Закон КНР о кибербезопасности и регистрация MLPS (дэнбао) для онлайн-бизнеса

Если вы запускаете интернет-магазин или платформу в Китае, закон о кибербезопасности обязывает вас пройти регистрацию системы защиты информации уровня 2 и выше (MLPS, «дэнбао») в течение 30 дней после определения уровня, вести журналы не менее 6 месяцев и готовиться к штрафам от 10 тыс. до 50 млн юаней. Ниже — практический разбор требований и пошаговый план соответствия на 2026 год.

Quick Facts

Что такое закон о кибербезопасности и почему он касается вашего онлайн-бизнеса

Прямой ответ: это базовый закон КНР о сетевой безопасности, действующий с 01.06.2017 и существенно обновлённый поправками от 28.10.2025; он распространяется на любого оператора сети, включая иностранные интернет-магазины и платформы, работающие на китайских пользователей.

Закон закрепляет национальную систему многоуровневой защиты информации (MLPS, в китайской практике — «дэнбао»). Согласно закону о кибербезопасности КНР (редакция 2025 года), государство вводит систему классификации и защиты сетевых систем по уровням. Для владельца интернет-магазина это означает не абстрактную «безопасность», а конкретный набор обязательств: внутренние регламенты, технические меры, журналирование, резервное копирование и шифрование.

Как правило, вам потребуется определить уровень вашей системы ещё до запуска: от него зависят и объём документов, и периодичность последующих оценок. При этом сам закон не делает различий между китайскими и иностранными компаниями — если вы обрабатываете данные китайских пользователей через сервер или домен в КНР, требования применяются к вам.

Какие именно обязательства закон возлагает на оператора интернет-магазина

Прямой ответ: статья 23 закона (в редакции 2025 года) закрепляет пять базовых обязанностей, а статьи 24, 26 и 27 добавляют требования к продуктам, идентификации пользователей и реагированию на инциденты.

Разберём их по порядку:

1. Внутренние системы безопасности — регламенты и управление доступом.
2. Технические меры — защита от вредоносного кода, атак и вторжений.
3. Мониторинг и журналирование — сетевые журналы хранятся не менее 6 месяцев (закон о кибербезопасности КНР).
4. Классификация данных — резервное копирование и шифрование.
5. Прочие меры, установленные законом.

Дополнительно закон о кибербезопасности КНР (редакция 2025) требует: при предоставлении услуг доступа в сеть, регистрации доменов, публикации информации или мессенджеров — запрашивать у пользователей реальные идентификационные данные (ст. 26). Для интернет-магазина это означает обязательную верификацию покупателей и продавцов на платформе.

Также оператор обязан иметь план реагирования на инциденты: при обнаружении уязвимостей, вирусов или атак — немедленно принимать меры, а при наступлении вредных последствий — активировать план, устранять последствия и отчитываться (ст. 27). Продаваемые вами программные продукты не должны содержать вредоносных функций, а обнаруженные дефекты требуют немедленного устранения и уведомления пользователей (ст. 24).

Что такое MLPS (дэнбао) и какие бывают уровни

Прямой ответ: MLPS — это национальная система классификации информационных систем по пяти уровням; большинство интернет-магазинов попадают на уровень 2, крупные платформы и платёжные системы — на уровень 3.

Уровень 2 определяется как система, повреждение которой наносит серьёзный ущерб правам граждан и организаций или общественному порядку, но не затрагивает национальную безопасность. Оценка уровня производится не произвольно: оператор совместно с профильным ведомством или оценочной организацией готовит предварительное заключение, проходит экспертное рассмотрение, а окончательное утверждение — за органами общественной безопасности.

Для электронной коммерции ориентир такой: обычный сайт или приложение — как правило, уровень 2; крупная платформа с платёжным функционалом или значительным объёмом персональных данных — потенциально уровень 3. Это оценочная классификация, которую подтверждает орган общественной безопасности.

Как проходит регистрация дэнбао: пошаговый фреймворк

Прямой ответ: процесс состоит из пяти этапов — определение уровня, регистрация, доработка и укрепление системы, оценка соответствия, последующий надзор.

