要点： 中国本土で情報システム・Webサイト・アプリ・ネットワークを運用しているなら、MLPS——サイバーセキュリティ等級保護制度（网络安全等级保护制度、通称「等保」、děngbǎo）——は任意ではありません。それはサイバーセキュリティ法（英語）第23条が義務づけるベースラインのサイバーセキュリティ・コンプライアンス体系であり、国内・外国を問わず、本質的にすべてのネットワーク運営者に及びます。国際的な事業が運用するシステムの大半はレベル2またはレベル3に格付けされ、レベル3が、義務が実質的に重くなる地点です。本ページは、MLPSとは何か、格付けがどう機能するか、必要かどうか、プロセスに何が伴うかを——各点を有資格の専門家と認可を受けた評定機関で確認できるよう、一次情報源に結び付けて——説明します。
これは方向付けであって、法的助言ではありません。MLPSは典型的な「中国で使えるか？」の問いで、その本当の軸は速度ではなくコンプライアンスです。システムは速くても、保護のレベルを満たしていなければ、運用が違法でありえます。
MLPSとは何か
MLPSは、すべてのネットワーク運営者に、各システムをセキュリティ上の影響レベルで分類し、そのレベルに定められた保護要件を満たすことを求める制度です。一度買う認証ではありません。格付けし、届け出し、テストし、維持する、継続的な義務です。
現行世代は**「MLPS 2.0」（等保2.0）で、国家標準GB/T 22239-2019『情報セキュリティ技術——サイバーセキュリティ等級保護の基本要求』（信息安全技术 网络安全等级保护基本要求）**に基づき、2019年12月1日に施行されました。MLPS 2.0は、従来の情報システムから、クラウドプラットフォーム、モバイルインターネット、モノのインターネット、産業制御システム、ビッグデータプラットフォームへと射程を広げました——したがって現代のSaaS・クラウド・アプリのアーキテクチャは、まさにカバーされます。
法的根拠はサイバーセキュリティ法第23条で、サイバーセキュリティ法のページ（英語）に全文を訳しています：
国家は、サイバーセキュリティ等級保護制度を実施する。ネットワーク運営者は、サイバーセキュリティ等級保護制度の要求に従い、以下のセキュリティ保護義務を履行し、ネットワークを干渉・破壊・不正アクセスから守り、ネットワークのデータが漏えい・窃取・改ざんされるのを防がなければならない。
関連する規定である第33条は、重要情報インフラ（CII）（英語）の保護をMLPSのベースラインの上に重ねます——したがってCIIに指定されるなら、MLPSは上限ではなく下限です。
5つのレベル
システムのレベルは、それへの損害がどれだけの害をもたらすかで定まります——（a）市民・法人・その他の組織の適法な権利利益、（b）公共の秩序と公共の利益、（c）国家の安全、に対して。
| レベル | 中国語 | 侵害された場合の害 | 監督 | 典型的なシステム |
|---|---|---|---|---|
| 1 | 自主保护 | 個人／組織のみへの害 | 自己管理 | 小規模で低影響のサイト |
| 2 | 指导保护 | 個人／組織への重大な害、または公共の利益への害 | 指導・届出 | 多くの一般商用システム |
| 3 | 监督保护 | 公共の利益への重大な害、または国家の安全への害 | 監督・年次の評定 | 相当量の個人情報や重要な業務を扱うシステム |
| 4 | 强制保护 | 公共の利益への特に重大な害、または国家の安全への重大な害 | 強制的な監督 | 中核産業／CII隣接のシステム |
| 5 | 专控保护 | 国家の安全への特に重大な害 | 専門的な統制 | 稀；重要な国家システム |
実務上、国際企業が運用するシステムの大半はレベル2またはレベル3に着地します。 レベル3は、システムが意味のある量の個人情報を処理するか、重要な業務運用を支えるようになると一般的な閾値になり——格付けに専門家の審査が要り、評定が少なくとも年次の繰り返しの作業になる地点です。
必要か？
中国本土でシステムを運用しているなら、ほぼ確実に必要です。第23条は、MLPSをすべてのネットワーク運営者の義務として構成します——会社の規模や業種で発動されるのではなく、誰もが満たすと期待されるベースラインです。
それはまた、中国でのホスティングと緊密に結び付いています：
- データ国内保存の圧力（CIIについてのサイバーセキュリティ法 第39条（旧第37条）と、より広いネットワークデータセキュリティ管理条例（英語））は、国際的な事業に中国国内のインフラでシステムを運用させます——そしてその中国国内のシステムこそが、MLPSが格付けするものです。中国国内でSaaSの依存を取り込む場合も同じです。763のSaaSツールの調査では、2026年10月に各ベンダー自身のドキュメントに照らして確認したところ、本物の中国国内のレバー——自己ホスティング、ソブリンパーティション、中国本土リージョン——を持つ254件は、結果として生じるシステムについて、その運営者である貴社にMLPSを残します。
