Checklist de conformité cybersécurité en Chine

En 2025, les lois chinoises sur la cybersécurité sont plus strictes que jamais. Pour être conformes, les entreprises doivent respecter des réglementations clés comme la Loi sur la cybersécurité (CSL), Loi sur la sécurité des données (DSL), et Loi sur la protection des informations personnelles (PIPL). Voici une checklist de conformité rapide :

• Vérifier l'identité des utilisateurs: Use mobile numbers or government IDs.
• Stocker les données localement: All Chinese user data must stay on servers in China.
• Journaliser les activités : Conservez les logs d'activité des utilisateurs pendant au moins 60 jours.
• Données sécurisées: Chiffrez les données au repos (AES-256) et en transit (TLS 1.3+).
• Réaliser des audits: Les contrôles de sécurité réguliers et les audits annuels sont obligatoires.
• Gérer les mises à jour: OTA updates must be encrypted, logged, and user-approved.

Le non-respect de ces normes peut entraîner des amendes allant jusqu'à 50 millions ¥ (~7,5 millions $) ou 5 % du chiffre d'affaires annuel. Utilisez des outils comme Capgo pour des mises à jour chiffrées et le suivi de la conformité.

Restez conforme en sécurisant les données utilisateurs, en tenant une documentation rigoureuse et en suivant les dernières évolutions du cadre de cybersécurité en Chine.

Principales lois et réglementations sur la cybersécurité

Loi chinoise sur la cybersécurité (CSL)

La loi chinoise sur la cybersécurité (CSL) définit les exigences fondamentales pour maintenir la sécurité des réseaux. Celles-ci incluent l'enregistrement sous nom réel, la mise en œuvre de mesures de sécurité robustes, la réalisation d'évaluations régulières et le signalement rapide des incidents. Un projet d'amendement a été publié pour consultation en mars 2025 [1]La révision adoptée le 28 octobre 2025 est entrée en vigueur le 1er janvier 2026, prévoyant des sanctions plus strictes en cas de violation.

Les règles chinoises sur les données peuvent s'appliquer aux apps exploitées depuis l'extérieur de la Chine : la PIPL s'applique au traitement des informations personnelles des personnes en Chine continentale lorsque le but est de leur proposer des produits ou services ou d'analyser leur comportement. La localisation des données est plus ciblée qu'une règle générale. La CSL exige que les opérateurs d'infrastructures d'information critiques stockent localement en Chine les informations personnelles et les données importantes collectées, et la PIPL ajoute une exigence similaire pour les entités traitant des informations personnelles au-delà des seuils fixés par l' Administration du cyberespace de Chine (CAC). Les transferts transfrontaliers peuvent emprunter plusieurs voies, comme une évaluation de sécurité CAC, le contrat standard ou une certification, et certains transferts sont exemptés : vérifiez donc quelle voie s’applique à vos volumes et types de données.

Les opérateurs de réseau, y compris les développeurs d’applications, doivent aussi prévoir l'authentification multifacteur sur les systèmes sensibles, la sauvegarde et la restauration des données critiques, l’export standardisé des données utilisateur, ainsi que la surveillance ou l’audit des activités de traitement.

Selon ce que fait l’application, certaines évaluations peuvent s’appliquer avant ou après le lancement : une évaluation d’impact sur la protection des informations personnelles lors du traitement d’informations personnelles sensibles, de l’utilisation de la prise de décision automatisée ou du transfert de données à l’étranger, conformément à la PIPL ; évaluation de sécurité CAC lorsque les transferts transfrontaliers dépassent les seuils réglementaires ou impliquent des données importantes ; et un examen de cybersécurité lorsqu’un opérateur d’infrastructures d’information critiques achète des produits ou services réseau susceptibles d’affecter la sécurité nationale. La plupart des applications n’auront pas besoin de toutes ces évaluations.

Loi sur la protection des informations personnelles (PIPL)

La loi sur la protection des informations personnelles (PIPL) impose des directives strictes pour la gestion des données utilisateurs, en mettant l’accent sur la transparence et la sécurité. Ses principales dispositions incluent :

La PIPL impose également aux développeurs d'applications d'adopter des pratiques de traitement des données claires et transparentes, tout en tenant des registres détaillés du consentement des utilisateurs. Les violations peuvent entraîner des suspensions d'activité et des amendes pouvant atteindre 50 millions de ¥ (environ 7,5 millions de $) [2]. Ces règles constituent le socle des mesures techniques définies dans les Data Security Management Rules.