1. Определите уровень системы. Подготовьте отчёт об определении уровня, при необходимости организуйте экспертное рассмотрение. Уровень 2 и выше требует обязательной регистрации.
2. Подайте документы на регистрацию в течение 30 дней после определения уровня — в орган общественной безопасности по месту нахождения. Согласно правилам управления многоуровневой защитой информации (Приказ № 43, 2007), регистрация уровня 2 и выше обязательна в этот срок. Госпошлина — 0 юаней, подача ведётся онлайн (руководство по регистрации MLPS, Управление общественной безопасности Пекина).
3. Соберите пакет документов. Для уровня 2 — 10 документов; для уровня 3 — 13 (см. таблицу ниже).
4. Проведите доработку и оценку соответствия. Приведите систему в соответствие с требованиями уровня и закажите оценку у аккредитованной организации. Для уровня 2 оценка, как правило, проводится раз в 2 года, для уровня 3 — ежегодно.
5. Готовьтесь к надзорным проверкам. Органы общественной безопасности и киберрегулятор проводят проверки; согласно правилам управления сетевыми данными (вступили в силу 01.01.2025), такие проверки не оплачиваются проверяемой стороной.

Какие документы нужны для регистрации

Прямой ответ: для уровня 2 — 10 документов, для уровня 3 — те же 10 плюс 3 дополнительных; полный список закреплён в официальном руководстве.

Обратите внимание: договор на размещение серверов означает, что для регистрации дэнбао ваши системы физически должны находиться в Китае — это важный момент при выборе инфраструктуры и провайдера хостинга.

Сколько стоит соответствие и какие штрафы за его отсутствие

Прямой ответ: сама регистрация бесплатна (0 юаней), но доработка системы и оценка соответствия стоят денег; штрафы за неисполнение обязательств в редакции 2025 года существенно выросли.

Для сравнения: в редакции 2017–2025 годов штрафы по той же статье составляли 10–100 тыс. юаней для компаний и 5–50 тыс. для ответственных лиц (закон о кибербезопасности КНР, оригинальная редакция) — поправка 2025 года заметно ужесточила ответственность.

Что касается затрат на соответствие: единых официальных тарифов нет. По оценкам, доработка и оценка уровня 2 обходятся в десятки тысяч юаней, уровня 3 — в сотни тысяч, в зависимости от масштаба системы. Это оценочные ориентиры: итоговая сумма зависит от сложности инфраструктуры и выбранной оценочной организации.

Как закон связан с критической информационной инфраструктурой (КИИ)

Прямой ответ: КИИ — это системы в сферах связи, энергетики, транспорта, финансов и публичных услуг; обычный интернет-магазин редко попадает под этот статус, но крупные платёжные платформы — могут.

Закон требует усиленной защиты КИИ поверх базовой системы MLPS (закон о кибербезопасности КНР). Статус КИИ присваивается профильным ведомством, а не по заявлению компании. Если ваша платформа будет признана КИИ, требования ужесточаются: дополнительные проверки при закупках, хранение данных в КНР, регулярные оценки.

Штрафы для операторов КИИ существенно выше: по статье 61 закона (ред. 2025) — от 50 тыс. до 10 млн юаней в зависимости от тяжести последствий, включая случаи массовой утечки данных или утраты основных функций системы. Для большинства иностранных продавцов на маркетплейсах этот раздел носит скорее справочный характер — но при планировании собственной платёжной инфраструктуры его стоит учитывать.

Как MLPS связан с законом о защите данных и другими требованиями

Прямой ответ: MLPS — это база, поверх которой строятся обязательства по закону о защите данных; регулятор прямо допускает взаимное признание результатов оценок.

Закон о защите данных КНР требует выполнять обязательства по защите данных на основе системы многоуровневой защиты — то есть дэнбао становится техническим фундаментом и для data compliance. Более того, правила управления сетевыми данными (вступили в силу 01.01.2025) допускают взаимное признание результатов оценки важности данных и оценки соответствия MLPS, если их содержание совпадает — это позволяет не дублировать работу.

