要約：以下は中国『重要情報インフラ安全保護条例』（关键信息基础设施安全保护条例、国務院令第745号）の英訳を日本語にしたものです。2021年7月30日に公布され、2021年9月1日より施行されています。
貴社が中国本土で重要情報インフラ（CII）の運営者に指定されている場合、本条例は中国のサイバーセキュリティ体制の中で最も重い義務の源です——専門の安全管理機構、年次のテストとリスク評価、インシデント報告、そして一定のネットワーク製品調達に対する必須の安全審査です。サイバーセキュリティ法の下で制定され、何がCIIに当たるか、運営者がどう特定されるか、そしてそれに伴う義務を定めます。国家安全に影響し得る調達は、さらにネットワーク安全審査弁法に定める審査をクリアしなければなりません。CIIの地位は運営者をデータの国内保存要件にも引き込むため、自社が対象範囲に入るかの確認は、国際企業が有資格の顧問弁護士に最初に問うべき事項の一つです。
重要情報インフラ安全保護条例（2021年7月30日、国務院令第745号により公布。2021年9月1日施行）
第1章 総則
第1条 本条例は、重要情報インフラの安全を守り、サイバーセキュリティを維持するため、『中華人民共和国サイバーセキュリティ法』に基づいて制定する。
第2条 本条例にいう「重要情報インフラ」とは、公共通信・情報サービス、エネルギー、交通、水利、金融、公共サービス、電子政務、国防科学技術工業などの重要な業界・分野における重要なネットワーク施設・情報システムなど、および、ひとたび破壊され、機能を失い、またはデータ漏えいに遭った場合に、国家安全、国民経済と国民生活、または公共の利益を著しく危うくし得るその他のものをいう。
第3条 国家サイバースペース管理部門の統括・調整の下、国務院公安部門が重要情報インフラの安全保護作業の指導・監督を担う。国務院電気通信主管部門その他の関連部門は、それぞれの職責の範囲内で、本条例および関連する法律・行政法規の規定に従って、重要情報インフラの安全保護および監督・管理を担う。
省級の人民政府の関連部門は、それぞれの職責に従って重要情報インフラの安全保護および監督・管理を行う。
第4条 重要情報インフラの安全保護は、総合的調整、職責の分担、法に基づく保護を堅持し、重要情報インフラの運営者（以下「運営者」という）の主体責任を強化・実施し、重要情報インフラの安全を共同で保護する政府および社会各界の役割を十分に発揮させなければならない。
第5条 国は、重要情報インフラの重点的保護を実施し、中華人民共和国の領域内外を起源とするサイバーセキュリティのリスク・脅威を監視・防御・対処する措置を講じ、重要情報インフラを攻撃・侵入・妨害・破壊から守り、重要情報インフラの安全を危うくする違法・犯罪活動を法に従って処罰する。
いかなる個人・組織も、重要情報インフラに違法に侵入し、妨害し、もしくは破壊し、または重要情報インフラの安全を危うくする活動を行ってはならない。
第6条 運営者は、本条例、関連する法律・行政法規の規定、および国家標準の強制的要件に従い、サイバーセキュリティ等級別保護制度を基礎として、技術的保護措置その他の必要な措置を講じ、サイバーセキュリティ事案に対応し、サイバー攻撃および違法・犯罪活動を防ぎ、重要情報インフラの安全かつ安定した運営を確保し、データの完全性・機密性・可用性を維持しなければならない。
第7条 重要情報インフラの安全保護の作業で顕著な成果を挙げ、または傑出した貢献をした主体・個人は、国の関連規定に従って表彰する。
第2章 重要情報インフラの特定
第8条 本条例第2条が対象とする重要な業界・分野の主管部門および監督・管理部門が、重要情報インフラの安全保護作業を担う部門（以下「保護作業部門」という）である。
第9条 保護作業部門は、その業界・分野の実情に照らして重要情報インフラの特定ルールを策定し、国務院公安部門に届け出なければならない。
特定ルールの策定にあたっては、次の要素を主に考慮しなければならない。
