Τι είναι ο Κινεζικός Νόμος Κυβερνοασφάλειας; Εξηγώντας τα κρίσιμα σημεία για την τήρησή του

Σύμφωνα με την ειδική έκθεση της Ιαπωνικής Τράπεζας Δεδομένων (Teikoku Databank) «Ειδικό Θέμα: Έρευνα τάσεων των Ιαπωνικών επιχειρήσεων που επεκτείνονται στην Κίνα (2022)[ja]», ο αριθμός των Ιαπωνικών επιχειρήσεων που έχουν επεκταθεί στην Κίνα ανέρχεται σε 12.706. Ο αριθμός των επιχειρήσεων που ασχολούνται με επιχειρήσεις σχετικές με την Κίνα είναι πιθανόν ακόμη μεγαλύτερος. Στην Κίνα, το 2017 εφαρμόστηκε ο «Κινεζικός Νόμος Κυβερνοασφάλειας».

Ως αποτέλεσμα, για να αναπτύξει κανείς επιχειρήσεις στην Κίνα, έγινε απαραίτητο να εφαρμόσει αλλαγές στις νομικές διατάξεις σύμφωνα με τον νόμο και να λάβει τεχνικά μέτρα προστασίας. Ωστόσο, μπορεί να υπάρχουν άτομα που δεν γνωρίζουν τι ακριβώς προβλέπει αυτός ο νόμος ή πώς να ανταποκριθούν σε αυτόν.

Για αυτό το λόγο, στο παρόν άρθρο θα αναλύσουμε τις βασικές αρχές του Κινεζικού Νόμου Κυβερνοασφάλειας, τους στόχους των ρυθμίσεων και τα μέτρα που πρέπει να ληφθούν. Εάν αναπτύσσετε ή σκοπεύετε να αναπτύξετε επιχειρήσεις στην Κίνα, σας προτρέπουμε να ανατρέξετε σε αυτό για πληροφορίες.

Επισκόπηση του Κινεζικού Νόμου Κυβερνοασφάλειας

Ο Κινεζικός Νόμος Κυβερνοασφάλειας (网络安全法) είναι ένας νόμος που τέθηκε σε ισχύ τον Ιούνιο του 2017. Ο σκοπός του νόμου περιγράφεται στο άρθρο 1 ως εξής:

• Εγγύηση της ασφάλειας του δικτύου
• Προστασία της κυριαρχίας του κυβερνοχώρου, της εθνικής ασφάλειας και του δημόσιου συμφέροντος
• Προστασία των νόμιμων δικαιωμάτων και συμφερόντων των πολιτών, των νομικών προσώπων και άλλων οργανισμών
• Προώθηση της ανάπτυξης της πληροφορικής στην οικονομία και την κοινωνία

Με τον όρο “δίκτυο” αναφέρεται σε “συστήματα που αποτελούνται από υπολογιστές ή άλλες πληροφοριακές συσκευές και σχετικό εξοπλισμό, τα οποία συλλέγουν, αποθηκεύουν, μεταδίδουν, ανταλλάσσουν ή επεξεργάζονται πληροφορίες σύμφωνα με συγκεκριμένους κανόνες ή προγράμματα (άρθρο 76)” και περιλαμβάνει όχι μόνο το διαδίκτυο αλλά και τα εσωτερικά δίκτυα (intranet).

Ο Κινεζικός Νόμος Κυβερνοασφάλειας διαφέρει από τον Γενικό Κανονισμό Προστασίας Δεδομένων της ΕΕ (GDPR) και τον Ιαπωνικό Νόμο Προστασίας Προσωπικών Δεδομένων, καθώς δεν επικεντρώνεται μόνο στην “προστασία πληροφοριών ατόμων και οργανισμών” αλλά επίσης στην “προστασία της εθνικής ασφάλειας και του δημόσιου συμφέροντος της Κίνας”. Ο νόμος καθορίζει την εφαρμογή μέτρων κυβερνοασφάλειας, την τήρηση των κανόνων συμμόρφωσης και την διασαφήνιση των δικαιωμάτων και υποχρεώσεων για τις επιχειρήσεις που εμπλέκονται.

