Checklist de conformité cybersécurité en Chine

En 2025, les lois chinoises sur la cybersécurité sont plus strictes que jamais. Pour se conformer, les entreprises doivent respecter des réglementations clés telles que la Loi sur la cybersécurité (CSL), Loi sur la sécurité des données (DSL), et Loi sur la protection des informations personnelles (PIPL). Voici une checklist de conformité rapide :

• Vérifier l'identité des utilisateurs: Use mobile numbers or government IDs.
• Stocker les données localement: All Chinese user data must stay on servers in China.
• Journaliser les activités: Keep user des utilisateurs pendant au moins 60 jours.
• Données sécurisées: Chiffrez les données au repos (AES-256) et en transit (TLS 1.3+).
• Effectuer des audits: Des contrôles de sécurité réguliers et des audits annuels sont obligatoires.
• Gérer les mises à jour: OTA updates must be encrypted, logged, and user-approved.

Le non-respect de ces normes peut entraîner des amendes allant jusqu'à 50 millions ¥ (~7,5 millions $) ou 5 % du chiffre d'affaires annuel. Utilisez des outils comme Capgo pour des mises à jour chiffrées et un suivi de la conformité.

Restez en conformité en sécurisant les données utilisateurs, en maintenant une documentation rigoureuse et en suivant les dernières évolutions du cadre de cybersécurité en Chine.

Principales lois et réglementations sur la cybersécurité

Loi sur la cybersécurité en Chine (CSL)

La loi sur la cybersécurité de la Chine (CSL) définit les exigences fondamentales pour maintenir la sécurité des réseaux. Cela inclut l'enregistrement sous identité réelle, la mise en œuvre de mesures de sécurité robustes, la réalisation d'audits réguliers et le signalement rapide des incidents. Un projet d'amendement a été publié pour consultation en mars 2025 [1]La révision a été adoptée le 28 octobre 2025 et est entrée en vigueur le 1er janvier 2026, avec des sanctions plus strictes en cas de violation.

Les règles chinoises sur les données peuvent s'appliquer aux applications exploitées depuis l'extérieur de la Chine : la PIPL s'applique au traitement des informations personnelles des personnes en Chine continentale lorsque l'objectif est de leur proposer des produits ou services ou d'analyser leur comportement. La localisation des données est plus spécifique qu'une règle globale. La CSL exige que les opérateurs d'infrastructures d'informations critiques stockent localement en Chine les informations personnelles et les données importantes collectées, et la PIPL ajoute une exigence similaire pour les processeurs traitant des informations personnelles au-delà des seuils fixés par l' Administration de l'espace cyber de la Chine (CAC). Les transferts transfrontaliers peuvent emprunter plusieurs voies, telles qu'une évaluation de sécurité de la CAC, le contrat standard ou une certification ; certains transferts sont exemptés, vérifiez donc quelle voie s'applique à vos volumes et types de données.

Les opérateurs de réseau, y compris les développeurs d'applications, doivent également prévoir l’authentification multifacteur la sauvegarde et la récupération des données critiques sur les systèmes sensibles, l'exportation standardisée des données utilisateur, ainsi que la surveillance ou l'audit des activités de traitement.

Selon les fonctionnalités de l'application, certaines évaluations peuvent s'appliquer avant ou après le lancement : une évaluation de l'impact sur la protection des informations personnelles sous la PIPL lors du traitement d'informations personnelles sensibles, de l'utilisation de décisions automatisées ou du transfert de données à l'étranger ; un évaluation de sécurité de la CAC lorsque les transferts transfrontaliers dépassent les seuils réglementaires ou impliquent des données importantes ; et un examen de la cybersécurité lorsqu'un opérateur d'infrastructure d'information critique achète des produits ou services réseau susceptibles d'affecter la sécurité nationale. La plupart des apps n'en auront pas besoin de toutes.

Loi sur la protection des informations personnelles (PIPL)

La Personal Information Protection Law (PIPL) impose des directives strictes pour la gestion des données utilisateur, en mettant l'accent sur la transparence et la sécurité. Les dispositions clés incluent :

La PIPL impose également aux développeurs d'adopter des pratiques de gestion des données claires et transparentes, tout en tenant des registres détaillés du consentement des utilisateurs. Les violations peuvent entraîner des suspensions d'activité et des amendes allant jusqu'à 50 millions ¥ (environ 7,5 millions $) [2]. Ces règles constituent le socle des mesures techniques définies dans les Data Security Management Rules.

