Datenlokalisierung: Speicher & Grenzen
Der erste und vielleicht meistdiskutierte Punkt ist die Datenlokalisierung. Das CSL schreibt vor, dass bestimmte „wichtige Daten“ und personenbezogene Daten, die von „kritischen Informationsinfrastrukturbetreibern“ (CIIOs) gesammelt werden, grundsätzlich in China gespeichert werden müssen. Klingt erstmal hart, oder? Aber lassen Sie mich das etwas entschärfen. Was bedeutet „kritisch“? Der Begriff ist weiter gefasst, als viele denken. Er umfasst nicht nur Banken und Stromnetze, sondern auch Unternehmen in Bereichen wie Telekommunikation, Gesundheitswesen oder große Online-Plattformen mit sensiblen Userdaten. Ein Beispiel aus meiner Praxis: Ein deutsches Maschinenbauunternehmen, das über eine IoT-Plattform die Auslastung seiner in China verkauften Anlagen überwacht, fiel nach einer Prüfung unter die CIIO-Definition, weil die aggregierten Daten potenziell Rückschlüsse auf die Industrieproduktion zuließen. Die Lösung war nicht so dramatisch wie befürchtet: Sie haben eine lokale Replikation der Daten aufgesetzt, während die Rohdaten weiterhin für Analysezwecke in Deutschland zugänglich blieben – unter strengen Compliance-Auflagen. Der Punkt ist: Sie müssen nicht alle Daten physisch nach China verlegen, aber eine tatsächliche Kopie/Spiegelung muss im Land sein. Und für Nicht-CIIOs gibt es mehr Spielraum, sofern eine Sicherheitsprüfung bestanden wird. Diese „Sicherheitsprüfung“ ist übrigens ein echtes und langwieriges Verfahren, bei dem oft Dinge wie die Erklärung der Datenklassifizierung und der Exportlogik gefordert werden. Ich rate dringend, sich frühzeitig mit einem der akkreditierten Zentren für Cybersicherheitsprüfung abzustimmen.
Ein weiterer Aspekt, der oft übersehen wird, ist die Wirkung der Datenlokalisierung auf die internationale Datenübermittlung im Konzern. Wenn Ihre chinesische Tochtergesellschaft beispielsweise Personaldaten, wie Gehaltsabrechnungen oder Leistungsbeurteilungen, an die europäische Zentrale senden muss, wird dies durch das CSL stark eingeschränkt. Das Gesetz erlaubt die Weitergabe nur unter strengen Voraussetzungen, etwa nach Durchführung einer Sicherheitsbewertung, einer Vertragsklausel-Gestaltung oder einer DSGVO-konformen Einwilligung. In der Praxis habe ich erlebt, wie ein US-Konzern jahrelang Gehaltsdaten von China in die USA transferierte und dann plötzlich mit einer Strafandrohung konfrontiert war. Die Rettung war ein mehrstufiger Prozess: Einerseits wurde ein lokales HR-Datenverarbeitungsmodul in Shenzhen aufgebaut, andererseits wurden Standardvertragsklauseln mit dem Mutterhaus ausgehandelt. Der Tipp: Bauen Sie kein System auf, das auf ständigen, unkontrollierten Datenexodus angewiesen ist. Denken Sie stattdessen über hybride Modelle nach, bei denen die sensiblen Daten (Gesundheitsdaten, biometrische Daten) in China bleiben und nur anonymisierte Reports exportiert werden. Und bitte, vergessen Sie nicht die Meldepflicht bei der Datenschutzbehörde für jeden grenzüberschreitenden Datenfluss! Das Versäumnis kann teuer werden: Bußgelder von bis zu 5 Millionen RMB oder 5% des Vorjahresumsatzes.
Interessanterweise hat die Regierung in den letzten Jahren ein paar Erleichterungen eingebaut. Seit 2023 gibt es für Nicht-CIIOs eine Art „Fast-Track“-Verfahren für den Datentransfer, wenn es sich um geringe Risiken handelt – etwa bei gewöhnlichen Geschäftsdokumenten oder E-Mails. Aber Vorsicht: Die Definition von „geringem Risiko“ ist fließend und hängt stark von der Branche ab. Ich habe einen Fall betreut, bei dem ein Handelsunternehmen dachte, seine Lieferantendaten seien harmlos. Die Behörde sah das anders, weil die Daten auch die Produktionskapazitäten und Lieferketten betrafen. Fazit: Lassen Sie sich nicht von den ersten Erleichterungen in Sicherheit wiegen. Die Prüfung erfolgt oft durch geschulte Beamte, die sehr genau hinschauen. Wenn sie einen Fehler finden – und das tun sie häufig –, kann das zu einer kompletten Aussetzung des Datenverkehrs führen. Die beste Strategie ist, von Anfang an einen klaren Datenlokalisierungsplan zu haben, der sowohl die lokalen Speicheranforderungen als auch die legitimen internationalen Geschäftsinteressen abdeckt. Und denken Sie daran: Dieser Plan sollte mindestens jährlich aktualisiert werden, da sich die Auslegung der Vorschriften ständig weiterentwickelt.