Υπάρχουν και άλλοι νόμοι που αφορούν την ασφάλεια, όπως ο Κινεζικός Νόμος Ασφάλειας Δεδομένων.

Σχετικό άρθρο: Τι είναι ο Κινεζικός Νόμος Ασφάλειας Δεδομένων; Εξηγούμε τα μέτρα που πρέπει να λάβουν οι Ιαπωνικές εταιρείες[ja]

Αντικείμενα Ρύθμισης του Κινεζικού Νόμου Κυβερνοασφάλειας

Οι Ιαπωνικές επιχειρήσεις υπόκεινται στον Κινεζικό Νόμο Κυβερνοασφάλειας στις ακόλουθες περιπτώσεις:

• Όταν υπάρχει διαχείριση πληροφοριών εντός της Κίνας
• Όταν μεταφέρονται πληροφορίες από την Κίνα προς την Ιαπωνία

Ακόμη και αν η έδρα βρίσκεται στην Ιαπωνία, εάν ισχύουν τα παραπάνω, η επιχείρηση υπόκειται στον νόμο. Επιπλέον, μεταξύ των ρυθμιζόμενων φορέων περιλαμβάνονται οι «διαχειριστές δικτύων» και οι «διαχειριστές κρίσιμων υποδομών πληροφοριών».

Διαχειριστής δικτύου είναι αυτός που κατέχει ή διαχειρίζεται ένα δίκτυο, ή παρέχει υπηρεσίες δικτύου.

Διαχειριστής κρίσιμων υποδομών πληροφοριών είναι αυτός που λειτουργεί εγκαταστάσεις σε τομείς που, εάν υποστούν ζημιά, μπορεί να απειλήσουν την εθνική ασφάλεια του κράτους, όπως οι τομείς της ενέργειας, των μεταφορών, των χρηματοοικονομικών και των δημόσιων υπηρεσιών, και οι οποίες, σε περίπτωση βλάβης ή διαρροής δεδομένων, μπορεί να προκαλέσουν σοβαρή βλάβη στην εθνική ασφάλεια, τη ζωή των πολιτών και το δημόσιο συμφέρον.

Το περιεχόμενο του Κινεζικού Νόμου Κυβερνοασφάλειας

Ο Κινεζικός Νόμος Κυβερνοασφάλειας καθορίζει τις ακόλουθες υποχρεώσεις:

• Καθιέρωση επιπέδων κυβερνοασφάλειας
• Συμμόρφωση με τα επιβαλλόμενα εθνικά πρότυπα
• Απαίτηση για εγγραφή με πραγματικά ονόματα
• Υποχρεώσεις για τους διαχειριστές κρίσιμων πληροφοριακών υποδομών
• Δημιουργία διαχειριστικών και ανταποκριτικών δομών

Παρακάτω, θα αναλύσουμε τις λεπτομέρειες κάθε μίας από αυτές τις υποχρεώσεις.

Εγκατάσταση Επιπέδων Κυβερνοασφάλειας

Σύμφωνα με το άρθρο 21 του Κινεζικού Νόμου Κυβερνοασφάλειας, έχει καθιερωθεί ένα σύστημα προστασίας βάσει επιπέδων, το οποίο οι διαχειριστές δικτύων πρέπει να συμμορφώνονται, και οι επιχειρήσεις ή οργανισμοί που κατέχουν δίκτυα εντός της Κίνας πρέπει να αποκτήσουν πιστοποίηση προστασίας βάσει επιπέδου.

Το σύστημα προστασίας βάσει επιπέδων αποτελεί μια δημόσια μέθοδο αξιολόγησης για το σύστημα διαχείρισης ασφάλειας δικτύου. Οι περιοχές που καλύπτει περιλαμβάνουν τις ακόλουθες:

• Υποδομή δικτύου
• IoT
• Βιομηχανικά συστήματα ελέγχου
• Μεγάλες ιστοσελίδες και κέντρα δεδομένων
• Πλατφόρμες δημόσιων υπηρεσιών

Στο σύστημα προστασίας βάσει επιπέδων, τα συστήματα πληροφοριών κατηγοριοποιούνται σε πέντε επίπεδα, ανάλογα με το εύρος και το μέγεθος της ζημιάς σε περίπτωση βλάβης.

