はじめに
ネットワーク安全等級保護制度（略称：等保）は、英語だとMLPS（Multi-Level Protection Scheme）として知られており、サイバーセキュリティ法に基づき、ネットワークシステムを重要度に応じてランク分けし、それぞれの等級に応じた安全対策を求める制度です。
中国のデータ三法関連の文脈では、「等級保護」「等保」という略称を用いて会話を進めることも多いですが、対応策を実施する際は、「公安機関への届出（備案）」と「測評機構による技術評価（測評）」という、主体も内容も異なる2つの手続きも含めた全体像を把握し、自社の状況に合わせてマスト対応と推奨対応を確認しながら進める必要があります。
本記事ではあらためて、等保制度の全体像、自社が対応すべきかどうかの一次判断、マスト対応と推奨対応の違い、自社対応と外部依頼の切り分けについて解説します。
※本記事は更新時点（2026年8月）の情報に基づいています。
ネットワーク安全等級保護制度（等保・MLPS）とは？
ネットワーク安全等級保護制度は、ネットワークシステムを重要度に応じてランク分けし、それぞれの等級に応じた安全対策を求める制度です。
2007年に公安部が発布したサイバーセキュリティ法（信息安全等级保护管理办法）により初めて法律上の位置づけが与えられ、2025年10月28日改正、2026年1月1日施行の改正・サイバーセキュリティ法第23条には以下のように記載されています。
国家实行网络安全等级保护制度（国家はネットワーク安全等級保護制度を実施する）
《信息安全等级保护管理办法》第23条
システムは重要度に応じて5段階に区分されます（あくまで目安で、実際の等級は個別の判定プロセスを経て確定します）。
- 一級： 一般的なシステム
- 二級： 一般企業の重要システム
- 三級： 重要インフラ・大規模サービスなど
- 四級： 国家レベルの重要システム
- 五級： 最高レベル
なお、サイバーセキュリティ法を含む、中国データ三法については以下の記事でご紹介しています。
自社で対応が必要かどうかの一次判断
次のようなシステムを保有・運用している場合、等保対応の要否確認が必要になることが多いとされています。
- 自社で開発・運用しているWebサイト、アプリ、会員向けサービスのシステム
- 顧客情報・従業員情報を扱う社内システム（人事システム、CRM等）
- 工場のIoT設備、生産管理システム
- 中国国内に設置しているサーバー・ネットワーク機器
一方で、次のようなケースは対応の優先度が相対的に低いことが多いとされています（該当しないと断定するものではなく、個別確認は必要です）。
- クラウドサービスの利用のみで、自社独自のシステム開発・運用がほとんどない
- 中国国内に拠点がなく、ネットワークシステムの運用実態がない
注意点：「自社がどの等級に該当するか（一級か二級以上か）」の判断自体（定級）は、どの企業も一度は行う必要があります。判断を省略して「自社は関係ない」と決めてしまうと、そのこと自体がリスクになり得ます。
対応の全体プロセス
等保対応は、一般に次の流れで進みます。
- 定級（等級の判断）：自社システムがどの等級に該当するかを判定する
- 備案（届出）：二級以上に該当するシステムについて、安全保護等級の確定後30日以内に、所在地の市級以上の公安機関へ届出を行う
- 建設整改（セキュリティ対策の導入・是正）：判定された等級の基準を満たすよう、システム・体制を整備する
- 等級測評（セキュリティ評価）：三級以上のシステムについて、資質を持つ測評機構による技術評価を受ける
- 監督検査：公安機関による監督・検査に対応する
マスト対応と推奨対応
下記にて主なマスト対応事項と推奨対応事項を整理しました。
| 区分 | 内容 |
| マスト （法的義務） | 等級の判断（定級） 二級以上における公安機関への届出（備案） 三級以上における測評機構による等級測評 監督検査への協力 |
| 推奨 （義務ではないが望ましい対応） | 測評結果を踏まえた自主的なセキュリティ対策の強化 社内規程・セキュリティ文書の整備 委託先の等保対応状況の把握 など |
一級に該当するシステムについては、届出（備案）の法的義務はないとされています。ただし、繰り返しにはなりますが、自社システムがどの等級に該当するかという判断自体は、等級の判断（定級）のプロセスを経て確認しておく必要があります。また、二級と判定されたシステムでもシステムの内容によっては等級測評が求められるなどの例外ケースもあるので、迷われる際は専門家にご相談されることをおすすめします。
自社でできること・外部に頼ることが多いこと
さらにここでは、自社でできること・外部に頼ることが多いこと、の軸で整理を進めます。
まず、「等級保護対応」「等保対応」と一言で言っても、実際には複数の当事者が関わります。以下では例として、自社＝中国拠点を持つ日系機械メーカーを想定し、そのほかに登場しうる当事者を下記のように分けて工程と当事者の例について説明をします。
- 自社 （例： 日系機械メーカーの中国現地法人）
- 日系中国リーガルコンサル会社 （法務・手続き面の支援）
