Vietnam hat einen bedeutenden Schritt zur St\u00e4rkung seiner regulatorischen Architektur im Bereich der Cybersicherheit unternommen.<\/p>\n\n\n\n
Am 19. August 2026 hat die Regierung drei neue Dekrete erlassen, die die Verpflichtungen f\u00fcr Unternehmen in Vietnam erheblich erweitern:<\/p>\n\n\n\n
Alle drei Dekrete traten unmittelbar am 19. August 2026 in Kraft.<\/p>\n\n\n\n
F\u00fcr ausl\u00e4ndische Investoren und Unternehmen mit ausl\u00e4ndischer Beteiligung (\u201eForeign-Invested Enterprises\u201c oder FIEs<\/strong>) ist dieser neue Rechtsrahmen von erheblicher Bedeutung. Er f\u00fchrt klarere Anforderungen an die Klassifizierung von Informationssystemen, Lizenzierungsvorschriften f\u00fcr Cybersicherheitsunternehmen, erweiterte betriebliche Pflichten sowie detaillierte Anforderungen zur Datenlokalisierung ein.<\/p>\n\n\n\n Die Botschaft ist eindeutig: Die Einhaltung der Cybersicherheitsvorschriften in Vietnam wird zunehmend zu einer zentralen Voraussetzung f\u00fcr den Marktzugang und den Gesch\u00e4ftsbetrieb und ist nicht mehr lediglich eine IT-Frage.<\/p>\n\n\n\n 1. Ein f\u00fcnfstufiges Klassifizierungssystem f\u00fcr Cybersicherheit<\/strong><\/p>\n\n\n\n Dekret 331 f\u00fchrt in Vietnam ein f\u00fcnfstufiges Klassifizierungssystem f\u00fcr Informationssysteme ein.<\/p>\n\n\n\n Das Regime gilt unmittelbar f\u00fcr Organisationen, die Informationssysteme errichten, verwalten, betreiben oder modernisieren, welche der IT-Infrastruktur staatlicher Einrichtungen oder der Erbringung digitaler \u00f6ffentlicher Dienstleistungen dienen. Andere Organisationen werden dazu angehalten, dieselben Standards freiwillig anzuwenden. Der Rahmen kann zudem relevant werden, wenn staatliche Auftraggeber entsprechende vertragliche Verpflichtungen gegen\u00fcber Dienstleistern des privaten Sektors vorsehen.<\/p>\n\n\n\n Das Klassifizierungssystem reicht von Stufe 1<\/strong>, die interne Systeme mit geringem Risiko umfasst, welche ausschlie\u00dflich \u00f6ffentliche Informationen verarbeiten, bis hin zu Stufe 5<\/strong>, die strategische Verteidigungs- und nationale Sicherheitssysteme, zentrale nationale Datenspeicher, internationale Verbindungsinfrastrukturen sowie besonders sensible industrielle Steuerungssysteme umfasst.<\/p>\n\n\n\n Je h\u00f6her die Klassifizierungsstufe, desto strenger die Anforderungen.<\/p>\n\n\n\n Mindestens m\u00fcssen Organisationen \u00fcber folgende Elemente verf\u00fcgen:<\/p>\n\n\n\n F\u00fcr Systeme der Stufen 3 und 4 m\u00fcssen Cloud- und Rechenzentrumsumgebungen logisch voneinander getrennt sein.<\/p>\n\n\n\n F\u00fcr Systeme der Stufe 5 ist eine physische Trennung von Systemen, Speichern und zentralen Netzwerkkomponenten erforderlich, erg\u00e4nzt durch eine verpflichtende unabh\u00e4ngige Bewertung durch lizenzierte Pr\u00fcfer.