Επιπλέον, οι ορισμοί για κάθε επίπεδο είναι ως εξής:

Για κάθε κατηγορία, έχουν καθοριστεί τα πρότυπα ασφάλειας πληροφοριών που πρέπει να τηρούνται. Συνήθως, στους διαχειριστές δικτύων εφαρμόζεται το επίπεδο 2 και άνω, ενώ στους διαχειριστές κρίσιμων υποδομών πληροφοριών το επίπεδο 3 και άνω.

Για την απόκτηση ενός επιπέδου, οι φορείς υποβάλλουν αίτηση αυτοαξιολόγησης στις αρχές, αλλά τελικά απαιτείται η συγκατάθεση του Υπουργείου Δημόσιας Ασφάλειας. Επιπλέον, το σύστημα προστασίας βάσει επιπέδων απαιτεί ότι για τα επίπεδα 2 και άνω πρέπει να ληφθεί αξιολόγηση από αρμόδιο οργανισμό. Είναι σημαντικό να προσέχουμε, καθώς η παραβίαση του συστήματος προστασίας βάσει επιπέδων μπορεί να οδηγήσει σε επιβολή προστίμων.

Συμμόρφωση με τα Επιβαλλόμενα Εθνικά Πρότυπα

Οι πάροχοι προϊόντων και υπηρεσιών στο διαδίκτυο πρέπει να συμμορφώνονται με τα επιβαλλόμενα εθνικά πρότυπα, όπως ορίζεται στο άρθρο 22. Οι πάροχοι δεν πρέπει να εγκαθιστούν κακόβουλα προγράμματα.

Επιπλέον, εάν ανακαλύψουν ελαττώματα, ευπάθειες ή άλλους κινδύνους στα προϊόντα ή τις υπηρεσίες τους, πρέπει να λαμβάνουν άμεσα μέτρα, να ενημερώνουν τους χρήστες και να αναφέρουν το ζήτημα στις αρμόδιες ρυθμιστικές αρχές.

Τον Σεπτέμβριο του 2021 (Reiwa 3), εφαρμόστηκαν οι «Κανονισμοί Διαχείρισης Ευπαθειών Ασφάλειας Προϊόντων Διαδικτύου (网络产品安全漏洞管理规定)», που αφορούν τους διαχειριστές δικτύων. Συνεπώς, θα ήταν σκόπιμο να ανατρέξουν σε αυτούς τους κανονισμούς και να προσαρμοστούν αναλόγως.

Απαιτείται Εγγραφή με Πραγματικό Όνομα

Όταν παρέχετε στους χρήστες υπηρεσίες όπως η σύνδεση σε δίκτυα, διαδικασίες σύνδεσης σε σταθερά και κινητά τηλέφωνα, υπηρεσίες κοινής χρήσης πληροφοριών, και υπηρεσίες άμεσων μηνυμάτων, απαιτείται να διενεργείτε εγγραφή των χρηστών με το πραγματικό τους όνομα. Εάν οι χρήστες δεν εγγραφούν με το πραγματικό τους όνομα, δεν πρέπει να τους παρέχετε τις υπηρεσίες.

Επιπλέον, οι διαχειριστές δικτύων έχουν την υποχρέωση να ελέγχουν αν οι πληροφορίες που δημοσιεύουν οι χρήστες δεν παραβιάζουν το νόμο.

