Vietnam hat einen bedeutenden Schritt zur Stärkung seiner regulatorischen Architektur im Bereich der Cybersicherheit unternommen.
Am 19. August 2026 hat die Regierung drei neue Dekrete erlassen, die die Verpflichtungen für Unternehmen in Vietnam erheblich erweitern:
- Dekret 331/2026/NĐ-CP – Cybersicherheitsschutz für Informationssysteme;
- Dekret 332/2026/NĐ-CP – Voraussetzungen für die Geschäftstätigkeit mit Cybersicherheitsprodukten und -dienstleistungen; sowie
- Dekret 333/2026/NĐ-CP – detaillierte Umsetzung des Gesetzes über Cybersicherheit.
Alle drei Dekrete traten unmittelbar am 19. August 2026 in Kraft.
Für ausländische Investoren und Unternehmen mit ausländischer Beteiligung („Foreign-Invested Enterprises“ oder FIEs) ist dieser neue Rechtsrahmen von erheblicher Bedeutung. Er führt klarere Anforderungen an die Klassifizierung von Informationssystemen, Lizenzierungsvorschriften für Cybersicherheitsunternehmen, erweiterte betriebliche Pflichten sowie detaillierte Anforderungen zur Datenlokalisierung ein.
Die Botschaft ist eindeutig: Die Einhaltung der Cybersicherheitsvorschriften in Vietnam wird zunehmend zu einer zentralen Voraussetzung für den Marktzugang und den Geschäftsbetrieb und ist nicht mehr lediglich eine IT-Frage.
- Ein fünfstufiges Klassifizierungssystem für Cybersicherheit
Dekret 331 führt in Vietnam ein fünfstufiges Klassifizierungssystem für Informationssysteme ein.
Das Regime gilt unmittelbar für Organisationen, die Informationssysteme errichten, verwalten, betreiben oder modernisieren, welche der IT-Infrastruktur staatlicher Einrichtungen oder der Erbringung digitaler öffentlicher Dienstleistungen dienen. Andere Organisationen werden dazu angehalten, dieselben Standards freiwillig anzuwenden. Der Rahmen kann zudem relevant werden, wenn staatliche Auftraggeber entsprechende vertragliche Verpflichtungen gegenüber Dienstleistern des privaten Sektors vorsehen.
Das Klassifizierungssystem reicht von Stufe 1, die interne Systeme mit geringem Risiko umfasst, welche ausschließlich öffentliche Informationen verarbeiten, bis hin zu Stufe 5, die strategische Verteidigungs- und nationale Sicherheitssysteme, zentrale nationale Datenspeicher, internationale Verbindungsinfrastrukturen sowie besonders sensible industrielle Steuerungssysteme umfasst.
Je höher die Klassifizierungsstufe, desto strenger die Anforderungen.
Mindestens müssen Organisationen über folgende Elemente verfügen:
- Richtlinien und Verfahren zur Cybersicherheit;
- entsprechend qualifiziertes Personal;
- ein sicheres Systemdesign;
- operative Sicherheitskontrollen;
- Risikomanagementsysteme;
- Überwachungs- und Monitoringkapazitäten;
- Backup- und Wiederherstellungslösungen; sowie
- Mechanismen zur Reaktion auf Sicherheitsvorfälle.
Für Systeme der Stufen 3 und 4 müssen Cloud- und Rechenzentrumsumgebungen logisch voneinander getrennt sein.
Für Systeme der Stufe 5 ist eine physische Trennung von Systemen, Speichern und zentralen Netzwerkkomponenten erforderlich, ergänzt durch eine verpflichtende unabhängige Bewertung durch lizenzierte Prüfer.
Auch die Meldepflichten bei Sicherheitsvorfällen sind von erheblicher Bedeutung. Schwerwiegende Vorfälle müssen grundsätzlich innerhalb von 24 Stunden gemeldet werden, gefolgt von einem vollständigen Bericht innerhalb von 72 Stunden. Vorfälle mit Auswirkungen auf die nationale Sicherheit sind unverzüglich anzuzeigen.
Für FIEs, die Cloud-, Rechenzentrums-, Managed-Service- oder Infrastrukturleistungen erbringen, können diese Anforderungen insbesondere dann relevant werden, wenn Dienstleistungen für staatliche Stellen oder Betreiber kritischer Infrastruktur erbracht werden.