（1）ネットワーク施設・情報システムなどの、その業界・分野の鍵となる中核業務にとっての重要度
（2）ネットワーク施設・情報システムなどが破壊され、機能を失い、またはデータ漏えいに遭った場合に生じ得る危害の程度
（3）他の業界・分野への関連的影響
第10条 保護作業部門は、特定ルールに従い、その業界・分野の重要情報インフラの特定を組織し、特定結果を速やかに運営者に通知し、国務院公安部門に報告する責任を負う。
第11条 重要情報インフラにその特定結果に影響し得る比較的大きな変更が生じた場合、運営者は関連する事情を速やかに保護作業部門に報告しなければならない。保護作業部門は、報告を受けた日から3か月以内に再特定を完了し、特定結果を運営者に通知し、国務院公安部門に報告する。
第3章 運営者の責任と義務
第12条 安全保護措置は、重要情報インフラと同時に計画・構築・運用開始しなければならない。
第13条 運営者は、サイバーセキュリティ保護制度および責任制を確立・整備し、人的・財政的・物的資源の投入を確保しなければならない。運営者の主要責任者は、重要情報インフラの安全保護について全体的な責任を負い、重要情報インフラの安全保護および重大なサイバーセキュリティ事案の処理を主導し、重大なサイバーセキュリティ問題の研究・解決を組織する。
第14条 運営者は、専門の安全管理機構を設置し、専門の安全管理機構の責任者および要職の人員について安全上の経歴審査を行わなければならない。かかる審査を行う際、公安機関および国家安全機関は協力しなければならない。
第15条 専門の安全管理機構は、その主体の重要情報インフラの安全保護作業を専門に担い、次の職責を遂行する。
（1）サイバーセキュリティ管理および評価・評定の制度を確立・整備し、重要情報インフラの安全保護計画を策定すること
（2）サイバーセキュリティ保護能力の構築を組織・推進し、サイバーセキュリティの監視・テスト・リスク評価を行うこと
（3）国および業界のサイバーセキュリティ事案緊急対応計画に従って自主的な緊急対応計画を策定し、定期的に緊急訓練を行い、サイバーセキュリティ事案を処理すること
（4）鍵となるサイバーセキュリティの職位を特定し、サイバーセキュリティ作業の評定を組織・実施し、報奨・罰則の提言を行うこと
（5）サイバーセキュリティの教育・研修を組織すること
（6）個人情報保護およびデータ安全の責任を遂行し、個人情報保護およびデータ安全の制度を確立・整備すること
（7）重要情報インフラの設計・構築・運用・保守などのサービスに安全管理を実施すること
（8）規定に従ってサイバーセキュリティ事案および重要事項を報告すること
第16条 運営者は、専門の安全管理機構の運営資金を確保し、相応の人員を配置しなければならず、専門の安全管理機構の人員は、サイバーセキュリティおよび情報化に関する意思決定に参加しなければならない。
第17条 運営者は、自ら、またはサイバーセキュリティサービス機関に委託して、少なくとも年に1回、その重要情報インフラのサイバーセキュリティのテストとリスク評価を行い、発見した安全上の問題を速やかに是正し、保護作業部門の求めに従って状況を報告しなければならない。
第18条 重要情報インフラに重大なサイバーセキュリティ事案が発生し、または重大なサイバーセキュリティの脅威が発見された場合、運営者は関連する規定に従って保護作業部門および公安機関に報告しなければならない。
重要情報インフラの運営の全面的な中断や主要機能の喪失、国家の基礎情報その他の重要データの漏えい、比較的大規模な個人情報の漏えい、比較的大きな経済的損失の発生、または違法情報の比較的広範な拡散といった、特に重大なサイバーセキュリティ事案が発生し、または特に重大なサイバーセキュリティの脅威が発見された場合、保護作業部門は、報告を受けた後、速やかに国家サイバースペース管理部門および国務院公安部門に報告しなければならない。
第19条 運営者は、安全で信頼できるネットワーク製品・サービスの調達を優先しなければならない。ネットワーク製品・サービスの調達が国家安全に影響し得る場合は、国のサイバーセキュリティ規定に従って安全審査を通過しなければならない。