Υποχρεώσεις των Φορέων Λειτουργίας Κρίσιμων Υποδομών Πληροφοριών

Οι φορείς λειτουργίας κρίσιμων υποδομών πληροφοριών, πέρα από την εφαρμογή των μέτρων ασφαλείας που επιβάλλονται στους διαχειριστές δικτύων, πρέπει επίσης να λάβουν τα ακόλουθα μέτρα:

• Τακτική δημιουργία αντιγράφων ασφαλείας (backup) των συστημάτων και βάσεων δεδομένων
• Κατάρτιση σχεδίου αντίδρασης σε περιστατικά ασφαλείας
• Ετήσια αξιολόγηση ασφαλείας
• Εντοπισμός δεδομένων (Data Localization)

Εντοπισμός δεδομένων: Η διαδικασία αποθήκευσης και επεξεργασίας δεδομένων εντός των συνόρων της χώρας όπου δημιουργήθηκαν τα δεδομένα.

Στον κανονισμό που τέθηκε σε ισχύ τον Σεπτέμβριο του 2021, τον «Κανονισμό Ασφάλειας Κρίσιμων Υποδομών Πληροφοριών», καθορίζονται πιο συγκεκριμένα η διαχείριση, η πιστοποίηση και οι υποχρεώσεις των φορέων λειτουργίας, επομένως είναι απαραίτητο να ανατρέξουμε και σε αυτόν.

Δημιουργία Συστήματος Διαχείρισης και Ανταπόκρισης

Οι υπεύθυνοι διαχείρισης δικτύων καλούνται να εφαρμόσουν τα εξής (άρθρο 21):

• Ίδρυση συστήματος διαχείρισης ασφάλειας και καθιέρωση διαδικασιών λειτουργίας
• Ορισμός υπεύθυνου ασφάλειας δικτύου
• Σχεδιασμός σχεδίου ανταπόκρισης σε περιστατικά ασφάλειας και εφαρμογή τεχνικών μέτρων
• Εισαγωγή τεχνολογιών παρακολούθησης δικτύου και αποθήκευση καταγραφών (για τουλάχιστον 6 μήνες)
• Κατηγοριοποίηση δεδομένων, μέτρα προστασίας όπως αντίγραφα ασφαλείας και κρυπτογράφηση κρίσιμων δεδομένων

Διατάξεις σε περίπτωση παράβασης του Ιαπωνικού Νόμου Κυβερνοασφάλειας

Σε περίπτωση παράβασης των απαιτήσεων ασφαλείας που ορίζονται από το σύστημα προστασίας κατηγοριών, εκδίδονται εντολές διόρθωσης και προειδοποιήσεις. Εάν αρνηθείτε να συμμορφωθείτε με την εντολή ή απειλήσετε την ασφάλεια του δικτύου, θα πρέπει να πληρώσετε πρόστιμο από 10.000 έως 100.000 γουάν. Επιπλέον, στον άμεσα υπεύθυνο επιβάλλεται πρόστιμο από 5.000 έως 50.000 γουάν.

Επίσης, εντολές διόρθωσης και προειδοποιήσεις εκδίδονται σε περιπτώσεις όπως η εγκατάσταση κακόβουλων προγραμμάτων ή η αποτυχία λήψης μέτρων αντιμετώπισης κινδύνων, όπως ελαττώματα προϊόντων ή ασφαλειακά κενά σε προϊόντα και υπηρεσίες. Η απόρριψη αυτών των εντολών οδηγεί στην επιβολή προστίμων.

Το ποσό του προστίμου διαφέρει ανάλογα με τη φύση της παράβασης, και μπορεί να δοθούν εντολές για κλείσιμο ιστοσελίδων, ακύρωση αδειών επιχείρησης ή παύση λειτουργίας, γι’ αυτό απαιτείται προσοχή. Στο παρελθόν, υπήρξαν περιπτώσεις όπου παραβάσεις οδήγησαν σε πρόστιμα και στην απαγόρευση ενασχόλησης με τον ίδιο κλάδο επ’ αόριστον για τους υπεύθυνους, γεγονός που καθιστά τα μέτρα κυβερνοασφάλειας απαραίτητα.