Règles de gestion de la sécurité des données

À partir du 1er janvier 2025, la Network Data Security Management Regulation introduit un cadre complet pour la gestion des risques liés aux données. La réglementation met l'accent sur :

• Évaluations des risquesÉvaluez la sensibilité des données, les volumes de traitement et les impacts potentiels sur la sécurité nationale.
• Protections techniquesClassifiez les données, implémentez des contrôles d'accès et chiffrez les informations sensibles.
• Réponse aux incidentsMaintenir une documentation robuste et des mesures techniques pour gérer les incidents de sécurité.

Ces mises à jour visent à renforcer l'application des règles et à relever les nouveaux défis de cybersécurité [1].

For app developers working on updates and security patches, utilizing plateformes de mise à jour sécurisées peuvent simplifier la conformité à ces réglementations. Par exemple, Capgo (https://capgo.app) offre un chiffrement de bout en bout et une gestion des mises à jour, ce qui est particulièrement précieux sur un marché de plus de 4 millions d'applications mobiles et la plus grande base d'utilisateurs d'Internet mobile au monde [4].

Exigences de confidentialité des données

Vérification de l'identité des utilisateurs

Avant d'activer les comptes utilisateurs, mettez en place une vérification du nom réel au moyen d'un numéro de téléphone mobile ou d'une pièce d'identité officielle. Assurez-vous que les identités réelles sont enregistrées et chiffrées, tout en permettant aux utilisateurs d'afficher des pseudonymes publics. Journalisez également les activités des utilisateurs comme l'exigent les réglementations. [4] Pour simplifier ce processus, envisagez d'intégrer des services de vérification locaux agréés, comme ceux fournis par China Mobile et China Unicom [4].

Il est tout aussi important de s'assurer que toutes les données stockées respectent les réglementations locales d'hébergement.

Exigences de stockage des données

Toutes les données des utilisateurs chinois doivent être stockées sur des serveurs situés en Chine continentale, conformément au Network Data Security Management Regulation, qui entre en vigueur le 1er janvier 2025 [1]. Si les données doivent être transférées à l'étranger, elles doivent d'abord faire l'objet d'un examen de sécurité gouvernemental ou obtenir le consentement explicite de l'utilisateur. [3].

Pour répondre à ces exigences, collaborez avec des fournisseurs cloud chinois autorisés tels que Alibaba Cloud ou Tencent Cloud. Cela garantit que les données utilisateur restent dans les limites géographiques désignées.

Une fois les exigences de stockage respectées, concentrez-vous sur la mise en œuvre des mesures de sécurité nécessaires détaillées ci-dessous.

Normes de sécurité requises

Le cadre de cybersécurité pour 2025 met l'accent sur l'utilisation de protocoles de chiffrement robustes pour protéger les données utilisateur [1][3]. Les mesures clés incluent :

Pour les développeurs gérant les mises à jour, des plateformes comme Capgo proposent un chiffrement de bout en bout intégré qui respecte ces exigences de sécurité.

Des audits et des tests réguliers sont essentiels pour garantir que toutes les mesures de sécurité restent efficaces et à jour [1].

Cybersécurité et protection des données en Chine : conformité, défis et conseils

Exigences de sécurité technique

Les réglementations de cybersécurité en Chine exigent que les organisations mettent en œuvre des mesures de sécurité technique détaillées pour rester conformes. En mars 2025, la Cyberspace Administration of China (CAC) a introduit des amendements à la Cybersecurity Law (CSL) qui définissent ces exigences, transformant les obligations légales en pratiques concrètes [1].

Calendrier des scans de sécurité

Les applications mobiles doivent subir des contrôles de sécurité mensuels via des outils de scan approuvés par la CAC [1]. Ces évaluations se concentrent sur divers aspects de la sécurité de l'app :

Tous les rapports de scan doivent être stockés et mis à disposition pour les audits réglementaires annuels. De plus, les autorités peuvent exiger un accès immédiat à ces résultats lors des inspections. [1][5].

