Ein ägyptisches Technologieprojekt steht unter vier Gesetzen zugleich: dem Telekommunikationsgesetz Nr. 10 von 2003 mit seiner Regulierungsbehörde NTRA; dem E-Signatur-Gesetz Nr. 15 von 2004; dem Cybercrime-Gesetz Nr. 175 von 2018; und dem Datenschutzgesetz Nr. 151 von 2020, dessen Durchführungsverordnung durch Ministerialbeschluss Nr. 816 von 2025 im November 2025 in Kraft trat und das Lizenzsystem operational machte. Dieser Beitrag ordnet, was jede Ebene von einem Konnektivitäts-, Hosting-, Cloud-, Plattform- oder Softwareunternehmen mit ägyptischen Kunden verlangt, und wie unsere Kanzlei das Gesamtgefüge vor Einführung, Vertrag oder Änderung prüft.
Erst die Dienstleistung kartieren, dann Lizenzfragen stellen
Listen Sie, was der ägyptische Kunde tatsächlich erhält: Konnektivität, Hosting, Cloud-Kapazität, eine Plattform, Inhalte, Zahlungsfunktionen oder reine Software. Halten Sie fest, welche Einheit verkauft, welche betreibt und welche Anbieter darunter liegen, denn Gesetz Nr. 10/2003 reguliert Netze und Dienste, nicht Firmenbezeichnungen. Unsere ständige Empfehlung ist, die Funktion jeder Komponente anhand der Begriffsbestimmungen des Artikels 1 dieses Gesetzes festzulegen, bevor eine Compliance-Frage beantwortet wird.
Zeichnen Sie den Kundenweg von der Registrierung über Abrechnung und Support nach und vergleichen Sie das auf der Website beschriebene Unternehmen mit der in Verträgen und Rechnungen genannten Einheit. Erfassen Sie physische und entfernte Komponenten, Kundenstandorte und Zugriffe aus dem Ausland. Betreibt ein Partner einen Teil des Dienstes, dokumentieren Sie, was er ändern kann und welche Zusagen der Kunde weiterhin vom Verkäufer erwartet, denn die ägyptische Vollzugspraxis schaut hinter die Marke auf den Betreiber.
NTRA-Lizenzen nach Gesetz Nr. 10/2003
Artikel 21 des Gesetzes Nr. 10/2003 untersagt die Errichtung oder den Betrieb von Telekommunikationsnetzen, die Erbringung von Telekommunikationsdiensten, die Umgehung internationaler Telefongespräche und selbst die Ankündigung dieser Tätigkeiten ohne Lizenz der NTRA. Die einzige Ausnahme ist das private Telekommunikationsnetz ohne Funksysteme, das keine Lizenz benötigt, wenngleich der lizenzierte Betreiber der tragenden Infrastruktur es der NTRA melden muss. Artikel 22 regelt das Verfahren: Antrag auf NTRA-Formularen mit Nachweis technischer und finanzieller Leistungsfähigkeit, Entscheidung binnen neunzig Tagen nach vollständiger Einreichung, sonst gilt der Antrag als abgelehnt.
Artikel 23 überlässt Lizenzgebühren und Erhebungsregeln dem NTRA-Vorstand. Die Lizenzbedingungen werden nach Artikel 21 auf Kosten des Lizenznehmers im Amtsblatt oder einer verbreiteten Tageszeitung veröffentlicht; Artikel 25 begründet allgemeine Lizenznehmerpflichten, und die Artikel 28 bis 33 regeln Interconnection, Vermittlung, Quersubventionen und Vereinbarungen zwischen Lizenznehmern. Bei der Prüfung einer Ägypten-Einführung lautet die erste Frage stets, ob eine Komponente den Betrieb eines Netzes oder die Erbringung eines Dienstes nach Artikel 21 darstellt; alles Weitere folgt dieser Antwort.
