2026年1月1日，中国修改后的《网络安全法》（CSL）正式施行，标志着这一基础性法律自2017年以来的首次重大修订。随着处罚力度提升十倍以及新增人工智能治理规定，在华开展业务或处理中国数据的阿联酋企业面临重大合规挑战。本文将深入解析主要修订内容以及阿联酋企业当前必须采取的行动。
网络安全监管环境日趋严格
全国人民代表大会常务委员会于2025年10月28日通过了《网络安全法》修正案。这些变化代表着监管方式的根本转变——从以往的“先警告后整改”转向对网络安全违法行为立即予以严厉处罚。
处罚力度大幅提升
具体数据直观反映了这一变化：
原最高罚款金额：500,000元人民币（约合70,000美元）
新最高罚款金额:
- 后果严重 （大规模数据泄露、关键信息基础设施部分功能丧失）：2,000,000元人民币（约合280,000美元）
- 后果特别严重：10,000,000元人民币（约合1,400,000美元）
处罚上限提高了十倍。直接负责的主管人员个人现面临最高达1,000,000元人民币的罚款，且处罚对象已从高级管理人员扩大至“其他直接责任人员”——这意味着技术与运营负责人现均面临个人追责风险。
不再先行警告
在旧版规定下，监管机构在实施罚款之前须先予以警告并责令整改。这一缓冲机制已不复存在。修改后的《网络安全法》允许对违法行为直接予以处罚，大幅提高了合规风险与违法成本。
新增人工智能治理条款
人工智能治理首次被正式写入中国网络安全基础性法律，将其从行政规章层面提升至国家法律层面。
修正案明确规定国家将：
- 支持人工智能创新
- 推进训练数据资源建设与算力基础设施建设
- 加强人工智能伦理规范治理
- 提升人工智能安全风险防范与治理能力
这标志着中国致力于借助人工智能技术增强网络安全保障能力，同时严格规范人工智能安全风险——这一双轨治理路径需要企业审慎应对。
数据出境规则进一步收紧
自2026年1月1日起，中国完善了《个人信息保护法》（PIPL）项下的个人信息出境监管体系。国家互联网信息办公室（CAC）与国家市场监督管理总局（SAMR）联合公布了《个人信息出境认证管理办法》。
三条合规路径
自中国境内向境外传输个人信息的企业现可通过以下三种机制进行合规申报：
- 国家网信部门组织的安全评估：适用于关键信息基础设施运营者或处理大量个人信息的处理者
- 标准合同（SCC）：适用于符合特定条件的企业
- 个人信息保护认证：新落地的第三条路径，为企业合规提供了另一项可行选择
对阿联酋企业的具体影响
在华开展运营、拥有中国客户或在华雇佣员工的阿联酋企业，必须评估其跨境数据流动适用何种机制。这涵盖：
- 中国雇员的人力资源数据
- 来自中国市场的客户信息
- 在中国境内处理但在境外存储的业务数据
- 涉及中国境内居民的分析或营销数据
“重要数据”：合规难点依旧
“重要数据”的识别对众多企业而言仍是难点。尽管国家层面法律作出了原则性规定，但各行业主管部门正在陆续出台具体行业指引以明确界定标准。
近期具体指引
工业和信息化部（MIIT）发布了《工业领域重要数据识别指南》（自2025年4月1日起施行），明确将以下数据界定为重要数据：
- 重点工业敏感数据：钢铁、有色金属、石化等行业企业的数据
- 高新技术数据：高端医疗装备、集成电路、电子元器件的设计研发数据
- 规模化个人信息：10,000,000人以上的个人信息或100,000人以上的敏感个人信息
部分地方工信部门已启动试点项目，要求重点企业开展数据分类分级、实施自主评估并报送重要数据目录以供审核备案。
从轻减轻处罚机制：合规救济途径
修正案与中国《行政处罚法》相衔接，引入了从轻、减轻或不予处罚机制。当事人具有下列情形之一的，监管机构可依法从轻、减轻或不予处罚：
- 主动消除或者减轻违法行为危害后果的
- 主动供述行政机关尚未掌握的违法行为的
- 配合行政机关查处违法行为有立功表现的
- 受他人胁迫或者诱骗实施违法行为的
- 法律、行政法规规定的其他情形