Contrôle des permissions utilisateur

Le contrôle d'accès basé sur les rôles (RBAC) est une exigence non négociable pour les applications mobiles opérant en Chine [1]. Les développeurs doivent :

• Configurer des niveaux de permission précis selon les rôles utilisateur.
• Maintenir des logs détaillés des activités d'accès.
• Réviser et mettre à jour régulièrement les paramètres de permission pour garantir leur pertinence.

Pour les développeurs gérant les mises à jour d'applications, des plateformes comme Capgo offrent des outils intégrés pour gérer efficacement les rôles et les permissions des utilisateurs, tout en permettant un déploiement rapide des correctifs de sécurité.

Réponse aux incidents de sécurité

Les organisations doivent notifier la CAC de tout incident de sécurité dans les 12 heures suivant sa détection. Cette notification doit inclure une évaluation initiale et les détails des mesures de confinement. [1][5].

Un plan de réponse aux incidents complet doit couvrir :

• La détection et le confinement du problème.
• Les stratégies d'investigation et de communication.
• Les notifications aux utilisateurs, si nécessaire.

Après l'incident, documentez la cause racine, les actions de remédiation et toute mise à jour des protocoles de sécurité. Un rapport détaillé doit ensuite être soumis aux autorités de régulation.

« Les derniers amendements de la CSL ont renforcé l'application de la loi et augmenté le montant des amendes pour s'aligner sur les autres lois majeures sur la protection des données en Chine, telles que la PIPL et la DSL », déclare la Cyberspace Administration of China dans ses directives de mars 2025. [1].

Des exercices de sécurité réguliers et des sessions de formation du personnel sont également requis, avec toute la documentation associée tenue à disposition pour les inspections réglementaires. [1][2].

Exigences de l'App Store

Lorsqu'il s'agit de publier des applications en Chine, respecter les standards techniques n'est que le début. Les développeurs doivent également se conformer aux réglementations fixées par la Cyberspace Administration of China (CAC) et la Ministère de l'Industrie et des Technologies de l'Information (MIIT) [1].

Processus d'enregistrement auprès du MIIT

Pour s'enregistrer auprès du MIIT, les développeurs doivent préparer les éléments suivants :

• Une licence commerciale ou un certificat d'organisation, accompagné d'une lettre d'autorisation
• Une description détaillée des fonctionnalités de l'app et des pratiques de collecte de données
• La documentation des évaluations de la sécurité réseau
• Une évaluation de l'impact sur la protection des informations personnelles

Le processus d'examen standard prend généralement de 7 à 10 jours ouvrables. Cependant, les développeurs étrangers font souvent face à des délais prolongés, allant jusqu'à 2 ou 3 mois, en raison de l'obligation de passer par une entité locale. Ces étapes s'appuient sur des mesures de protection techniques préalables pour garantir à la fois la sécurité des données et la confidentialité des utilisateurs.

Exigences de tests de sécurité

En plus de l'enregistrement, les apps doivent subir des tests de sécurité obligatoires. Le Règlement sur la gestion de la sécurité des données réseau, qui entrera en vigueur le 1er janvier 2025, définit des protocoles de test spécifiques selon les catégories d'applications [3]:

• Applications de finance et de santé
  Ces applications nécessitent des tests d'intrusion et des revues de code source effectuées par des organismes approuvés par la CAC. Les développeurs doivent également conserver la documentation de sécurité pendant trois ans.

• Applications sociales et éducatives
  Les tests se concentrent sur l'évaluation des vulnérabilités et la conformité aux normes de protection des données. De plus, les logs d'activité des utilisateurs doivent être conservés pendant au moins 60 jours [4].

• Applications générales
  Ces applications sont soumises à des contrôles de base, incluant les normes de chiffrement et les pratiques de gestion des données. Elles doivent également proposer une vérification de l'identité des utilisateurs via des méthodes approuvées.

Contrôle de conformité SDK

Les développeurs doivent tenir un inventaire détaillé de tous les SDK utilisés dans leurs applications, incluant :

• nom, version et fournisseur de SDK
• Permissions d'accès aux données et lieux de stockage
• Certificats de sécurité
• Conformité à la PIPL (Personal Information Protection Law) et à la DSL (Data Security Law) [2]

Pour les applications s'appuyant sur des mises à jour basées sur le cloud, des plateformes comme Capgo proposent des outils de contrôle de version et de déploiement de patchs conformes aux normes de cybersécurité chinoises.