Règles de gestion de la sécurité des données

À partir du 1er janvier 2025, la Network Data Security Management Regulation introduit un cadre complet pour la gestion des risques liés aux données. La réglementation met l'accent sur :

• Évaluations des risquesÉvaluez la sensibilité des données, les volumes de traitement et les impacts potentiels sur la sécurité nationale.
• Protections techniquesClassifiez les données, implémentez des contrôles d'accès et chiffrez les informations sensibles.
• Réponse aux incidentsMaintenir une documentation robuste et des mesures techniques pour gérer les incidents de sécurité.

Ces mises à jour visent à renforcer l'application des règles et à relever les nouveaux défis de la cybersécurité [1].

For app developers working on updates and security patches, utilizing plateformes de mise à jour sécurisées peut simplifier la conformité à ces réglementations. Par exemple, Capgo (https://capgo.app) offre un chiffrement de bout en bout et en temps réel gestion des mises à jour, ce qui est particulièrement précieux sur un marché comptant plus de 4 millions d'applications mobiles et la plus grande base d'utilisateurs d'Internet mobile au monde [4].

Exigences de confidentialité des données

Vérification de l'identité des utilisateurs

Avant d’activer les comptes utilisateurs, mettez en place une vérification d’identité réelle via un numéro de téléphone mobile ou une pièce d’identité officielle. Assurez-vous que les identités réelles sont enregistrées et chiffrées, tout en permettant aux utilisateurs d’afficher des alias publics. Journalisez également les activités des utilisateurs comme l’exigent les réglementations. [4]. Pour simplifier ce processus, envisagez d’intégrer des services de vérification locaux autorisés, tels que ceux fournis par China Mobile et China Unicom [4].

It’s equally important to ensure all stored data complies with local hosting regulations.

Exigences de stockage des données

Toutes les données des utilisateurs chinois doivent être stockées sur des serveurs situés dans la Chine continentale, conformément au Règlement sur la gestion de la sécurité des données réseau, qui entre en vigueur le 1er janvier 2025 [1]. If data needs to be transferred abroad, it must first undergo a government security review or obtain explicit user consent [3].

Pour répondre à ces exigences, collaborez avec des fournisseurs cloud chinois autorisés tels que Alibaba Cloud ou Tencent Cloud. Cela garantit que les données utilisateur restent dans les limites géographiques désignées.

Une fois les exigences de stockage respectées, concentrez-vous sur la mise en œuvre des mesures de sécurité nécessaires détaillées ci-dessous.

Normes de sécurité requises

Le cadre de cybersécurité pour 2025 met l'accent sur l'utilisation de protocoles de chiffrement robustes pour protéger les données utilisateur [1][3]. Les mesures clés incluent :

Pour les développeurs qui gèrent des mises à jour, des plateformes comme Capgo offrent un chiffrement de bout en bout intégré, conforme à ces exigences de sécurité.

Les audits et tests réguliers sont essentiels pour s’assurer que toutes les mesures de sécurité restent efficaces et à jour. [1].

Cybersécurité et protection des données en Chine : conformité, défis et conseils

Exigences techniques de sécurité

Les réglementations chinoises en matière de cybersécurité imposent aux organisations de mettre en place des mesures techniques de sécurité détaillées pour rester conformes. En mars 2025, le Administration du cyberespace de Chine (CAC) a introduit des amendements à la Cybersecurity Law (CSL) qui précisent ces exigences, transformant les obligations légales en pratiques concrètes [1].

Calendrier des scans de sécurité

Les applications mobiles doivent subir des contrôles de sécurité mensuels via des outils d'analyse approuvés par le CAC [1]. Ces évaluations portent sur différents aspects de la sécurité de l'app :

Tous les rapports de scan doivent être stockés et mis à disposition pour les audits réglementaires annuels. De plus, les autorités peuvent exiger un accès immédiat à ces résultats lors des inspections. [1][5].

