**Titel: Chinas regulatorische Entwicklungen und der Schutz der Netzwerksicherheitsstufen: Ein Leitfaden für ausländische Unternehmen** **Einleitung: Mehr als nur Compliance – ein strategischer Imperativ** Als ich vor über zwölf Jahren begann, ausländische Unternehmen bei der Registrierung und Steuerkonformität in China zu betreuen, war das Thema Netzwerksicherheit bestenfalls eine Fußnote in den Due-Diligence-Prüfungen. Wir sprachen über Eintragungsfristen, Gewinnrepatriierung und lokale Steueranreize. Doch die Zeiten haben sich grundlegend geändert. Heute, im Jahr 2025, ist die Frage der Netzwerksicherheitsstufen – insbesondere das *Multi-Level Protection Scheme* (MLPS, auf Chinesisch: 网络安全等级保护) – zu einem zentralen Diskussionspunkt in fast jedem Vorstandsraum geworden, in dem es um China-Aktivitäten geht. Die regulatorische Landschaft in China ist kein statisches Gebilde; sie ist ein lebendiges Ökosystem, das sich rasant weiterentwickelt. Für ausländische Investoren, die es gewohnt sind, in stabilen Rechtsrahmen zu denken, stellt dies eine besondere Herausforderung dar. Es geht nicht mehr nur um die Frage "Wie gründe ich eine WFOE?", sondern zunehmend um "Wie betreibe ich ein datengetriebenes Geschäftsmodell innerhalb der chinesischen Cyber-Sicherheitsgesetze?". Dieser Artikel richtet sich an genau diese Gruppe: erfahrene Investoren und Geschäftsführer, die Deutsch lesen und die Nuancen des chinesischen Marktes verstehen wollen. Wir werden uns nicht in Paragrafendschungel verlieren, sondern einen pragmatischen, erfahrungsbasierten Überblick geben. Ich werde aus meiner langjährigen Beratungspraxis – von der ersten Registrierung bis zur laufenden Compliance-Begleitung – schöpfen, um Ihnen zu zeigen, warum das Thema MLPS für Sie nicht nur ein rechtliches Hindernis, sondern ein Wettbewerbsvorteil sein kann. Lassen Sie uns eintauchen.

1. Grundlagen des MLPS 2.0 verstehen

Bevor wir in die Tiefe gehen, müssen wir das Fundament legen. Das MLPS, ursprünglich 1994 ins Leben gerufen und 2019 mit der Version 2.0 grundlegend überarbeitet, ist das Rückgrat der chinesischen Cybersicherheitsarchitektur. Viele meiner Mandanten – insbesondere aus dem europäischen Raum – unterschätzen dessen Tragweite. Sie sehen es oft als bloße IT-Prüfung, ähnlich dem ISO 27001-Zertifikat, das sie vielleicht schon haben. Doch das ist ein Trugschluss. MLPS 2.0 ist rechtlich verbindlich, mit erheblichen Strafen bei Nichteinhaltung, und es betrifft nicht nur den "Kern" Ihrer IT-Systeme, sondern auch die Datenprozesse entlang Ihrer gesamten Lieferkette. Das System klassifiziert Informationssysteme in fünf Schutzstufen (Level 1 bis 5), wobei Level 3 für die meisten ausländischen Unternehmen relevant ist, die personenbezogene Daten oder wichtige industrielle Daten verarbeiten. Die Einstufung erfolgt nicht einfach durch Sie selbst, sondern basiert auf einem systematischen Prozess, der oft von zertifizierten dritten Dienstleistern in Zusammenarbeit mit der lokalen Polizeibehörde durchgeführt wird. Genau hier beginnt die Praxis: Ich erinnere mich an einen Fall eines deutschen Maschinenbauers, der sich sicher war, nur Level 1 zu benötigen, weil er ja "nur" Konstruktionsdaten verarbeitete. Nach unserer gemeinsamen Analyse – und einem langen Gespräch mit dem lokalen PSB – stellte sich heraus, dass seine Integration mit dem Kundenportal eines chinesischen Staatsbetriebs Level 3 erforderte. Die Nachrüstung kostete ihn am Ende fast dreimal so viel, wie die von Anfang an geplante Implementierung. Ein weiterer kritischer Punkt ist die territoriale Anwendbarkeit. Das Gesetz ist nicht auf den geografischen Standort Ihrer Server beschränkt. Wenn Ihre Systeme auf die Daten chinesischer Benutzer zugreifen oder diese verarbeiten – selbst wenn die Verarbeitung außerhalb Chinas erfolgt – können Sie unter die Verordnung fallen. Dies führt zu einer interessanten "Doppelbestrafung" für global operierende Unternehmen: Sie müssen sowohl die DSGVO in Europa als auch das MLPS plus das PIPL (Personal Information Protection Law) in China erfüllen. Diese parallelen Anforderungen sind zwar herausfordernd, aber nicht unlösbar. Der Schlüssel liegt in einer frühzeitigen, integrierten Planung, die ich in meiner Praxis fast wöchentlich anmahne. Wir sollten MLPS nicht als isolierte Checkliste sehen, sondern als integralen Bestandteil Ihrer globalen Datenstrategie.