Datenklassifizierung: Sensibilität erkennen
Ein zentraler Grundpfeiler des CSL ist die Datenklassifizierung. Das Gesetz unterscheidet zwischen unterschiedlichen Datenkategorien – wie personenbezogene Daten, wichtige Daten und Kernlanddaten – und stellt für jede Kategorie spezifische Schutzanforderungen. Für viele ausländische Unternehmen ist das eine völlig neue Herausforderung. Ich erinnere mich an ein japanisches Fintech-Unternehmen, das zu mir kam: „Wir haben 500 Millionen Transaktionsdatensätze von chinesischen Kunden – was ist denn nun ‚wichtig‘?“ Die Antwort führte zu einer monatelangen Analyse. Wir mussten zunächst jede Datenart identifizieren: Welche Felder enthalten direkte Personenbezieher (Namen, ID-Nummern)? Welche sind aggregierte Daten (durchschnittliche Ausgaben pro Monat)? Und welche lassen sich mit anderen Quellen verknüpfen, um ein detailliertes Profil zu erstellen (z.B. Standortdaten + Kaufhistorie)? Das CSL verlangt von Ihnen, diese Klassifizierung selbst vorzunehmen und dann entsprechende Schutzmaßnahmen zu dokumentieren. Das klingt nach Bürokratie, ist aber eigentlich eine Frage der guten Governance. Stellen Sie sich das wie eine Inventur vor: Sie müssen wissen, wo Ihre wertvollsten und sensibelsten Daten liegen, bevor Sie sie schützen können.
Die Schwierigkeit liegt oft in der praktischen Umsetzung dieser Klassifizierung. Was ist konkret „sensibel“? Die chinesische Gesetzgebung definiert dies nicht in einer abschließenden Liste, sondern orientiert sich an Prinzipien wie dem potenziellen Schaden für die nationale Sicherheit oder die Rechte der Bürger. In einem meiner aktuellen Projekte für einen Chemiekonzern stellte sich heraus, dass selbst die Standortdaten seiner Logistikfahrzeuge als „wichtig“ eingestuft werden könnten, weil sie Rückschlüsse auf Lieferkettenknoten und kritische Infrastruktur zuließen. Die Lösung war eine mehrdimensionale Bewertungsmatrix: Wir haben jedes Datenelement nach Kriterien wie Grad der Personenerkennbarkeit, Aggregationstiefe und Auswirkung auf die Unternehmens- oder Staatssicherheit bepunktet. Das Ergebnis war eine differenzierte Karte: Ein Teil der Daten durfte frei fließen, ein anderer Teil musste verschlüsselt und lokal gespeichert werden, und ein sehr kleiner Teil durfte das Land überhaupt nicht verlassen. Mein Rat: Investieren Sie in ein professionelles Data-Discovery-Tool, das automatisch Muster in Ihren Datenbeständen findet und Kategorisierungsvorschläge macht. Manuelle Versuche scheitern oft an der schieren Datenmenge. Und seien Sie ehrlich: Wenn Sie keine Ahnung haben, wo Ihre sensiblen Daten liegen, wie wollen Sie sie dann schützen?
