LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

中国のサイバーセキュリティ法（网络安全法）が、2016年の制定以来はじめて改正されました。2025年10月28日の第十四期全国人民代表大会常務委員会第十八回会議で「サイバーセキュリティ法の改正に関する決定」が可決され*1、同日付の主席令第61号で公布、2026年1月1日から施行されます*2。

改正は全面的な書き換えではなく、条文の追加・修正が14項目と、条文の順序の調整という形をとっています*1。ただし罰則の部分は大きく動きました。金額の区分が細かくなり、上限も引き上げられています*1。

本記事では、中国に拠点やシステムを持つ企業の情報システム担当と、その仕組みづくりを受託する立場に向けて、何が変わり何が据え置かれたのかを整理します。制度の解釈が要る部分は条文と専門家の確認を経て進めてください。

罰則の区分が細かくなった

改正でもっとも実務に響くのが、法的責任の章です*1。

従来の第59条は第61条となり、内容が書き換えられました*1。ネットワーク運営者が第23条・第27条の保護義務を履行しない場合、主管部門が是正を命じ警告を与え、1万元以上5万元以下の罰金を科すことができるとされています*1。是正を拒む場合やネットワークの安全を害する結果を招いた場合は5万元以上50万元以下、直接責任を負う管理者その他の直接責任者には1万元以上10万元以下とされています*1。

重要情報インフラ（CII）の運営者が第35条・第36条・第38条・第40条の義務を履行しない場合は、5万元以上10万元以下、拒否や結果を招いた場合は10万元以上100万元以下、直接責任者には1万元以上10万元以下とされています*1。

そして新しく置かれたのが、結果の重さに応じた区分です*1。前二項の行為により大量のデータ漏えいや重要情報インフラの部分的な機能喪失など、ネットワークの安全を著しく害する結果を招いた場合は50万元以上200万元以下、直接責任者には5万元以上20万元以下とされています*1。重要情報インフラの主要な機能の喪失など特別に重大な結果を招いた場合は200万元以上1000万元以下、直接責任者には20万元以上100万元以下とされています*1。

ほかにも罰則が加わっています*1。第63条が新設され、安全認証を受けていない、あるいは安全検測に適合しないネットワークの重要設備・専用製品を販売または提供した場合、販売や提供の停止、警告、違法所得の没収が定められ、違法所得が10万元未満なら2万元以上10万元以下、10万元以上なら違法所得の1倍以上5倍以下の罰金が科されるとされています*1。情状が重い場合は業務の停止、営業の停止と是正、許可証や営業許可の取消しもあり得るとされています*1。

また第69条となる規定では、禁止された情報の伝送停止・削除・記録の保存・報告を怠った場合について、5万元以上50万元以下、拒否や情状が重い場合は50万元以上200万元以下、特別に重大な影響・結果の場合は200万元以上1000万元以下とされ、電子情報の送信サービス提供者やアプリのダウンロードサービス提供者にも同様の処罰が及ぶとされています*1。

数字が上がったことより注目したいのは、結果の重さで区分が分かれた点です。義務違反そのものより、漏えいの規模や機能喪失といった結果が金額を決めます。インシデントの影響範囲を小さく抑える設計と運用が、そのまま金額を左右する構図になりました。

人工知能に関する条文が新設された

今回の改正で新しく加わった条文のうち、性格が異なるのが第20条です*1。

国が人工知能の基礎理論の研究と、アルゴリズムなど重要技術の研究開発を支援し、訓練データ資源や計算力などの基盤の整備を推進し、人工知能の倫理規範を整備し、リスクの監視評価と安全監督を強化して、人工知能の応用と健全な発展を促すとされています*1。あわせて、国がネットワークの安全管理の方式の刷新を支援し、人工知能などの新しい技術を用いて保護の水準を高めるとされています*1。

もう一つ、第3条として「ネットワークの安全に関する業務は中国共産党の指導を堅持し、総体的な国家安全観を貫き、発展と安全を統一的に進め、ネットワーク強国の建設を推進する」という条文が加えられました*1。

この二つの新設は、直接に企業へ義務を課すものではありません。ただし、今後の下位規則の方向を示すという意味では読んでおく価値があります。訓練データやアルゴリズムに関する規則が、この条文を根拠に整備される可能性があるためです。

生成AIそのものについては別の規則が既にあります。中国の生成AI規制で扱う枠組みと、この第20条は方向が揃っています。

個人情報についても条文が加わりました*1。第40条は第42条となり、第2項として「ネットワーク運営者が個人情報を処理する場合、本法および民法典、個人情報保護法などの法律・行政法規の規定を遵守しなければならない」という規定が置かれています*1。法律間の関係を明示するもので、実務としては中国PIPLの越境移転で扱うような要求と一体で確認することになります。