Anforderungen der regulatorischen Entwicklungen in China an den Schutz von Netzwerksicherheitsstufen für ausländische Unternehmen

2. Die Rolle des Cyber Security Law und PIPL

Das MLPS steht nicht allein; es ist eingebettet in ein Trio von Gesetzen, das das moderne chinesische Datenschutzregime bildet. Neben dem MLPS sind dies das *Cyber Security Law* (CSL) von 2017 und das *Personal Information Protection Law* (PIPL) von 2021. In meiner Beratungsprexis beobachte ich oft kognitive Dissonanz bei ausländischen Führungskräften: Sie behandeln diese Gesetze wie separate Silos, obwohl sie im regulatorischen Vollzug untrennbar miteinander verbunden sind. Beispielsweise verlangt das MLPS, dass bestimmte "wichtige Systeme" in China gehostet werden müssen – dies korreliert direkt mit PIPL-Bestimmungen zur lokalen Datenspeicherung für "wichtige" Daten. Diese Verschränkung führt zu konkreten operativen Fragen: Darf Ihre europäische Muttergesellschaft remote auf ein HR-System zugreifen, das in Beijing gehostet wird? In den meisten Fällen ja, aber nur unter strengen Auflagen wie einer Sicherheitsüberprüfung der Netzwerkverbindung, was wiederum die MLPS-Level-3-Anforderungen auslösen kann. Die Aufsichtsbehörden, insbesondere die Cyberspace Administration of China (CAC), haben in den letzten Jahren ihre Durchsetzungspraxis verschärft. Es gibt nicht nur hohe Geldbußen – bis zu 5% des Jahresumsatzes oder 50 Millionen RMB bei schweren PIPL-Verstößen – sondern auch persönliche Haftung für die "verantwortlichen Personen" (DPOs, Geschäftsführer). Ich erinnere mich an einen Vorfall mit einem US-amerikanischen Logistikkonzern, dessen lokaler Geschäftsführer im Jahr 2023 persönlich vorgeladen wurde und eine formelle administrative Strafe erhielt, weil sein Unternehmen Daten ohne angemessene Sicherheitsvorkehrungen über ein externes Tool verarbeitete. Für global agierende Investoren ist dies ein Alarmsignal: Die Ära des "Wir dachten, es sei nur ein IT-Thema" ist vorbei. Es ist eine Frage der unternehmerischen Sorgfaltspflicht und der persönlichen Verantwortung des lokalen Managements. Darüber hinaus ist der Begriff der "wichtigen Daten" (重要数据) und "Kern- Daten" (核心数据) unscharf und wird oft durch sektorspezifische Regelungen präzisiert. Ein Pharmaunternehmen könnte andere Anforderungen haben als ein Finanzdienstleister. Diese Unschärfe ist – gelinde gesagt – für uns Berater eine ständige Herausforderung. Wir müssen oft mit lokalen Behörden "interpretieren", ob Ihre spezifische Datenklassifizierung die höchste Schutzstufe auslöst. Eine pragmatische Lösung, die ich empfehle, ist die Einführung eines robusten Dateninventars, das nicht nur für den internen Gebrauch dient, sondern auch als Nachweis für die Behörden nutzbar ist. Zeigen Sie proaktiv auf, welche Daten Sie haben, und Sie vermeiden oft die "Verdachtsmomente", die aus intransparenten Prozessen entstehen.

