Als eine der vier Kernstädte der Greater Bay Area spielt Macau (China) mit der starken Unterstützung Chinas eine Schlüsselrolle beim Aufbau des Innovationskorridors für Wissenschaft und Technologie Guangzhou-Zhuhai-Macau. Als zentrales Bindeglied, das die industrielle Diversifizierung der Stadt mit der nationalen Dual-Circulation-Wirtschaftsstrategie verbindet, ist die Investition in die Technologiebranche zu einem allgemeinen Konsens geworden. Im Zeichen des Aufbaus von Macau (China) zu einer Smart City sind zahlreiche Digitalisierungsstrategien und intelligente Infrastrukturen entstanden, die intelligente Behördendienste, intelligente Verkehrssysteme, intelligenten Tourismus und intelligente Gesundheitsversorgung abdecken. Bei der Förderung der digitalen Innovation hat der Aufbau intelligenter städtischer Infrastrukturen oberste Priorität.

Zum Schutz der Cybersicherheit und personenbezogener Daten arbeitet das Amt für den Schutz personenbezogener Daten (GPDP) unabhängig unter der Aufsicht des Regierungschefs, um die Einhaltung des Gesetzes zum Schutz personenbezogener Daten sowie die Umsetzung der geltenden Vertraulichkeits- und Aufsichtsvorschriften zu überwachen und zu koordinieren. Darüber hinaus restrukturiert die GPDP den regulatorischen Rahmen, um technologische Innovationen zu fördern und Innovationen in der Branche voranzutreiben.

Aufsichtsbehörden:
Gemäß dem Cybersicherheitsgesetz von Macau (China) (Nr. 13/2019, MCSL) umfassen die Aufsichtsbehörden öffentliche Verwaltungsstellen, die folgende Aufgaben wahrnehmen: (1) Sicherstellung der Erfüllung der Pflichten nach diesem Gesetz und der technischen Spezifikationen; (2) Überwachung der cybersicherheitsrelevanten Pläne und Maßnahmen der Betreiber kritischer Infrastrukturen; und (3) Ausübung der in diesem Gesetz geregelten Sanktionsbefugnisse. Konkret ist die Justizpolizei für die allgemeine Verwaltung und Aufsicht des Warn- und Reaktionszentrums für Cybersicherheitsvorfälle (CARIC) zuständig; das Amt für öffentliche Verwaltung und den öffentlichen Dienst (SAFP) beaufsichtigt die Betreiber öffentlicher kritischer Infrastrukturen; und private Betreiber kritischer Infrastrukturen werden von auf Grundlage administrativer Verordnungen eingerichteten öffentlichen Stellen beaufsichtigt.
Das Amt für den Schutz personenbezogener Daten (GPDP) ist für die Aufsicht über den Datenschutz in Macau (China) zuständig.

Allgemeine Sicherheitsgesetze:
Um das Cybersicherheitssystem in der Sonderverwaltungsregion Macau (China) besser zu regulieren, hat die Regierung der Sonderverwaltungsregion Macau (China) am 24. Juni 2019 das Cybersicherheitsgesetz von Macau (China) (MCSL) erlassen, mit dem Ziel, die Cybersicherheit, Systemsicherheit und Datensicherheit der Betreiber kritischer Infrastrukturen zu gewährleisten. Das MCSL gilt für öffentliche und private Betreiber kritischer Infrastrukturen.
Das Cybersicherheitssystem der Sonderverwaltungsregion Macau (China) umfasst folgende Einrichtungen:
1. Kommission für Cybersicherheit
2. Warn- und Reaktionszentrum für Cybersicherheitsvorfälle (CARIC)
3. Aufsichtsbehörden für Cybersicherheit
Das MCSL legt die Pflichten der Betreiber kritischer Infrastrukturen und Internetdienstanbieter sowie die Sanktionen bei Nichteinhaltung fest.

Allgemeine Datenschutzgesetze:
Das Gesetz zum Schutz personenbezogener Daten (Nr. 8/2005, PDPA) regelt die Erhebung, Verarbeitung und grenzüberschreitende Übermittlung personenbezogener Daten in der Sonderverwaltungsregion Macau (China).

Anforderungen an die grenzüberschreitende Datenübertragung:
Kapitel 5 „Übermittlung personenbezogener Daten außerhalb der MSAR“ des PDPA enthält Vorschriften zur grenzüberschreitenden Übermittlung personenbezogener Daten. In allen Fällen, in denen personenbezogene Daten einer natürlichen Person, die in Macau (China) erhoben wurden, grenzüberschreitend übermittelt werden, müssen die für die Verarbeitung verantwortlichen Stellen das Rechts- und Regulierungsumfeld der Zielländer prüfen, um sicherzustellen, dass die übermittelten personenbezogenen Daten angemessen geschützt sind. Derzeit ist kein Land oder Gebiet auf der Whitelist für Datenübertragungen verzeichnet. Wenn die übermittelten personenbezogenen Daten sensible Informationen einer Person betreffen, muss die Übermittlung von der GPDP genehmigt werden. Andernfalls dürfen die Daten entweder mit ausdrücklicher Einwilligung der betroffenen Person oder nach Benachrichtigung der PDPA unter den fünf in Artikel 20 des PDPA definierten Umständen übermittelt werden.