Geräte, Bauartzulassung und Frequenzen
Hardware ist gesondert kontrolliert. Artikel 44 des Gesetzes Nr. 10/2003 beschränkt Einfuhr, Herstellung und Zusammenbau von Telekommunikationsgeräten auf zugelassene Parteien, Artikel 46 untersagt Einfuhr und Verkauf gebrauchter Endgeräte, und Artikel 48 ermächtigt die NTRA, Regeln der Bauartzulassung und Genehmigungen für Einfuhr, Herstellung, Handel und Vermarktung festzulegen, mit Entscheidung binnen neunzig Tagen nach vollständigem Antrag. Besitz und Betrieb von Funkgeräten ohne Genehmigung ist nach Artikel 77 strafbar.
Das Frequenzspektrum verwaltet die NTRA nach den Artikeln 49 bis 59: Sie weist Frequenzen zu, erteilt und widerruft Frequenzlizenzen nach Artikel 51, setzt Gebühren nach Artikel 53 fest, überwacht die Nutzung nach Artikel 55 und führt die Nutzerdatenbank nach Artikel 58. Jedes funkemittierende Produkt, vom WLAN-System bis zur IoT-Geräteflotte, braucht die Klärung seiner Frequenzposition vor Einfuhr oder Einsatz, nicht nach dem Einschreiten von Zoll oder NTRA.
Die Strafandrohungen als Grundlage der Risikoanalyse
Artikel 72 des Gesetzes Nr. 10/2003 ahndet unlizenzierte Errichtung oder Betrieb von Netzen, Infrastruktur, Diensten oder Umgehung internationaler Gespräche mit Freiheitsstrafe von sechs Monaten bis fünf Jahren und Geldstrafe von fünfzigtausend bis fünfhunderttausend Pfund, oder mit einer der beiden, zuzüglich Einziehung der Geräte. Artikel 77 ahndet Einfuhr, Herstellung, Besitz oder Betrieb von Funkgeräten ohne Genehmigung mit Freiheitsstrafe von mindestens einem Jahr und Geldstrafe von zwanzigtausend bis fünfzigtausend Pfund, oder einer der beiden, stets mit Einziehung.
Artikel 73 schützt die Vertraulichkeit der Kommunikation mit Strafandrohung, und Artikel 78 ahndet das vorsätzliche Abhören oder Stören fremder Frequenzen. Diese Risiken sind nicht theoretisch: Die NTRA hat Inspektions- und Überwachungsbefugnisse nach den Artikeln 55 und 19 sowie Befugnisse zur Einziehung im Verwaltungsweg nach Artikel 11. Unsere Prüfungen behandeln die Strafkarte als Ausgangspunkt für die Entscheidung, welche Dienstkomponenten lizenziert, genehmigt oder umstrukturiert werden müssen.
Datenschutz nach Gesetz Nr. 151/2020
Gesetz Nr. 151 von 2020 ist Ägyptens allgemeines Datenschutzgesetz. Artikel 2 untersagt Erhebung, Verarbeitung, Offenlegung oder Bekanntgabe personenbezogener Daten ohne ausdrückliche Einwilligung der betroffenen Person oder gesetzliche Erlaubnis und gewährt Rechte auf Auskunft, Widerruf, Berichtigung, Löschung, Einschränkung, Verletzungsmitteilung und Widerspruch. Artikel 3 stellt die Rechtmäßigkeitsbedingungen einschließlich Zweckbindung und Angemessenheit auf. Artikel 36 ahndet unbefugte Verarbeitung mit Geldstrafen zwischen einhunderttausend und einer Million Pfund, verschärft bei Verarbeitung gegen Vorteil oder zur Schädigung.