Практический вывод: планируя выход на китайский рынок, закладывайте дэнбао в общий комплаенс-контур вместе с ICP-лицензированием, защитой персональных данных и требованиями к платёжным системам. Разрозненное выполнение этих требований почти всегда дороже, чем единый проект.

На что обратить внимание

Прямой ответ: главные риски — неверное определение уровня, пропуск 30-дневного срока, смешение редакций закона и недооценка требований к журналированию.

1. Путаница в редакциях. Поправка от 28.10.2025 перенумеровала статьи: бывшая статья 21 стала статьёй 23, статья 25 — статьёй 27, статья 59 — статьёй 61. Ссылки на старые номера и старые штрафы (10–100 тыс. юаней) теперь некорректны — всегда уточняйте редакцию.
2. Срок 30 дней считается от определения уровня, а не от запуска сайта. Если вы определили уровень 2, но отложили регистрацию, формально срок уже идёт.
3. Журналы — минимум 6 месяцев. Это касается журналов доступа, транзакций и операций. Не путайте с требованием закона о защите прав потребителей хранить транзакционную информацию 3 года — это другое обязательство.
4. Уровень утверждает регулятор, а не компания. Самостоятельное занижение уровня — распространённая ошибка, которая выявляется при первой же проверке.
5. Оценка уровня 3 — ежегодная. Пропуск срока оценки не имеет отдельного штрафа, но фиксируется при надзорных проверках и осложняет взаимодействие с регулятором.
6. Пороги «крупного инцидента» конкретны. По правилам отчётности о сетевых инцидентах (2025) инцидент считается значительным, например, при недоступности портала более 6 часов, влиянии на 1 млн человек, утечке данных 10 млн человек или прямом ущербе свыше 20 млн юаней. Заранее определите, какие события в вашей системе потребуют немедленного отчёта.

Часто задаваемые вопросы

Q: Обязан ли иностранный интернет-магазин без юрлица в Китае проходить регистрацию дэнбао?

A: Как правило, практическая регистрация возможна только при наличии китайского юрлица и серверов в КНР. Если вы продаёте через маркетплейс, обязательства дэнбао обычно несёт сама платформа. При открытии WFOE с собственным сайтом регистрация уровня 2 становится вашим обязательством — с пакетом из 10 документов и сроком 30 дней.

Q: Сколько времени занимает весь процесс от определения уровня до регистрации?

A: Сама регистрация при полной подаче документов занимает, как правило, от 2 до 4 недель. Но подготовка отчёта об определении уровня и сбор 10 документов для уровня 2 могут занять ещё 1–2 месяца. Итого закладывайте 2–3 месяца на полный цикл, а для уровня 3 — больше из-за экспертного рассмотрения.

Q: Можно ли пройти регистрацию дэнбао, если серверы находятся в Гонконге или за рубежом?

A: Практически нет: регистрация предполагает размещение систем в материковом Китае и договор с местным провайдером хостинга. Для уровня 2 договор на размещение серверов — обязательный документ из списка 10. Если ваши серверы за рубежом, потребуется локальная инфраструктура или партнёрская модель с китайским оператором.

Q: Что будет, если вообще не регистрировать систему?

A: При проверке орган общественной безопасности сначала выдаст предписание об устранении и предупреждение. При отказе или вредных последствиях — штраф от 50 до 500 тыс. юаней по статье 61 (ред. 2025), плюс штраф 10–100 тыс. юаней ответственным лицам. Возможна также приостановка бизнеса — что для e-commerce означает фактическую остановку продаж.

Q: Отличается ли дэнбао для маркетплейса и для собственного интернет-магазита?

A: Да, уровень может отличаться. Собственный магазин с ограниченным объёмом данных — как правило, уровень 2. Маркетплейс, обрабатывающий данные множества продавцов и покупателей, особенно с платёжным функционалом, — потенциально уровень 3, с ежегодной оценкой и 13 документами вместо 10. Окончательное решение — за органом общественной безопасности.

Q: Нужно ли запрашивать паспортные данные покупателей?

