改正サイバーセキュリティ審査弁法のあらまし

2022年1月4日、国家インターネット情報弁公室など13部局は「改正サイバーセキュリティ審査弁法｣を公布した。2022年2月15日より施行されている。

本稿では、改正サイバーセキュリティ審査弁法の重要なポイントを整理し、最後に日系企業への影響についてまとめている。

審査の申請が必要なケース　

重要情報インフラ運営者によるネットワーク製品・サービスの調達やネットワークプラットフォーム運営者によるデータ処理活動が、国家の安全に影響を与えるか、または影響を与える可能性がある場合（2条）

重要情報インフラ運営者が国家の安全に影響を及ぼすか、あるいは影響を及ぼす可能性があると考えられるネットワーク製品・サービスを調達する場合（5条）

100万人以上のユーザーの個人情報を保有するネットワークプラットフォーム運営者が海外の株式市場に上場する場合（7条）

申請資料

サイバーセキュリティ審査の申請に必要な資料は次の通り。（8条）

• 申請書
• 国家の安全への影響または影響する可能性についての分析報告
• 調達に関する書類、協議書、合意した契約書、新規株式公開（IPO）等の提出予定の上場申請書類
• その他、サイバーセキュリティ審査に必要な資料

審査の重点ポイント

審査では次のような国家の安全に対するリスク要因を重点に評価する。（10条）

• 製品・サービスの使用により、重要情報インフラが乗っ取り、妨害、破壊されるリスク
• 製品・サービスの供給中断による重要情報インフラの事業継続に支障をきたすリスク
• 製品・サービスの安全性、開放性、透明性、供給源の多様性、供給経路の信頼性、および政治、外交、貿易等の理由により供給が中断されるリスク
• 製品・サービスの提供者が中国の法律、行政法規、部門規定を順守しているか
• 核心データ、重要データ、または大量の個人情報が盗難、漏えい、破壊および違法に利用、違法に越境移転されるリスク
• 株式市場への上場によって重要情報インフラ、核心データ、重要データまたは大量の個人情報が外国政府の影響を受ける、支配される、悪意を持って利用されるリスク、およびネットワーク情報セキュリティのリスク
• その他、重要情報インフラの安全、サイバーセキュリティの安全、データの安全に危害を及ぼす可能性のある要素

審査の流れ

サイバーセキュリティ審査弁公室は、申請資料を受け取ってから10営業日以内に審査が必要か否かについて書面で申請者に通知する。

審査が必要な場合、サイバーセキュリティ審査弁公室は申請者への通知から30営業日以内に予備審査を完了し、審査結果の提案をサイバーセキュリティ審査作業メカニズムの関係者および関連部門に送付する。状況が複雑な場合15営業日延長できる。

サイバーセキュリティ審査作業メカニズムの関係者と関連部門は、審査結果の提案を受領してから15営業日以内に提案に対する意見をまとめる。両者の意見が一致する場合は審査結果を書面で申請者に通知する。一致しない場合は特別審査を行う。特別審査は通常90営業日以内に完了するが、状況が複雑な場合延長することができる。 （9条、11条、12条、13条、14条）

違反に対する処分

申請者が本弁法の規定に違反した場合、サイバーセキュリティ法、データセキュリティ法等の規定に基づいて処分する。（20条）

本弁法に対する見解

本弁法は2020年6月に施行された「サイバーセキュリティ審査弁法」を改正したもので、2022年2月15日から施行されている。

旧弁法では「重要情報インフラ運営者によるネットワーク製品・サービスの調達が国家の安全に影響を与えるか、または影響を与える可能性がある場合」にのみ当局によるサイバーセキュリティ審査の申請を義務付けていたが、改正弁法ではさらに「100万人以上のユーザーの個人情報を保有するネットワークプラットフォーム運営者が海外の株式市場に上場する場合」にも審査の申請が必要であるとした。この改正は、2021年以降、中国政府が海外への情報流出を警戒し、国内企業の米国上場を規制する動きに沿った対応と思われる。

一方で、サイバーセキュリティ審査の手順や内容自体に大きな変化はなく、今回の改正が中国でビジネスを展開する日系企業に影響を及ぼす可能性は低いと考えられる。

公式リンク（中国語） http://www.cac.gov.cn/2022-01/04/c_1642894602182845.htm

---

本レポートはクララが発行する「中国法令アラート 2022 年 1 月号」の内容を一部抜粋、編集したものです。「中国法令アラート」では、最新の法令・制度変更に関する詳細および予想される日系企業への影響、実務で得た動向変化に関する情報等を毎月 PDF でお届けしています。