Ein weiterer Punkt: Der Prozess der Klassifizierung ist nicht statisch. Mit der Zeit können sich die Kategorien verschieben. Beispielsweise können Personaldaten, die zunächst nur als „interne“ Daten galten, zu „wichtigen Daten“ werden, wenn sie in großer Zahl gespeichert sind oder mit biometrischen Daten verknüpft werden (z.B. Fingerabdruck-Zugangskontrollen). Ich habe erlebt, wie ein Unternehmen jahrelang die Gesundheitsdaten seiner Mitarbeiter (Urlaubstage, Krankenstand) als harmlos behandelte. Ein externer Prüfer entdeckte dann, dass diese Daten in der Summe einen detaillierten Überblick über die Betriebsgesundheitsstruktur gaben – plötzlich waren sie „wichtig“. Das Unternehmen musste nachträglich eine aufwändige Risikobewertung durchführen und alle Systeme neu konfigurieren. Der Lehrsatz: Integrieren Sie die Datenklassifizierung in Ihren monatlichen Geschäftsprozess. Legen Sie eine interdisziplinäre Task-Force an (IT, Legal, Compliance, Business) fest, die mindestens vierteljährlich die aktuelle Klassifizierung überprüft. Das spart Ihnen später nicht nur Zeit, sondern auch Ärger mit der Aufsichtsbehörde. Denn die chinesischen Behörden sind durchaus bereit, bei wiederholten Verstößen härtere Strafen zu verhängen – bis hin zur Betriebsschließung in Extremfällen.
CIIO-Identifikation: Kritische Einheit
Die Bezeichnung als „Kritischer Informationsinfrastrukturbetreiber“ (CIIO) ist so etwas wie der schwarze Gürtel im Cybersicherheitsrecht. Sie bringt nicht nur erweiterte Pflichten, sondern auch ein höheres Prüfungsrisiko mit sich. Aber wer ist eigentlich ein CIIO? Das Gesetz definiert CIIOs als Einheiten, deren Ausfall oder Zerstörung schwere Schäden für die nationale Sicherheit, die Wirtschaft oder die öffentliche Ordnung verursachen könnte. Die konkrete Liste wird von den zuständigen Branchenaufsichtsbehörden bekannt gegeben (z.B. Cyberspace Administration of China, Ministerium für Industrie und Informationstechnologie etc.). In der Praxis sind das vor allem Unternehmen aus den Bereichen Energie, Verkehr, Finanzen, Gesundheitswesen, Telekommunikation und große Plattform-Ökonomien. Für ausländische Unternehmen ist die Frage oft: Betrifft uns das überhaupt? Ja, das tut es. Ein Beispiel aus meinem Portfolio: Ein europäischer Flugzeughersteller, der Wartungsdaten von chinesischen Fluggesellschaften über eine Cloud-Plattform verarbeitet, wurde als CIIO eingestuft, weil die Plattform als Teil der „zivilen Luftverkehrsinfrastruktur“ galt. Das Unternehmen musste daraufhin nicht nur alle Daten in China speichern, sondern auch ein internes Cybersicherheits-Team mit einem festen Verantwortlichen in China aufbauen. Und die Kosten? Sie stiegen um etwa 30% im IT-Bereich. Aber der positive Nebeneffekt: Die strengeren Sicherheitsstandards verbesserten auch das Vertrauen der chinesischen Kunden.
Die Identifikation als CIIO ist kein Stempel, den Sie einfach vermeiden können. Oft warten die Behörden nicht, bis Sie sich selbst melden. Sie führen eigenständige Risikobewertungen durch, basierend auf öffentlich zugänglichen Daten (Jahresberichte, Medienberichte) und Branchenkenntnissen. In einem Fall, den ich betreute, wurde ein deutscher Logistikkonzern, dessen chinesische Tochter kritische Teile der Lieferkette für medizinische Geräte verwaltete, plötzlich als CIIO gelistet – ohne vorherige Ankündigung. Die Firma hatte nur 30 Tage Zeit, um alle CSL-Anforderungen umzusetzen, darunter die Einrichtung eines Dedicated Security Officers (DSO) und die Durchführung eines jährlichen Risiko-Audits. Mein Tipp: Wenn Ihr Unternehmen in einer dieser sensiblen Branchen tätig ist, beginnen Sie präventiv mit der Selbstbewertung. Erstellen Sie ein Inventar aller Ihrer kritischen Systeme, die für die chinesische Wirtschaft oder Gesellschaft relevant sein könnten. Wenn Sie dann die Liste der Behörde erhalten, haben Sie bereits einen Großteil der Arbeit erledigt. Unterschätzen Sie die Zeit nicht: Die Einrichtung eines DSO in China kann mehrere Monate dauern, weil die Person bestimmte Sicherheitszertifikate vorweisen muss und oft auch eine lokale Compliance-Erfahrung mitbringt. Ein guter DSO ist wie ein Kapitän in stürmischer See – er braucht Know-how und Autorität.