Das Gesetz schuf das Personal Data Protection Centre als Regulator mit Lizenz- und Genehmigungsbefugnissen nach Artikel 26. Grenzüberschreitende Übermittlung regeln die Artikel 14 bis 16: Übermittlung, Speicherung oder Weitergabe ins Ausland erfordert ein angemessenes Schutzniveau und eine Lizenz oder Genehmigung des Zentrums, vorbehaltlich der Einwilligungs- und Notwendigkeitsausnahmen des Artikels 15. Artikel 33 eröffnet Betroffenen eine Beschwerde beim Zentrum, das binnen dreißig Arbeitstagen entscheidet; der Beschwerdegegner hat sie binnen sieben Arbeitstagen nach Zustellung auszuführen.
Die Durchführungsverordnung 2025 macht das System operational
Ministerialbeschluss Nr. 816 von 2025 erließ die Durchführungsverordnung zum Gesetz Nr. 151/2020, in Kraft seit dem 2. November 2025 nach Sekundärquellen. Sie schafft ein gestuftes Lizenz- und Genehmigungssystem des Zentrums: Verantwortliche und Auftragsverarbeiter benötigen eine ihrer Tätigkeit entsprechende Lizenz oder Genehmigung, mit gestaffelten Gebühren nach der Zahl der verarbeiteten Datensätze, die bei den größten Volumina mehrere hunderttausend Pfund jährlich erreichen und auf zwei Millionen Pfund über die dreijährige Lizenzlaufzeit gedeckelt sind. Lizenzen für nur Verantwortliche oder nur Auftragsverarbeiter juristischer Personen kosten die Hälfte der Tabellenwerte.
Die Verordnung operationalisiert auch die Einzelheiten: Registrierung von Datenschutzbeauftragten, gesicherte elektronische Verarbeitungsverzeichnisse, Bedingungen für Lizenzen und Genehmigungen grenzüberschreitender Übermittlungen nach ihren Artikeln 24 bis 27, eine eigene Lizenz für elektronisches Direktmarketing nach Artikel 28 und drei Jahre gültige Akkreditierungszertifikate. Jedes ägyptische Unternehmen, das Kunden- oder Mitarbeiterdaten erhebt, sollte die Zentrumslizenz als laufende Pflicht behandeln, nicht als künftige; wir gleichen Gebührentabelle und Formulare vor jeder Einreichung mit den tatsächlichen Datenvolumina des Mandanten ab.
Meldepflichten bei Datenverletzungen
Artikel 5 der Durchführungsverordnung stellt die Uhr: Der Verantwortliche oder Auftragsverarbeiter muss das Zentrum über dessen elektronisches Portal oder die Hotline binnen zweiundsiebzig Stunden nach Kenntnis der Verletzung melden, mit Zeitpunkt der Kenntnis, Art der Verletzung, Schätzung der betroffenen Daten, erwarteten Auswirkungen, ergriffenen Korrekturmaßnahmen und den Kontaktdaten des Datenschutzbeauftragten. Verletzungen mit Berührung zur nationalen Sicherheit sind sofort zu melden.
Die betroffene Person ist sodann binnen drei Arbeitstagen nach der Zentrumsmitteilung zu benachrichtigen, auf dem bei der Erhebung vereinbarten Weg, etwa SMS, E-Mail oder Anruf. Diese Fristen bestimmen den Aufbau von Incident-Response-Plänen: Entdeckung, Bewertung und Eskalation müssen in zweiundsiebzig Stunden passen, was einen vertraglichen Anspruch auf rasche Meldung jedes Lieferanten mit ägyptischen personenbezogenen Daten und einen geübten internen Weg zum gemeldeten Beauftragten bedeutet.
Cybercrime-Gesetz Nr. 175/2018 und der Diensteanbieter
Gesetz Nr. 175 von 2018 belegt Diensteanbieter mit unmittelbaren Pflichten. Artikel 2 verpflichtet Anbieter, Protokolle der Informationssysteme ununterbrochen einhundertachtzig Tage aufzubewahren, einschließlich Daten zur Nutzeridentifikation sowie der ihrer Kontrolle unterliegenden Inhalts-, Verkehrs- und Endgerätedaten; die Vertraulichkeit gespeicherter Daten zu wahren, soweit keine begründete gerichtliche Anordnung vorliegt; die Daten gegen unbefugten Zugriff zu sichern; Nutzern und Behörden Name, Anschrift, Kontakt- und Lizenzdaten zugänglich zu machen; und den nationalen Sicherheitsbehörden die gesetzlich erforderlichen technischen Möglichkeiten bereitzustellen.
