Кибербезопасность в Фанчэньгане: что изменилось и почему это касается вас

Если вы открываете бизнес в Фанчэньгане (防城港) — سواء это торговая компания, склад, производственное подразделение или IT-сервис — тема кибербезопасности (网络安全) не про «галочку в отчете». Это про выживание счета в банке, репутации и, честно говоря, про спокойный сон учредителя.

За последние пару лет Китай жестко подтянул гайки. Закон о кибербезопасности (网络安全法), Закон о безопасности данных (数据安全法), Закон о защите персональной информации (个人信息保护法) — это не просто заголовки. Это работающие инструменты регуляторов: Управления киберпространства (CAC, 国家互联网信息办公室), МВД (公安部) и отраслевых министерств. В قوانьсянском автономном округе, где Фанчэньган — ключевой узел Бебухской экономической зоны (北部湾经济区) и порт входа в АСЕАН, контроль особенно плотный: здесь пересекаются трансграничные потоки данных, логистика, финансы и пороговые отрасли.

В 2024–2025 гг. было несколько резонансных проверок компаний, работающих с переграничными данными (跨境数据传输). Штрафы исчислялись сотнями тысяч юаней, а в отдельных случаях — приостановка бизнес-лицензии до устранения нарушений. Для российского предпринимателя, привыкшего к «решим потом», это ловушка: китайский регулятор не ждет, он фиксирует факт.

Почему «сам разберусь» здесь не работает: боли русского бизнеса в Гуанси

Давайте честно: вы прилетели в Наньнин, взяли машину, доехали до порта, нашли склад, наняли менеджера. Кажется — готово. А тут — требование пройти классификацию систем защиты (等级保护测评, МЛПС 2.0), оформить оценку безопасности исходящих данных (数据出境安全评估) или хотя бы стандартный контракт передачи данных (标准合同). И сроки — «вчера».

Типичные грабли:

  • Непонимание категории данных. Персональная информация сотрудников (身份证, телефон, банковские карты) — уже «чувствительные данные». Логистические маршруты клиентов — коммерческая тайна. Трансграничные платежи — финансовые данные. Всё это разные правовые режимы.
  • Иллюзия «у нас нет серверов в Китае». Если вы используете WeCom (企业微信), DingTalk (钉钉), Алибаба Клауд (阿里云) или просто храните бэкапы на локальных ноутбуках — вы оператор данных в Китае. Юрисдикция распространяется на деятельность, а не на железо.
  • Отсутствие локального юриста, который «на месте». Удаленный консультант из Пекина или Шанхая не приедет в Управление общественной безопасности Фанчэньгана (防城港市公安局) за полчаса до проверки. Не подскажет, как правильно заполнить отчет для местного офиса CAC (市网信办). Не знает неписаные привычки конкретного инспектора.
  • Шаблонные политики из интернета. Политика конфиденциальности, скопированная с сайта конкурента, на проверке разваливается за 5 минут: не совпадают цели сбора, нет контактов DPO (ответственного за защиту данных), нет механизма отзыва согласия.

Местный юрист в Фанчэньгане — это не «адвокат в суде». Это навигатор по местным правилам игры: он знает, какой пакет документов примет конкретный окно приема (受理窗口) без возврата на доработку, как согласовать план устранения замечаний (整改方案) за один визит, и когда лучше подать заявку на оценку безопасности — до или после регистрации компании.

Практический чек-лист: что сделать до первой проверки

Ниже — не юридическая консультация, а оперативный каркас, который мы выдаем клиентам на старте. Каждый пункт может требовать доработки под вашу бизнес-модель — уточняйте у местного специалиста.

1. Инвентаризация активов и классификация данных

  • Составьте реестр информационных систем: CRM, ERP, почта, мессенджеры, облака, локальные ПК, серверы видеонаблюдения.
  • Для каждого потока данных укажите: что (тип данных), откуда (источник), куда (получатель, в т.ч. за рубеж), на каком основании (согласие, договор, закон).
  • Разметьте уровни чувствительности по GB/T 35273 и МЛПС 2.0 (уровни 1–3). Для большинства МСП в Фанчэньгане достаточно 2-го уровня, но если есть платежи или здравоохранение — 3-й.

2. МЛПС 2.0 (等级保护): регистрация и тестирование

  • Определите уровень защиты системы (обычно 2-й).
  • Подайте заявку на регистрацию (备案) в Отдел кибербезопасности МВД Фанчэньгана (防城港市公安局网安支队) — до ввода в эксплуатацию или в течение 30 дней после.
  • Нанмите аккредитованную тестовую организацию (测评机构) для оценки соответствия (测评). Отчет — обязателен для прохождения проверки.
  • Закройте зафиксированные уязвимости (整改) и сохраните доказательства: скриншоты настроек, логи, акты выполненных работ.