Contrôle des permissions utilisateur

Le contrôle d'accès basé sur les rôles (RBAC) est une exigence non négociable pour les applications mobiles opérant en Chine [1]. Les développeurs doivent :

• Configurez des niveaux de permission précis selon les rôles des utilisateurs.
• Maintenir des logs détaillés des activités d'accès.
• Revoir et mettre à jour régulièrement les paramètres de permissions afin qu'ils restent adaptés.

Pour les développeurs qui gèrent les mises à jour d’applications, des plateformes comme Capgo proposent des outils intégrés pour gérer efficacement les rôles et permissions des utilisateurs, tout en permettant de déployer rapidement des correctifs de sécurité.

Réponse aux incidents de sécurité

Les organisations doivent notifier à la CAC tout incident de sécurité dans les 12 heures suivant sa détection. Cette notification doit inclure une première évaluation et le détail des mesures de confinement. [1][5].

Un plan de réponse aux incidents complet doit couvrir :

• La détection et le confinement du problème.
• Les stratégies d’investigation et de communication.
• Les notifications aux utilisateurs, le cas échéant.

Après l’incident, documentez la cause racine, les actions correctives et les mises à jour des protocoles de sécurité. Un rapport détaillé doit ensuite être soumis aux autorités de régulation.

« Les dernières modifications de la CSL ont renforcé les contrôles et relevé le montant des sanctions pour s’aligner sur les autres grandes lois de protection des données en Chine, comme la PIPL et la DSL », indique l’Administration du cyberespace de Chine dans ses orientations de mars 2025. [1].

Des exercices de sécurité réguliers et des sessions de formation du personnel sont également requis, avec une documentation complète à disposition pour les inspections réglementaires. [1][2].

Exigences de l'App Store

Lorsqu’il s’agit de publier des applications en Chine, le respect des normes techniques n’est que le début. Les développeurs doivent également se conformer aux réglementations fixées par l’Administration du cyberespace de Chine (CAC) et la Ministère de l'Industrie et des Technologies de l'Information (MIIT) [1].

Processus d'enregistrement auprès du MIIT

Pour s'enregistrer auprès du MIIT, les développeurs doivent préparer les éléments suivants :

• Une licence commerciale ou un certificat d'organisation, accompagné d'une lettre d'autorisation
• Une description détaillée des fonctionnalités de l'app et des pratiques de collecte de données
• La documentation des évaluations de sécurité réseau
• Une évaluation de l'impact sur la protection des informations personnelles

Le processus d'examen standard prend généralement de 7 à 10 jours ouvrés. Cependant, les développeurs étrangers font souvent face à des délais prolongés, jusqu'à 2 ou 3 mois, en raison de l'obligation de passer par une entité locale. Ces étapes s'appuient sur les mesures de protection techniques préalables pour garantir la sécurité des données et la vie privée des utilisateurs.

Exigences de tests de sécurité

En plus de l'enregistrement, les apps doivent subir des tests de sécurité obligatoires. Le Règlement sur la gestion de la sécurité des données réseau, qui entrera en vigueur le 1er janvier 2025, définit des protocoles de test spécifiques selon les catégories d'applications [3]:

• Applications de finance et de santé
  Ces applications nécessitent des tests d'intrusion et des revues de code source réalisées par des organismes approuvés par la CAC. Les développeurs doivent également conserver la documentation de sécurité pendant trois ans.

• Applications sociales et éducatives
  Les tests se concentrent sur l'évaluation des vulnérabilités et la conformité aux normes de protection des données. De plus, les logs d'activité des utilisateurs doivent être conservés pendant au moins 60 jours [4].

• Applications générales
  Ces applications sont soumises à des contrôles de base, incluant les standards de chiffrement et les pratiques de gestion des données. Elles doivent également proposer une vérification de l'identité des utilisateurs via des méthodes approuvées.

Contrôle de conformité SDK

Les développeurs doivent tenir un inventaire détaillé de tous les SDK utilisés dans leurs applications, incluant :

• nom, version et fournisseur de SDK
• Permissions d'accès aux données et emplacements de stockage
• Certificats de sécurité
• Conformité à la loi sur la protection des informations personnelles (PIPL) et à la loi sur la sécurité des données (DSL) [2]

Pour les applications qui reposent sur des mises à jour cloud, des plateformes comme Capgo offrent des outils de contrôle de version et de déploiement de correctifs conformes aux normes chinoises en matière de cybersécurité.