3. Branchenspezifische Besonderheiten beachten

Wenn Sie glauben, dass MLPS eine Einheitsgröße für alle ist, irren Sie sich gewaltig. Der Teufel steckt im Detail der Branchenregulierung. Nehmen wir beispielsweise den Finanzsektor. Die lokale Aufsichtsbehörde (CBIRC – nun NFRA) hat zusätzliche Anforderungen für Datenresidenz und Netzwerk-Isolation erlassen, die über die allgemeinen MLPS-Vorgaben hinausgehen. In einem Projekt mit einer europäischen Anlageberatung stellten wir fest, dass nur ein kleiner Teil der Daten über die übergreifende Plattform laufen durfte; die eigentlichen Portfoliodaten mussten in einer physikalisch getrennten, niveau-3-zertifizierten Umgebung verarbeitet werden. Diese Komplexität erforderte eine komplette Umstrukturierung der IT-Architektur – ein Projekt, das wir in enger Abstimmung mit den Behörden planten. Derartige sektorspezifische Anforderungen sind kein "Nice-to-have", sondern eine konditionale Vorabgenehmigung für Ihre Geschäftslizenz. Anders sieht es im produzierenden Gewerbe aus, wo ich einen deutlichen Anstieg von "Industry IoT"-Angriffen beobachte. Die Behörden reagieren, indem sie spezielle Richtlinien für industrielle Steuerungssysteme (ICS) erlassen, die unter MLPS 2.0 oft Level 3 oder 4 erfordern. Für ausländische Hersteller bedeutet das, dass sie ihre Schnittstellen zur Cloud – insbesondere zu westlichen ERP-Systemen – kritisch hinterfragen müssen. Ein Kunde aus Bayern musste seine Produktionsplanung umstellen, weil die direkte Anbindung an das US-amerikanische Hauptquartier-System nur über eine geprüfte, verschlüsselte Leitung mit zusätzlicher Verzögerung erlaubt war. Diese Verzögerung war zunächst ein Ärgernis, entpuppte sich aber später als Vorteil, weil die neue Lösung auch die Systemstabilität erhöhte. Dann haben wir den Gesundheitssektor, der besonders sensibel ist. Hier gibt es noch strengere Vorschriften, nicht nur durch MLPS, sondern auch durch spezifische Regelungen des Gesundheitsdaten-Managements. Ich rate meinen Mandanten immer, frühzeitig eine formelle Vorabstimmung mit der lokalen Gesundheitsbehörde zu suchen, nicht nur mit der Polizei. In der Praxis führt dieser "Kamingespräch"-Ansatz zu einer reibungsloseren Prüfung und oft zu einer Reduzierung der geforderten Sicherheitsmaßnahmen, weil die Behörden sehen, dass Sie Risiken strukturiert adressieren. Letztlich geht es im chinesischen System weniger um starre Bürokratie, sondern um den Aufbau von Vertrauen in Ihre Fähigkeit zur Selbstregulierung.

