泰国国家网络安全委员会《云计算系统网络安全维护标准 B.E. 2566（2023）》公告（ประกาศ คณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ เรื่อง มาตรฐานการรักษาความมั่นคงปลอดภัยไซเบอร์สำหรับระบบคลาวด์）

法规简介

泰国国家网络安全委员会（NCSC）依《网络安全法》B.E. 2562（2019）制定的《云计算系统网络安全维护标准 B.E. 2566（2023）》于2026年9月10日正式施行（公布后满两年生效）。这是 NCSC 继"数据与信息系统安全分类标准"与"数据与信息系统最低标准"两份 B.E. 2566（2023）公告之后，面向云计算场景的第三份配套标准，也是泰国首部系统化的云安全强制标准。此前本库对泰国（region 25）尚无法规条目。 【适用对象】政府机关、监管/主管组织、关键信息基础设施（CII）组织，以及向上述组织提供云服务的云服务提供商（CSP）。 【核心要点】 1. 数据本地化（数据治理核心）：标准要求"高影响（high impact）"等级的信息系统满足数据本地化要求，相关数据的存储与处理须置于泰国境内；涉及个人数据的影响等级最低按"中等级"评定，并适用该等级的最低标准。 2. 两大板块要求：（一）云安全治理——信息安全方针、信息安全组织、外部供应商关系、合规性；（二）云基础设施安全与运行——人力资源安全、资产管理、访问控制、密码学、物理与环境安全、运行安全、通信安全、系统获取开发与维护、信息安全事件管理。 3. 分档评估与认证：低影响等级的云服务使用方至少每年自我评估一次；中、高影响等级的使用方及全部等级的云服务提供商须由外部机构实施，三年一周期（第一年认证、第二三年监督）；全部等级的云服务提供商至少须取得 ISO/IEC 27001 认证与 CSA STAR Level 1 / CCM Lite。 4. 实施报告义务：依公告第6条，适用组织须在完成标准实施后30日内向 NCSA 报告。 5. 罚则衔接：公告本身未设专门罚则，但《网络安全法》第53条第2款授权网络安全监管委员会（CRC）强制合规，拒不执行可构成《刑法典》项下违抗公务命令；第73条对 CII 组织无正当理由未依第57条报告网络威胁事件的，处不超过200,000泰铢罚金；第77条规定法人违法时刑事责任及于董事、经理或负责运营的人员。 【合规提示】在泰国开展业务、使用或提供云服务的中资企业应立即核查：（1）在泰信息系统/数据的影响等级评定结论；（2）高影响系统是否满足数据本地化；（3）云服务商是否持有 ISO/IEC 27001 与 CSA STAR Level 1 认证；（4）是否已在实施完成后30日内向 NCSA 提交实施报告；（5）云服务合同是否覆盖访问控制、事件通知、分包商控制与数据返还条款。