Anfang November wurde ein neues Internetsicherheitsgesetz verabschiedet, das ab Juni 2017 gelten soll. Für Unternehmen vor Ort gibt es dadurch einiges zu beachten. Inhaltlich neu ist davon allerdings das wenigste.
Artikel 21 verpflichtet Netzwerkbetreiber dazu, ein mehrstufiges Sicherheitssystem einzurichten. Dabei geht es vor allem um technologische Maßnahmen zur Überwachung und Speicherung von Vorgängen und Daten, um Cyberangriffe zu verhindern. Daneben ist in Nr. 5 die Einhaltung weiterer gesetzlicher Vorgaben genannt. Dies erscheint reichlich vage, wie auch einige weitere Vorgaben nicht näher konkretisiert oder definiert sind. Auch mag man sich fragen, in welcher Rangfolge das Gesetz im Verhältnis zu den bereits bestehenden zahlreichen Regelungen steht. Hier mag es zur Beruhigung beitragen, dass sich durch das neue Gesetz keine erkennbaren Regelungswidersprüche ergeben. Es entspricht außerdem der nationalen Gesetzgebungstechnik, nach und nach bestehende Regelungen anzupassen und konkretisierende Begleitbestimmungen zu erlassen. Auf Netzwerkbetreiber und insbesondere die Betreiber kritischer Infrastrukturen kommen dennoch erhebliche Verpflichtungen zu.
Der Begriff des Netzwerkbetreibers (网络运营者) ist vergleichsweise weit gefasst. Artikel 76 Abs. 3 definiert solche als Eigentümer von Netzwerken, Manager von Netzwerken und Netzwerkdienstleister. Es handelt sich also nicht nur um klassische Telekommunikationsunternehmen, sondern es genügt bereits die Nutzung von nur zwei PCs. Sofern nämlich das Internet zur Sammlung, Speicherung und Verarbeitung von Daten benutzt wird, würden darunter auch zahlreiche weitere Branchen fallen, die dies im Zuge ihrer Dienstleistungserbringung üblicherweise tun. Neben IT-affinen Unternehmen denke man dabei etwa an so breit aufgestellte Bereiche wie die gesamte Finanzbranche. Und möglicherweise betreiben diese dann sogar sog. kritische Infrastrukturen.
Der Begriff der kritischen Infrastruktur findet sich auch im deutschen BSIG, dort definiert in Paragraph 2 Absatz 10. Im chinesischen Internetsicherheitsgesetz ist der Betriebssicherheit kritischer Infrastrukturen Abschnitt 2 gewidmet. Artikel 31 enthält eine vorläufige Definition, die vom Staatsrat genauer zu fassen sein wird. Grundsätzlich geht es um die nationale Versorgung, also etwa Wasserwerke, Energiebetreiber, Verkehr etc. Genauere Anhaltspunkte mag aber der bereits im Juni 2016 erlassene Leitfaden zur Untersuchung der Netzsicherheit (国家网络安全检查操作指南) bieten. Neben den klassischen Feldern wie der öffentlichen Versorgung sind darin zunächst alle Gefahren umfasst, die (negativen) Einfluss auf die Wirtschaft, Gesellschaft, Kultur, Umwelt etc. haben könnten. Genannt sind insbesondere Arten von Webseiten wie etwa Unternehmenswebseiten und Nachrichtenwebseiten, Arten von Plattformen wie etwa für Kurznachrichten und Shopping sowie bestimmte Industriesparten wie etwa bestimmte Bürosysteme oder Fernsehübertragungssysteme. Hier ist bereits zu erahnen, dass die Definition kritischer Infrastrukturen sehr weit gefasst sein wird und unter Umständen auch nur peripher betroffene Brachen betreffen wird.
Die Pflichten der Betreiber solch kritischer Infrastrukturnetzwerke gehen folgerichtig über die der einfachen Netzwerkbetreiber hinaus. Bemerkenswert ist, dass persönliche Daten und andere – nicht näher definierte – wichtige Informationen ausschließlich im Inland zu speichern sind (Art. 37 S.1). Nur sofern es für bestimmte Geschäftsvorgänge erforderlich sein sollte und eine entsprechende Sicherheitsüberprüfung – nach derzeit unbekannten Kriterien – nicht zu einem anderen Ergebnis gelangt, kann hiervon eine Ausnahme gemacht werden, (Art. 37 S.2).
Die nationale Abschottung von Daten ist zwar bereits verschiedentlich festgelegt (mehr dazu in Teil 3). In seiner Grundsätzlichkeit allerdings und bezogen auf den gesamten Datentransfer hat das Gesetz weitreichende Konsequenzen. Zumal Zuwiderhandlungen mit einer erheblichen Haftung belegt werden (Kapitel 6). In China tätige Unternehmen sollten daher die kommenden Begleitbestimmungen zu dem neuen Gesetz verfolgen und entsprechend reagieren. Denn die auferlegten Pflichten für Betreiber könnten durchaus dazu führen, dass etwa IP-geschützte Softwarecodes, verschlüsselte Algorithmen, Geschäftsgeheimnisse und anderes mehr gegenüber den Behörden offen zu legen sind. Missbrauch mit solch sensiblen Daten und seine Verhinderung sind Gegenstand vom nächsten Teil 3. Insbesondere Datenschutz, internationaler Datentransfer und Nutzeridentifizierung.
