一家中国 SaaS 厂商签下了第一个马来西亚企业客户；一家深圳硬件集团决定把 IoT 平台放进赛城（Cyberjaya）的数据中心；一家杭州 App 工作室的马来西亚用户破百万，开始卖订阅。三家公司都不认为自己是"电信公司"，也都没想过需要向 马来西亚通讯与多媒体委员会（MCMC） 申请牌照。但《1998 年通讯与多媒体法》（Act 588，简称 CMA）从来不是按行业发牌的——它按 活动 发牌，而这份"须持牌活动"清单已经悄悄扩容：2022 年纳入云服务，2025 年纳入互联网即时通讯与社交媒体服务。2026 年 1 月 1 日起，MCMC 启用 CMA 第 46A 条的"视为注册"条款，把在马来西亚拥有 800 万名或以上用户的所有通讯与社媒平台自动纳入持牌范围。本文把整张牌照地图讲透：四大类别、个人牌照与类别牌照的本质差别、那条足以让"分公司"方案直接出局的资格限制、真实的费用与时限，以及如何一次性判断——你在马来西亚卖的东西，究竟属于须持牌、可类别注册，还是根本豁免。
CMA 为什么会管到软件公司头上
CMA 的立法思路是"融合"：网络、服务与内容统一由一部技术中立的法律管辖，而不是电信法与广播法各管一段。实际后果是——法案的牌照类别按 功能 定义，而不是按行业标签定义。只要你向马来西亚境内的最终用户提供具备"应用服务"功能的东西，你就落在这套框架内，无论你的公司自称电信商、云厂商、App 开发者，还是带联网平台的制造商。
对外资企业而言，两个特征比其他一切都重要：
- 没有按营收或人数设的"小企业豁免"。判断标准是你从事什么活动，而不是你规模多大。一家两个人的 Sdn. Bhd. 转售云存储，与超大规模云厂商落在同一个类别里。
- 持牌资格绑定"本地存在"，而"本地存在"有精确的法律含义。外国公司在马来西亚注册的 分公司 不符合条件。仅这一条规则，就改写了大多数中国数字项目落地马来西亚的公司架构。
未持牌而从事须持牌活动，属于 CMA 第 126 条 下的罪行：一经定罪，可处 不超过 RM500,000 罚款、不超过 5 年 监禁，或两者兼施；定罪后罪行持续的，每持续一日再罚 RM1,000。
四大牌照类别
CMA 下的一切都会落进四个类别之一。把类别判断对，这件事就完成了大半——因为类别直接决定你需要的是一张年费六位数的部长级牌照，还是一份 RM2,500 的年度注册。
| 类别 | 涵盖范围 | 典型持牌人 | 可用牌照形式 |
|---|---|---|---|
| 网络设施提供者（NFP） | 物理层——地面站、固定链路与线缆、无线电发射装置、卫星枢纽与控制站、空间站、海底电缆登陆站、铁塔、电杆、管道与人孔 | 铁塔公司、光纤资产方、卫星运营商、海缆联盟 | 个人牌照或类别牌照 |
| 网络服务提供者（NSP） | 承载层——带宽服务、广播分发服务、蜂窝移动服务、空间服务、交换服务、网关服务、接入应用服务 | 移动运营商、固网运营商、卫星服务商 | 个人牌照或类别牌照 |
| 应用服务提供者（ASP） | 通过网络向最终用户提供的服务——PSTN 与 IP 电话、公众蜂窝服务、公用电话、公众交换数据服务、目录服务、互联网接入、消息服务、互联网即时通讯服务、社交媒体服务、以及 云服务 | ISP、VoIP 服务商、即时通讯平台、社媒平台、云与托管服务商 | 仅有类别牌照——不存在 ASP 个人牌照 |
| 内容应用服务提供者（CASP） | 内容——卫星广播、订阅制广播、地面免费电视、地面广播电台 | 广播机构、付费电视运营商、电台 | 个人牌照或类别牌照 |
请注意第三行的不对称。MCMC 的发牌指南在 ASP 的"个人牌照"一栏写的是"不适用"。所有须持牌的应用服务，都是 以类别牌照形式 持有——那种便宜、行政化、逐年续注的登记。对软件公司来说这是好消息，也正是 ASP(C) 牌照如今成为马来西亚数字经济默认监管工具的原因。
个人牌照、类别牌照、豁免：三个不同的世界
CMA 的三个层级不是同一件事的不同程度，而是资格规则、审批主体与成本量级都不同的三套制度。
| 个人牌照 | 类别牌照 | 豁免／无须持牌 | |
|---|---|---|---|
| 性质 | 由部长依 MCMC 建议批出；属裁量性授予，附标准条件与特别条件 | 登记注册——行政流程，不涉裁量 | 无须任何申报 |
| 申请费 | 每张牌照 RM10,000（不退还） | — | — |
| 批准费 | 每张牌照 RM50,000 | — | — |