- コンプライアントな中国ホスティングを立ち上げ、ICP備案（英語）を完了することは、MLPSの格付けと届出と歩調を合わせます。別々のトラックではなく、同じ「運用が合法」のチェックリストの一部です。
- システムが重要情報インフラ（英語）に指定されるなら、MLPSはより重いCII体系の下の下限です。
プロセス：定級 → 備案 → 測評 → 整改
- 定級（定级）。 システムの保護レベルを分類します。レベル3以上では、提案した格付けが、届け出る前に**専門家審査（专家评审）**を通過しなければなりません。
- 備案（备案）。 格付けしたシステムを、地元の**公安機関（公安机关）**に届け出ます。手続の枠組みは『情報セキュリティ等級保護管理弁法』（信息安全等级保护管理办法、公通字〔2007〕43号）から来ており、届出は一般に30日以内に行われます。
- 測評（测评）。 当局に認められたテスト機関が、システムをGB/T 22239-2019の要件に照らして評価します。レベル3では、この評定は少なくとも年に1回必要です。
- 整改（整改）。 評定が特定したギャップを是正し、統制を継続的に維持します——MLPSは一度きりの合格ではなく、続く義務です。
実務上何が伴うか
GB/T 22239-2019は、要件を技術のセットと管理のセットに整理します：
- 技術——安全な物理環境、安全な通信ネットワーク、安全な区域境界、安全な計算環境、セキュリティ管理センター：平たく言えば、境界保護、アクセス制御、侵入防止、監査ログ、データの完全性とバックアップ、そして（より高いレベルでは）より強いアイデンティティと暗号の統制。
- 管理——セキュリティポリシー、セキュリティ管理の組織と人員、そして構築・運用の管理手続。
より高いレベルは、より低いレベルの要件を継承し、さらに加えます。この標準そのものはここに再掲しません——著作権のある国家標準だからです——が、それが、評定者がテストする正確な統制の権威ある出典です。
MLPSは残りの中国コンプライアンスにどう収まるか
MLPSは単独では立ちません。国際的な事業にとって、それは一つの連結した絵の中に座ります：
- サイバーセキュリティ法（英語）——第23条がMLPSを義務づけ、第39条が、そもそもシステムを中国に置かせるデータ国内保存を駆動します。
- ICP備案（英語）——中国の内側からサイトを配信する許可で、MLPSと並行して届け出ます。
- CII条例（英語）——CIIに指定されるなら、MLPSがベースラインで、その上により重い義務が積み重なります。
- PIPL（英語） と越境データの体系（英語）——格付けされたシステムが保持・移動する個人情報を規律します。
どの門が貴社の個々のアーキテクチャに適用されるかは、まさに構築の前に専門家と確定すべき類の問いです——なぜなら、それは書類仕事ではなくアーキテクチャの判断だからです。
21YunBox にできること
21YunBox は、MLPSで格付けされたシステムが動くコンプライアントな中国国内の配信とホスティングの基盤を提供し、国際的なクライアントがそのインフラを立ち上げ、格付け・届出・評定のプロセスを適切な現地の当事者と調整するお手伝いをします。当社は認可を受けたMLPSの評定機関ではありません——テストは認可された機関が行います——が、中国でのプレゼンスをコンプライアントなインフラに載せることが、格付けと届出を、慌てて行うものではなく、扱いやすいものにする基礎工事です。
コンプライアンスは、サービスがそもそも中国で合法的に運用できるかを支配する判断です。貴社のスタックがMLPSと残りの体系にどう対応づくかは、コンプライアンスチームにご相談（英語）ください。
一次情報源と参考
- 中華人民共和国サイバーセキュリティ法、第23条・第33条——当サイトに全文の英訳：/china-cybersecurity-law.html（一次情報源：npc.gov.cn）。
- GB/T 22239-2019『情報セキュリティ技術——サイバーセキュリティ等級保護の基本要求』（信息安全技术 网络安全等级保护基本要求）、2019年12月1日施行——MLPS 2.0の要件標準。
- 情報セキュリティ等級保護管理弁法（信息安全等级保护管理办法、公通字〔2007〕43号、2007年）——格付け／届出／評定の手続で、公安部その他の部門が公布。
専用の国務院『サイバーセキュリティ等級保護条例』（网络安全等级保护条例）は、これまでパブリックコメント用の草案としてのみ公表されており、まだ施行されていません。施行されるまで、運用上の要件は、上記のサイバーセキュリティ法、GB/T 22239-2019、そして2007年の管理弁法に定められたもののままです。
本ページは方向付けのためのみに提供され、法的助言ではありません。貴社のシステムのレベル・義務・プロセスは、有資格の専門家と認められたMLPSの評定機関で確認してください。