3. Персональные данные и переграничная передача

  • Назначьте DPO (个人信息保护负责人) — реальное лицо, контакты в открытом доступе (сайт, мини-программа, офис).
  • Опубликуйте политику конфиденциальности на китайском, соответствующую PIPL (个保法): цели, способы, сроки, права субъектов, передача третьим лицам, переграничная передача.
  • Если данные уходят за пределы КНР (серверы в России, SaaS за границей, удаленные сотрудники) — определите правовую базу:
    • Стандартный контракт (标准合同) — для некритичных объемов, подписывается с получателем, уведомляется в провинциальный CAC (广西壮族自治区网信办).
    • Оценка безопасности (安全评估) — обязательна для критической информационной инфраструктуры (КИИ), более 1 млн записей персональных данных, гос. тайны и т.д. Проводится на уровне провинции/государства.
    • Сертификация (认证) — пока редко используется, но легальный путь.
  • Получите отдельное информированное согласие (单独同意) от сотрудников/клиентов на вынос данных.

4. Внутренние регламенты и обучение

  • Приказ о назначении ответственных за кибербезопасность и защиту данных.
  • Регламент управления инцидентами (应急预案): детектирование, локализация, уведомление регулятора (в течение 24 часов для серьезных инцидентов), расследование, отчетность.
  • Ежеквартальные тренировки сотрудников: фишинг, пароли, работа с флешками, отчетность подозрительной активности. Подписанные листы присутствия — ваш щит на проверке.

5. Управление поставщиками (供应链安全)

  • Включите в договоры с IT-вендорами (облако, аутсорсинг, ПО) статьи о безопасности данных, правах аудита, уведомлении об инцидентах, возврате/уничтожении данных при расторжении.
  • Проверьте, есть ли у критических поставщиков сертификаты ISO 27001, МЛПС 2.0, отчеты SOC 2.

6. Документальный пакет для инспектора (папка «Готовность»)

  • Уведомление о регистрации МЛПС (备案表) + отчет тестирования + акт устранения замечаний.
  • Политика конфиденциальности (актуальная версия, на китайском).
  • Приказ о DPO + контакты.
  • Реестр обработки данных (记录处理活动记录).
  • Отчет об оценке безопасности исходящих данных / зафиксированный стандартный контракт / сертификат.
  • План реагирования на инциденты + протоколы учений.
  • Договоры с поставщиками с профильными статьями.
  • Журналы обучения персонала.

🙋 Частые вопросы (FAQ)

Q1: Наша компания не хранит данные граждан КНР, только сотрудников и партнеров из России. Нужна ли нам классификация МЛПС и политика PIPL?
A1: Да. Закон распространяется на обработку персональной информации на территории КНР, независимо от гражданства субъекта. Данные ваших китайских сотрудников (трудовые договоры, визы, зарплатные ведомости, биометрия СКУД) — это персональная информация по PIPL. Системы их обработки (HR-софт, почта, мессенджеры) подлежат регистрации МЛПС.
Шаги: 1) Инвентаризируйте HR-системы. 2) Зарегистрируйте их в МВД (уровень 2). 3) Опубликуйте политику конфиденциальности для сотрудников. 4) Получите согласие на обработку и возможную передачу в РФ (стандартный контракт с головной компанией).

Q2: Мы используем корпоративный WeCom / DingTalk — это считается «нашими системами» или ответственность на Тенценте/Алибабе?
A2: По модели общей ответственности: провайдер отвечает за безопасность инфраструктуры (физика, сеть, хост), а вы — за безопасность данных и доступа в вашем тенанте: настройка прав, MFA, DLP, хранение логов, экспорт данных при увольнении. На проверке у вас спросят про настройки вашего консоли администратора, а не про дата-центр Тенцента.
Чек-лист: включите MFA для админов, настройте DLP-правила (запрет пересылки файлов во внешние чаты), выгрузите логи аудита за последние 6 месяцев, оформите процедуру блокировки аккаунтов уволенных в день увольнения.

Q3: Каковы реальные сроки и бюджет на «подготовку к проверке» в Фанчэньгане для компании 20–50 человек?
A3: Типичный сценарий «с нуля до готового пакета»:

  • Инвентаризация + классификация: 1–2 недели (внутренние силы + 1 консультация юриста).
  • Регистрация МЛПС: подача — 1 день, ожидание номера — до 5 рабочих дней.
  • Тестирование (测评) 2-го уровня: 15–30 тыс. юаней, 1–2 недели на проведение, 1 неделя на отчет.
  • Устранение замечаний (整改): 1–3 недели, бюджет зависит от находок (часто — настройкаFW, включение аудита, патчи).
  • Оценка безопасности исходящих данных (если нужна): 2–4 месяца, 50–150 тыс. юаней через сторонний эксперта. Стандартный контракт — 2–4 недели на согласование и уведомление.
  • Политики, регламенты, обучение: 1–2 недели параллельно.
    Итого: планируйте 1.5–3 месяца и 80–200 тыс. юаней (без штатного сотрудника-безопасника). Начинайте за 3–4 месяца до планируемой проверки или запуска бизнеса.