第20条 運営者は、ネットワーク製品・サービスを調達する際、国の関連規定に従い、ネットワーク製品・サービスの提供者と、技術サポートおよび安全・秘密保持に関する提供者の義務・責任を明示した安全・秘密保持協定を締結し、それらの義務・責任の履行を監督しなければならない。
第21条 運営者が合併・分割・解散などに遭う場合は、速やかに保護作業部門に報告し、保護作業部門の求めに従って重要情報インフラを処置し、安全を確保しなければならない。
第4章 保障と促進
第22条 保護作業部門は、その業界・分野の重要情報インフラの安全計画を策定し、保護の目標・基本要件・作業任務・具体的措置を明示しなければならない。
第23条 国家サイバースペース管理部門は、関連部門を統括してサイバーセキュリティ情報共有の仕組みを確立し、サイバーセキュリティの脅威・脆弱性・事案などに関する情報を速やかに編集・分析・評定・共有・公表し、関連部門・保護作業部門・運営者・サイバーセキュリティサービス機関などの間のサイバーセキュリティ情報の共有を促進しなければならない。
第24条 保護作業部門は、その業界・分野の重要情報インフラのサイバーセキュリティ監視・早期警戒システムを確立・整備し、その業界・分野の重要情報インフラの運営状況と安全の情勢を適時に把握し、サイバーセキュリティの脅威・潜在的な危険の早期警戒・通知を発し、安全の予防措置の実施を指導しなければならない。
第25条 保護作業部門は、国のサイバーセキュリティ事案緊急対応計画の要件に従い、その業界・分野のサイバーセキュリティ事案緊急対応計画を確立・整備し、定期的に緊急訓練を組織し、運営者のサイバーセキュリティ事案への対応・処理を指導し、必要に応じて技術支援・協力の提供を組織しなければならない。
第26条 保護作業部門は、その業界・分野の重要情報インフラのサイバーセキュリティ検査・テストを定期的に組織し、運営者が潜在的な安全上の危険を速やかに是正し安全措置を改善するよう指導・監督しなければならない。
第27条 国家サイバースペース管理部門は、国務院公安部門および保護作業部門を統括して重要情報インフラのサイバーセキュリティ検査・テストを行い、改善措置を提出しなければならない。
重要情報インフラのサイバーセキュリティ検査を行う際、関連部門は調整・協力・情報連携を強化し、不要な検査および重複・反復の検査を避けなければならない。検査作業に費用を課してはならず、被検査主体に指定ブランドまたは指定の生産者・販売者の製品・サービスの購入を求めてはならない。
第28条 運営者は、保護作業部門が行う重要情報インフラのサイバーセキュリティ検査・テスト作業、ならびに公安・国家安全・秘密保持管理・暗号管理などの関連部門が法に従って行う重要情報インフラのサイバーセキュリティ検査作業に協力しなければならない。
第29条 重要情報インフラの安全保護作業において、国家サイバースペース管理部門、国務院電気通信主管部門、国務院公安部門などは、保護作業部門のニーズに応じて、速やかに技術支援・協力を提供しなければならない。
第30条 サイバースペース管理部門・公安機関・保護作業部門などの関連部門、ならびにサイバーセキュリティサービス機関およびその職員は、重要情報インフラの安全保護作業で得た情報を、サイバーセキュリティの維持の目的にのみ用いることができ、関連する法律・行政法規の要件に従ってその情報の安全を厳格に確保しなければならず、これを開示・販売し、または他人に不法に提供してはならない。
第31条 国家サイバースペース管理部門もしくは国務院公安部門の承認、または保護作業部門もしくは運営者の授権なく、いかなる個人・組織も、重要情報インフラに対し、その安全に影響し、または危うくし得る脆弱性探査・侵入テストなどの活動を行ってはならない。基礎電気通信ネットワークに対する脆弱性探査・侵入テストなどの活動は、事前に国務院電気通信主管部門に報告しなければならない。
