С 1 ноября 2025 года в Китае вступают в силу Новые меры по управлению отчетностью о киберинцидентах, изданные Управлением по делам киберпространства Китая (CAC). Они обязывают все компании, работающие в стране – включая иностранные, – сообщать о серьезных инцидентах в течение нескольких часов.
Хотя обязанность отчитываться уже существовала в рамках Закона о кибербезопасности, Закона о защите персональных данных (PIPL) и Закона о безопасности данных (DSL), новые правила впервые четко определяют цепочку командования, сроки и содержание отчетов, снижая неопределенность.
Кибербезопасность в Китае: кто должен отчитываться?
Правила распространяются на:
- Компании, создающие или эксплуатирующие интернет-сети.
- Предоставляющие онлайн-услуги на территории Китая.
- В том числе иностранные компании без местного юридического лица, если они обслуживают китайских пользователей.
Сроки и процедуры подачи отчетности
| Тип организации | Уровень инцидента | Предельный срок отчетности | Процедура отчетности |
|---|---|---|---|
| Операторы критической информационной инфраструктуры (ОКИИ) | Инцидент кибербезопасности уровня “относительно серьезный” и выше | Не позднее 1 часа с момента инцидента | Организация сообщает о инциденте в профильный департамент и органы общественной безопасности |
| ОКИИ | Инцидент уровня “серьезный” или “экстремально серьезный” | Не позднее 30 минут после получения отчета | Профильный департамент сообщает о инциденте в национальное управление по делам киберпространства и Министерство общественной безопасности |
| Сетевые операторы, принадлежащие центральным и государственным ведомствам | Инцидент уровня “относительно серьезный” и выше | Не позднее 2 часов с момента инцидента | Организация сообщает о инциденте в отдел кибербезопасности своего ведомства |
| Сетевые операторы, принадлежащие центральным и государственным ведомствам | Инцидент уровня “серьезный” или “экстремально серьезный” | Не позднее 1 часа после получения отчета | Отделы по работе с кибербезопасностью и информатизации сообщают о инциденте в национальное управление по делам киберпространства |
| Другие сетевые операторы (включая большинство бизнесов) | Инцидент уровня “относительно серьезный” и выше | Не позднее 4 часов с момента инцидента | Организация сообщает о инциденте в провинциальное управление по делам киберпространства своей юрисдикции |
| Другие сетевые операторы | Инцидент уровня “серьезный” или “экстремально серьезный” | Не позднее 1 часа после получения отчета | Провинциальное управление по делам киберпространства сообщает о инциденте в национальное управление и одновременно уведомляет соответствующие департаменты на своем уровне |
Классификация инцидентов по уровням риска
| Уровень | Ключевые характеристики | Типичные показатели |
|---|---|---|
| Экстремально серьезный | Вызывает широкомасштабный паралич важных сетей/систем; массовая утечка/кража основных или важных данных; создает особо серьезную угрозу национальной безопасности или общественной стабильности. | • Правительственные сайты провинциального уровня недоступны более 24 часов • Нарушение работы всей КИИ более 6 часов • Утечка персональных данных более 100 млн человек • Прямой экономический ущерб более 100 млн юаней (~1,17 млрд рублей) |
| Серьезный | Серьезное повреждение важных сетей/систем; крупномасштабная утечка/кража данных; серьезные угрозы национальной безопасности или общественной стабильности. | • Правительственные сайты городского уровня недоступны более 6 часов • Нарушение работы всей КИИ более 1 часа • Утечка персональных данных более 10 млн человек • Прямой экономический ущерб более 20 млн юаней (~234 млн рублей) |
| Относительно серьезный | Заметное нарушение работы важных сетей/систем; утечка/кража важных данных; относительно серьезное влияние на безопасность или стабильность. | • Правительственные сайты городского уровня недоступны более 2 часов • Нарушение работы всей КИИ более 10 минут • Утечка персональных данных более 1 млн человек • Прямой экономический ущерб более 5 млн юаней (~58,5 млн рублей) |
| Обычный | Прочие инциденты, не достигающие указанных порогов, но все же представляющие некоторую угрозу. | Меньшее воздействие, не соответствующее критериям более высоких уровней |
Кибербезопасность в Китае: содержание отчета
При подаче первичного уведомления необходимо указать:
- Название компании и затронутую систему.
- Время, место, тип и уровень инцидента.
- Причину (если известна).
- Меры реагирования.
- Информацию о злоумышленниках.
- Просьбы о поддержке.
Если полная информация недоступна, можно отправить первые два пункта и дополнить позже.
В течение 30 дней после устранения инцидента компания должна направить итоговый отчет с анализом причин, мер реагирования и выводов. Любые новые обстоятельства также требуют немедленного уведомления.
Штрафы за несоблюдение
Нарушения могут повлечь:
- Штрафы: от 50 тысяч до 50 миллионов юаней (~585 тыс – 585 млн рублей).
- Для должностных лиц: до 1 миллиона юаней (~11,7 млн рублей).
- Приостановка деятельности, отзыв лицензий.
- Особенно высокие штрафы – за утечки персональных данных (до 5% годового оборота).
Если инцидент затрагивает персональные данные, компания обязана проинформировать пострадавших пользователей, как требует статья 57 PIPL – как в случае с Dior в 2023 году.
Новые правила кардинально меняют процедуру реагирования на инциденты, требуя от IT-команд не внутреннего расследования, а немедленных действий и срочного уведомления регуляторов. Установление строгих временных рамок отчетности демонстрирует стратегический курс Китая на ужесточение контроля в сфере цифровой безопасности, что создает серьезные операционные вызовы для компаний, но одновременно формирует более структурированную правовую среду.
Введение жестких временных рамок для отчетности о киберинцидентах является закономерным этапом развития китайского законодательства в области кибербезопасности, направленным на создание единого стандарта реагирования для всех операторов. Данные меры существенно повышают операционные риски для бизнеса, требуя заблаговременного внедрения комплексных систем мониторинга и протоколов экстренного реагирования. Считаете ли вы, что подобные строгие нормы отчетности вскоре могут быть приняты и в других юрисдикциях? Поделитесь своим прогнозом в комментариях.
Новость Китая “Кибербезопасность в Китае: новые требования к отчетности вступят с 1 ноября” подготовлена Порталом PRC.TODAY.
Если вам понравилась новость или появились вопросы, оставьте ваш комментарий или обсудите эту новость в нашем Telegram-канале
Кибербезопасность в эпоху ИИ: Китай ищет новые подходы к кибербезопасности