Pour faire respecter la conformité, la CAC a mis en place un système de signalement. Le non-respect peut entraîner le retrait de l’application et des amendes importantes [4].

Gestion des mises à jour

En Chine, la gestion des mises à jour dépasse le simple réglage technique : il s’agit de respecter des réglementations cyberstrictes en constante évolution [1].

Exigences pour les mises à jour OTA

Les mises à jour OTA en Chine doivent respecter un ensemble strict de règles de sécurité et de conformité [1]. Voici ce qui est requis :

• Chiffrement de bout en bout: les paquets de mise à jour doivent être chiffrés lors de la transmission et inclure des signatures numériques pour en confirmer l’authenticité [1].
• Vérification de l'utilisateur: Les mises à jour ne peuvent avoir lieu qu'après le consentement explicite de l'utilisateur, souvent vérifié via la validation du numéro de mobile [4].
• Localisation des données: L'infrastructure utilisée pour livrer les mises à jour aux utilisateurs chinois doit être physiquement située en Chine [2].
• Documentation: Conservez des logs détaillés des mises à jour, incluant le consentement de l'utilisateur, les registres d'accès et les évaluations de sécurité, pendant au moins 60 jours [3].

Pour les correctifs de sécurité critiques, la Cyberspace Administration of China (CAC) exige une réaction rapide. Les entreprises doivent publier immédiatement des notifications de vulnérabilité et accélérer le déploiement des correctifs [1].

Ces exigences sont étroitement liées à un système de gestion des versions bien organisé.

Gestion des versions

Conformément au Network Data Security Management Regulation, qui entrera en vigueur en janvier 2025, les entreprises devront mettre en œuvre des processus de contrôle de version robustes. Voici ce que cela implique :

Les capacités de rollback sont essentielles, car elles permettent de revenir rapidement aux versions précédentes. Ces anciennes versions doivent également être conservées pendant au moins 60 jours. [3].

Lorsqu’elles utilisent des services tiers pour la gestion des versions, les entreprises doivent s’assurer des points suivants : l’enregistrement auprès des autorités chinoises, le déploiement d’infrastructures localisées, une documentation claire des responsabilités et le respect des lois sur la localisation des données [1].

Pour les plateformes gérant des données sensibles, les mises à jour modifiant les méthodes de collecte de données ou les permissions d’accès nécessitent des couches supplémentaires de tests et de validation pour maintenir la conformité réglementaire [4].

Des outils comme Capgo (https://capgo.app) offrent des solutions live update qui incluent le chiffrement, une intégration CI/CD fluide et des fonctionnalités de contrôle de version détaillées.

Le non-respect de ces réglementations peut entraîner des conséquences graves, telles que des amendes pouvant atteindre 5 % du chiffre d’affaires de l’année précédente et le retrait des stores d’applications chinois [2].

Documentation de conformité

Le cadre de cybersécurité chinois accorde une grande importance à une documentation rigoureuse. Avec les amendements de mars 2025, les exigences sont devenues plus strictes et les sanctions en cas de non-conformité ont considérablement augmenté [1].

Audits annuels obligatoires

Les applications doivent faire l'objet d'audits de sécurité approfondis pour garantir leur conformité avec la loi sur la protection des informations personnelles (PIPL), la loi sur la sécurité des données (DSL) et les derniers amendements de la loi sur la cybersécurité (CSL) [1][2]. Voici un aperçu des calendriers d'audit typiques et des exigences de conservation des documents :

Ces audits doivent inclure des documents tels que rapports d’évaluation de sécurité, registres de traitement des données, mécanismes de consentement utilisateur, attestations de politique de confidentialité et plans de réponse aux incidents.

Documentation des flux de données

Lors de transferts de données transfrontaliers, les organisations doivent fournir une documentation détaillée des cartographies de flux de données, mener des évaluations de sécurité, obtenir le consentement explicite des utilisateurs et mettre en œuvre des stratégies d'atténuation des risques. Ces registres doivent être conservés pendant au moins trois ans après la fin de la relation de transfert. [2].