- Cybersicherheitsprodukte und -dienstleistungen werden zu einem lizenzpflichtigen Geschäftsbereich
Dekret 332 führt ein formelles Lizenzierungssystem für Unternehmen ein, die in Vietnam Geschäfte mit Cybersicherheitsprodukten und Cybersicherheitsdienstleistungen betreiben. Die zivile Kryptografie ist hiervon ausgenommen.
Erforderlich ist eine Cybersicherheitsgeschäftslizenz des Ministeriums für öffentliche Sicherheit (Ministry of Public Security – MPS), die für zehn Jahre gültig ist.
Zu den allgemeinen Lizenzierungsvoraussetzungen gehören:
- Gründung nach vietnamesischem Recht;
- ordnungsgemäßer rechtlicher Status des Unternehmens;
- ein geeigneter gesetzlicher Vertreter oder bevollmächtigter Geschäftsführer;
- qualifiziertes technisches Personal;
- angemessene technische Ausstattung, Einrichtungen und Technologien; sowie
- Einhaltung spezifischer fachlicher Anforderungen.
Für Unternehmen mit ausländischer Beteiligung besteht eine besonders wichtige Voraussetzung darin, dass die verbleibende Laufzeit des Investitionsprojekts in Vietnam zum Zeitpunkt der Lizenzerteilung mehr als fünf Jahre betragen muss.
Für bestimmte Tätigkeiten im Bereich Cybersicherheit gelten zusätzliche Anforderungen.
Cybersicherheitsprüfungen und Beratung
Anbieter müssen über mindestens fünf qualifizierte technische Fachkräfte verfügen, die ihren Wohnsitz in Vietnam haben. Darüber hinaus muss der gesetzliche Vertreter vietnamesischer Staatsbürger sein.
Cybersicherheits-Monitoringdienste
Anbieter müssen mindestens zwölf qualifizierte technische Fachkräfte beschäftigen. Auch hier muss der gesetzliche Vertreter vietnamesischer Staatsangehöriger sein.
Herstellung, Handel, Import und Export von Cybersicherheitsprodukten
Unternehmen müssen geeignete Geschäfts- und Technologiepläne vorhalten, die einschlägigen technischen Standards erfüllen, Qualitätskontrollmaßnahmen umsetzen und Dokumentationen über die Endverwendung der betreffenden Produkte führen.
Import- und Exportgeschäfte unterliegen zusätzlich einer produktbezogenen Genehmigung des MPS, die jeweils zwei Jahre gültig ist.
Anträge sind in vietnamesischer Sprache einzureichen. Nach Einreichung vollständiger Unterlagen beträgt die gesetzliche Prüfungsfrist 28 Arbeitstage.
Lizenzierte Unternehmen müssen ferner bis zum 31. Januar eines jeden Jahres einen jährlichen Compliance-Bericht beim MPS einreichen.
Für internationale Cybersicherheitsunternehmen, die einen Markteintritt in Vietnam erwägen, sollten diese Anforderungen nunmehr Bestandteil der anfänglichen Investitions- und Strukturierungsanalyse sein.
- Datenlokalisierung: Ein entscheidender Unterschied zwischen FIEs und Offshore-Anbietern
Dekret 333 enthält detailliertere Regelungen zu den Anforderungen an die Datenlokalisierung und die lokale Präsenz nach dem vietnamesischen Cybersicherheitsgesetz.
Die Vorschriften unterscheiden sich wesentlich danach, ob ein Unternehmen in Vietnam gegründet wurde oder seine Dienstleistungen grenzüberschreitend aus dem Ausland erbringt.
In Vietnam gegründete Unternehmen, einschließlich FIEs
In Vietnam gegründete Unternehmen unterliegen einer automatischen Pflicht zur lokalen Speicherung bestimmter Datenkategorien, die sich auf Nutzer in Vietnam beziehen.
Hierzu gehören insbesondere:
- personenbezogene Daten von Nutzern in Vietnam; sowie
- vom Nutzer erzeugte Daten wie Kontonamen, Nutzungszeiten von Diensten, Kreditkarteninformationen, E-Mail-Adressen, die zuletzt verwendeten Login- und Logout-IP-Adressen sowie Telefonnummern, die mit Benutzerkonten oder Daten verknüpft sind.
Für in Vietnam gegründete FIEs stellt sich daher nicht mehr die Frage, ob künftig Lokalisierungspflichten eingeführt werden könnten, sondern vielmehr, ob ihre bestehende Datenarchitektur diesen Anforderungen bereits entspricht.