4. Praxis der Risikobewertung und Fristen

Ein häufiger Fehler, den ich bei ausländischen Investoren sehe, ist die Annahme, dass die MLPS-Einführung nur ein einmaliges Projekt ist. Weit gefehlt. Das MLPS 2.0 sieht vor, dass Systeme regelmäßig – mindestens jährlich – neu bewertet werden müssen, wobei größere Änderungen an Ihrer Infrastruktur eine sofortige Neubewertung auslösen. In meiner Zeit als Berater habe ich zahllose Unternehmen gesehen, die nach einer Fusion oder einer größeren Cloud-Migration in die Compliance-Falle tappten, weil sie die Re-Zertifizierung vergaßen. Die Behörden reagieren nicht unmittelbar, aber spätestens bei der nächsten jährlichen Überprüfung oder nach einem Sicherheitsvorfall kommen die Versäumnisse ans Licht. Wie sieht also der Prozess konkret aus? Zunächst müssen Sie ein zertifiziertes Drittunternehmen beauftragen, um eine "Level-Bestimmung" durchzuführen. Anschließend wird ein Sicherheitsdesign erstellt, danach folgt die Implementierung und schließlich die offizielle Abnahme durch das lokale PSB. Diese Phasen können je nach Komplexität Ihres Systems zwischen 6 und 12 Monaten dauern – bei Verzögerungen auch länger. In einem Fall mit einem japanischen Elektronikkonzern zog sich die Zertifizierung über 14 Monate hin, weil die Grenzen zwischen "kritischen" und "nicht-kritischen" Modulen nicht klar definiert wurden. Am Ende mussten wir das System in zwei separate rechtliche Einheiten aufspalten, um die Komplexität zu reduzieren – eine Lösung, die ineffizient war, aber die einzige Alternative zur permanenten Compliance zu sein schien. Ein weiterer Stolperstein ist die Kostenfrage. Viele Unternehmen budgetieren nur die technischen Ausgaben – Firewalls, Verschlüsselung, etc. –, vergessen aber die Kosten für externe Berater, zusätzliche Personalschulungen und die oft notwendige Belastung der internen IT-Mannschaft. In meiner Erfahrung sollten Sie für ein Level-3-System mindestens 1,5 Millionen RMB einplanen, oft mehr, wenn Sie eine Nachrüstung bestehender Systeme durchführen. Trotz dieser Kosten sollte man die Investition aber nicht scheuen. Eines meiner Lieblingsargumente gegenüber skeptischen CFOs ist der Hinweis auf die Versicherungsbranche: Immer mehr Versicherer in China verlangen den MLPS-Level-3-Nachweis, bevor sie überhaupt eine Cyber-Risikoversicherung ausstellen. Compliance senkt also langfristig das operationelle Risiko und macht Sie attraktiver für lokale Finanzpartner.

5. Der menschliche Faktor und die Unternehmenskultur

Wenn ich auf 14 Jahre Erfahrung mit Registrierungen und Compliance-Projekten zurückblicke, wird mir klar: Technologie ist selten das Hauptproblem. Es ist der menschliche Faktor. Die Einführung von MLPS-Stufen erfordert ein Umdenken in der gesamten Organisation, insbesondere bei lokalen Mitarbeitern. Diese haben oft Angst vor externen Prüfungen und neigen dazu, Informationen zu verschleiern, anstatt proaktiv zu kommunizieren. Eine meiner wichtigsten Aufgaben war es, hier eine Kultur der Offenheit zu fördern. Wir haben bei einem großen Handelsunternehmen eine Art "Compliance-Workshop" eingeführt, bei dem die Abteilungsleiter ihre Schwachstellen präsentierten – ohne Schuldzuweisungen, sondern als Lernprozess. Das Ergebnis war eine deutliche Reduzierung der Prüfungsfindings in der anschließenden Zertifizierung. Ein interessanter Aspekt ist auch die Rolle der lokalen IT-Dienstleister. Oft empfehlen wir unseren Mandanten, nicht nur mit den großen globalen Integratoren zu arbeiten, sondern auch mit lokal verwurzelten Partnern. Diese haben oft bessere Beziehungen zu den Behörden und kennen die "ungeschriebenen" Erwartungen. In einem Fall scheiterte ein renommierter europäischer IT-Dienstleister an der formalen Abnahme, weil er die spezifischen Log-Anforderungen des PSB nicht verstand. Erst als wir einen lokalen Partner hinzuzogen, der bereits 50 ähnliche Zertifizierungen durchgeführt hatte, ging es voran. Die Moral der Geschichte: Netzwerksicherheit ist in China auch ein soziales und relationales Phänomen. Darüber hinaus beobachte ich eine zunehmende Tendenz, dass ausländische Mütter ihre chinesischen Tochtergesellschaften als "Risikoquelle" betrachten. Dies führt zu starken zentralen Kontrolleure, die aber oft die lokalen Anforderungen ignorieren. Meine Empfehlung ist ein "koordinierter Föderalismus": Lassen Sie der chinesischen Einheit mehr Autonomie bei der Einhaltung der chinesischen Vorschriften, solange die übergeordneten Datenschutzprinzipien der Gruppe gewahrt bleiben. Dies ist nicht nur pragmatisch, sondern auch im Sinne der Rechtssicherheit, da die lokalen Manager persönlich haftbar gemacht werden können – das erfordert Vertrauen und klare Kommunikationswege. In meiner täglichen Arbeit verbringe ich fast so viel Zeit mit Mitarbeitercoaching wie mit Steuerfragen – das sollte man als Investor nicht unterschätzen.