Übersicht:
Alibaba Cloud bietet ein hohes Maß an Flexibilität bei der Gestaltung und Implementierung von IT-Architekturen in der Cloud. Darüber hinaus stellt Alibaba Cloud Public Cloud, Private Cloud und Hybrid Cloud bereit, um Unternehmen bei der digitalen Transformation zu unterstützen. Mit einer durchdachten Lösungsarchitektur kann die Cloud-Bereitstellung dem Finanzdienstleistungssektor helfen, regulatorische Anforderungen an Sicherheit, Verfügbarkeit, Vertraulichkeit und Leistungsfähigkeit zu erfüllen. Alibaba Cloud hat Kunden aus dem Finanzsektor dabei unterstützt, ihre Geschäftseffizienz und Benutzererfahrung zu verbessern, den Aufwand für Sicherheitscompliance zu verringern und IT-Risiken im Rahmen der digitalen Transformation zu steuern.

Alibaba Cloud engagiert sich dafür, Kunden bei der Einhaltung finanzbranchenspezifischer Regulierungsanforderungen zu unterstützen – von der anfänglichen Due-Diligence-Prüfung und Risikobewertung über die Registrierung regulatorischer Maßnahmen, Lösungsdesign und Cloud-Migration bis hin zur kontinuierlichen Überwachung der Sicherheitscompliance in der Cloud. Alibaba Cloud bietet ein umfassendes Portfolio an Diensten und bewährten Verfahren, um Kunden beim Design und der Implementierung von Lösungen für Sicherheits- und Datenschutzcompliance zu unterstützen.

Aufsichtsbehörde:
Die Währungsbehörde von Macau (AMCM) stabilisiert das Finanzsystem der Sonderverwaltungsregion Macau (China), vereinheitlicht die Vorschriften für den Geld-, Finanz-, Devisen- und Versicherungsmarkt und leitet, koordiniert und überwacht diese Märkte, um deren ordnungsgemäßen Betrieb sicherzustellen. Darüber hinaus beaufsichtigt die AMCM die Betreiber dieser Märkte.

Relevante Vorschriften und Leitlinien für die Nutzung von Cloud-Computing-Diensten:
Die AMCM hat eine Reihe von Rundschreiben und Leitlinien veröffentlicht, in denen ihre aktuellen Aufsichtspolitiken, Anforderungen und Empfehlungen dargelegt werden, die lizenzierte Finanzinstitute (LFIs) bei der Verwaltung von Technologie-Outsourcing-Aktivitäten befolgen sollen.
- Leitlinie zum Outsourcing
- Business-Continuity-Management
- Meldeverfahren für Großnotfälle

Ist Cloud-Nutzung erlaubt?
Ja.

Ist für die Cloud-Einführung eine zusätzliche Genehmigung erforderlich?
Die AMCM gestattet lizenzierten Finanzinstituten (LFIs) die Nutzung von Cloud-Diensten. LFIs müssen die AMCM konsultieren, bevor sie eine Vereinbarung über das Outsourcing wichtiger Geschäftsaktivitäten oder -funktionen unterzeichnen, und innerhalb von 30 Tagen nach Vertragsunterzeichnung die AMCM benachrichtigen sowie die Outsourcing-Risiken weiterhin verwalten und überwachen. LFIs müssen ihre Outsourcing-Pläne für wichtige Geschäftsaktivitäten oder -funktionen im Voraus mit der AMCM erörtern und sicherstellen, dass diese vollständig mit der Leitlinie zum Outsourcing übereinstimmen. Die bei der AMCM eingereichten Outsourcing-Pläne sollten grundsätzlich Folgendes umfassen: (i) Details der ausgelagerten Aktivitäten oder Funktionen; (ii) Gründe für das Outsourcing; (iii) Angaben zu den Dienstleistern; und (iv) eine Beschreibung der Maßnahmen, die das LFI ergriffen hat, um die Aufsicht und Überwachung der ausgelagerten Aktivitäten oder Funktionen sicherzustellen. Die AMCM kann LFIs gegebenenfalls auffordern, ergänzende Unterlagen vorzulegen.

Sind Outsourcing-Vereinbarungen ins Ausland zulässig?
Die AMCM gestattet Outsourcing-Vereinbarungen mit Dienstleistern außerhalb von Macau (China). LFIs sollten umfassende Risikomanagementrahmen mit ausreichenden Kontrollmechanismen einrichten, um relevante Risiken zu steuern, und sich mit Länderrisiken, Informationsvertraulichkeit sowie dem Prüfungs- und Datenzugangsrecht der AMCM befassen. LFIs sind außerdem gemäß den Bestimmungen des PDPA zur grenzüberschreitenden Datenübertragung verpflichtet, die ausdrückliche Zustimmung der Kunden einzuholen und ihrer Meldepflicht gegenüber der GPDP nachzukommen.