- 日系インフラベンダー（技術・インフラ面の支援）
- 中国の測評機構（法定資格を持つ現地の第三者評価機関）
- 中国の公安機関（行政機関、監督官庁）
当事者を上記だと仮定し、このような場合、誰が何を担うことが多いかをまとめると、次のようになります。
| 工程 | 主に関わることが多い当事者 | 補足 | |
| 定級の一次判断 | 自社 | 自社のシステム内容が一番分かっているのは自社のため、一次判断は自社で行うことが多いです。 | |
| 定級の一次判断の妥当性確認・手続きの助言 | 日系中国リーガルコンサル会社 | 中国の法令・実務運用に詳しい立場から、自社の一次判断が実務上通用するか助言を受けるケースが多いです。 | |
| 社内規程・文書の整備 | 自社 | 文書のひな形は日系中国リーガルコンサル会社などから提供されることも多いです。 | |
| セキュリティ対策の技術的実装 | 日系インフラベンダー | 自社で完結させるには専門的なクラウド・ネットワーク知識が必要なため、外部依頼が多い部分です。 | |
| 備案（届出）手続きの書類作成 | 自社または日系中国リーガルコンサル会社が作成、提出先は中国の公安機関 | 提出先は公安機関ですが、書類作成自体は自社または日系中国リーガルコンサル会社などが担うことが多いです。 | |
| 定級時の専門家によるレビュー（専門家評審） | 日系中国リーガルコンサル会社経由で進むことが多い | このレビューを行う専門家は、測評機構とは別の第三者パネルです。自社としては「リーガルコンサル会社に依頼すれば、このステップも含めて対応してもらえる」という理解で問題ありません。 | |
| 等級測評（技術評価）の実施 | 中国の測評機構 | 資質を持つ機関でなければ実施できないため、自社・外部業者ともに代替できません。 |
なお、利用しているクラウド環境によって技術対応の負荷が変わる点にも留意が必要です。中国系クラウドサービスや中国に強い日系クラウドベンダーでは等保対応に必要なセキュリティ商材が一通り揃っているケースが多い一方、それ以外のクラウドサービスでは追加の商材導入が必要になる場合があるとされています。
「公安機関」と「測評機構」の違い
また、等保対応を語る際、「認証」「対応」といった言葉に、性質の異なる2つの手続きがまとめて含まれてしまっていることがあります。ここでも、自社 （例： 日系機械メーカーの中国現地法人）を主語にして、それぞれ誰との間で何が発生するのかを整理します。
| 中国の公安機関 | 中国の測評機構 | |
| カテゴリー | 行政機関 | 資質認定を受けた第三者の民間評価機関 |
| 自社との関係 | 自社（および代行会社）が書類を提出する際に、審査・受理してもらう相手 | 自社が評価を依頼する際に、実際にシステムをテスト・評価してもらう相手 |
| 自社が行うこと | 定級結果と必要書類を届け出る（＝備案） | システムの評価を依頼し、費用を支払う（＝測評） |
| 相手が行うこと | 届出内容の審査 備案証明書の発行 その後の監督検査 | 技術的な評価の実施 測評報告書の発行 |
| 対応が必要な等級 | 二級以上 | 三級以上 |
| 費用 | 届出自体は無償 | 有償（外部委託が前提） |
| 日系インフラベンダー・リーガルコンサル会社との関係 | リーガルコンサル会社が書類作成を代行することはあるが、最終的な提出先・審査元は公安機関（リーガルコンサル会社自身が審査するわけではない） | インフラベンダーがシステム構築を支援することはあるが、最終的な評価元は測評機構（インフラベンダー自身が測評を行うわけではない） |
つまり、日系中国リーガルコンサル会社やインフラベンダーは、あくまで自社の「手続きをサポートする外部業者」であり、実際に審査・評価の権限を持つのは中国の公安機関・測評機構だけ、という点がポイントです。
様々な文脈で「等保対応が必要だ」あるいは「等保対応が完了した」 という場合、どのプロセスまでが完了しているのかを細かく確認しておくと、対応漏れの防止につながります。
情報源・参考資料
《信息安全等级保护管理办法》 中华人民共和国工业和信息化部
https://www.miit.gov.cn/jgsj/xxjsfzs/xxgk/art/2020/art_a981907528694176a61b5b52c2d19895.html
ネットワーク安全等級保護制度対応（等保対応）に関するご相談はこちら
上記のとおり「等保」は、法務・コンプライアンス面の確認（定級判断、届出書類の整備など）と、システム・インフラ面の技術対応（クラウド選定、セキュリティ商材の導入など）の両方にまたがる対応が必要な制度です。
当社は、データ三法対応のパイオニアとして、下記2つの専門窓口で随時ご相談を承っております。ぜひお気軽にご相談ください。
▶まずは法規制面のご相談をされたい方
https://consulting.clara.jp/inquiry/
▶まずはインフラ・技術面のご相談をされたい方
https://ci.clara.jp/contact/form.php