Ein weiterer Aspekt ist der jährliche Sicherheitsaudit für CIIOs. Das CSL verlangt, dass CIIOs mindestens einmal im Jahr eine Überprüfung ihrer Cybersicherheitsmaßnahmen durchführen lassen. Das ist kein Witz – die Behörde kann das jederzeit überprüfen und bei Mängeln Strafen verhängen. Ich erinnere mich an einen Fall, bei dem ein ausländischer Energieversorger die Auditierung verschlafen hatte. Ein Kunde von uns aus dem gleichen Sektor hörte davon und fragte mich: „Müssen wir das auch?“ Ja, müssen Sie. Und das Audit muss nicht nur externe Penetrationstests umfassen, sondern auch die Überprüfung der Datenklassifizierung, der Zugriffskontrollen und der Notfallpläne. Mein Rat: Engagieren Sie ein von der Behörde akkreditiertes Prüfzentrum, denn nur deren Zertifikate werden anerkannt. Die Kosten liegen oft im sechsstelligen RMB-Bereich, aber das ist eine lohnende Investition. Denn wenn das Audit negativ ausfällt, drohen nicht nur Bußgelder, sondern auch die Aussetzung von IT-Systemen – und das kann für ein CIIO den Geschäftsbetrieb lahmlegen. Planen Sie das Audit wie ein großes Projekt ein: Legen Sie einen festen Zeitplan fest, stellen Sie alle Unterlagen vorher zusammen und lassen Sie sich von erfahrenen Beratern begleiten. Das spart nicht nur Nerven, sondern zeigt den Prüfern auch, dass Sie das Thema ernst nehmen.
Personenbezogene Daten: Schutz der Nutzer
Das CSL legt großen Wert auf den Schutz personenbezogener Daten. Das klingt nach einem weiteren Bürokratieaufwand, hat aber eine handfeste rechtliche Bedeutung: Das Gesetz stellt die Einwilligung und die Datensparsamkeit in den Vordergrund. Für ausländische Unternehmen ist das oft ein Kulturschock, weil sie gewohnt sind, mit den Daten ihrer Kunden relativ frei umzugehen. Ein Beispiel aus meiner Praxis: Ein US-amerikanischer E-Commerce-Betreiber sammelte standardmäßig die Standortdaten aller Nutzer, um personalisierte Werbung zu schalten. Nach dem CSL musste er diese Praxis ändern: Die Einwilligung musste explizit und separat eingeholt werden, und die Daten durften nur für den spezifischen Zweck (Werbung) verwendet werden. Das Unternehmen dachte, das sei einfach – bis es feststellte, dass chinesische Nutzer oft die Datenschutzeinstellungen als Standard ablehnen. Die Folge: Die personalisierte Werbeleistung brach um 40% ein. Der Tipp: Gestalten Sie Ihre Einwilligungsformulare benutzerfreundlich und transparent. Vermeiden Sie versteckte Klauseln. Bieten Sie echte Opt-out-Möglichkeiten. Denn die chinesischen Nutzer sind viel sensibler für Datenschutz, als viele glauben – und die Behörden sind bereit, bei Verstößen einzuschreiten. Ein Verstoß kann bis zu 5 Millionen RMB oder 5% des Vorjahresumsatzes kosten, plus mögliche strafrechtliche Verfolgung von Verantwortlichen. Das ist kein Pappenstiel.
Ein weiterer kritischer Punkt ist die Aufbewahrungsfrist für personenbezogene Daten. Das CSL schreibt vor, dass personenbezogene Daten nur so lange aufbewahrt werden dürfen, wie es für den ursprünglichen Zweck erforderlich ist. Das klingt logisch, aber in der Praxis haben viele Unternehmen ein Problem mit der Datenmüllvermeidung. Ich erinnere mich an ein europäisches Pharmaunternehmen, das jahrelang alle Patientendaten aus klinischen Studien aufbewahrte, weil es dachte, die Daten könnten für zukünftige Forschung nützlich sein. Das CSL zwang sie, einen Löschplan zu erstellen. Die Lösung war eine Datenlebenszyklus-Management-Software, die automatisch nach Ablauf der gesetzlichen Aufbewahrungsfrist (z.B. 5 Jahre nach Abschluss einer Studie) die Daten löscht oder anonymisiert. Wichtig: Die vollständige Anonymisierung muss nachgewiesen werden können – eine einfache Löschung reicht nicht, wenn die Daten noch rekonstruiert werden können. Das Unternehmen investierte 200.000 RMB in eine dedizierte Lösung, aber das war besser als eine Strafe. Mein Rat: Halten Sie ein Dateninventar mit klaren Löschfristen vor. Überprüfen Sie jeden Monat, ob Daten, die nicht mehr benötigt werden, tatsächlich gelöscht werden. Wer nichts löscht, sammelt nicht nur Risiken, sondern auch Speicherkosten. Und denken Sie daran: Die Löschung muss dokumentiert werden, damit Sie bei einer Prüfung nachweisen können, dass Sie der Pflicht nachgekommen sind.