第32条 国は、エネルギー・電気通信などの分野の重要情報インフラの安全な運営を優先的に保障する措置を講じる。
エネルギー・電気通信の業界は、他の業界・分野の重要情報インフラの安全な運営に重点的な保障を提供する措置を講じなければならない。
第33条 公安機関および国家安全機関は、それぞれの職責に従い、法に従って重要情報インフラの安全防衛を強化し、重要情報インフラを対象とし、またはこれを利用する違法・犯罪活動を防ぎ、取り締まらなければならない。
第34条 国は、重要情報インフラの安全保護作業を指導・規範化するため、重要情報インフラの安全標準を策定・改善する。
第35条 国は、専門のサイバーセキュリティ人材が重要情報インフラの安全保護作業に従事するよう奨励する措置を講じ、運営者の安全管理人員および安全技術人員の育成を国の継続教育制度に組み込む。
第36条 国は、重要情報インフラの安全保護における技術革新と産業発展を支援し、重要情報インフラの安全に関する鍵となる技術研究を担う力を組織する。
第37条 国は、サイバーセキュリティサービス機関の育成・管理を強化し、管理要件を策定して監督・指導を強化し、かかるサービス機関の能力水準を不断に高め、重要情報インフラの安全保護におけるその役割を十分に発揮させる。
第38条 国は、サイバーセキュリティにおける軍民融合を強化し、軍と民の双方が協力して重要情報インフラの安全を保護する。
第5章 法的責任
第39条 運営者が次のいずれかに該当する場合、関連する主管部門が、その職責に従って是正を命じ、警告を与える。是正を拒否し、またはサイバーセキュリティを危うくするなどの結果が生じた場合は、10万元以上100万元以下の罰金を科し、直接責任を負う主管者に1万元以上10万元以下の罰金を科す。
（1）重要情報インフラにその特定結果に影響し得る比較的大きな変更が生じた際、関連する事情を速やかに保護作業部門に報告しなかった場合
（2）安全保護措置を重要情報インフラと同時に計画・構築・運用開始しなかった場合
（3）サイバーセキュリティ保護制度および責任制を確立・整備しなかった場合
（4）専門の安全管理機構を設置しなかった場合
（5）専門の安全管理機構の責任者および要職の人員について安全上の経歴審査を行わなかった場合
（6）専門の安全管理機構の人員の参加なくサイバーセキュリティおよび情報化に関する意思決定を行った場合
（7）専門の安全管理機構が本条例第15条に定める職責を遂行しなかった場合
（8）重要情報インフラのサイバーセキュリティのテストとリスク評価を少なくとも年に1回行わず、発見した安全上の問題を速やかに是正せず、または保護作業部門の求めに従って状況を報告しなかった場合
（9）国の関連規定に従ってネットワーク製品・サービスの提供者と安全・秘密保持協定を締結せずにネットワーク製品・サービスを調達した場合
（10）合併・分割・解散などに遭った際、速やかに保護作業部門に報告せず、または保護作業部門の求めに従って重要情報インフラを処置しなかった場合
第40条 重要情報インフラに重大なサイバーセキュリティ事案が発生し、または重大なサイバーセキュリティの脅威が発見された際、運営者が関連する規定に従って保護作業部門および公安機関に報告しなかった場合、保護作業部門および公安機関が、その職責に従って是正を命じ、警告を与える。是正を拒否し、またはサイバーセキュリティを危うくするなどの結果が生じた場合は、10万元以上100万元以下の罰金を科し、直接責任を負う主管者に1万元以上10万元以下の罰金を科す。
第41条 運営者が、国家安全に影響し得るネットワーク製品・サービスを、国のサイバーセキュリティ規定に従った安全審査を受けずに調達した場合、国家サイバースペース管理部門その他の関連する主管部門が、その職責に従って是正を命じ、調達額の1倍以上10倍以下の罰金を科し、直接責任を負う主管者その他の直接責任者に1万元以上10万元以下の罰金を科す。