Pour garantir la conformité, la CAC a mis en place un système de dénonciation. Le non-respect peut entraîner le retrait de l'app et de lourdes sanctions [4].

Gestion des mises à jour

En Chine, la gestion des mises à jour dépasse les simples ajustements techniques : il s'agit de respecter des réglementations de cybersécurité strictes qui évoluent constamment. [1].

Exigences pour les mises à jour OTA

Les mises à jour over-the-air (OTA) en Chine doivent respecter un ensemble strict de règles de sécurité et de conformité [1]. Voici les prérequis :

• Chiffrement de bout en bout: Les packages de mise à jour doivent être chiffrés pendant la transmission et inclure des signatures numériques pour confirmer leur authenticité [1].
• Vérification de l'utilisateur: Les mises à jour ne peuvent être effectuées qu'après le consentement explicite de l'utilisateur, souvent vérifié par la validation du numéro de mobile [4].
• Localisation des données: L'infrastructure utilisée pour livrer les mises à jour aux utilisateurs chinois doit être physiquement située en Chine [2].
• Documentation: Conservez des logs détaillés des mises à jour, incluant le consentement de l'utilisateur, les registres d'accès et les évaluations de sécurité, pendant au moins 60 jours [3].

Pour les correctifs de sécurité critiques, la Cyberspace Administration of China (CAC) impose une action rapide. Les entreprises doivent publier des notifications de vulnérabilité immédiatement et accélérer le déploiement des correctifs [1].

Ces exigences sont étroitement liées à un système de gestion de versions bien organisé.

Gestion des versions

Sous le Network Data Security Management Regulation, qui entrera en vigueur en janvier 2025, les entreprises devront mettre en œuvre des processus de contrôle de version robustes. Voici ce que cela implique :

Les capacités de rollback sont essentielles, permettant aux entreprises de revenir rapidement aux versions précédentes. Ces anciennes versions doivent également être conservées pendant au moins 60 jours [3].

Lors de l'utilisation de services tiers pour la gestion des versions, les entreprises doivent garantir : l'enregistrement auprès des autorités chinoises, le déploiement d'une infrastructure localisée, une documentation claire des responsabilités et la conformité aux lois sur la localisation des données [1].

Pour les plateformes gérant des données sensibles, les mises à jour modifiant les méthodes de collecte de données ou les permissions d'accès nécessitent des couches de test et de validation supplémentaires pour maintenir la conformité réglementaire [4].

Des outils comme Capgo (https://capgo.app) proposent des solutions live update incluant le chiffrement, une intégration CI/CD fluide et des fonctionnalités détaillées de contrôle de version.

Le non-respect de ces réglementations peut entraîner de graves conséquences, telles que des amendes atteignant 5 % du chiffre d'affaires de l'année précédente et le retrait des stores chinois [2].

Documentation de conformité

Le cadre de cybersécurité de la Chine met l'accent sur une documentation rigoureuse. Avec les amendements de mars 2025, les exigences sont devenues plus strictes et les sanctions en cas de non-conformité ont considérablement augmenté [1].

Audits annuels obligatoires

Les applications doivent subir des audits de sécurité détaillés pour garantir leur conformité avec la loi sur la protection des informations personnelles (PIPL), la loi sur la sécurité des données (DSL) et les derniers amendements de la loi sur la cybersécurité (CSL) [1][2]. Voici un aperçu des calendriers d'audit types et des exigences de conservation des documents :

Ces audits doivent inclure des documents tels que des rapports d'évaluation de sécurité, des registres de traitement des données, des mécanismes de consentement des utilisateurs, des confirmations de politique de confidentialité et des plans de réponse aux incidents.

Documentation des flux de données

Lors de transferts de données transfrontaliers, les organisations doivent fournir une documentation détaillée des cartographies de flux de données, mener des évaluations de sécurité, obtenir le consentement explicite des utilisateurs et mettre en œuvre des stratégies d'atténuation des risques. Ces registres doivent être conservés pendant au moins trois ans après la fin de la relation de transfert. [2].