Ein dritter Aspekt ist die gemeinsame Verarbeitung von Daten. Wenn Sie personenbezogene Daten an einen externen Dienstleister weitergeben (z.B. Zahlungsabwickler, Cloud-Anbieter), müssen Sie sicherstellen, dass dieser Dienstleister ebenfalls die CSL-Anforderungen erfüllt. Das ist eine Frage der Sorgfaltspflicht. Ich habe einen Fall erlebt, bei dem ein ausländisches Hotel eine lokale Booking-Plattform nutzte, die nicht DSGVO-konform arbeitete. Die Daten der chinesischen Gäste wurden plötzlich an die Plattform gestreamt, ohne dass eine Einwilligung vorlag. Das Hotel haftete für diesen Verstoß. Die Lösung war, in den Vertrag mit dem Dienstleister eine bindende Klausel zur Einhaltung des CSL und eine Prüfrechtklausel aufzunehmen. Der Tipp: Überprüfen Sie Ihre Dienstleister regelmäßig auf deren Cybersicherheitsstandards. Fragen Sie: Haben sie eine Zertifizierung nach dem CSL? Wie handhaben sie Datenpannen? Können Sie jederzeit auf Ihre Daten zugreifen oder werden sie abgegriffen? Eine gute Beziehung zu einem Dienstleister ist wichtig, aber der Schutz Ihrer Daten ist wichtiger. Und wenn der Dienstleister nicht mitspielt, suchen Sie sich einen anderen. Der chinesische Markt bietet inzwischen viele qualitativ hochwertige Anbieter, die CSL-konforme Dienste anbieten, wie etwa lokale Cloud-Plattformen (Alibaba Cloud, Huawei Cloud) oder spezialisierte Compliance-Berater. Investieren Sie in die Due Diligence – es lohnt sich.
Notfallplan: Reaktion auf Vorfälle
Das CSL verlangt von allen Teilnehmern – besonders von CIIOs – einen detaillierten Notfallplan für Cybersicherheitsvorfälle. Das ist nicht nur eine Formalität, sondern eine ernsthafte betriebliche Anforderung. Der Plan muss regelmäßig getestet werden, und die Ergebnisse müssen dokumentiert werden. In einem Projekt für einen südkoreanischen Halbleiterhersteller habe ich gesehen, wie ein gut ausgearbeiteter Notfallplan den Schaden eines Ransomware-Angriffs erheblich reduzierte. Der Plan definierte klare Eskalationswege: Wer ist der erste Ansprechpartner? Muss die Behörde benachrichtigt werden? (Ja, innerhalb von 2 Stunden bei schweren Vorfällen). Wie werden Backups eingespielt? Die Reaktionszeit betrug nur 4 Stunden, während ein benachbarter, unvorbereiteter Konkurrent 3 Tage brauchte, um den Betrieb wiederherzustellen. Der Unterschied war enorm. Mein Tipp: Entwickeln Sie Ihren Notfallplan nicht als reines Papierdokument. Führen Sie regelmäßige Simulationen durch – mindestens einmal im Quartal. Testen Sie die Kommunikationswege, die Verfügbarkeit des Security-Teams und die Widerstandsfähigkeit Ihrer Backups. Die Simulationen können ganz einfach sein, z.B. ein simulierter Phishing-Angriff oder der Ausfall eines Servers. Wichtig ist, dass Sie die Erkenntnisse dokumentieren und den Plan kontinuierlich verbessern. Denn im Ernstfall zählt jede Sekunde, und ein ungetesteter Plan ist wertlos.