<\/p>\n\n\n\n Auch die Meldepflichten bei Sicherheitsvorf\u00e4llen sind von erheblicher Bedeutung. Schwerwiegende Vorf\u00e4lle m\u00fcssen grunds\u00e4tzlich innerhalb von 24 Stunden gemeldet werden, gefolgt von einem vollst\u00e4ndigen Bericht innerhalb von 72 Stunden. Vorf\u00e4lle mit Auswirkungen auf die nationale Sicherheit sind unverz\u00fcglich anzuzeigen.<\/p>\n\n\n\n F\u00fcr FIEs, die Cloud-, Rechenzentrums-, Managed-Service- oder Infrastrukturleistungen erbringen, k\u00f6nnen diese Anforderungen insbesondere dann relevant werden, wenn Dienstleistungen f\u00fcr staatliche Stellen oder Betreiber kritischer Infrastruktur erbracht werden.<\/p>\n\n\n\n 2. Cybersicherheitsprodukte und -dienstleistungen werden zu einem lizenzpflichtigen Gesch\u00e4ftsbereich<\/strong><\/p>\n\n\n\n Dekret 332 f\u00fchrt ein formelles Lizenzierungssystem f\u00fcr Unternehmen ein, die in Vietnam Gesch\u00e4fte mit Cybersicherheitsprodukten und Cybersicherheitsdienstleistungen betreiben. Die zivile Kryptografie ist hiervon ausgenommen.<\/p>\n\n\n\n Erforderlich ist eine Cybersicherheitsgesch\u00e4ftslizenz des Ministeriums f\u00fcr \u00f6ffentliche Sicherheit (Ministry of Public Security \u2013 MPS<\/strong>), die f\u00fcr zehn Jahre g\u00fcltig ist.<\/p>\n\n\n\n Zu den allgemeinen Lizenzierungsvoraussetzungen geh\u00f6ren:<\/p>\n\n\n\n F\u00fcr Unternehmen mit ausl\u00e4ndischer Beteiligung besteht eine besonders wichtige Voraussetzung darin, dass die verbleibende Laufzeit des Investitionsprojekts in Vietnam zum Zeitpunkt der Lizenzerteilung mehr als f\u00fcnf Jahre betragen muss.<\/p>\n\n\n\n F\u00fcr bestimmte T\u00e4tigkeiten im Bereich Cybersicherheit gelten zus\u00e4tzliche Anforderungen.<\/p>\n\n\n\n Cybersicherheitspr\u00fcfungen und Beratung<\/strong><\/p>\n\n\n\n Anbieter m\u00fcssen \u00fcber mindestens f\u00fcnf qualifizierte technische Fachkr\u00e4fte verf\u00fcgen, die ihren Wohnsitz in Vietnam haben. Dar\u00fcber hinaus muss der gesetzliche Vertreter vietnamesischer Staatsb\u00fcrger sein.<\/p>\n\n\n\n Cybersicherheits-Monitoringdienste<\/strong><\/p>\n\n\n\n Anbieter m\u00fcssen mindestens zw\u00f6lf qualifizierte technische Fachkr\u00e4fte besch\u00e4ftigen. Auch hier muss der gesetzliche Vertreter vietnamesischer Staatsangeh\u00f6riger sein.<\/p>\n\n\n\n Herstellung, Handel, Import und Export von Cybersicherheitsprodukten<\/strong><\/p>\n\n\n\n Unternehmen m\u00fcssen geeignete Gesch\u00e4fts- und Technologiepl\u00e4ne vorhalten, die einschl\u00e4gigen technischen Standards erf\u00fcllen, Qualit\u00e4tskontrollma\u00dfnahmen umsetzen und Dokumentationen \u00fcber die Endverwendung der betreffenden Produkte f\u00fchren.<\/p>\n\n\n\n Import- und Exportgesch\u00e4fte unterliegen zus\u00e4tzlich einer produktbezogenen Genehmigung des MPS, die jeweils zwei Jahre g\u00fcltig ist.<\/p>\n\n\n\n Antr\u00e4ge sind in vietnamesischer Sprache einzureichen. Nach Einreichung vollst\u00e4ndiger Unterlagen betr\u00e4gt die gesetzliche Pr\u00fcfungsfrist 28 Arbeitstage.