据え置かれた運用義務のほうが重い

改正されなかった部分にこそ、日々の運用が乗っています*2。

改正後の第23条は、国がネットワーク安全等級保護制度を実施するとしたうえで、ネットワーク運営者に次の保護義務を課しています*2。内部の安全管理制度と操作規程の策定およびネットワーク安全の責任者の決定、コンピュータウイルスやネットワーク攻撃・侵入を防ぐ技術的措置、ネットワークの運行状態と安全事案を監視・記録する技術的措置と関連するネットワークログの6か月以上の保存、そしてデータの分類、重要データの複製と暗号化などの措置です*2。

第27条は、安全事案の緊急対応計画を策定し、システムの脆弱性やウイルス、攻撃、侵入といったリスクを速やかに処置すること、安全を害する事案が発生した場合には直ちに計画を起動して是正の措置をとり、規定に従って主管部門へ報告することを求めています*2。

第24条は、製品・サービスが国家標準の強制的な要求に適合することを求め、悪意あるプログラムを仕込まないこと、安全上の欠陥や脆弱性を発見した場合には直ちに是正措置をとり利用者へ告知して主管部門へ報告することを定めています*2。あわせて、規定または当事者が約定した期間内は安全の保守の提供を終了してはならないとされています*2。保守の打ち切りが契約上の論点になり得る条文です。

重要情報インフラの運営者には、さらに義務が加わります*2。第36条は、専門の安全管理機構と安全管理責任者の設置およびその責任者と重要な職位の人員に対する経歴の審査、従業員への定期的な教育・技術研修・技能考課、重要なシステムとデータベースの災害対策バックアップ、緊急対応計画の策定と定期的な訓練を挙げています*2。

第37条は、CII運営者がネットワーク製品・サービスを調達する際、国家の安全に影響し得る場合には国家の安全審査を経ることを求めています*2。第39条は、国内の運営で収集・生成した個人情報と重要データを国内に保存することとし、業務上必要でどうしても国外へ提供する必要がある場合は、定められた方法で安全評価を行うこととしています*2。第40条は、自らまたはネットワーク安全サービス機関に委託して、年に1回以上ネットワークの安全性とリスクの検測評価を行い、その状況と改善措置を所管部門へ報告することを求めています*2。

この並びを見ると、システム側の宿題ははっきりしています。

ログの保存期間です。6か月以上という下限があります*2。クラウドの標準設定では、これを下回っていることが少なくありません。ログの保持とローテーションで扱うような設定の見直しが起点になります。

データの分類と暗号化です。条文は「データの分類、重要データの複製と暗号化」を措置として挙げています*2。どのデータが重要かを決めていなければ、暗号化の対象も決まりません。

年1回の検測評価です。CII運営者に該当する場合、年次の作業として組み込む必要があります*2。

国外の企業にも及ぶ規定

改正では、域外に対する規定も書き換えられました*1。

従来の第75条は第77条となり、国外の機関・組織・個人が中国のネットワークの安全を害する活動に従事した場合、法に従って法的責任を追及するとされています*1。重大な結果を招いた場合には、国務院の公安部門と関係部門が、その機関・組織・個人に対して財産の凍結その他必要な制裁措置をとることを決定できるとされています*1。

改正前の規定と比べて、措置の主体と手段が具体的に書かれた形です。日本企業が直ちに対象になるという話ではありませんが、制裁の枠組みが法律の中に置かれたことは押さえておきたいところです。

もう一点、実務的に効きそうなのが第64条の書き換えです*1。従来「関係主管部門が関連業務の停止、営業の停止と是正、ウェブサイトの閉鎖、許可証の取消し、営業許可の取消しを命じることができる」とされていた部分が、「関連業務の停止、営業の停止と是正、ウェブサイトまたはアプリケーションの閉鎖、許可証の取消し、営業許可の取消しを命じることができる」に改められました*1。アプリケーションが明示的に対象へ加わっています。

同様の表現は、第65条や第69条となる規定にも用いられています*1。モバイルアプリでサービスを提供している場合、停止の対象がウェブサイトに限られないことが条文上はっきりしたと言えます。

あわせて第73条が新設され、本法の規定に違反した場合でも、行政処罰法が定める軽減・減免・不処罰の事由がある場合はその規定に従うとされています*1。処罰の幅が広がったことと対になる規定です。

着手の順序と、受託で進めるときの要点

優先順位をつけるなら、次の順になります。

第一に、ログの保存期間の点検です。6か月以上を満たしているか*2。設定を確認するだけで済む場合もあります。

第二に、重要データの特定です。分類と暗号化の対象を決めていないと、措置そのものが始まりません*2。

第三に、CII該当性の確認です。該当するなら、年1回の検測評価と国内保存の要求が加わります*2。

第四に、インシデント時の影響範囲の把握です。罰金の区分が結果の重さで分かれる以上*1、漏えいの規模を早期に確定できることが金額に効きます。

受託で進める場合の要点も挙げます。

保守の終了条件を契約で確認することです。規定または約定した期間内は安全の保守を終了してはならないとされています*2。サポート終了の告知や、EOLの扱いが論点になり得ます。