Ein weiterer Punkt ist die Meldepflicht bei Vorfällen. Das CSL verlangt, dass Unternehmen Vorfälle, die personenbezogene Daten oder wichtige Daten betreffen, unverzüglich an die Behörden melden. Die Frist liegt oft bei maximal 48 Stunden nach Kenntnisnahme. In meiner Arbeit habe ich erlebt, wie ein Unternehmen zögerte, einen Vorfall zu melden, weil es hoffte, das Problem intern lösen zu können. Das war ein schwerer Fehler. Die Behörde erfuhr durch einen externen Prüfer von dem Vorfall und verhängte eine saftige Strafe. Die Lektion: Melden Sie immer sofort. Selbst wenn Sie die Ursache noch nicht kennen, zeigt die Meldung Transparenz und guten Willen. Die Behörde ist im Allgemeinen kooperativ, wenn sie frühzeitig informiert wird, und kann sogar Unterstützung anbieten. Verstecken hingegen wird streng bestraft. Mein Rat: Legen Sie eine klare Meldefrist und -verantwortung fest. Der DSO (oder ein ernannter Incident Manager) sollte die Befugnis haben, sofort zu melden, ohne Rücksprache mit der Zentrale. Denn Verzögerungen durch interne Bürokratie können fatale Folgen haben. Notieren Sie sich die Telefonnummer und E-Mail-Adresse der lokalen Cyberspace-Administration und der zuständigen Branchenaufsicht. Ein Vorfall kann jederzeit passieren – seien Sie vorbereitet.
Die Dokumentation der Reaktionsmaßnahmen ist ebenfalls extrem wichtig. Das CSL schreibt vor, dass Unternehmen den Vorfall und die ergriffenen Maßnahmen aufzeichnen und diese Aufzeichnungen für einen bestimmten Zeitraum (oft Jahre) aufbewahren müssen. Diese Aufzeichnungen dienen nicht nur der Nachvollziehbarkeit, sondern auch als Beweismittel bei zukünftigen Prüfungen. In einem Fall, den ich beriet, konnte ein Unternehmen nur durch detaillierte Logs nachweisen, dass der Vorfall auf einen externen Angreifer und nicht auf einen Systemfehler zurückzuführen war, was seine Haftung reduzierte. Die Aufzeichnungen sollten nicht nur technische Details enthalten (Zeitpunkt, IP-Adresse, betroffene Systeme), sondern auch die Kommunikation mit der Behörde und die ergriffenen Gegenmaßnahmen. Mein Tipp: Automatisieren Sie die Logging-Prozesse so weit wie möglich. Verwenden Sie SIEM-Systeme (Security Information and Event Management), die automatisch Warnungen auslösen und die Ereignisse speichern. Aber verlassen Sie sich nicht nur auf die Technik – sorgen Sie auch für eine menschliche Überprüfung der Logs. Denn ein automatisiertes System kann auch mal einen Fehler machen. Und vergessen Sie nicht, die Logs in China zu speichern, damit sie jederzeit für die Behörde verfügbar sind. Das kann im internationalen Rechtsstreit ein entscheidender Vorteil sein.
Prüfungsrecht & interne Kontrollen
Das CSL gibt den Unternehmen weitgehende Freiheit bei der Gestaltung interner Kontrollen, stellt aber gleichzeitig hohe Anforderungen: Sie müssen nachweisen können, dass Ihre Cybersicherheitsmaßnahmen angemessen sind. Das geschieht häufig durch sogenannte Sicherheitsaudits, die entweder intern oder durch externe akkreditierte Prüfzentren durchgeführt werden. In meiner Arbeit habe ich gesehen, dass viele ausländische Unternehmen sich auf ihre Heimatstandards (z.B. ISO 27001) verlassen, aber übersehen, dass die chinesischen Anforderungen oft spezifischer sind. Beispielsweise verlangt das CSL eine genaue Dokumentation des Datenflusses – von der Erhebung bis zur Löschung –, was in ISO 27001 nicht explizit gefordert ist. Ein deutscher Automobilzulieferer musste sein gesamtes Datenflusssystem neu kartieren, was sechs Monate dauerte. Der Tipp: Lassen Sie nicht nur Ihre IT-Systeme, sondern auch Ihre Prozesse auf CSL-Kompatibilität prüfen. Ein gutes Tool dafür ist ein Data-Governance-Framework, das spezifisch für das chinesische Recht entwickelt wurde. Investieren Sie in externe Prüfungen durch akkreditierte Zentren, denn deren Zertifikat ist für die Behörden der Goldstandard. Die Kosten sind hoch, aber das Vertrauen, das Sie damit gewinnen, ist unbezahlbar. Und vergessen Sie nicht, die Audit-Ergebnisse zu dokumentieren und bei Bedarf der Behörde vorzulegen.