Règles de stockage des logs

Le règlement sur la gestion de la sécurité des données réseau définit des exigences spécifiques pour la rétention des logs [3]. Celles-ci incluent :

• Logs d'activité du système

  • Détails d'inscription des utilisateurs
  • Horodatages de connexion avec adresses IP
  • Schémas d'utilisation des fonctionnalités
  • Activités de publication de contenu

• Logs de transactions financières

  • Doit être conservé pendant au moins trois ans
  • Inclure le détail complet des transactions
  • Garantir un stockage inviolable

• Logs d'accès administratif

  • Enregistrer les activités des administrateurs système
  • Tracer les événements d'accès aux données
  • Journaliser les modifications et les activités d'export/téléchargement

• Logs généraux

  • Obligation de conservation : 60 jours minimum [4]

Le non-respect de la conservation de ces logs peut entraîner des pénalités allant jusqu'à 5 % du chiffre d'affaires annuel [1]. De plus, les services de mise à jour automatisés doivent documenter toutes les activités liées aux mises à jour pour prouver la conformité.

Une documentation rigoureuse est le fondement de toutes les autres mesures de conformité, y compris la formation du personnel et la planification de la réponse aux incidents.

Formation à la conformité et violations

Plans de réponse aux violations

Les amendements de mars 2025 à la CSL soulignent l'importance de mettre en place des protocoles détaillés pour traiter les violations [1]. Un plan de réponse solide comprend généralement les phases clés suivantes :

La CAC a également mis en place un système public de signalement, ce qui souligne la nécessité de réponses rapides et bien documentées [4]Pour soutenir ces efforts, les organisations devraient coupler leurs plans de réponse avec des programmes de formation approfondis pour garantir la conformité à tous les niveaux.

Exigences de formation du personnel

À partir de janvier 2025, le règlement sur la gestion de la sécurité des données réseau impose des programmes de formation formels pour s'aligner sur les normes techniques et documentaires [3]. Ces programmes de formation sont essentiels pour rester en conformité avec les dernières exigences réglementaires.

Thèmes obligatoires de formation annuelle

• Principes de confidentialité des données et procédures de traitement appropriées
• Mises à jour sur la CSL et la loi PIPL (Personal Information Protection Law)
• Techniques de codage sécurisé
• Protocoles de réponse aux incidents
• User identity verification processes

Pratiques de documentation

• Conserver les registres de présence aux formations, les évaluations et les mises à jour des supports
• S'assurer que la documentation de formation est toujours à jour
• Suivre l'accusé de réception des mises à jour réglementaires

Les organisations doivent également proposer des formations complémentaires lors de changements réglementaires majeurs, comme les amendements de la CSL prévus pour le 28 mars 2025 [1].

Étapes pratiques pour une formation efficace

• Désigner un responsable de la conformité dédié pour surveiller et appliquer les mises à jour réglementaires
• S'abonner à des services de veille réglementaire et participer à des ateliers sectoriels
• Réaliser régulièrement des audits de conformité internes
• Utiliser un logiciel de gestion de la conformité pour optimiser les processus

Des formations fréquentes et structurées garantissent non seulement le respect des réglementations, mais aident aussi à atténuer efficacement les risques de non-conformité.

Conclusion : Résumé de la checklist de conformité

Cette checklist souligne les domaines essentiels pour respecter le cadre réglementaire de la Chine, structuré par ses trois lois fondamentales. Un respect strict, soutenu par les bons outils, est nécessaire pour s'aligner sur les derniers amendements.

Le Règlement sur la gestion de la sécurité des données réseau, avec des mesures de conformité plus strictes dès le 1er janvier 2025 [3]. Pour respecter ces exigences tout en garantissant des mises à jour fluides, les développeurs peuvent s'appuyer sur des outils comme Capgo, qui propose des mises à jour OTA avec chiffrement de bout en bout, adaptées au marché chinois.

Voici quelques étapes clés pour rester en conformité :

• Suivez l'évolution de la réglementation et mettez à jour vos protocoles internes si nécessaire.
• Documentez minutieusement toutes les mesures de sécurité et les pratiques de gestion des données.
• Réalisez des audits de sécurité réguliers et formez votre personnel aux protocoles de conformité.
• Set up strong incident response systems to address potential threats.

Le non-respect de ces règles peut entraîner des sanctions allant de l'avertissement formel au retrait des apps des stores chinois [4].

FAQ

::: faq

Quelles étapes les développeurs doivent-ils suivre pour garantir la conformité de leurs applications mobiles aux réglementations de cybersécurité en Chine en 2025 ?