<\/p>\n\n\n\n Lizenzierte Unternehmen m\u00fcssen ferner bis zum 31. Januar eines jeden Jahres einen j\u00e4hrlichen Compliance-Bericht beim MPS einreichen.<\/p>\n\n\n\n F\u00fcr internationale Cybersicherheitsunternehmen, die einen Markteintritt in Vietnam erw\u00e4gen, sollten diese Anforderungen nunmehr Bestandteil der anf\u00e4nglichen Investitions- und Strukturierungsanalyse sein.<\/p>\n\n\n\n 3. Datenlokalisierung: Ein entscheidender Unterschied zwischen FIEs und Offshore-Anbietern<\/strong><\/p>\n\n\n\n Dekret 333 enth\u00e4lt detailliertere Regelungen zu den Anforderungen an die Datenlokalisierung und die lokale Pr\u00e4senz nach dem vietnamesischen Cybersicherheitsgesetz.<\/p>\n\n\n\n Die Vorschriften unterscheiden sich wesentlich danach, ob ein Unternehmen in Vietnam gegr\u00fcndet wurde oder seine Dienstleistungen grenz\u00fcberschreitend aus dem Ausland erbringt.<\/p>\n\n\n\n In Vietnam gegr\u00fcndete Unternehmen, einschlie\u00dflich FIEs<\/strong><\/p>\n\n\n\n In Vietnam gegr\u00fcndete Unternehmen unterliegen einer automatischen Pflicht zur lokalen Speicherung bestimmter Datenkategorien, die sich auf Nutzer in Vietnam beziehen.<\/p>\n\n\n\n Hierzu geh\u00f6ren insbesondere:<\/p>\n\n\n\n F\u00fcr in Vietnam gegr\u00fcndete FIEs stellt sich daher nicht mehr die Frage, ob k\u00fcnftig Lokalisierungspflichten eingef\u00fchrt werden k\u00f6nnten, sondern vielmehr, ob ihre bestehende Datenarchitektur diesen Anforderungen bereits entspricht.<\/p>\n\n\n\n Dies kann Unternehmen dazu veranlassen, ihre Cloud-Architektur, Serverstandorte, Lieferanten- und Dienstleisterbeziehungen, konzerninterne Datenfl\u00fcsse sowie Outsourcing-Vereinbarungen zu \u00fcberpr\u00fcfen.<\/p>\n\n\n\n Ausl\u00e4ndische Offshore-Unternehmen<\/strong><\/p>\n\n\n\n F\u00fcr Offshore-Dienstleister gilt die Verpflichtung nicht automatisch, sondern nur unter bestimmten Voraussetzungen.<\/p>\n\n\n\n Zu den betroffenen Branchen geh\u00f6ren unter anderem:<\/p>\n\n\n\n Ein Offshore-Dienstleister unterliegt den Anforderungen zur Datenlokalisierung und lokalen Pr\u00e4senz nur dann, wenn s\u00e4mtliche drei nachstehenden Voraussetzungen kumulativ erf\u00fcllt sind:<\/p>\n\n\n\n Sind diese Voraussetzungen erf\u00fcllt, kann der Minister f\u00fcr \u00f6ffentliche Sicherheit eine formelle Anordnung erlassen, wonach das betreffende Unternehmen Daten in Vietnam speichern und eine Niederlassung oder Repr\u00e4sentanz in Vietnam errichten muss.<\/p>\n\n\n\n Das Unternehmen hat anschlie\u00dfend zw\u00f6lf Monate Zeit, diesen Anforderungen nachzukommen.<\/p>\n\n\n\n Die Mindestaufbewahrungsfrist f\u00fcr die betreffenden Daten betr\u00e4gt grunds\u00e4tzlich 24 Monate ab dem Datum der Speicherungsanordnung beziehungsweise solange die Anordnung in Kraft bleibt.<\/p>\n\n\n\n F\u00fcr Ermittlungszwecke erforderliche Systemprotokolle m\u00fcssen mindestens zw\u00f6lf Monate aufbewahrt werden. Gleiches gilt f\u00fcr Protokolle \u00fcber die Zuweisung von IP-Adressen im Telekommunikations- und Internetbereich, die vollst\u00e4ndig, fortlaufend und sicher gespeichert werden m\u00fcssen.