Ein weiterer Aspekt des internen Kontrollsystems ist die Notwendigkeit eines Dedicated Security Officers (DSO). Wie schon erwähnt, ist der DSO für CIIOs Pflicht, aber auch für andere Unternehmen ist es ratsam, eine solche Rolle zu definieren. Der DSO ist die zentrale Anlaufstelle für alle Cybersicherheitsfragen und -meldungen. Er muss nicht nur technisches Know-how mitbringen, sondern auch die Fähigkeit, mit der Behörde zu kommunizieren. Die DSO-Pflicht ist keine Formalität: Das Gesetz sieht vor, dass der DSO in der Hierarchie hoch genug angesiedelt ist, um Entscheidungen zu treffen (z.B. die Freigabe von Budgets für Sicherheitsmaßnahmen). In einem Unternehmen, das ich beriet, hatte der DSO ursprünglich nur eine beratende Funktion. Nach einer Behördenprüfung musste er zum Geschäftsführer aufsteigen, um Weisungsbefugnis zu haben. Mein Rat: Stellen Sie sicher, dass der DSO die nötige Autorität hat und bei Konflikten direkt an die Geschäftsführung berichten kann. Das Gesetz erfordert auch, dass der DSO über eine formelle Cybersicherheitszertifizierung verfügt (z.B. CISP, CISSP, oder ein lokales Äquivalent). Planen Sie die Rekrutierung oder die externe Beauftragung frühzeitig. Ein guter DSO ist rar und teuer, aber er ist der Schlüssel zu einer erfolgreichen CSL-Compliance. Investieren Sie in ihn.
Die Dokumentation der internen Kontrollen ist ein oft unterschätzter Punkt. Das CSL verlangt, dass Sie alle Sicherheitsmaßnahmen, -prozesse und -entscheidungen aufzeichnen. Das klingt bürokratisch, hat aber einen praktischen Nutzen: Bei einer Behördenprüfung können Sie mit den Aufzeichnungen nachweisen, dass Sie Ihrer Sorgfaltspflicht nachgekommen sind. Ich erinnere mich an einen Fall, bei dem ein Unternehmen bei einer Prüfung keine Aufzeichnungen über Löschungen von Altkonten vorlegen konnte. Die Behörde ging davon aus, dass die Daten noch vorhanden waren, und verhängte eine Strafe wegen unzureichender Datenlöschung. Die Aufzeichnungen hätten den Unterschied gemacht. Mein Tipp: Führen Sie eine zentrale Compliance-Datenbank, in der alle relevanten Dokumente und Aufzeichnungen gespeichert werden. Diese Datenbank sollte regelmäßig aktualisiert und gesichert werden. Nutzen Sie dabei auch Metadaten (Datum, Autor, Version), um die Nachvollziehbarkeit zu gewährleisten. Und machen Sie es nicht zu kompliziert – ein einfaches Excel-Sheet mit klaren Spalten (Dokument, Datum, Status, verantwortliche Person) reicht oft aus. Aber vergessen Sie nicht, den Zugriff auf diese Datenbank zu beschränken, denn sie enthält sensible interne Informationen. Die Dokumentation ist nicht nur ein Pflichtprogramm, sondern auch ein Werkzeug, um Ihr Compliance-Management zu optimieren. Nutzen Sie es.
Behördenkooperation & Bußgelder
Das CSL verlangt von ausländischen Unternehmen eine aktive Kooperation mit den chinesischen Cybersicherheitsbehörden. Das bedeutet nicht nur die Meldung von Vorfällen, sondern auch die Bereitstellung von Informationen auf Anfrage. Diese Kooperationspflicht kann zuweilen heikel sein, insbesondere wenn es um Geschäftsgeheimnisse oder interne Kommunikation geht. Ein europäisches Softwareunternehmen, das ich beriet, erhielt eine Anfrage der Behörde, eine Liste aller Kundendaten offenzulegen. Das Unternehmen war zunächst verunsichert, aber die Zusammenarbeit ist besser als der Konflikt. Die Behörde ist kein willkürlicher Akteur – sie handelt im Rahmen des Gesetzes. In diesem Fall reichte die Offenlegung von aggregierten Kundenzahlen und Sicherheitszertifikaten aus, ohne dass konkrete Personendaten preisgegeben werden mussten. Der Tipp: Stellen Sie sicher, dass Sie eine klare Rechtsabteilung oder einen externen Rechtsberater haben, der bei solchen Anfragen vermittelt. Vermeiden Sie passive Widerstände, das wird oft als mangelnde Kooperation ausgelegt. Stattdessen können Sie konstruktiv vorschlagen, welche Informationen für die Behörde relevant sind und welche nicht. Eine kooperative Haltung kann die Prüfungsdauer verkürzen und das Vertrauen stärken. Bedenken Sie: Die chinesischen Behörden führen diese Prüfungen durch, um die Sicherheit der Gesellschaft zu gewährleisten, nicht um Ihren Betrieb zu ruinieren. Ein offener Dialog schafft Vertrauen.