6. Kartell- und Auslandsinvestitionsprüfung

Ein oft übersehener Aspekt ist das Zusammenspiel von MLPS mit der chinesischen Investitionskontrolle. Das *Foreign Investment Law* von 2020 und insbesondere das *Security Review* Verfahren (Volksrepublik China) für ausländische Übernahmen können MLPS-Anforderungen direkt auslösen. Wenn Sie beabsichtigen, ein chinesisches Unternehmen zu übernehmen, das Zugang zu "wichtigen Daten" hat oder in einer sensiblen Branche tätig ist, kann die Regierung die Übernahme von der Einhaltung bestimmter Sicherheitsstufen abhängig machen. Im Klartext: Die Übernahme kann abgelehnt oder mit Auflagen versehen werden, wenn das Zielunternehmen nicht über ein gültiges MLPS-Level-3-Zertifikat verfügt. Wir haben diesen Fall kürzlich bei einem M&A-Projekt im Bereich der Telekommunikationsinfrastruktur erlebt – der Deal scheiterte letztlich an der fehlenden Konformität. Dies betrifft nicht nur Akquisitionen; auch Greenfield-Projekte sind involviert. Bei der Beantragung einer WFOE-Lizenz für bestimmte Branchen – insbesondere für E-Commerce, Cloud-Dienste oder KI – verlangen die lokalen Behörden nun einen Nachweis über das Bedrohungsmodell des Unternehmens. Dies kann Teil des "Projektgenehmigungsverfahrens" sein. Meine Erfahrung aus einem Projekt mit einem amerikanischen Softwareunternehmen zeigt, dass eine frühzeitig eingereichte MLPS-Bewertung den Genehmigungsprozess um mehrere Wochen verkürzen kann, da die Behörden sehen, dass Sie den Ernst der Lage verstanden haben. Sie nutzen MLPS gewissermaßen als ein Sieb für "unreife" Marktteilnehmer. Für internationale Investoren ist es daher essenziell, das MLPS nicht als operatives Detail in die IT-Abteilung zu delegieren, sondern es als Teil der strategischen Transaktionsplanung zu behandeln. In meiner Funktion als Berater bin ich oft in monatlichen Vorstandssitzungen dabei, wo wir über die Balance zwischen globale Datenflüsse und lokalen Sicherheitsanforderungen diskutieren. Diese Integration ist der Schlüssel, um böse Überraschungen bei der nächsten Finanzierungsrunde oder der geplanten Expansion zu vermeiden. Ich rate jedem Investor: Beginnen Sie die MLPS-Reise nicht am Tag der Unternehmensgründung, sondern schon bei der Standortauswahl.

7. Bewährte Praktiken und pragmatische Lösungsansätze

Nach so vielen düsteren Warnungen möchte ich nun einen Ausblick geben und aufzeigen, was funktioniert. Die gute Nachricht ist, dass eine gut umgesetzte MLPS-Strategie nicht nur rechtliche Risiken minimiert, sondern auch Ihre operative Widerstandsfähigkeit erhöht. Ein bewährtes Modell ist die Einrichtung einer "Datensicherheits-Kommission" innerhalb des Unternehmens, die sich monatlich trifft und alle Sicherheitsvorfälle sowie geplante Änderungen bespricht. Dadurch schaffen Sie eine Pufferzone zwischen dem täglichen Geschäft und der formalen Prüfung durch die Behörden. Bei der Wahl der technischen Lösungen sollten Sie auf Produkte setzen, die bereits MLPS-Prüfungen bestanden haben. Viele große Anbieter wie Huawei oder Alibaba haben spezielle Lösungen für Level-3-Konformität. In der Praxis stelle ich jedoch fest, dass kundenspezifische Anpassungen oft effizienter sind. Beispielsweise haben wir für einen Schweizer Präzisionshersteller eine hybride Lösung entwickelt: Die klassischen geschäftskritischen Anwendungen bleiben in der Public Cloud, aber die Vernetzung mit dem chinesischen Logistikpartner wird durch eine private, abgeschottete Leitung realisiert. So erfüllen wir die Level-3-Anforderungen, ohne die globale Systemlandschaft komplett zu duplizieren – das wäre nämlich unwirtschaftlich. Ein weiterer pragmatischer Tipp ist die Nutzung von "Pseudo-Mandaten". Da das MLPS eine Einstufung durch einen externen Dienstleister erfordert, empfehle ich, den Bewertungsprozess immer als Chance zum Lernen zu sehen. Wir bauen oft Prüfungspläne auf, die über das Minimum hinausgehen, und dokumentieren jeden Schritt. Dies erleichtert nicht nur die nächste Überprüfung, sondern hilft auch bei internen Audits. Viele meiner langjährigen Mandanten schätzen diese strukturierte Herangehensweise – sie nennen es treffend "Compliance als Betriebssystem", nicht als Feueralarm. Wenn Sie diese Grundsätze verinnerlichen, werden Sie feststellen, dass die Zusammenarbeit mit den chinesischen Behörden deutlich konstruktiver wird. Es ist ein Dialog, kein Urteil.

