In quanto prima legge fondamentale che stabilisce in modo completo le questioni relative alla gestione della sicurezza del ciberspazio in Cina, la Cybersecurity law (“CSL”) ha previsto una serie di obblighi per i soggetti coinvolti. Ha rafforzato gli standard di sicurezza dei sistemi informativi, che rappresentano la pietra miliare per l’istituzione del sistema di gestione della sicurezza informatica nazionale.
Tuttavia, alcune parti del CSL stanno diventando obsolete in quanto le circostanze della sicurezza del cyberspazio sono cambiate radicalmente negli ultimi anni. Questo a causa della promulgazione di nuove leggi, come la legge sulla sicurezza dei dati (“DSL”) e la legge sulla protezione delle informazioni personali (“PIPL”), sono state emanate successivamente alla Cybersecurity Law.
Per fornire un migliore coordinamento con queste nuove leggi applicate, migliorare il sistema di responsabilità legale e garantire ulteriormente la sicurezza della rete, la Cyberspace Administration of China (“CAC”) ha pubblicato un progetto di modifica della CSL per la consultazione pubblica il 14 settembre 2022. In questo articolo forniremo una breve introduzione ad alcuni punti chiave di tale progetto di emendamento così che la stimata clientela non si trovi impreparata una volta che la nuova normativa venga approvata.
Punti Chiave
1. L’aumento delle pene e interdizione da posizioni apicali.
Uno dei punti salienti del progetto di emendamento è rappresentato dall’inasprimento delle sanzioni nonché l’interdizione dei responsabili da posizioni apicali.
Il progetto di modifica della Cybersecurity Law ha notevolmente aumentato le sanzioni per gli obblighi relativi a:
- conformità con lo schema di protezione multilivello della sicurezza informatica (“MLPS”)
- prodotti e servizi di rete conformi agli standard nazionali obbligatori;
- apparecchiature di rete critiche e prodotti di sicurezza informatica speciali che superano le certificazioni di sicurezza o i test di sicurezza per la vendita o la fornitura;
- autenticazione del nome reale da parte degli operatori di rete;
- piani di emergenza per incidenti di sicurezza informatica;
- condurre la certificazione e il test della sicurezza informatica e la valutazione del rischio e rilasciare avvisi di sicurezza informatica; e
- fornire supporto tecnico e assistenza alle autorità incaricate dell’applicazione della legge.
A tal proposito, l’innalzamento del limite massimo delle multe per violazioni generali a 1.000.000 RMB (c.a. 135,000 Euro) per gli operatori di rete e 100.000 RMB per le persone direttamente responsabili (c.a. 13,500 Euro).
Sono poi state introdotte sanzioni pecuniarie simili alla PIPL per violazioni gravi, in cui si applica un’ammenda compresa tra 1 milione di RMB (c.a. 135,000 Euro) e 50 milioni di RMB (c.a. 6,800,000 Euro) o fino al 5% del fatturato annuo dell’anno precedente; mentre le persone direttamente responsabili potranno essere soggette a una sanzione nell’ordine di 100.000 RMB (13,500 Euro) a 1 milione di RMB (c.a. 135,000 Euro) e/o il divieto di assumere posizioni manageriali in Cina.
2. Migliorato il sistema di protezione delle infrastrutture critiche informatizzate (“CII”)
Oltre a proporre di migliorare e sviluppare ulteriormente misure punitive agli operatori in violazione della normativa, anche per gli operatori di infrastrutture critiche (CII) sono stati previsti degli emendamenti importanti. A tal riguardo, gli operatori CII che utilizzano prodotti o servizi di rete che non sono stati testati in merito alla sicurezza informatica o che non hanno superato l’esame di sicurezza possono anch’essi essere multati da uno a dieci volte l’importo dell’acquisto o una multa inferiore al 5% del fatturato annuo dell’anno precedente, il che renderà l’utilizzo di prodotti non approvati altamente scoraggiato. Altre modifiche riguardano:
- Imposizione di sanzioni come critiche pubbliche, sospensione dell’attività commerciale per rettifica, chiusura di siti Web e revoca dei permessi operativi o delle licenze commerciali;
- Abolito il limite minimo della sanzione per il rifiuto di apportare rettifiche o per aver causato gravi conseguenze;
- Previsione della nuova fattispecie di c.d. “pene severe”; e
- Incorporazione di sanzioni per la violazione dei requisiti di localizzazione e esportazione dei dati ai sensi del DSL e del PIPL.
Conclusione
Il progetto di modifica della CSL ha sostanzialmente aumentato le sanzioni per le violazioni della maggior parte degli obblighi ai sensi del CSL a un livello in linea con quelli previsti dal PIPL e dal DSL. Apparentemente, una tale mossa ha lo scopo di incentivare gli operatori di rete a rispettare il CSL e potrebbe preannunciare nuove azioni del CAC per far rispettare il CSL.
Le aziende operanti in Cina devono necessariamente valutare l’attuale posizione di compliance e colmare eventuali le lacune con il Cybersecurity Law, in particolare gli obblighi relativi al MLPS, ai piani di emergenza, alla sicurezza dei contenuti e alla nomina del personale di sicurezza. Lo studio legale Wang Jing & GH vanta un’ampissima esperienza a riguardo e specializzazione sulla sicurezza informativa. In caso di necessita’, non esitate a contattarci.