Artikel 7 ermächtigt die Ermittlungsbehörde zur Sperrung von Websites im In- oder Ausland, die Inhalte verbreiten, die eine Straftat nach diesem Gesetz darstellen und die nationale Sicherheit oder Wirtschaft bedrohen; die Anordnung ist binnen vierundzwanzig Stunden dem zuständigen Gericht vorzulegen, das binnen zweiundsiebzig Stunden begründet entscheidet. In Eilfällen kann die NTRA die sofortige vorläufige Sperrung anordnen, die der Anbieter unverzüglich umzusetzen hat. Die Artikel 25 bis 27 ahnden Privatsphäreverletzungen, Missbrauch personenbezogener Daten und die Nutzung von Sites oder Konten zur Verbrechensbegünstigung mit Freiheitsstrafe und Geldstrafe oder einer dieser Strafen. Jede ägyptische Plattform braucht ein Verfahren für Sperranordnungen und eine Protokollarchitektur nach Artikel 2.
Elektronische Signatur und Beweis nach Gesetz Nr. 15/2004
Gesetz Nr. 15 von 2004 regelt elektronische Signaturen und errichtete die Information Technology Industry Development Authority, ITIDA. Artikel 14 verleiht elektronischen Signaturen in zivil-, handels- und verwaltungsrechtlichen Vorgängen dieselbe Beweiskraft wie Unterschriften nach dem Beweisgesetz, sofern sie nach dem Gesetz und den technischen Regeln seiner Durchführungsverordnung erstellt werden. Artikel 15 verleiht elektronischer Schriftform unter denselben Bedingungen die Wirkung öffentlicher und privater Urkunden.
Artikel 18 stellt die Beweisbedingungen: Die Signatur muss allein mit dem Unterzeichner verbunden sein, unter seiner alleinigen Kontrolle stehen, und jede Änderung der signierten Daten muss erkennbar sein. Für ägyptische Technologieverträge, Onboarding-Abläufe und Plattformbedingungen entscheidet dieser Rahmen, ob ein Klick, ein OTP-Ablauf oder eine zertifikatsbasierte Signatur vor Gericht besteht. Wir gleichen jeden Signaturablauf mit den Artikeln 14, 15 und 18 und mit dem System der zugelassenen Zertifizierungsdienste ab, das Gesetz und Verordnung schaffen.
Kundenversprechen mit der Lieferkette abstimmen
Vergleichen Sie beworbene Verfügbarkeit, Reaktionszeiten, Sicherheit und Support mit den darunterliegenden Netz-, Cloud- und Subunternehmerzusagen. Verteilen Sie Verantwortung für Unterbrechungen, geplante Wartung, Untervergabe und Vorfälle, und testen Sie, wie der Kunde informiert und unterstützt wird, wenn ein vorgelagerter Anbieter den Dienst einstellt. Gesetzliche Pflichten wie die Protokollaufbewahrung nach Artikel 2 des Gesetzes Nr. 175/2018 und die Verletzungsmeldung nach der Datenschutzverordnung lassen sich dem Kunden nicht aufdrängen.
Simulieren Sie einen Ausfall und eine behördliche Datenanfrage. Wer sieht Alarme, wer greift auf Protokolle zu, wer autorisiert die Behebung, wer informiert den Kunden, wer antwortet der NTRA oder dem Datenschutzzentrum? Halten Sie Eskalationskontakte und Beweissicherungsschritte fest. Der Vertrag sollte den tatsächlichen Werkzeugen des Teams und den Lieferantenrechten entsprechen, nicht eine Reaktion versprechen, die niemand binnen der zweiundsiebzigstündigen Regulierungsuhr erbringen kann.
