こんにちは。クララのマーケティングチームです。
2025年10月28日に採択された「中華人民共和国サイバーセキュリティ法（以下、中国サイバーセキュリティ法）」の改正が、2026年1月1日より施行されました。本改正は、AIやデータ安全をめぐるリスクの高まりを背景に、コンプライアンスリスクと運用コストを大幅に引き上げる内容となっています。
特に注目すべきは、罰則の劇的な強化と、データ管理・インフラ調達に対する国家安全保障上の監督強化です。中国でITやクラウドを活用する企業にとって、「これまで通りの管理」では通用しない時代に入りました。この記事では、改正の主要ポイントと、日系企業が押さえておくべき影響を整理します。
この記事でわかること
- 罰金上限1,000万元への引き上げなど、罰則強化の中身
- 個人（管理者・担当者）への責任拡大と信用リスク
- 「3法一体」運用と越境データ移転の新ルール
- AI・ネットワーク製品調達に関する新たな義務
- 域外制裁条項（第77条）が日系企業に及ぼす範囲
- 日系企業が取るべき5つの実務対応
▶ 中国規制対応の全体像を資料で押さえたい方へ
クララでは中国の規制をふまえた中国クラウド・ネットワーク関連のソリューションを多数用意しております。ご興味ある方は下記リンクよりダウンロードしてみてください。
罰則が最大10倍に：企業・個人双方への法的リスクが拡大
最も分かりやすい変化は、罰金の上限が最大1,000万元（約2億円規模）へ引き上げられた点です。「是正すれば済む」レベルから、違反が事業継続に直結するリスクへと変化しました。
企業への罰金強化
- 重要情報インフラ（CII）の主要機能停止や大規模なデータ漏洩など「特別重大な結果」を招いた場合、最大1,000万元の罰金。
- 一般的なセキュリティ義務違反でも、是正拒否や放置があれば重い処罰対象に。
従来の「行政指導レベル」から、「経営リスクレベル」へと格上げされたと言えます。
個人責任の強化
違反行為に直接関与した管理者や担当者個人への罰金も最大100万元に。企業だけでなく、現場責任者にも直接的な法的責任が及びます。
行政処分と信用影響
罰金に加え、業務停止・営業許可証の取り消し・信用リスト登録など、行政・信用上のペナルティも明文化されました。信用リストに入ると公共入札や許認可更新にも影響します。一度の違反が将来のビジネスチャンスを失わせる可能性があるということです。なお、改正では軽減措置（レニエンシー）も維持されています。初回・軽微で速やかに是正した場合は、行政処罰法に沿って減免され得ます。
データデータ・AI・インフラ管理における新たな義務とコスト増
個人情報・データ管理の厳格化
改正では、個人情報保護法（PIPL）や民法典との整合性が明記され、企業が従うべきルールがより明確になりました。実質的に、企業は次の三法を一体で運用する必要があります。
- 中国サイバーセキュリティ法（CSL）
- データ安全法（DSL）
- 個人情報保護法（PIPL）
「どれか1つを守ればよい」時代は終わりです。「3法一体」で管理体制を組むことが、中国市場での前提条件になります。
越境データ移転の扱い
- CII運営者の場合：国外移転には国家の安全評価（セキュリティレビュー）が必須。
- 非CIIの場合：PIPLに基づき、データの性質・量に応じて「国家当局の安全評価」「標準契約（SCC）締結」「個人情報保護認証の取得」のいずれかを実施。
「CIIでなくても越境データは自由に出せない」ということです。自社がどの分類に属するかを明確にし、データの流れ（収集〜保存〜転送）を設計段階で管理する必要があります。
AIに関する監督強化（新第20条）
新設されたAI関連条項では、AI技術の発展支援と同時に、倫理・安全・リスク管理の強化が明記されました。AI基礎理論・アルゴリズム研究の支援、AI倫理規範や安全監督の整備、AIを活用したセキュリティ対策の推進などが挙げられます。今後は、AIを組み込む製品・システムにも安全評価や倫理レビューが求められる可能性があります。
ネットワーク製品調達の厳格化（新第63条）
ネットワーク製品やセキュリティ機器についても、安全認証・検査合格の義務化が導入されました。認証を受けずに販売・利用した場合、相応の罰金や営業停止に及ぶ可能性があります。特にCII運営者が製品を導入する場合、国家安全審査を経る必要があります。「どの製品を使うか」も企業のリスク管理の一部になります。
▶「自社はどこまで対応が必要？」と感じたら
CII該当性、越境データ移転の要件、製品調達の認証確認は、業種・データの扱いで判断が分かれます。クララは中国現地の制度と実務の両面から、無料で対応方針のご相談を承っています。
海外企業も対象に：域外制裁条項の新設
改正では、中国国外の企業や個人が「中国のサイバー安全を害した」と判断された場合、財産凍結や制裁措置を取れる旨が明記されました。中国国外で行った行為でも、中国のネット空間に影響すれば処罰対象になり得るということです。
日系企業であっても、中国ユーザー向けサービスの提供や通信経路の設計が国家安全に関わると見なされれば、制裁対象になる可能性があります。「中国国内に拠点がなくても無関係ではいられない」時代の到来です。
日系日系企業が取るべき5つの対応
| 対応 | ポイント |
|---|---|
| ① コンプライアンス体制の再構築 | CSL・DSL・PIPLの三法に対応した統合監査を実施。違反時の潜在コスト増を踏まえ、セキュリティ・法務体制を強化。 |
| ② CII該当性の再評価 | 公共・製造・交通・金融など、自社がCII指定対象に含まれるかを定期確認。専任担当配置・年次検査・報告などの義務に備える。 |
| ③ データローカライゼーションの徹底 | 中国国内で生成・収集するデータを特定し、保存・転送経路を明確化。越境時は安全評価／SCC／認証のいずれかを早期申請。 |
| ④ サプライチェーン監査 | 調達先・ベンダーが中国法令に基づく認証を取得しているか確認。契約書に「中国法令適合条項」を盛り込む。 |
| ⑤ インシデント対応体制の整備 | 当局への報告義務を想定し緊急対応フローを策定。「初犯・軽微・迅速報告」で罰則軽減が可能なため、自己申告ルールを整備。 |
よくある質問（FAQ）
Q. 改正はいつから施行されていますか？
A. 2025年10月28日に採択され、2026年1月1日から施行されています。
Q. 中国に法人がなくても対象になりますか？
A. なり得ます。域外制裁条項により、中国国外の行為でも中国のサイバー空間に影響すれば処罰対象となる可能性があります。中国ユーザー向けサービスを提供している場合は特に注意が必要です。
Q. 罰金はどのくらいですか？
A. 「特別重大な結果」を招いた場合、企業に最大1,000万元、直接責任のある個人に最大100万元とされています。ただし初回・軽微で速やかに是正した場合の軽減措置も維持されています。
まとめ：中国サイバーセキュリティ法改正は「統治法」への進化
今回の改正は、単なる技術法の改定ではなく、中国の国家安全法体系の中でサイバー空間を包括的に統治する法制度へと進化したものです。「IT管理」はもはやシステムの話ではなく、経営と安全保障の話になりました。AI・データ・クラウド・ネットワークのすべてが規制の射程に入り、企業はこれらを包括的に管理する必要があります。
クララでは、中国市場における制度変化と実務の両面から、お客様の安全で持続的な運用をサポートしています。
▶ 中国でのIT・クラウド運用は、クララにご相談ください。
Alibaba Cloud・AWS・Azure中国リージョンの申請から構築・運用、ICP登録代行、日中間通信改善まで、中国ITをワンストップでご支援します。まずは無料相談から。