Q4: Можно ли нанять одного юриста на всё: регистрация компании, налоги, трудовое право, кибербезопасность?
A4: Теоретически — да, крупные фирмы в Наньнине предлагают «фулл-сервис». На практике: кибербезопасность в Фанчэньгане — узкая ниша с частыми изменениями практики местных регуляторов (CAC, МВД, Отрасль). Юрист, который вчера оформлял лицензию на импорт, сегодня может не знать, какую версию стандарта контракта принимает провинциальный CAC на этой неделе. Оптимально: корпоративный юрист/агент на регистрацию и налоги + специалист по кибербезопасности/защите данных с практикой в Гуанси (часто — отдельный консультант или бутик). Мы в Lvga именно так и строим команды для клиентов.

🧩 Резюме: от чего начинать завтра утром

Фанчэньган дает огромные возможности: порт, ЗОС, близость к АСЕАН, преференции Бебухской зоны. Но входной билет в эту игру — комплаенс. Не потому что «надо», а потому что стоимость ошибки здесь измеряется не в штрафах, а в остановке бизнеса.

Четыре шага на эту неделю:

  1. Назначьте владельца темы — конкретного человека (не «IT-отдел», а ФИО), который отвечает за кибербезопасность и данные. Пропишите в приказе.
  2. Скачайте чек-лист МЛПС 2.0 уровня 2 (публично доступен) и пройдитесь по нему по своим системам — где пробелы, там работа.
  3. Найдите местного специалиста в Фанчэньгане/Наньнине с кейсами прохождения проверок МВД и CAC именно в Гуанси. Поговорите за кофе (или WeChat) — 30 минут сэкономят недели.
  4. Запустите инвентаризацию данных в простой таблице: система — данные — основание — передача за границу. Это база для всего остального.

Не ждите официального письма с требованием отчетов. В Китае проверки часто бывают плановыми, но и доносное производство работает. Лучше потратить ресурсы на подготовку сейчас, чем на адвокатов и простои потом.

📣 Нужна помощь с локальным контактом?

Мы в Lvga.com не обещаем «решить за один звонок» и не гарантируем результаты — это бывает только в рекламе. Но за десять лет работы с российскими предпринимателями в Китае мы научились подбирать проверенных местных юристов, которые знают разницу между требованиями Пекина и реалиями Фанчэньгана.

Мы — небольшая команда, делаем работу честно и прозрачно: подключаем к задаче специалиста с нужной экспертизой, помогаем понять терминологию, проверяем пакет документов перед сдачей в регулятор. Никаких скрытых комиссий и «серых схем».

👋 Есть вопросы по кибербезопасности или защите данных в Гуанси?
Пишите на lvga2015@qq.com — это основной и самый надежный канал.
Если почта неудобна, можно добавить JingJing в WeChat (WeChat ID: lvga2015) — как резервный способ связи, чтобы продолжить обсуждение вашей ситуации. Не обещаем мгновенные ответы, но гарантируем, что прочитаем и ответим по существу.

Давайте просто поговорим, чтобы вы не платили за обучение на своих ошибках.

📚 Дополнительные материалы

(В данной статье использованы общедоступные нормативные акты КНР: Закон о кибербезопасности, Закон о безопасности данных, Закон о защите персональной информации, Меры по управлению классифицированной защитой кибербезопасности (МЛПС 2.0), Положение о стандартном контракте передачи персональной информации за границу. Конкретные даты принятия и номера приказов опущены намеренно — актуальные версии всегда проверяйте на официальных порталах www.gov.cn, www.cac.gov.cn, www.mps.gov.cn и сайтах правительства Гуанси.)

📌 Дисклеймер

Важно: Lvga.com — это платформа для подключения к китайским юристам, мы не являемся юридической фирмой и не оказываем юридических услуг напрямую.
Материалы статьи подготовлены с помощью ИИ и предназначены только для общего ознакомления. Они не составляют юридической, финансовой или налоговой консультации.
Требования законодательства и практики применения могут отличаться по регионам, отраслям и меняться во времени. Обязательно проверяйте актуальные нормы через официальные источники и квалифицированных специалистов перед принятием решений.
Если вы нашли неточность или хотите уточнить детали — напишите нам на lvga2015@qq.com, мы с благодарностью внесем правки.