Ausstieg, Wandel und die Beweisakte
Legen Sie Exportformate, Migrationshilfe, Kündigungsfristen, Löschungsnachweise und die Behandlung von Domains, Konten oder Nummern fest, bevor Abhängigkeit entsteht, und testen Sie einen Export vor Vertragsende. Das Versprechen eines Lieferanten, Daten zurückzugeben, ist wenig wert, wenn der Kunde das Format nicht lesen oder auf seine eigenen Bestände abbilden kann, und Löschzusagen sind mit der einhundertachtzigtägigen Aufbewahrungspflicht des Artikels 2 des Gesetzes Nr. 175/2018 in Einklang zu bringen.
Ein neuer Zahlungsweg, eine lokale Inhaltsquelle oder eine Netzfunktion kann Lizenz-, Daten- und Cybercrime-Analyse zugleich ändern. Verlangen Sie bei Produktänderungen eine aktualisierte Prüfung und führen Sie eine datierte Fassung der Entscheidungen und offenen Punkte: Dienstkarten, NTRA-Korrespondenz, Einreichungen beim Zentrum, Lieferantenbedingungen und Vorfallsprotokolle. Diese datierte Akte verlangen Aufsicht, Gerichte und Erwerber zuerst, und sie entscheidet über eine vertretbare Einführung gegenüber einer teuren Rekonstruktion.
Was wir vor einer ägyptischen Technologie-Einführung oder -Änderung prüfen
Unsere Erstprüfungsakte umfasst: die Dienst- und Einheitenkarte; die Lizenzanalyse nach Artikel 21 des Gesetzes Nr. 10/2003 einschließlich der Privatnetzausnahme; Geräte-, Bauartzulassungs- und Frequenzprüfungen nach den Artikeln 44 bis 59; die Strafkarte der Artikel 72 bis 78; die Dateninventur nach Gesetz Nr. 151/2020 und die Lizenz-, Gebühren-, Verletzungsmelde- und Beauftragtenregistrierungspflichten des Beschlusses Nr. 816/2025; die Strukturierung grenzüberschreitender Übermittlungen nach den Artikeln 14 bis 16; die Aufbewahrungsbereitschaft nach Artikel 2 und Sperrbereitschaft nach Artikel 7 des Gesetzes Nr. 175/2018; Signaturabläufe nach Gesetz Nr. 15/2004; sowie Lieferantenverträge gegen Kundenversprechen, mit datierten ägyptischen Gutachten zu jeder offenen Frage.
Weitere Informationen finden Sie hier: unser Ägypten-Datenschutz-Leitfaden und unser Ägypten-IP-Leitfaden, sowie unsere Praxis für Handels- und Gesellschaftsrecht.
Häufig gestellte Fragen
Braucht jedes IT-Unternehmen in Ägypten eine NTRA-Lizenz?
Nein. Artikel 21 des Gesetzes Nr. 10/2003 verlangt eine Lizenz für Errichtung oder Betrieb von Telekommunikationsnetzen, Erbringung von Telekommunikationsdiensten oder Umgehung internationaler Gespräche. Wer nur Software entwickelt oder Anwendungen weiterverkauft, ohne Netze zu betreiben oder Telekomdienste zu erbringen, benötigt in der Regel keine NTRA-Lizenz; Geräteimporte bleiben jedoch genehmigungspflichtig nach den Artikeln 44 und 48, und ein privates Netz mit Funksystemen fällt nicht unter die Ausnahme.
Was droht einem Dienst ohne NTRA-Lizenz?