这并不等同于豁免，但表明有据可查、留痕详尽的合规工作至关重要。能够迅速采取补救措施并保有完整审计轨迹的企业，在争取减轻处罚时将占据更为有利的地位。
阿联酋企业实操建议
即刻行动（若尚未开展）
1. 合规审计
对照新《网络安全法》（CSL）要求，对在华业务进行全面审查：
- 数据分类分级与资产梳理
- 跨境数据流动路径梳理
- 网络安全基础设施评估
- 人工智能（AI）系统合规审查（如适用）
2. 任命责任人员
明确指定网络数据安全负责人并设立数据安全管理机构。以正式文件形式记录上述任命。
3. 审查供应商关系
修订后的《网络安全法》进一步明确了关键网络设备和网络安全产品供应商及采购者的义务。请审查您的技术供应链是否存在合规差距。
4. 建立事件应急响应预案
鉴于域外管辖条款允许中国对危害境内网络的境外主体追究法律责任，请确保制定有效的事态遏制预案，并在法律层面做好应对潜在跨境执法的准备。
中期战略行动
5. 人工智能系统合规（如适用）
在产品、服务或内部运营中部署人工智能的机构应当：
- 对照《网络安全法》的政策导向及现行人工智能监管框架梳理相关业务活动
- 根据具体应用场景部署相适应的技术安全防护措施
- 确保人工智能系统本身符合安全与合规标准
6. 培训项目
强化问责机制并深化合规培训实践。鉴于法律责任已扩大至“其他直接责任人员”，技术和运营主管均须接受合规培训。
7. 保险与法律筹备
评估覆盖在华业务的网络安全保险方案。聘请深谙中国网络安全法律的专业顾问。
8. 定期风险评估
切勿将合规视作一次性任务。应定期开展风险评估，尤其是在：
- 在中国推出新产品或服务时
- 扩大数据处理活动时
- 部署新的人工智能系统时
- 跨境数据流动发生变更时
宏观视野：中国数据治理生态体系
修订后的《网络安全法》坐落于更广泛的数据法律体系之中：
- 《数据安全法》（DSL） （2021年生效）：数据分类分级要求、风险评估及重要数据相关规则
- 《个人信息保护法》（PIPL） （2021年生效）：中国全面的数据隐私法律框架，可与欧盟的GDPR相媲美
- 《网络数据安全管理条例》 （2025年1月1日起施行）：贯彻实施《网络安全法》、《数据安全法》和《个人信息保护法》的行政法规
该生态体系现已构建完备，具备成熟的执法条件。鉴于各项合规要求更加清晰严密，中国监管机构已明确释放出将依法从严执法的信号。
行业特定考量
对于科技企业
从中国采购零部件或技术，或面向中国市场销售的阿联酋科技企业，面临以下领域的重点审查：
- 产品安全认证
- 供应链网络安全
- 客户数据保护
金融服务领域
银行和金融科技公司必须重点关注：
- 跨境支付数据
- 涉及中国公民的KYC/AML数据
- 金融交易记录
医疗保健与生命科学领域
医疗器械公司和医疗服务机构应着重关注：
- 患者数据保护
- 临床试验数据
- 医疗器械设计数据（归类为重要数据）
工业与制造业领域
工业领域的企业必须考量：
- 工业控制系统安全
- 供应链数据
- 产品设计与知识产权
展望未来
修订后的《网络安全法》（CSL）体现了中国在支持技术创新的同时，致力于成为网络安全治理引领者的决心。对于阿联酋企业而言，这既带来了挑战，也创造了机遇。
挑战：合规成本将会增加。企业必须在系统、人员和流程方面加大投入，以满足新标准的要求。
机遇：展现出健全网络安全实践的企业将在中国市场占据更有利的地位。随着中国高度重视数据安全与人工智能治理，拥有完备合规框架的企业将具备竞争优势。
结语
中国修订后的《网络安全法》将于 2026 年 1 月 1 日起施行，标志着数据治理步入新纪元。伴随罚款金额提高十倍、个人责任范围扩大、新增人工智能相关条款以及跨境数据传输框架的完善，合规格局已发生根本性转变。
阿联酋企业绝不能采取观望态度。无论您是拥有中国子公司的跨国企业、服务中国客户的公司，还是正在探索进入中国市场的企业，深入理解并贯彻落实这些要求现已成为不可或缺的商业要务。
关键在于主动合规。将此视为战略要务并在适当的系统、人员、培训和流程上进行投资的企业，不仅能够规避处罚，更将在这个全球最具活力的市场之一占据长期发展的制高点。