Μέτρα Αντιμετώπισης του Κινεζικού Νόμου Κυβερνοασφάλειας για Ιαπωνικές Επιχειρήσεις

Ο Κινεζικός Νόμος Κυβερνοασφάλειας είναι περίπλοκος και μπορεί να είναι δύσκολο να καταλάβετε από πού να ξεκινήσετε. Εδώ θα εξηγήσουμε τα μέτρα που πρέπει να λάβουν οι Ιαπωνικές επιχειρήσεις.

Δημιουργία συνεργασίας με τα τμήματα πληροφορικής και σχετικά με την ψηφιακή μετασχηματισμό (DX)

Για να ανταποκριθείτε στον Κινεζικό Νόμο Κυβερνοασφάλειας, θα πρέπει να δημιουργήσετε διαδικασίες λειτουργίας και να καταρτίσετε ή να προσθέσετε κανονισμούς διαχείρισης προσωπικών δεδομένων. Επιπλέον, για να συμμορφωθείτε με το σύστημα προστασίας βαθμίδων, είναι απαραίτητα τα τεχνικά μέτρα για τα συστήματά σας.

Αντί να ανταποκρίνονται μεμονωμένα τα τμήματα νομικών ή γενικών υποθέσεων, πρέπει να δημιουργήσετε ένα σύστημα συνεργασίας με τα τμήματα πληροφορικής και σχετικά με την ψηφιακή μετασχηματισμό (DX).

Καθορισμός της βαθμίδας στην οποία αντιστοιχούν τα συστήματα που διαθέτει η εταιρεία

Αρχικά, καθορίζετε τη βαθμίδα των συστημάτων της εταιρείας σας. Ανάλογα με αυτήν τη βαθμίδα, κάθε τμήμα πρέπει να λάβει μέτρα συμμόρφωσης με την κυβερνοασφάλεια. Τα τμήματα νομικών, γενικών υποθέσεων και διαχείρισης κινδύνων πρέπει να αναθεωρήσουν και να αναπροσαρμόσουν τους κανονισμούς και τις διαδικασίες, ενώ τα τμήματα πληροφορικής και DX πρέπει να ανταποκριθούν στο τεχνικό επίπεδο. Εδώ θα εξηγήσουμε τις αντίστοιχες απαντήσεις.

Τμήματα νομικών, γενικών υποθέσεων και διαχείρισης κινδύνων

Συγκρίνετε τα θέματα που ορίζονται από τη βαθμίδα με την κατάσταση διαχείρισης και το σύστημα ασφάλειας πληροφοριών της εταιρείας σας, και αναθεωρήστε τις διαδικασίες και προσθέστε κανονισμούς. Στη συνέχεια, εξετάστε πώς θα ανταποκριθείτε και προχωρήστε στην καθιέρωση ή την τροποποίηση των συστημάτων.

Αν η βαθμίδα είναι δεύτερη ή υψηλότερη, πρέπει επίσης να υποβάλετε αναφορά στις αρχές. Αν η εταιρεία σας θεωρείται ότι λειτουργεί κρίσιμες υποδομές πληροφοριών, θα απαιτηθεί να λάβετε πιστοποίηση προστασίας βαθμίδας τρίτης ή υψηλότερης. Επιπλέον, θα πρέπει να ανταποκριθείτε σε πολλά θέματα, όπως η συμμόρφωση με τους κανονισμούς τοπικοποίησης δεδομένων, η περιοδική εκπαίδευση των εργαζομένων σε θέματα ασφάλειας πληροφοριών και τεχνική κατάρτιση. Αν υπάρχει πιθανότητα να θεωρηθείτε ως λειτουργός κρίσιμων υποδομών πληροφοριών, είναι συνετό να συμβουλευτείτε έναν σύμβουλο δικηγόρο και να καθορίσετε μια στρατηγική ανταπόκρισης.

Στην Κίνα, πρόσφατα έχουν εφαρμοστεί πολλά συστήματα σχετικά με την ασφάλεια. Ως εκ τούτου, το τμήμα διαχείρισης κινδύνων θα πρέπει να ανταποκριθεί στους νέους κανονισμούς.