Pour s'aligner sur les réglementations chinoises de cybersécurité prévues pour 2025, les développeurs doivent prioriser la conformité aux dernières normes légales et s'assurer que leurs apps répondent à des exigences strictes de protection des données. Voici les principaux points d'attention :

• Sécuriser le stockage et la transmission des données: Utilisez le chiffrement pour protéger les données sensibles des utilisateurs, au repos comme en transit, afin de bloquer tout accès non autorisé.
• Localisation des données: Si nécessaire, conservez les données utilisateur en Chine pour respecter les lois locales sur le stockage des données.
• Consentement et transparence des utilisateurs: Expliquez clairement comment les données sont collectées, utilisées et partagées. Assurez-vous d'obtenir un consentement explicite des utilisateurs si nécessaire.
• Évaluations de sécurité régulièresEffectuez des audits réguliers et des scans de vulnérabilité pour identifier et résoudre les problèmes de sécurité potentiels.

Capgo aide les développeurs à être conformes en proposant des chiffrement de bout en bout et mises à jour en temps réel pour les apps Capacitor. Cela garantit que les mises à jour, qu'il s'agisse de correctifs ou de nouvelles fonctionnalités, sont déployées instantanément sans attendre l'approbation des stores, tout en maintenant la sécurité et la conformité de votre app en toute simplicité. :::

::: faq

What steps can developers take to securely store and transmit user data while complying with China’s cybersecurity regulations?

Pour se conformer aux réglementations de cybersécurité en Chine, les développeurs doivent se concentrer sur le stockage et la transmission sécurisés des données utilisateur. Voici comment y parvenir :

• Utilisez des standards de chiffrement robustes pour sécuriser les données sensibles, qu'elles soient stockées ou en cours de transmission.
• Utilisez des protocoles de communication sécurisés comme HTTPS et TLS pour protéger les données lors de leur transfert.
• Surveillez et améliorez continuellement vos mesures de sécurité pour contrer les vulnérabilités et menaces émergentes.
• Respectez la conformité en Chine Loi sur la protection des informations personnelles (PIPL) et Loi sur la cybersécurité, y compris l'obligation de stocker les données sur des serveurs situés en Chine si nécessaire.

Des plateformes comme Capgo peuvent simplifier vos efforts de conformité en proposant des mises à jour en temps réel. Cela permet aux apps de rester sécurisées et à jour sans attendre l'approbation des stores. De plus, le chiffrement de bout en bout de Capgo renforce la protection des données, facilitant ainsi le respect des exigences réglementaires. :::

::: faq

Quels sont les risques liés au non-respect des réglementations de cybersécurité en Chine, et comment les entreprises peuvent-elles y remédier ?

Le non-respect des réglementations chinoises sur la cybersécurité peut entraîner de graves répercussions, telles que de lourdes amendes, le retrait des apps des stores, violations de données, et même des poursuites judiciaires. Au-delà, la non-conformité peut gravement nuire à la réputation d'une entreprise et rendre difficile le maintien de sa présence sur le marché chinois.

Pour réduire ces risques, les entreprises doivent s'assurer que leurs apps respectent toutes les normes réglementaires. Cela inclut le respect des règles de localisation des données, l'obtention du consentement de l'utilisateur pour la collecte de données, et la réalisation d' évaluations de sécuritéapprofondies. Des outils comme Capgo peuvent simplifier le processus en aidant les développeurs à déployer efficacement des mises à jour et des correctifs, garantissant la conformité sans perturber le fonctionnement de l'app. Rester à jour sur les évolutions réglementaires et y répondre de manière proactive est essentiel pour éviter les sanctions et réussir sur le long terme en Chine. :::

Continuer la lecture : Checklist pour la conformité en cybersécurité en Chine

Si vous utilisez Checklist de conformité cybersécurité en Chine pour planifier la sécurité et la conformité, connectez-l’à Chiffrement pour les détails d'implémentation dans Chiffrement, Conformité pour le détail d’implémentation dans Compliance, Scanner de sécurité Capgo pour le workflow produit dans Capgo Security Scanner, Capgo Sécurité pour le workflow produit dans Capgo Security, et Capgo Centre de confiance pour le workflow produit dans Capgo Trust Center.