2023年4月12日、ネットワークセキュリティ専用製品の安全管理を強化し、安全認証と安全検測結果の相互承認を促進し、認証と検測の繰り返しを回避するために、中国国家認証認可監督管理委員会、国家ネットワーク情報弁公室、工業情報化部、公安部、財務部は「ネットワークセキュリティ専用製品の安全管理に関する調整事項の通達（关于调整网络安全专用产品安全管理有关事项的公告）」（以下、「通達」という）を公布した。当該「通達」は2023年7月1日より施行される模様である。
通達の概要
「通達」の中には、以下のような重要なポイントが含まれる。
- 2023 年 7 月 1 日以降、「ネットワーク重要インフラ設備及びネットワークセキュリティ専用製品目録」に掲載されているネットワークセキュリティ専用製品は、「情報安全技術 ネットワークセキュリティ専用製品の安全技術に関する要求」などの関連する国家標準の強制要求に準拠する必要がある。
- かつ、資格を具備する機関による安全認証に合格するか、安全検測の要求を満たした後にのみ、販売または提供できる。
- 国家ネットワーク情報弁公室は、工業情報化部、公安部、国家認証認定管理委員会と共同で、要件を満たすネットワーク重要設備、及びネットワークセキュリティ専用製品のリストを発行および更新している。
当局はネットワークセキュリティ専用製品の生産者に2023年7月1日までに準拠するよう対応を求めている。「通達」によると、安全認証に合格しないか、または安全検測の要求を満たさない場合には、該当製品を取り扱う日系メーカーは販売ができなくなる恐れがある。
通達が指し示す規定や対象とは
「通達」で用いられている「安全認証・安全検測」、「資格を具備する機関」等の用語について、それぞれが指し示す規定や対象は次の通りである。
◆安全認証・安全検測
「通達」で言う安全認証・安全検測とは、上位法である中国サイバーセキュリティ法23条の具体的条項を定めた内容である。「通達」は2017年に施行された中国サイバーセキュリティ法23条に基づいて制定されるもので、該当するネットワーク重要設備及びネットワークセキュリティ専用製品は「関連する国家基準の強制的な要請に従い、資格を具備する機関の安全認証に合格するか、安全検査測定が要求に適合しなければならない」としている。
中国サイバーセキュリティ法第23条
ネットワーク重要設備及びネットワークセキュリティ専用製品は、関連する国家基準の強制的な要請に従い、資格を具備する機関の安全認証に合格するか、安全検査測定が要求に適合した場合に限り、これらを販売するか、提供することができる。
◆認証・検測機関
「資格を具備する機関」とは、2018年3月に公表された「ネットワーク重要インフラ設備及びネットワークセキュリティ専用製品のセキュリティ認証及び評価を実施する認証機関リスト」（第１回）に含まれる機関を指している。
◆対象製品
安全認証・安全検測制度の対象製品は、「ネットワーク重要設備及びネットワークセキュリティ専用製品目録」（2017年第1号）に掲載された4種類のネットワーク重要設備、及び11種類のネットワークセキュリティ専用製品である。主にWAFやファイアウォールなどネットワーク製品メーカーやPLCなど工作機械メーカーに影響すると思われる。
◆関連国家強制標準
次の2つの国家標準規格を指すと考えられる。
- GB42250-2022：ネットワークセキュリティ専用製品を対象とする「情報安全技術 ネットワークセキュリティ専用製品の安全技術に関する要求」
- GB40050-2021：ネットワーク重要設備を対象とする「情報安全技術 ネットワーク重要設備セキュリティ通用要求」
該当製品のメーカーでは製品設計および生産する際に、これらの国家標準規格に準拠するよう対応をとる必要があると考えられる。
本通達に対する見解
背景
中国政府は近年デジタルデータのセキュリティ保護強化に取り組んでいる。2021年以降、データセキュリティ法や個人情報保護法を相次いで施行している。米国との貿易摩擦という外部環境も影響していると思われるが、このタイミングでの 「通達」の公布は、 2017年の論拠法に対して具体的な認証方法が固まってきており、客観的に義務を履行できない事由も消滅していると判断したためではないかと考えられる 。
具体的な影響
該当製品に関して2023年7月1日以降、認証を取得していないものは原則販売することができなくなる。また中国政府の調達リストにも認証を受けていない製品は掲載されなくなるため、国営企業への販売も不可能となる可能性が高い。
取得に伴うメリット
認証を取得することで関連法令や国家標準規格に準拠した適切なセキュリティ対策が済んでいる製品であることが公的に証明される。付与された認証マークを製品やカタログへ使用することで取引先やユーザーに対して政府認証を受けた証としてアピールすることができる。
日系企業の対応状況と今後の重要性について
2023年６月時点で安全認証に対応している日系企業はごく僅かである。しかし 背景でも述べたように、関連する規定の整備が進み、客観的にも企業側が義務を履行できない事由は消滅している状況にある。よって、本認証が強制性認証であることからも該当する製品を生産する企業にとっては必ず対応しなければならないものと言える。
政府機関より公開されている要件を満たす重要設備及び専用製品のリストに掲載されなければ中国政府調達リストから外れること、民間企業でも認証なしの製品は調達することができなくなるなど、今後重要性は増していくものと思われる。
中国語原文：ネットワークセキュリティ専用製品の安全管理に関する調整事項の通達
クララコンサルティング事業部では中国国家強制標準、安全認証・安全検測をはじめ、各種中国サイバーセキュリティ法対策に関するセミナー開催やご相談を随時お受けしております。