A: Закон требует запрашивать реальные идентификационные данные при предоставлении услуг доступа, регистрации доменов, публикации информации и мессенджеров. Для обычной покупки в магазине это, как правило, означает верификацию по номеру телефона и базовые данные. Для маркетплейсов с продавцами — более глубокая идентификация продавцов. Штраф за отсутствие такой проверки — 50–500 тыс. юаней.

Q: Как часто нужно проходить оценку соответствия?

A: Для уровня 2 — как правило, раз в 2 года, для уровня 3 — ежегодно, для уровня 4 — каждые полгода. Оценку проводит аккредитованная организация, расходы несёт компания. Отдельного штрафа за пропуск оценки нет, но результат фиксируется при надзорных проверках и может повлечь предписание по статье 61.

Q: Взаимодействует ли дэнбао с законом о защите персональных данных?

A: Да, напрямую. Закон о защите данных требует выполнять обязательства на основе системы многоуровневой защиты — дэнбао служит её технической базой. Более того, регулятор допускает взаимное признание результатов оценки важности данных и оценки MLPS при совпадении содержания — это позволяет сократить дублирование работ и расходы.

Q: Кто определяет уровень моей системы — я сам или государство?

A: Уровень определяется совместно: оператор готовит отчёт, при необходимости проводится экспертное рассмотрение, а окончательное утверждение — за органом общественной безопасности. Самостоятельное занижение уровня — распространённая и рискованная ошибка: при проверке вас обяжут пересмотреть уровень и доработать систему, а срок 30 дней уже будет пропущен.

Q: Сколько стоит оценка соответствия и доработка системы?

A: Единых официальных тарифов нет. По оценкам, для уровня 2 доработка и оценка обходятся в десятки тысяч юаней, для уровня 3 — в сотни тысяч, в зависимости от масштаба инфраструктуры. Сама регистрация бесплатна (0 юаней). Точную сумму даст только проектная смета от оценочной организации под вашу систему.

Заключение

1. Дэнбао — обязательный, а не опциональный шаг. Любая система уровня 2 и выше должна быть зарегистрирована в течение 30 дней после определения уровня; госпошлина — 0 юаней, но пакет документов для уровня 2 насчитывает 10 позиций.
2. Редакция 2025 года ужесточила ответственность. Штрафы выросли до 50–500 тыс. юаней для компаний и до 10 млн юаней для операторов КИИ; статьи перенумерованы — проверяйте актуальные номера.
3. Журналирование и верификация пользователей — самые частые точки отказа. Хранение журналов не менее 6 месяцев и проверка реальных имён — базовые требования, которые проверяются первыми.
4. Дэнбао — фундамент всего data compliance. Закон о защите данных и правила управления сетевыми данными строятся поверх MLPS, а результаты оценок могут взаимно признаваться.

Чтобы получить персональную оценку пути лицензирования вашей электронной коммерции в Китае, напишите консультационной команде CnBusinessHub по адресу consult@CnBusinessHub.com и запишитесь на консультацию.

Подготовлено консультационной командой CnBusinessHub, советники по выходу на рынок Китая с 2019 года — более 1 500 иностранных предприятий в 16+ городах.

Обновлено: 2026-10-11 | Следующий обзор: апрель 2027

Источники

1. Закон КНР о кибербезопасности (редакция 2025 года, статьи 23, 24, 26, 27, 61, 62, 64)
2. Закон КНР о кибербезопасности (оригинальная редакция 2016 года, статьи 21, 24, 25, 31, 59)
3. Закон КНР о кибербезопасности (оригинальная редакция 2016 года, статьи 56–73, ответственность)
4. Руководство по регистрации многоуровневой защиты информации, Управление общественной безопасности Пекина
5. Регистрация MLPS, Управление общественной безопасности района Хайдянь, Пекин (Приказ № 43, 2007)
6. Правила отчётности о сетевых инцидентах (2025)
7. Закон КНР о защите данных (статья 27)
8. Правила управления сетевыми данными (вступили в силу 01.01.2025)

Читайте также

• Регистрация мини-программ и ICP-соответствие — пошаговое руководство для иностранных компаний в 2026 году
• Комплаенс PIPL для социальной коммерции в Китае 2026