Τμήματα πληροφορικής και σχετικά με την ψηφιακή μετασχηματισμό (DX)

Τα τμήματα πληροφορικής και DX πρέπει να εφαρμόσουν συστήματα ασφάλειας που ανταποκρίνονται στην απαιτούμενη βαθμίδα. Αρχικά, οργανώστε τα μέτρα ασφάλειας των υπαρχόντων συστημάτων της εταιρείας σας και, αν υπάρχουν ελλείψεις, ενσωματώστε συστήματα που συμμορφώνονται με τον Νόμο Κυβερνοασφάλειας.

Εκτός από τον Νόμο Κυβερνοασφάλειας, πρέπει επίσης να ανταποκριθείτε σε κανονισμούς τοπικοποίησης δεδομένων, διασυνοριακούς περιορισμούς και πρόσβαση από την κυβέρνηση. Κατανοήστε ποια δεδομένα μεταφέρετε εκτός Κίνας και αναθεωρήστε την κατάσταση απόκτησης και αποθήκευσης δεδομένων της εταιρείας σας.

Σύμφωνα με τον Νόμο Κυβερνοασφάλειας, δεν πρέπει απλώς να αναθεωρήσετε τους κανονισμούς, αλλά και να λάβετε τεχνικά μέτρα προστασίας, γεγονός που καθιστά απαραίτητη τη συνεργασία των αρμόδιων τμημάτων.

Συνοπτικά: Εάν αντιμετωπίζετε προβλήματα με την ανταπόκριση της εταιρείας σας, συμβουλευτείτε έναν ειδικό

Ο Κινεζικός Νόμος Κυβερνοασφάλειας είναι ένα σύστημα που δημιουργήθηκε για την εθνική ασφάλεια της Κίνας. Για να συμμορφωθεί κανείς με τον Νόμο Κυβερνοασφάλειας, απαιτείται όχι μόνο η αναθεώρηση των κανονισμών από τα νομικά και γενικά τμήματα, αλλά και η λήψη τεχνικών μέτρων προστασίας.

Από την εφαρμογή του Νόμου Κυβερνοασφάλειας, έχουν θεσπιστεί διαδοχικά νόμοι που αφορούν τη συμμόρφωση με τα δεδομένα, όπως οι “Κανονισμοί Διαχείρισης Ευπαθειών Ασφάλειας Προϊόντων Διαδικτύου” και ο “Κανονισμός Ελέγχου Κυβερνοασφάλειας (ένα σύστημα που συγκεκριμενοποιεί το εθνικό σύστημα ασφαλείας)”. Η παραβίαση μπορεί να οδηγήσει σε διοικητικές κυρώσεις όπως πρόστιμα, κλείσιμο ιστοσελίδων ή ακύρωση αδειών επιχείρησης, επομένως απαιτείται προσοχή. Εάν διεξάγετε ή σχεδιάζετε να διεξάγετε επιχειρήσεις στην Κίνα, συνιστάται να συμβουλευτείτε έναν δικηγόρο που είναι ειδικός στο κινεζικό δίκαιο.

Οδηγίες για τα Μέτρα από το Δικηγορικό μας Γραφείο

Το Δικηγορικό Γραφείο Monolith είναι εξειδικευμένο στον τομέα της πληροφορικής, του διαδικτύου και του επιχειρείν. Έχουμε αντιμετωπίσει υποθέσεις σε διάφορες χώρες του κόσμου, όπως η Κίνα, οι ΗΠΑ και οι χώρες της ΕΕ. Η ανάπτυξη επιχειρήσεων στο εξωτερικό συνοδεύεται από πολλούς νομικούς κινδύνους, γι’ αυτό η υποστήριξη από έναν έμπειρο δικηγόρο είναι απαραίτητη. Το γραφείο μας έχει εμπειρία στην τοπική νομοθεσία και τους κανονισμούς και συνεργάζεται με δικηγορικά γραφεία ανά τον κόσμο.

Τομείς εξειδίκευσης του Δικηγορικού Γραφείου Monolith: Διεθνής Νομική Υποστήριξη & Επιχειρήσεις στο Εξωτερικό[ja]