Das Thema Bußgelder wird im CSL sehr ernst genommen. Wie schon erwähnt, können Bußgelder bis zu 5 Millionen RMB oder 5% des Vorjahresumsatzes betragen. Das ist für jedes Unternehmen schmerzhaft. Aber es geht nicht nur um Geld: Bei schwerwiegenden Verstößen können die Behörden den Geschäftsbetrieb aussetzen, ausländische Verantwortliche ausweisen oder die Löschung kritischer Daten anordnen. Ich habe aus erster Hand erlebt, wie ein mittelständischer deutscher Zulieferer durch eine fahrlässige Datenpanne fast seinen gesamten chinesischen Markt verloren hätte. Die Strafe betrug 3% des Umsatzes – das war ein siebenstelliger Betrag in RMB. Der Schaden für das Ansehen war noch größer. Mein Rat: Legen Sie von Anfang an ein Risikomanagementsystem für Bußgelder an. Berechnen Sie, wie hoch Ihre potenzielle Strafsumme sein könnte, und investieren Sie entsprechend in Präventionsmaßnahmen. Oft ist die Prävention deutlich günstiger als die Strafe. Denken Sie auch an die persönliche Haftung der Manager: Die Verantwortlichen können strafrechtlich verfolgt werden, wenn sie grob fahrlässig handeln. Das ist ein starkes Argument, um die Cybersicherheitsbudgets freizugeben. Ein Verstoß kann für den DSO oder den Geschäftsführer eine Freiheitsstrafe von bis zu 15 Jahren bedeuten – das will niemand riskieren. Also: Risikobewertung ist nicht nur ein Buzzword, sondern eine Überlebensstrategie.
Ein weiterer praktischer Tipp: Bauen Sie eine Beziehung zu den lokalen Behörden auf. Das klingt vielleicht ungewohnt, aber in China ist die persönliche Beziehung (Guanxi) auch in regulatorischen Fragen hilfreich. Ich meine nicht Vetternwirtschaft, sondern einen offenen und regelmäßigen Austausch. Besuchen Sie die Informationsveranstaltungen der Cyberspace Administration, nehmen Sie an Branchenforen teil, lernen Sie die zuständigen Prüfer kennen. Oft haben diese Beamten einen guten Einblick in die Branchentrends und können präventive Hinweise geben. Ich habe erlebt, wie ein Unternehmen durch eine solche Beziehung frühzeitig vor einer geplanten Verschärfung der Vorschriften gewarnt wurde und sich rechtzeitig anpassen konnte. Das ist kein Garant für eine mildere Behandlung, aber es schafft Vertrauen. Und in einem Rechtsstreit zählt Vertrauen viel. Mein dringender Rat: Investieren Sie in Compliance-Schulungen für Ihre Mitarbeiter, insbesondere für diejenigen, die mit den Behörden kommunizieren. Sie sollten verstehen, was sie sagen dürfen und was nicht. Ein unbedachtes Wort kann zu falschen Annahmen führen. Die Behörden schätzen Transparenz, aber nicht Naivität. Balancieren Sie Kooperationsbereitschaft mit klugen Grenzen – das ist eine Kunst, die Sie lernen müssen. Aber es ist machbar.
Zukünftige Entwicklungen: Trendwende
Die Cybersicherheitslandschaft in China entwickelt sich ständig weiter. Ich sehe drei große Trends, die in den nächsten Jahren relevant werden könnten. Erstens: Der Fokus auf künstliche Intelligenz und Big Data. Die chinesische Regierung investiert massiv in KI, und die Regulierung wird sich darauf konzentrieren, wie Daten für KI-Modelle genutzt werden. Unternehmen, die KI-gestützte Analysen in China betreiben, müssen damit rechnen, dass ihre Datenmodelle und Trainingsdatensätze zukünftig geprüft werden. Das betrifft viele ausländische Firmen, die Machine Learning für Marktanalysen oder Personalwesen