Artikel 72 des Gesetzes Nr. 10/2003 macht unlizenzierten Netzbetrieb, Diensterbringung oder internationale Gesprächsumgehung zur Straftat mit sechs Monaten bis fünf Jahren Freiheitsstrafe und fünfzigtausend bis fünfhunderttausend Pfund Geldstrafe, oder einer der beiden, mit Einziehung der Geräte. Umstrukturierung nach Ermittlungsbeginn kostet deutlich mehr als die Lizenzanalyse vor der Einführung.
Wird das ägyptische Datenschutzgesetz jetzt tatsächlich vollzogen?
Ja. Gesetz Nr. 151/2020 gilt seit 2020, und Ministerialbeschluss Nr. 816/2025 brachte die Durchführungsverordnung nach Sekundärquellen am 2. November 2025 in Kraft und aktivierte das Lizenz- und Genehmigungssystem des Datenschutzzentrums, gestaffelte Gebühren, Registrierung von Datenschutzbeauftragten und Verletzungsmeldepflichten. Verantwortliche und Auftragsverarbeiter ägyptischer personenbezogener Daten sollten die Lizenz als gegenwärtige Pflicht behandeln.
Wie schnell muss eine Datenverletzung in Ägypten gemeldet werden?
Artikel 5 der Verordnung 2025 verlangt die Meldung an das Datenschutzzentrum binnen zweiundsiebzig Stunden nach Kenntnis und die Benachrichtigung betroffener Personen binnen drei Arbeitstagen danach, auf dem bei der Erhebung vereinbarten Kontaktweg. Incident-Response-Pläne und Lieferantenverträge müssen in diese Frist passen.
Dürfen personenbezogene Daten außerhalb Ägyptens übermittelt werden?
Nur im Rahmen der Artikel 14 bis 16 des Gesetzes Nr. 151/2020: Übermittlung, Speicherung oder Weitergabe ins Ausland erfordert angemessenes Schutzniveau und eine Lizenz oder Genehmigung des Zentrums, soweit keine Ausnahme des Artikels 15 greift, etwa ausdrückliche Einwilligung in den genannten Fällen oder Vertragserfüllung zugunsten der betroffenen Person. Die Verordnung 2025 regelt die Antragsbedingungen; wir strukturieren Übermittlungen danach.
Sind elektronische Signaturen in Ägypten gültig?
Ja. Artikel 14 des Gesetzes Nr. 15/2004 verleiht ordnungsgemäßen elektronischen Signaturen dieselbe Beweiskraft wie handschriftlichen Unterschriften nach dem Beweisgesetz, und Artikel 15 bewirkt dasselbe für elektronische Schriftform. Artikel 18 verlangt alleinige Verbindung zum Unterzeichner, dessen alleinige Kontrolle und Erkennbarkeit jeder Änderung; Ablauf und Zertifikatsarchitektur zählen also ebenso viel wie die Signatur selbst.
Was muss eine Plattform bei Sperranordnungen tun?
Artikel 7 des Gesetzes Nr. 175/2018 erlaubt Ermittlungsbehörden die Sperrung von Sites mit strafbarem, die nationale Sicherheit oder Wirtschaft bedrohendem Inhalt, mit gerichtlicher Vorlage binnen vierundzwanzig Stunden und Entscheidung binnen zweiundsiebzig Stunden; in Eilfällen kann die NTRA sofortige vorläufige Sperrung verlangen. Diensteanbieter müssen solche Mitteilungen sofort umsetzen und brauchen daher ein dokumentiertes Eingangs- und Ausführungsverfahren.
Wie beauftragen wir die Kanzlei mit einer ägyptischen Technologiefrage?
Senden Sie Dienstbeschreibung, Vertragsentwürfe und Lieferantenliste über die Kontaktseite; wir umreißen eine Erstprüfung zu NTRA-Lizenzierung, Datenschutz, Cybercrime-Pflichten und Vertragsgestaltung wie beschrieben. Unser Kairoer Büro führt solche Prüfungen routinemäßig durch, und frühe Abgrenzung ist deutlich günstiger als Umstrukturierung nach Anrufung von NTRA oder Zentrum.