認証・検測が要る機器を洗い出すことです。ネットワークの重要設備と専用製品は、認証または検測を経てからでなければ販売・提供できないとされ、違反には新設の第63条が適用されます*1*2。調達と再販の両方で確認が要ります。

アプリも停止の対象になる前提で設計することです。閉鎖の対象にアプリケーションが明示されました*1。ウェブとアプリで運用が分かれている場合、停止の手順も両方に用意しておく必要があります。

他の法令と一体で点検することです。ネットワークデータ安全管理条例で扱う記録や報告の義務は、この法律を上位に置いています。片方だけを見ていると、記録の年数や報告の期限を取り違えます。

体制としては、中国拠点の運用実務と本社側のセキュリティ設計の双方に触れられる要員が入れるかが分かれ目になります。ログの実際の保持期間、暗号化の適用範囲、調達している機器の認証の有無。これらは仕様書の項目名だけを見ていても判断できません。業務側と設計側が同じ場で話せる形を作れるかを、委託先を選ぶ観点に入れておくとよいでしょう。

まとめ：中国CSL改正で押さえる3つの視点

中国のサイバーセキュリティ法は、2025年10月28日の第十四期全国人民代表大会常務委員会第十八回会議で改正が可決され、主席令第61号として公布、2026年1月1日から施行されます。押さえたい視点は三つです。第一に、罰則の区分が結果の重さで分かれたこと。運営者が保護義務を履行しない場合の1万元以上5万元以下から始まり、是正を拒む場合は5万元以上50万元以下、重要情報インフラ運営者では10万元以上100万元以下、大量のデータ漏えいなど著しい結果を招いた場合は50万元以上200万元以下、主要機能の喪失など特別に重大な結果では200万元以上1000万元以下とされ、直接責任者にも個人への罰金が定められています。第二に、人工知能に関する第20条が新設されたこと。基礎理論とアルゴリズムの研究開発の支援、訓練データ資源や計算力の基盤整備、倫理規範の整備、リスクの監視評価と安全監督の強化が明記されました。第三に、運用の義務は据え置かれていること。等級保護に基づく内部規程と責任者の決定、ネットワークログの6か月以上の保存、データの分類と重要データの複製・暗号化、重要情報インフラ運営者の年1回以上の検測評価と国内保存の要求は変わっていません。まずはログの保存期間と重要データの特定から着手するのが堅実でしょう。

よくある質問

出典

1. *1　参考：中国人大網「全国人民代表大会常務委員会関於修改《中華人民共和国網絡安全法》的決定」（2025年10月28日 第十四届全国人民代表大会常務委員会第十八次会議通過）（http://www.npc.gov.cn/npc/c2/c30834/202510/t20251028_449048.html）。2025年10月28日の可決と2026年1月1日からの施行、第3条の新設、第18条を第19条とし第2項を削除、人工知能に関する第20条の新設、第40条を第42条として個人情報処理に関する第2項を追加、第59条を第61条とした罰則の書き換え（1万元以上5万元以下／5万元以上50万元以下／CIIの5万元以上10万元以下・10万元以上100万元以下／著しい結果の50万元以上200万元以下／特別に重大な結果の200万元以上1000万元以下と各段階の直接責任者への罰金）、第63条の新設（未認証・未検測の重要設備等の販売に対する罰則）、第64条以下の「ウェブサイトまたはアプリケーションの閉鎖」への改め、第69条となる規定の罰則、第73条の新設（行政処罰法による軽減等）、第75条を第77条とした域外活動への責任追及と財産凍結等の制裁措置の一次情報として（2026年8月確認）
2. *2　参考：共和県人民代表大会常務委員会（司法部・中国人大網より）「新修訂的《中華人民共和国網絡安全法》公布、2026年1月1日起施行」（主席令第61号・改正後全文）（https://ghxrd.gov.cn/zlk_0/zcfg/202511/t20251110_229733.html）。中華人民共和国主席令第61号による公布（2025年10月28日）と2026年1月1日からの施行、2016年11月7日の第十二届全国人民代表大会常務委員会第二十四次会議での可決という沿革、改正後の第20条（人工知能）、第23条（等級保護に基づく保護義務・ネットワークログの6か月以上の保存・データの分類と重要データの複製と暗号化）、第24条（製品・サービスの要求と安全維持の継続提供）、第25条（重要設備と専用製品の安全認証・検測）、第27条（緊急対応計画と報告）、第36条（CII運営者の専門機構と責任者、経歴審査、災害対策バックアップ、演練）、第37条（調達時の国家安全審査）、第39条（個人情報と重要データの国内保存と安全評価）、第40条（年1回以上の検測評価と報告）の一次情報として（2026年8月確認）

Tweet