Règles de stockage des logs

Le règlement sur la gestion de la sécurité des données réseau définit des exigences spécifiques pour la rétention des logs [3]. Il s'agit notamment de :

• Logs d'activité du système

  • Détails d'inscription des utilisateurs
  • Horodatages de connexion avec adresses IP
  • Schémas d'utilisation des fonctionnalités
  • Activités de publication de contenu

• Logs de transactions financières

  • Doit être conservé pendant au moins trois ans
  • Inclure les détails complets des transactions
  • Garantir un stockage inviolable

• Logs d'accès administratif

  • Enregistrer les activités des administrateurs système
  • Suivre les événements d'accès aux données
  • Journaliser les modifications et les activités d'export/téléchargement

• Logs généraux

  • Exigence de conservation : minimum 60 jours [4]

Le défaut de maintien de ces logs peut entraîner des pénalités allant jusqu'à 5 % du chiffre d'affaires annuel [1]. De plus, les services de mise à jour automatisés doivent documenter toutes les activités liées aux mises à jour pour démontrer la conformité.

Une documentation adéquate est le fondement de toutes les autres mesures de conformité, y compris la formation du personnel et la planification de la réponse aux incidents.

Formation à la conformité et violations

Plans de réponse aux violations

Les modifications apportées en mars 2025 à la CSL soulignent l'importance de disposer de protocoles détaillés pour traiter les violations [1]. Un plan de réponse solide comprend généralement les phases clés suivantes :

La CAC a également mis en place un système public de signalement, ce qui souligne la nécessité de réponses rapides et bien documentées [4]. Pour soutenir ces efforts, les organisations devraient associer leurs plans de réponse à des programmes de formation approfondis pour garantir la conformité à tous les niveaux.

Exigences de formation du personnel

À partir de janvier 2025, le Network Data Security Management Regulation impose des programmes de formation formels pour s'aligner sur les normes techniques et documentaires [3]. Ces programmes de formation sont essentiels pour rester en conformité avec les dernières exigences réglementaires.

Thèmes de formation annuels obligatoires

• Principes de confidentialité des données et procédures de traitement appropriées
• Mises à jour sur la CSL et la Personal Information Protection Law (PIPL)
• Techniques de codage sécurisé
• Protocoles de réponse aux incidents
• Processus de vérification d’identité utilisateur

Pratiques de documentation

• Conserver les registres de présence, les évaluations et les mises à jour des supports de formation
• S'assurer que la documentation de formation est toujours à jour
• Suivez l'accusé de réception des mises à jour réglementaires

Les organisations doivent également proposer des formations complémentaires lors de changements réglementaires importants, comme les amendements de la CSL prévus pour le 28 mars 2025. [1].

Étapes pratiques pour une formation efficace

• Désigner un responsable de la conformité dédié pour surveiller et appliquer les mises à jour réglementaires
• S'abonner à des services de veille réglementaire et participer à des ateliers sectoriels
• Mener régulièrement des évaluations internes de conformité
• Utiliser un logiciel de gestion de la conformité pour optimiser les processus

Une formation fréquente et structurée garantit non seulement le respect des réglementations, mais permet aussi d'atténuer efficacement les risques de non-conformité.

Conclusion : résumé de la checklist de conformité

Cette checklist met en évidence les domaines essentiels pour se conformer au cadre réglementaire chinois, façonné par ses trois lois fondamentales. Un respect strict, appuyé par les bons outils, est indispensable pour s'aligner sur les derniers amendements.

Le Règlement sur la gestion de la sécurité des données réseau, entrée en vigueur le 1er janvier 2025, impose des mesures de conformité plus strictes [3]. Pour répondre à ces exigences tout en garantissant des mises à jour fluides, les développeurs peuvent s’appuyer sur des outils comme Capgo, qui propose des mises à jour OTA chiffrées de bout en bout, adaptées au marché chinois.

Voici quelques étapes clés pour rester en conformité :

• Suivez les évolutions réglementaires et mettez à jour les protocoles internes au besoin.
• Documentez soigneusement toutes les mesures de sécurité et les pratiques de traitement des données.
• Réalisez des évaluations de sécurité régulières et formez le personnel aux protocoles de conformité.
• Mettez en place des systèmes de réponse aux incidents robustes pour traiter les menaces potentielles.

Le non-respect de ces règles peut entraîner des sanctions allant d’avertissements formels au retrait des applications des stores chinois [4].

FAQ

::: FAQ

Quelles étapes les développeurs doivent-ils suivre pour garantir la conformité de leurs applications mobiles aux réglementations de cybersécurité en Chine en 2025 ?

