Cybersäkerhetslagen i Folkrepubliken Kina (även känd som Folkrepubliken Kinas Internetsäkerhetslag ) är den huvudsakliga reglerande rättsakten som reglerar området för internetsäkerhet i Kina . Publicerad 7 november 2016 från och med 1 juni 2017.
Cybersäkerhetslagen reglerar åtgärderna för leverantörer av nätverksprodukter och tjänster för insamling, lagring och bearbetning av användardata, bestämmer förfarandet och detaljerna för att säkerställa säkerheten för informationsinfrastruktur i strategiskt viktiga branscher. Huvudmålet med antagandet av lagen är att skydda Kinas nationella "cybersuveränitet". [ett]
Cybersäkerhetssfären kom till de kinesiska myndigheternas kännedom under andra hälften av 1990-talet .
Ett av incitamenten för utvecklingen av lagstiftning på detta område var skapandet 1999 av systemet för elektronisk förvaltning (Government Online Project, GOP) och uppkomsten av behovet av adekvat lagreglering. [2] Till exempel antogs 2000 riktlinjerna för nationella elektroniska regeringskonstruktioner (NEGC).
År 2011 infördes bestämmelser om cybersäkerhet i Kinas nationella strafflagstiftning och 2013 i lagen om skydd av konsumenters rättigheter och intressen.
I juli 2015 publicerade Kinas nationella folkkongress utkastet till den första cybersäkerhetslagen.
Den 7 november 2016 godkändes PRC Cyber Security Law i tredje behandlingen vid mötet med NPC:s ständiga kommitté . Träde officiellt i kraft den 1 juni 2017.
Cybersäkerhetslagen är kumulativ och representerar de kinesiska myndigheternas första försök att formulera och sammanfatta de strategiska principer som styr Kinas agerande inom cybersäkerhetsområdet.
Lagtexten består av 79 artiklar, förenade i 7 avsnitt:
Lagen berör främst verksamheten hos leverantörer av nätprodukter och tjänster. Enligt artikel 22 ska leverantörer av nätprodukter och tjänster informera användare och relevanta behöriga myndigheter i god tid om alla kända säkerhetsbrister och vidta nödvändiga åtgärder för att eliminera dem. [3] I händelse av att produkter eller tjänster samlar in personuppgifter är leverantörer skyldiga att meddela användarna detta. Insamling och lagring av användarnas personuppgifter måste utföras uteslutande för de ändamål som officiellt har angetts av leverantören. Avslöjande, ändring, radering och överföring av data till tredje part är förbjudet, med undantag för att utföra de angivna operationerna på begäran av användaren själv.
Lagen begränsar användarnas anonymitet avsevärt genom att införa ett krav på obligatorisk verifiering för att få tillgång till nätverket. Om användaren inte tillhandahåller riktiga identifieringsuppgifter har leverantören inte rätt att öppna åtkomst till nätet.
Särskild uppmärksamhet ägnas åt säkerheten för kritisk infrastruktur, som inkluderar statliga kommunikations- och informationstjänster, energi, transport, bevattning, finans, försvar, e-förvaltning och andra nyckelindustrier och sektorer, där skador, missbruk och dataläckage kan leda till allvarliga hot mot den nationella säkerheten och allmänhetens intresse. Bland annat skärps kraven på yrkesutbildning av anställda som arbetar på KVII-anläggningar, ett förbud införs mot att lagra data utanför Kina; enligt bestämmelserna i lagen bör inköp av nätverksprodukter och tjänster för CIS-anläggningarna utföras under kontroll av auktoriserade statliga organ, företag i kritiska branscher är skyldiga att genomföra årliga säkerhetsriskbedömningar och återspegla resultaten i rapporterar.
Om överträdelser upptäcks föreskriver lagen böter på mellan 10 000 och 1 miljon yuan, beroende på hur allvarlig it-brottsligheten är, med alla olagligt erhållna inkomster föremål för konfiskering. [4] I enlighet med artikel 75 har myndigheterna i Kina möjlighet att frysa tillgångar från utländska institutioner, organisationer och individer om de misstänks ha organiserat och utfört en attack, hackning, störning eller skada på Kinas kritiska informationsinfrastruktur.
Förordningen föreskriver också genomförandet av åtgärder för att öka befolkningens läskunnighet inom cybersäkerhetsområdet med deltagande av statliga myndigheter på alla nivåer och media.
Antagandet av lagen leder till ökad statlig kontroll över kinesiska och utländska företags verksamhet på Internet.
Lagen kan ha en betydande inverkan på strukturen på Kinas inhemska IT-marknad och de nationella tillverkarnas positioner. Dess implementering begränsar västerländska IT-företags tillgång till den kinesiska marknaden, eftersom det kräver att de genomgår en speciell certifiering, vilket bland annat innebär att källkoderna för den medföljande programvaran måste avslöjas.
Kinesiska och utländska företag som planerar att sälja IT-produkter på den kinesiska marknaden måste göra fullständiga eller partiella justeringar av sina affärs- och verksamhetsmetoder i enlighet med bestämmelserna i den nya lagen. [5]
I augusti 2016 begärde mer än 40 internationella företag den kinesiska premiärministern Li Keqiang för att ändra det publicerade lagförslaget, men de kinesiska myndigheterna sa att lagens bestämmelser "inte står i konflikt med utländska företags intressen." [6]
Västerländska medier har upprepade gånger kallat den nya rättsakten kontroversiell. Icke-kinesiska publikationer rapporterade att stora utländska teknikföretag var "oroade över att lagen också syftar till att skydda Kinas inhemska IT-sektor" och sa att de nya reglerna "avvisar kinesiska köpare från att köpa utländska produkter." [7]
Amerikanska handelskammaren Kinas ordförande James Zimmerman kallade i en intervju med Reuters bestämmelserna i den nya lagen "vaga, tvetydiga och öppna för tolkning av myndigheterna". [6]
Människorättsorganisationen Amnesty International har upprepade gånger kritiserat de kinesiska myndigheternas politik på området cybersäkerhet. I synnerhet sa chefen för Amnesty Internationals program i Östasien, Nicholas Bekelin, som kommenterade publiceringen av utkastet till kinesisk cybersäkerhetslag, att det leder till institutionaliseringen av censuren. [8] Enligt Amnesty Internationals Kina-specialist Patrick Moon, "gör denna farliga lag faktiskt internetföretag till statens agenter, vilket kräver att de censurerar och tillhandahåller användarnas personuppgifter till myndigheterna på deras första begäran." Organisationen uppmanade också den kinesiska regeringen att upphäva den nya cybersäkerhetslagen, som "ger myndigheterna carte blanche att begränsa rätten till yttrandefrihet och rätten till privatliv". [fyra]