第42条 運営者が、保護作業部門が行う重要情報インフラのサイバーセキュリティ検査・テスト作業、または公安・国家安全・秘密保持管理・暗号管理などの関連部門が法に従って行う重要情報インフラのサイバーセキュリティ検査作業に協力しなかった場合、関連する主管部門が是正を命じる。是正を拒否した場合は、5万元以上50万元以下の罰金を科し、直接責任を負う主管者その他の直接責任者に1万元以上10万元以下の罰金を科す。情状が重い場合は、法に従って相応の法的責任を追及する。
第43条 重要情報インフラに違法に侵入し、妨害し、もしくは破壊し、その安全を危うくする活動が、いまだ犯罪を構成しない場合、公安機関が『中華人民共和国サイバーセキュリティ法』の関連規定に従って違法所得を没収し、5日以下の拘留を科し、あわせて5万元以上50万元以下の罰金を科すことができる。情状が比較的重い場合は、5日以上15日以下の拘留を科し、あわせて10万元以上100万元以下の罰金を科すことができる。
主体が前項に記載する行為を行った場合、公安機関は違法所得を没収し、10万元以上100万元以下の罰金を科し、直接責任を負う主管者その他の直接責任者を前項の規定に従って処罰する。
本条例第5条第2項および第31条の規定に違反し、治安管理処罰を受けた者は、5年間、サイバーセキュリティ管理またはネットワーク運用の要職に従事してはならない。刑事罰を受けた者は、終身、サイバーセキュリティ管理またはネットワーク運用の要職に従事してはならない。
第44条 サイバースペース管理部門・公安機関・保護作業部門その他の関連部門およびその職員が、重要情報インフラの安全保護および監督・管理の職責を遂行せず、または職務を怠り、職権を濫用し、もしくは私利のために不正を行った場合、直接責任を負う主管者その他の直接責任者を法に従って処分する。
第45条 公安機関・保護作業部門その他の関連部門が、重要情報インフラのサイバーセキュリティ検査作業を行う過程で費用を課し、または被検査主体に指定ブランドもしくは指定の生産者・販売者の製品・サービスの購入を求めた場合、その上級機関が是正および課した費用の返還を命じる。情状が重い場合は、直接責任を負う主管者その他の直接責任者を法に従って処分する。
第46条 サイバースペース管理部門・公安機関・保護作業部門などの関連部門、またはサイバーセキュリティサービス機関およびその職員が、重要情報インフラの安全保護作業で得た情報を他の目的に用い、またはこれを開示・販売し、もしくは他人に不法に提供した場合、直接責任を負う主管者その他の直接責任者を法に従って処分する。
第47条 重要情報インフラに重大または特に重大なサイバーセキュリティ事案が発生し、調査の結果、責任事故と認定された場合、法に従って運営者の責任を確定・追及するほか、関連するサイバーセキュリティサービス機関および関連部門の責任も確定し、職務の怠慢・懈怠その他の違法行為がある場合は、法に従って責任を追及する。
第48条 電子政務の重要情報インフラの運営者が本条例に定めるサイバーセキュリティ保護義務を履行しない場合、『中華人民共和国サイバーセキュリティ法』の関連規定に従って処理する。
第49条 本条例の規定に違反して他人に損害を与えた場合は、法に従って民事責任を負う。
本条例の規定に違反し治安管理違反を構成する場合は、法に従って治安管理処罰を科す。犯罪を構成する場合は、法に従って刑事責任を追及する。
第6章 附則
第50条 国家秘密に関わる情報を保存・処理する重要情報インフラの安全保護は、さらに秘密保持に関する法律・行政法規の規定を遵守しなければならない。
重要情報インフラにおける暗号の使用・管理は、さらに関連する法律・行政法規の規定を遵守しなければならない。
第51条 本条例は2021年9月1日より施行する。
おわりに
原文は中華人民共和国国務院が中国語で公表しています。上記はそれを英訳し、さらに日本語にしたものです。
さらに当社チームのサポートが必要な場合は、本日お問い合わせ（英語）ください。当社の専門家が、貴社の中国でのプレゼンスを基礎からコンプライアントに保つお手伝いをします。