Pour s’aligner sur les réglementations chinoises en matière de cybersécurité prévues pour 2025, les développeurs doivent donner la priorité au respect des normes légales les plus récentes et s’assurer que leurs applications répondent aux exigences strictes de protection des données. Voici les principaux points d’attention :

• Stockage et transmission sécurisés des données: Utilisez le chiffrement pour protéger les données sensibles des utilisateurs, au repos comme en transit, afin de bloquer tout accès non autorisé.
• Localisation des données: Si nécessaire, conservez les données utilisateurs en Chine pour respecter les lois locales sur le stockage des données.
• Consentement des utilisateurs et transparence: Expliquez clairement comment les données utilisateurs sont collectées, utilisées et partagées. Veillez à obtenir le consentement explicite des utilisateurs lorsque nécessaire.
• Évaluations de sécurité régulières: Effectuez des audits et scans de vulnérabilités réguliers pour détecter et résoudre les failles potentielles.

Capgo aide les développeurs à atteindre la conformité en fournissant chiffrement de bout en bout et mises à jour en temps réel pour les applications Capacitor. Cela garantit que les mises à jour, qu’il s’agisse de correctifs ou de nouvelles fonctionnalités, sont déployées instantanément sans attendre l’approbation des stores – ce qui permet de maintenir votre application sécurisée et conforme en toute simplicité. :::

::: FAQ

What steps can developers take to securely store and transmit user data while complying with China’s cybersecurity regulations?

To align with China’s cybersecurity regulations, developers must focus on the stockage et la transmission sécurisés des données des utilisateurs. Voici comment y parvenir :

• Utiliser des normes de chiffrement robustes pour sécuriser les données sensibles, aussi bien au repos qu’en transit.
• Utilisez des protocoles de communication sécurisés comme HTTPS et TLS pour protéger les données lors de leur transfert.
• Surveillez et mettez à jour en continu les mesures de sécurité pour contrer les vulnérabilités et menaces émergentes.
• Se conformer aux réglementations chinoises Loi sur la protection des informations personnelles (PIPL) et Loi sur la cybersécurité, y compris l’obligation de stocker les données sur des serveurs situés en Chine le cas échéant.

Des plateformes comme Capgo peuvent simplifier la mise en conformité en proposant des mises à jour en temps réel. Cela permet aux applications de rester sécurisées et à jour sans nécessiter d’approbation des stores. De plus, le chiffrement de bout en bout de Capgo renforce la protection des données, ce qui facilite le respect des exigences réglementaires. :::

::: FAQ

Quels sont les risques liés au non-respect des réglementations de cybersécurité en Chine, et comment les entreprises peuvent-elles y remédier ?

Le non-respect des réglementations chinoises en matière de cybersécurité peut entraîner de graves conséquences, telles que de lourdes amendes, le retrait des applications des stores, fuites de données, voire des poursuites judiciaires. Au-delà de cela, le non-respect des normes peut gravement nuire à la réputation d’une entreprise, rendant difficile le maintien d’une position sur le marché chinois.

Pour réduire ces risques, les entreprises doivent s’assurer que leurs applications sont conformes à toutes les normes réglementaires. Cela implique de respecter règles de localisation des données, l’obtention du consentement des utilisateurs pour la collecte de données, et la réalisation d’ évaluations de sécurité rigoureuses. Des outils comme Capgo peuvent simplifier le processus en aidant les développeurs à déployer des mises à jour et des correctifs efficacement, garantissant la conformité sans perturber le fonctionnement de l’application. Rester à jour sur les évolutions réglementaires et y répondre de manière proactive est essentiel pour éviter les pénalités et assurer un succès durable en Chine. :::

Continuer avec la checklist de conformité en cybersécurité en Chine

Si vous utilisez Checklist de conformité cybersécurité en Chine pour planifier la sécurité et la conformité, connectez-l’à Chiffrement pour les détails d'implémentation du chiffrement, Conformité pour les détails d'implémentation de la conformité, Scanner de sécurité Capgo pour le workflow produit dans Capgo Security Scanner, Capgo et la sécurité pour le workflow produit dans Capgo Security, et Capgo Centre de confiance pour le workflow produit dans Capgo Trust Center.