「うちは小規模だから対象外のはず」——前回の記事では、そう考えている企業サイトほど等級保護の対象になりやすいことをお伝えしました。では、対象であることに気づかないまま、あるいは分かっていて放置したまま運用を続けた場合、実際に何がどう発覚し、どのような結果につながるのでしょうか。「知らなかった」「対応するつもりだった」は、発覚した後には通用しません。
発覚は「抜き打ち検査」だけではない
未対応が明るみに出る経路は、一つではありません。
・公安機関による専項行動：期間を定めて集中的に検査が行われることがあります。2025年には「护网—2025」と呼ばれる専項工作が実施され、公安部が行政執法の典型案例を公表しています
・インシデント発生後の調査：情報漏洩やシステムへの攻撃が先に起き、その調査の過程で等級保護の未対応が判明するケースです。後述する公表事例の多くがこの経路にあたります
・内部告発・通報
・取引先や入札先からの確認：契約審査や入札の過程で、セキュリティ対応状況について照会を受けるケース
加えて、2025年11月1日に施行された《国家網絡安全事件報告管理弁法》により、セキュリティ事件の報告手続きが明確化されました。同弁法第四条は、ネットワーク運営者が自社に関わる事件を発見または知った時点で等級を判定し、「較大」以上に該当する場合の報告先と期限を定めています。一般の事業者であれば、所在地の省級網信部門へ、最も遅くとも4時間以内とされています。一定規模の被害が出た場合、報告しないという選択肢はなく、報告を通じて自社の体制が当局の目に触れることになります。
「検査が来ていないから大丈夫」という考え方自体が、リスクの見落としにつながります。
発覚後の基本的な流れ
現場検査・調査から始まり、問題点の確認、期限付きの是正命令、期限内の是正確認、という流れが基本です。是正すれば必ず処罰を免れるというものではなく、発覚した時点で処罰と是正命令が同時に科される例もあります。
罰則は「罰金」だけではない
2026年1月1日に施行された改正網絡安全法では、等級保護制度に基づく安全保護義務（第二十三条）に違反した場合の罰則が、被害の程度に応じた段階制に再編されました。罰則を定めているのは第六十一条です。
同条が定める罰金の水準は、以下のとおりです。
・一般的な違反：初回は1万元以上5万元以下。是正を拒否した場合や危害が生じた場合は5万元以上50万元以下（企業）、1万元以上10万元以下（直接の責任者個人）
・重要情報インフラ運営者が同法の定める特別の保護義務に違反した場合：初回は5万元以上10万元以下。是正を拒否した場合は10万元以上100万元以下（企業）、1万元以上10万元以下（個人）
・大量のデータ漏洩など重大な結果を招いた場合：50万元以上200万元以下（企業）、5万元以上20万元以下（個人）
・主要機能の喪失など特に重大な結果を招いた場合：200万元以上1,000万元以下（企業）、20万元以上100万元以下（個人）
罰金以外の処罰は、データ安全法にも定められています。同法第二十七条は、インターネット等を通じてデータを処理する場合、等級保護制度を基礎としてデータセキュリティ保護義務を履行するよう求めています。この義務に違反し、是正を拒否した場合や大量のデータ漏洩など重大な結果を招いた場合について、第四十五条は50万元以上200万元以下の罰金に加え、関連業務の一時停止、停業整頓、関連業務許可証または営業許可証の取消を命じることができると定めています。事業の継続そのものに関わる処分が条文上用意されている、ということです。
さらに第七十二条は、同法に定める違法行為について、関連する法律・行政法規の規定に従って信用記録に記入し、公示すると定めています。一度公示されれば、その後の取引審査や入札で不利に働く可能性があります。
実際に何が起きたか——公安部が公表した2025年の事例から
公安部は「护网—2025」専項工作の行政執法典型案例を公表しています。そのうち複数の事例で、等級保護に関する対応の不備が指摘されています。
・江蘇省蘇州市呉江区のショートメッセージ送信プラットフォーム：等級保護の届出・評価を行わず、技術的な防護措置も講じていませんでした。その結果、このプラットフォームを冒用した詐欺ショートメッセージが27,000通あまり送信される事態に発展し、行政処罰と期限を定めた是正命令が科されています
・安徽省合肥市の電子商取引企業：ネットワークセキュリティ管理制度を策定せず、等級保護の取り組みも実施していませんでした。旅客の購入情報が大量に不正取得される被害が発生し、行政処罰と是正命令を受けています
・貴州省の政務サービスシステム：防護措置の未実施、ログ保存の不備、脆弱性の未対応が重なり、利用者に400万元あまりの財産被害が生じました。システムの構築側・運用側が行政処罰を受けています
なお同じ公表事例には、上海のあるアパレルブランド中国法人が、データ越境安全評価を経ないまま国外の本社へ個人情報を送信し、利用者の個別同意も得ていなかったとして行政処罰を受けた事例も含まれています。日本本社との日常的なデータのやり取りが、中国では規制の対象になり得ることを示す事例です。
まず確認すべきポイント
・自社（中国拠点）の等級保護の届出・取得状況と、対象となっているシステムの範囲
・取得後にシステムの追加・改修・クラウド移行がないか
・ネットワークログを法定の期間にわたって保存できているか
・万一の発覚時に、是正命令の期限内に対応できる社内体制があるか
・「較大」以上のセキュリティ事件が発生した際、法定の期限内に当局へ報告できる手順と担当者が決まっているか
・個人責任が及び得る担当者・経営層を把握しているか
これらの確認は、情報の分散や担当者の異動、中国語の規制文書への対応など、社内リソースだけでは手が届きにくい領域です。
NRI北京のご支援
NRI北京は、貴社の等級保護対応状況の確認から、必要な等級判定・技術的対策の整備、公安機関への申請・評価対応、発覚後の是正対応まで一貫してサポートします。日本本社との調整が必要な場面にも対応しており、手続き全体をワンストップで支援します。
中国の等級保護制度に精通した専門家が対応するため、対応状況の確認や2026年新基準への適合可否の判断から始められます。「万一発覚した場合にどう対応すればよいか分からない」という段階からでもご相談ください。
出典
・中华人民共和国网络安全法（2026年1月1日施行版）／中央网络安全和信息化委员会办公室
第二十三条（等級保護制度に基づく安全保護義務、ネットワークログの6か月以上の保存）、第六十一条（罰金の水準）、第七十二条（信用記録への記入と公示）
https://www.cac.gov.cn/2025-12/29/c_1768735112911946.htm
・中华人民共和国数据安全法（2021年9月1日施行）／全国人民代表大会
第二十七条（等級保護制度を基礎としたデータセキュリティ保護義務）、第四十五条（罰金、関連業務の一時停止・停業整頓・許可証取消）
https://wb.flk.npc.gov.cn/flfg/PDF/8a19eb7aaa1e463cb21ff7cc2bac99d1.pdf
・国家网络安全事件报告管理办法（2025年11月1日施行）／中央网络安全和信息化委员会办公室
第四条（「较大」以上の事件についての報告先と期限）
https://www.cac.gov.cn/2025-09/15/c_1759583017717009.htm
・公安部公布"护网—2025"专项工作6起行政执法典型案例／中华人民共和国公安部（江苏省委网信办 公式掲載）
江蘇省蘇州市呉江区・安徽省合肥市・貴州省・上海市の各事例
https://www.jswx.gov.cn/zhengce/zhifa/202509/t20250918_3571499.shtml