<\/p>\n\n\n\n 4. Was ausl\u00e4ndische Investoren und FIEs jetzt tun sollten<\/strong><\/p>\n\n\n\n Der neue Rechtsrahmen sollte Anlass f\u00fcr eine sofortige \u00dcberpr\u00fcfung der Cybersicherheits-Compliance geben.<\/p>\n\n\n\n Ausl\u00e4ndische Investoren und FIEs sollten insbesondere die folgenden Ma\u00dfnahmen in Betracht ziehen.<\/p>\n\n\n\n Pr\u00fcfung der Betroffenheit durch die Systemklassifizierung<\/strong><\/p>\n\n\n\n Es sollte festgestellt werden, ob von dem Unternehmen entwickelte, verwaltete oder betriebene Systeme in den verpflichtenden Anwendungsbereich von Dekret 331 fallen oder durch Vertr\u00e4ge mit staatlichen Auftraggebern beziehungsweise Betreibern kritischer Infrastrukturen vergleichbaren Anforderungen unterliegen k\u00f6nnten.<\/p>\n\n\n\n \u00dcberpr\u00fcfung der Lizenzanforderungen im Bereich Cybersicherheit<\/strong><\/p>\n\n\n\n Unternehmen, die Cybersicherheitsprodukte oder -dienstleistungen anbieten, sollten unverz\u00fcglich pr\u00fcfen, ob eine MPS-Lizenz erforderlich ist und ob ihre derzeitige Unternehmensstruktur, Personalausstattung und Projektlaufzeit die entsprechenden Lizenzvoraussetzungen erf\u00fcllen.<\/p>\n\n\n\n \u00dcberpr\u00fcfung von Governance und Personalstruktur<\/strong><\/p>\n\n\n\n Unternehmen, die Dienstleistungen im Bereich Cybersicherheitspr\u00fcfung, -beratung oder -\u00fcberwachung anbieten, sollten sicherstellen, dass sie die Anforderungen hinsichtlich eines vietnamesischen gesetzlichen Vertreters sowie die geltenden Mindestanforderungen an das Fachpersonal erf\u00fcllen.<\/p>\n\n\n\n Pr\u00fcfung der Datenarchitektur<\/strong><\/p>\n\n\n\n In Vietnam gegr\u00fcndete FIEs sollten sicherstellen, dass die vorgeschriebenen Kategorien von Nutzerdaten vietnamesischer Nutzer tats\u00e4chlich in Vietnam gespeichert werden.<\/p>\n\n\n\n Offshore-Anbieter digitaler Dienstleistungen sollten interne Verfahren einf\u00fchren, um Anfragen des MPS fr\u00fchzeitig zu erkennen und angemessen darauf zu reagieren, da solche Anfragen langfristig Lokalisierungspflichten ausl\u00f6sen k\u00f6nnen.<\/p>\n\n\n\n Einf\u00fchrung von Berichts- und Meldeverfahren<\/strong><\/p>\n\n\n\n Lizenzierte Cybersicherheitsunternehmen sollten interne Compliance-Kalender etablieren, um die fristgerechte j\u00e4hrliche Berichterstattung gegen\u00fcber dem MPS bis sp\u00e4testens zum 31. Januar sicherzustellen.<\/p>\n\n\n\n Durchf\u00fchrung einer rechtlichen und technischen Gap-Analyse<\/strong><\/p>\n\n\n\n Da alle drei Dekrete unmittelbar in Kraft getreten sind, sollten Unternehmen eine koordinierte rechtliche, technische und operative Pr\u00fcfung durchf\u00fchren und das Thema nicht ausschlie\u00dflich als IT-Frage behandeln.<\/p>\n\n\n\n 5. Warum dies f\u00fcr die Investitionsstrategie wichtig ist<\/strong><\/p>\n\n\n\n Vietnam geh\u00f6rt zu den am schnellsten wachsenden digitalen Volkswirtschaften S\u00fcdostasiens.