertungsprozess mit den richtigen lokalen Parteien zu koordinieren. Wir sind keine lizenzierte MLPS-Bewertungsinstitution — die Prüfung wird von einer autorisierten Stelle durchgeführt —, aber Ihre China-Präsenz auf konforme Infrastruktur zu bringen, ist die Grundlage, die Einstufung und Registrierung handhabbar macht statt zu einem Hasten.
Compliance ist die Entscheidung, die darüber bestimmt, ob Ihr Dienst in China überhaupt rechtmäßig betrieben werden darf. Sprechen Sie mit unserem Compliance-Team darüber, wie Ihr Stack auf MLPS und den Rest des Regimes abgebildet wird.
Primärquellen & weiterführende Lektüre
- Cybersicherheitsgesetz der Volksrepublik China, Artikel 23 und 33 — vollständige deutsche Übersetzung auf unserer Site: /de/china-cybersecurity-law.html (Primärquelle: npc.gov.cn).
- GB/T 22239-2019, Informationssicherheitstechnik — Basisanforderungen für den abgestuften Schutz der Cybersicherheit (信息安全技术 网络安全等级保护基本要求), in Kraft seit dem 1. Dezember 2019 — der Anforderungsstandard von MLPS 2.0.
- Verwaltungsmaßnahmen für den abgestuften Schutz der Informationssicherheit (信息安全等级保护管理办法, 公通字〔2007〕43号, 2007) — das Einstufungs-/Registrierungs-/Bewertungsverfahren, herausgegeben vom Ministerium für öffentliche Sicherheit und anderen Behörden.
Eine eigene Verordnung über den abgestuften Schutz der Cybersicherheit (网络安全等级保护条例) des Staatsrats wurde bislang nur als Entwurf zur öffentlichen Stellungnahme veröffentlicht und ist noch nicht in Kraft; bis dahin bleiben die geltenden Anforderungen diejenigen, die im Cybersicherheitsgesetz, in GB/T 22239-2019 und in den obigen Verwaltungsmaßnahmen von 2007 dargelegt sind.
Diese Seite wird ausschließlich zur Orientierung bereitgestellt und ist keine Rechtsberatung. Bestätigen Sie die Stufe, Pflichten und den Prozess Ihres Systems mit qualifiziertem Rechtsbeistand und einer anerkannten MLPS-Bewertungsinstitution.