**Schlussbetrachtung: Sicherheit als Fundament des Vertrauens** Abschließend möchte ich betonen, dass die Anforderungen an den Schutz von Netzwerksicherheitsstufen in China kein vorübergehendes Ärgernis sind, sondern eine dauerhafte Eigenschaft des Marktes. Für ausländische Unternehmen, die langfristig erfolgreich sein wollen, ist die proaktive Auseinandersetzung mit MLPS 2.0, CSL und PIPL unabdingbar. Es mag wie eine zusätzliche bürokratische Last erscheinen – und ehrlich gesagt, manchmal ist es genau das –, aber ich habe in den letzten zwölf Jahren zu viele Beispiele gesehen, wo Compliance zu einem echten strategischen Vorteil wurde. Kunden und Partner vertrauen Unternehmen mehr, die transparent mit ihren Daten umgehen, und die Behörden behandeln solche Unternehmen oft wohlwollender. Ich empfehle allen Investoren, den Weg der "progressiven Integrität" zu gehen: Fangen Sie klein an, bauen Sie Kompetenz auf und skalieren Sie Ihre Bemühungen, wenn sich Ihr Geschäft ausweitet. Unterschätzen Sie niemals den Wert lokaler Netzwerke – sowohl im technischen als auch im menschlichen Sinne. Die Zukunft gehört Unternehmen, die globale Effizienz mit lokaler Sicherheit verbinden können. Und vergessen Sie nicht: Diese Reise ist wie die Datensicherheit selbst – nie endend, aber kontinuierlich kontrollierbar. Wenn Sie Fragen haben, stehe ich Ihnen gerne zur Verfügung. Bleiben Sie wachsam, aber auch optimistisch. --- **Zusammenfassende Einschätzung der Jiaxi Steuerberatung** Die Entwicklungen im Bereich der Netzsicherheitsstufen in China sind für ausländische Unternehmen eine erhebliche, aber überwindbare Herausforderung. Unsere langjährige Erfahrung zeigt, dass eine frühzeitige und strategische Planung entscheidend ist, um sowohl rechtliche Risiken als auch operative Unterbrechungen zu vermeiden. Die Integration von MLPS in die Unternehmensstrategie – nicht nur in die IT-Abteilung – ist der wesentliche Erfolgsfaktor. Insbesondere die enge Verzahnung von Datensicherheitsstufen mit dem PIPL und dem CSL erfordert ein interdisziplinäres Verständnis, das wir in unserem Beratungsalltag ständig anwenden. Wir empfehlen, alle Compliance-Aktivitäten als Investition in die Marktpräsenz und das Kundenvertrauen zu begreifen. Trotz der Komplexität überwiegen die Chancen, da hochkonformante Unternehmen oft von den Behörden bevorzugt behandelt werden und sich als attraktive Partner für lokale Akteure positionieren. Der Schlüssel liegt in der Kombination aus technischer Exzellenz und menschlicher Kommunikation – ein Prinzip, das wir bei Jiaxi seit über einem Jahrzehnt täglich leben.