<\/p>\n\n\n\n Die zunehmende Verbreitung von Cloud Computing, FinTech, E-Commerce, digitaler Infrastruktur, k\u00fcnstlicher Intelligenz, Rechenzentren, intelligenter Fertigung und Online-Diensten f\u00fchrt dazu, dass Cybersicherheitsregulierung zu einem immer wichtigeren Bestandteil jeder Investitionsstrategie wird.<\/p>\n\n\n\n Die neuen Dekrete haben daher Auswirkungen weit \u00fcber den Cybersicherheitssektor hinaus.<\/p>\n\n\n\n Sie betreffen insbesondere:<\/p>\n\n\n\n F\u00fcr internationale Investoren muss die Einhaltung von Cybersicherheitsvorschriften zunehmend genauso behandelt werden wie Steuerrecht, Lizenzierungsanforderungen, Wettbewerbsrecht, Arbeitsrecht oder ausl\u00e4ndisches Investitionsrecht: als grundlegender Bestandteil des Marktzugangs in Vietnam.<\/p>\n\n\n\n Fazit \u2013 Cybersicherheit wird Teil der regulatorischen Betriebslizenz<\/strong><\/p>\n\n\n\n Die Verabschiedung der Dekrete 331, 332 und 333 markiert eine bedeutende Weiterentwicklung des vietnamesischen Cybersicherheitsregimes.<\/p>\n\n\n\n Die Richtung ist eindeutig.<\/p>\n\n\n\n Vietnam entwickelt sich hin zu einem st\u00e4rker strukturierten, durchsetzbaren und institutionell \u00fcberwachten Cybersicherheitsrahmen mit klareren Anforderungen in Bezug auf Systemschutz, Lizenzierung von Cybersicherheitsunternehmen, Datenlokalisierung, Personalanforderungen, Berichterstattung und Reaktion auf Sicherheitsvorf\u00e4lle.<\/p>\n\n\n\n F\u00fcr ausl\u00e4ndische Investoren und FIEs ist die praktische Konsequenz ebenso klar:<\/p>\n\n\n\n Cybersicherheit kann nicht l\u00e4nger erst nach dem Markteintritt behandelt werden. Sie muss zunehmend bereits in der Phase der Investitionsstrukturierung ber\u00fccksichtigt werden.<\/p>\n\n\n\n Unternehmen, die fr\u00fchzeitig handeln, werden besser positioniert sein, ihre Datenarchitektur, Lizenzstrukturen, Personalressourcen, Vertr\u00e4ge und operativen Systeme rechtzeitig anzupassen, bevor Probleme entstehen.<\/p>\n\n\n\n Unternehmen, die dies vers\u00e4umen, k\u00f6nnen mit Verz\u00f6gerungen bei Genehmigungen, Umstrukturierungskosten, verst\u00e4rkter regulatorischer Kontrolle oder operativen Beeintr\u00e4chtigungen konfrontiert werden.<\/p>\n\n\n\n Vietnam bleibt eines der attraktivsten Investitionsziele Asiens. Je digitaler, komplexer und st\u00e4rker vernetzt sich die Wirtschaft entwickelt, desto anspruchsvoller werden jedoch auch die regulatorischen Erwartungen an Investoren.<\/p>\n\n\n\n Der Wettbewerbsvorteil wird daher zunehmend denjenigen Investoren geh\u00f6ren, die verstehen, dass die Einhaltung von Cybersicherheitsvorschriften kein Hindernis f\u00fcr gesch\u00e4ftliche Aktivit\u00e4ten in Vietnam darstellt, sondern vielmehr Teil der rechtlichen Infrastruktur wird, die f\u00fcr einen erfolgreichen Gesch\u00e4ftsbetrieb erforderlich ist.