Dies kann Unternehmen dazu veranlassen, ihre Cloud-Architektur, Serverstandorte, Lieferanten- und Dienstleisterbeziehungen, konzerninterne Datenflüsse sowie Outsourcing-Vereinbarungen zu überprüfen.
Ausländische Offshore-Unternehmen
Für Offshore-Dienstleister gilt die Verpflichtung nicht automatisch, sondern nur unter bestimmten Voraussetzungen.
Zu den betroffenen Branchen gehören unter anderem:
- Telekommunikation;
- Cloud- und Datenspeicherdienste;
- Domain-Name-Dienste;
- E-Commerce;
- Online-Zahlungsdienste;
- Transportplattformen;
- soziale Medien;
- Online-Spiele;
- Messaging-Dienste;
- VoIP-Dienste;
- E-Mail-Dienste; sowie
- sonstige Online-Informationsdienste.
Ein Offshore-Dienstleister unterliegt den Anforderungen zur Datenlokalisierung und lokalen Präsenz nur dann, wenn sämtliche drei nachstehenden Voraussetzungen kumulativ erfüllt sind:
- der Dienst wurde im Zusammenhang mit Verstößen gegen das Cybersicherheitsgesetz genutzt;
- die spezialisierte Cybersicherheitseinheit des Ministeriums für öffentliche Sicherheit (MPS) hat innerhalb eines Zeitraums von höchstens sechs Monaten dreimal schriftliche Ersuchen um Zusammenarbeit, Prävention oder Ermittlungsunterstützung übermittelt; und
- das Unternehmen beseitigt das Problem nicht, erfüllt die Anforderungen nicht vollständig oder behindert beziehungsweise vereitelt die geforderten Schutzmaßnahmen.
Sind diese Voraussetzungen erfüllt, kann der Minister für öffentliche Sicherheit eine formelle Anordnung erlassen, wonach das betreffende Unternehmen Daten in Vietnam speichern und eine Niederlassung oder Repräsentanz in Vietnam errichten muss.
Das Unternehmen hat anschließend zwölf Monate Zeit, diesen Anforderungen nachzukommen.
Die Mindestaufbewahrungsfrist für die betreffenden Daten beträgt grundsätzlich 24 Monate ab dem Datum der Speicherungsanordnung beziehungsweise solange die Anordnung in Kraft bleibt.
Für Ermittlungszwecke erforderliche Systemprotokolle müssen mindestens zwölf Monate aufbewahrt werden. Gleiches gilt für Protokolle über die Zuweisung von IP-Adressen im Telekommunikations- und Internetbereich, die vollständig, fortlaufend und sicher gespeichert werden müssen.
- Was ausländische Investoren und FIEs jetzt tun sollten
Der neue Rechtsrahmen sollte Anlass für eine sofortige Überprüfung der Cybersicherheits-Compliance geben.
Ausländische Investoren und FIEs sollten insbesondere die folgenden Maßnahmen in Betracht ziehen.
Prüfung der Betroffenheit durch die Systemklassifizierung
Es sollte festgestellt werden, ob von dem Unternehmen entwickelte, verwaltete oder betriebene Systeme in den verpflichtenden Anwendungsbereich von Dekret 331 fallen oder durch Verträge mit staatlichen Auftraggebern beziehungsweise Betreibern kritischer Infrastrukturen vergleichbaren Anforderungen unterliegen könnten.
Überprüfung der Lizenzanforderungen im Bereich Cybersicherheit
Unternehmen, die Cybersicherheitsprodukte oder -dienstleistungen anbieten, sollten unverzüglich prüfen, ob eine MPS-Lizenz erforderlich ist und ob ihre derzeitige Unternehmensstruktur, Personalausstattung und Projektlaufzeit die entsprechenden Lizenzvoraussetzungen erfüllen.
Überprüfung von Governance und Personalstruktur
Unternehmen, die Dienstleistungen im Bereich Cybersicherheitsprüfung, -beratung oder -überwachung anbieten, sollten sicherstellen, dass sie die Anforderungen hinsichtlich eines vietnamesischen gesetzlichen Vertreters sowie die geltenden Mindestanforderungen an das Fachpersonal erfüllen.
Prüfung der Datenarchitektur
In Vietnam gegründete FIEs sollten sicherstellen, dass die vorgeschriebenen Kategorien von Nutzerdaten vietnamesischer Nutzer tatsächlich in Vietnam gespeichert werden.