<\/p>\n\n\n\n Bitte z\u00f6gern Sie nicht, Dr. Oliver Massmann unter omassmann@duanemorris.com<\/a><\/strong> zu kontaktieren, falls Sie Fragen haben oder weitere Informationen zu dem neuen Cybersicherheitsrahmen w\u00fcnschen.<\/p>\n","protected":false},"excerpt":{"rendered":" Vietnam hat einen bedeutenden Schritt zur St\u00e4rkung seiner regulatorischen Architektur im Bereich der Cybersicherheit unternommen. Am 19. August 2026 hat die Regierung drei neue Dekrete erlassen, die die Verpflichtungen f\u00fcr Unternehmen in Vietnam erheblich erweitern: Alle drei Dekrete traten unmittelbar am 19. August 2026 in Kraft. F\u00fcr ausl\u00e4ndische Investoren und Unternehmen mit ausl\u00e4ndischer Beteiligung (\u201eForeign-Invested … <\/p>\n Continue reading “Anwalt in Vietnam Dr. Oliver Massmann Vietnams Neuausrichtung der Cybersicherheit: Drei neue Dekrete definieren die Compliance-Anforderungen f\u00fcr ausl\u00e4ndische Investoren und Unternehmen mit ausl\u00e4ndischer Beteiligung neu”<\/span><\/a><\/p>\n","protected":false},"author":24,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[2],"tags":[],"ppma_author":[1007],"class_list":["post-2265","post","type-post","status-publish","format-standard","hentry","category-vietnam-general"],"authors":[{"term_id":1007,"user_id":24,"is_guest":0,"slug":"omassmann","display_name":"Dr. Oliver Massmann","avatar_url":"https:\/\/blogs.duanemorris.com\/vietnam\/wp-content\/uploads\/sites\/19\/2014\/08\/massmannoliver-125x150.jpg","author_category":"1","last_name":"Massmann","first_name":"Dr. Oliver","job_title":"","user_url":"http:\/\/www.duanemorris.com\/attorneys\/olivermassmann.html","description":"Read Oliver's bio.<\/a>"}],"_links":{"self":[{"href":"https:\/\/blogs.duanemorris.com\/vietnam\/wp-json\/wp\/v2\/posts\/2265","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/blogs.duanemorris.com\/vietnam\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/blogs.duanemorris.com\/vietnam\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/blogs.duanemorris.com\/vietnam\/wp-json\/wp\/v2\/users\/24"}],"replies":[{"embeddable":true,"href":"https:\/\/blogs.duanemorris.com\/vietnam\/wp-json\/wp\/v2\/comments?post=2265"}],"version-history":[{"count":1,"href":"https:\/\/blogs.duanemorris.com\/vietnam\/wp-json\/wp\/v2\/posts\/2265\/revisions"}],"predecessor-version":[{"id":2266,"href":"https:\/\/blogs.duanemorris.com\/vietnam\/wp-json\/wp\/v2\/posts\/2265\/revisions\/2266"}],"wp:attachment":[{"href":"https:\/\/blogs.duanemorris.com\/vietnam\/wp-json\/wp\/v2\/media?parent=2265"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/blogs.duanemorris.com\/vietnam\/wp-json\/wp\/v2\/categories?post=2265"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/blogs.duanemorris.com\/vietnam\/wp-json\/wp\/v2\/tags?post=2265"},{"taxonomy":"author","embeddable":true,"href":"https:\/\/blogs.duanemorris.com\/vietnam\/wp-json\/wp\/v2\/ppma_author?post=2265"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}\n
\n
\n
\n
\n
\n