Offshore-Anbieter digitaler Dienstleistungen sollten interne Verfahren einführen, um Anfragen des MPS frühzeitig zu erkennen und angemessen darauf zu reagieren, da solche Anfragen langfristig Lokalisierungspflichten auslösen können.
Einführung von Berichts- und Meldeverfahren
Lizenzierte Cybersicherheitsunternehmen sollten interne Compliance-Kalender etablieren, um die fristgerechte jährliche Berichterstattung gegenüber dem MPS bis spätestens zum 31. Januar sicherzustellen.
Durchführung einer rechtlichen und technischen Gap-Analyse
Da alle drei Dekrete unmittelbar in Kraft getreten sind, sollten Unternehmen eine koordinierte rechtliche, technische und operative Prüfung durchführen und das Thema nicht ausschließlich als IT-Frage behandeln.
- Warum dies für die Investitionsstrategie wichtig ist
Vietnam gehört zu den am schnellsten wachsenden digitalen Volkswirtschaften Südostasiens.
Die zunehmende Verbreitung von Cloud Computing, FinTech, E-Commerce, digitaler Infrastruktur, künstlicher Intelligenz, Rechenzentren, intelligenter Fertigung und Online-Diensten führt dazu, dass Cybersicherheitsregulierung zu einem immer wichtigeren Bestandteil jeder Investitionsstrategie wird.
Die neuen Dekrete haben daher Auswirkungen weit über den Cybersicherheitssektor hinaus.
Sie betreffen insbesondere:
- die Strukturierung des Markteintritts;
- Investitionsgenehmigungen;
- Cloud-Architekturen;
- Data Governance;
- Outsourcing-Strukturen;
- M&A-Due-Diligence-Prüfungen;
- Technologieverträge;
- den Betrieb in regulierten Branchen;
- interne Compliance-Systeme; sowie
- die langfristige Sicherstellung der Geschäftskontinuität.
Für internationale Investoren muss die Einhaltung von Cybersicherheitsvorschriften zunehmend genauso behandelt werden wie Steuerrecht, Lizenzierungsanforderungen, Wettbewerbsrecht, Arbeitsrecht oder ausländisches Investitionsrecht: als grundlegender Bestandteil des Marktzugangs in Vietnam.
Fazit – Cybersicherheit wird Teil der regulatorischen Betriebslizenz
Die Verabschiedung der Dekrete 331, 332 und 333 markiert eine bedeutende Weiterentwicklung des vietnamesischen Cybersicherheitsregimes.
Die Richtung ist eindeutig.
Vietnam entwickelt sich hin zu einem stärker strukturierten, durchsetzbaren und institutionell überwachten Cybersicherheitsrahmen mit klareren Anforderungen in Bezug auf Systemschutz, Lizenzierung von Cybersicherheitsunternehmen, Datenlokalisierung, Personalanforderungen, Berichterstattung und Reaktion auf Sicherheitsvorfälle.
Für ausländische Investoren und FIEs ist die praktische Konsequenz ebenso klar:
Cybersicherheit kann nicht länger erst nach dem Markteintritt behandelt werden. Sie muss zunehmend bereits in der Phase der Investitionsstrukturierung berücksichtigt werden.
Unternehmen, die frühzeitig handeln, werden besser positioniert sein, ihre Datenarchitektur, Lizenzstrukturen, Personalressourcen, Verträge und operativen Systeme rechtzeitig anzupassen, bevor Probleme entstehen.
Unternehmen, die dies versäumen, können mit Verzögerungen bei Genehmigungen, Umstrukturierungskosten, verstärkter regulatorischer Kontrolle oder operativen Beeinträchtigungen konfrontiert werden.
Vietnam bleibt eines der attraktivsten Investitionsziele Asiens. Je digitaler, komplexer und stärker vernetzt sich die Wirtschaft entwickelt, desto anspruchsvoller werden jedoch auch die regulatorischen Erwartungen an Investoren.
Der Wettbewerbsvorteil wird daher zunehmend denjenigen Investoren gehören, die verstehen, dass die Einhaltung von Cybersicherheitsvorschriften kein Hindernis für geschäftliche Aktivitäten in Vietnam darstellt, sondern vielmehr Teil der rechtlichen Infrastruktur wird, die für einen erfolgreichen Geschäftsbetrieb erforderlich ist.
Bitte zögern Sie nicht, Dr. Oliver Massmann unter [email protected] zu kontaktieren, falls Sie Fragen haben oder weitere Informationen zu dem neuen Cybersicherheitsrahmen wünschen.