| 注册费 | — | 每张牌照 RM2,500，按年缴纳 | — |
| 年度牌照费 | 每个周年日按 每张牌照 RM100,000 与 年度总营业额的 0.5% 两者 孰高 缴纳 | 已包含在 RM2,500 年度注册费内 | — |
| 续期 | 续期处理与续期费 RM25,000 | 每年重新注册 | — |
| 有效期 | 自批出起 10 年（《2000 年发牌条例》第 11(1) 条） | 一个日历年（第 25(5) 条） | — |
| 处理时限 | MCMC 评估后向部长建议；部长自收到建议起 30 日内不作决定的，视为拒绝 | 资料齐备起 14 日（新注册）／7 日（年度重注册） | — |
| 财务门槛 | 实收资本 RM2,000,000（NFP／NSP）或 RM500,000（CASP）；最近一期审计账目净有形资产不低于 RM500,000；土著股权不低于 30% | 无公开门槛 | — |
| 其他条件 | 自获牌起 12 个月内开展该活动；财政年度结束后 3 个月内向 MCMC 提交审计账目；容许互联互通；提交普及服务（USP）净收入申报表 | 遵守 MCMC 就 NFP(C)、NSP(C)、ASP(C)、CASP(C) 各自公布的标准类别牌照条件 | — |
让多数方案当场出局的资格条款：外国公司不行，分公司也不行
这一条会直接重塑公司架构，而且 两个层级都适用。
就 个人牌照 而言，MCMC 指南列明了无资格申请的主体：《2016 年公司法》（Act 777）定义下的外国公司；个人或独资企业；以及合伙。只有在本地注册成立的公司才能持有。
就 类别牌照 而言，《2000 年通讯与多媒体（发牌）条例》第 23(1) 条规定两类主体无资格登记为类别持牌人：非永久居民的外籍个人，以及《2016 年公司法》定义下的外国公司。部长可依第 23(2) 条，基于正当理由或公共利益，准许上述主体提出申请——这条路存在，但属例外，且须满足 MCMC 逐案设定的条件。
关键词是"《2016 年公司法》定义下的外国公司"。它涵盖了境外公司在马来西亚注册的 分公司——恰恰是很多中国集团最先选择的形式，因为看起来比设子公司"轻"。MCMC 的云服务 FAQ 说得非常直白：外国主体的本地分公司不构成"本地存在"，因为分公司在法律上仍属该外国主体的一部分，为其登记将与第 23 条相抵触。
实务结论简单，但发现得晚代价很高：只要你在马来西亚销售的内容中有任何一项属于须持牌活动，持牌主体就必须是一家马来西亚注册的 Sdn. Bhd. 如果你已经设了分公司，可以先读我们对两种结构的对比：外国公司分行注册 vs 子公司——并做好在登记之前先完成注册公司的准备。
云服务：一条 2022 年就已生效的规则
MCMC 自 2022 年 1 月 1 日 起把云服务纳入 ASP(C) 牌照，设 3 月 31 日前的自愿登记宽限期，2022 年 4 月 1 日 起正式强制执行。四年过去，它仍然是在马来西亚运营的外资科技公司最常漏掉的一张牌照——一半因为立法刻意采取"轻触式"处理，一半因为"我们又不是电信公司"仍然是本能反应。
MCMC 给出的定义相当宽：云服务指云计算提供商的服务器通过互联网按需向最终用户提供的任何服务。"最终用户"可以是自然人，也可以是法人——所以"我们只做银行与企业客户、完全没有 to C 产品"并不能让你跳出定义之外。
谁必须登记，取决于 本地存在 测试。MCMC 自己给的四个例示值得原样列出，因为它们几乎覆盖了全部真实情形：
| 情形 | MCMC 的立场 |
|---|---|
| A 公司在本地注册成立，向最终用户提供云服务 | 必须登记为 ASP(C) 持牌人 |
| B 公司未在本地注册，但通过本地数据中心 C 公司提供云服务 | C 公司必须登记——实际提供该外国服务的本地主体才是须持牌人 |
| D 公司未在本地注册，也未通过任何本地数据中心提供云服务 | 无须登记 |
| E 公司未在本地注册，但设有本地分公司 | 该分公司不能登记——分公司不构成本地存在 |
另有两条边界值得留意。其一，网页托管与客户端／服务器活动仍属豁免，依《2000 年通讯与多媒体（发牌）（豁免）令》处理——轻触式监管刻意没有动它，因此纯托管转售商不会被卷进来。其二，MCMC 对云服务活动所取得的收入适用 零权重系数，这会影响与牌照相关的收入计算如何对待这部分收益。
登记本身并不繁琐：CMA 第三附表 Form D 一式两份、RM2,500 年度注册费、注册通知清单、《2016 年公司法》下的法定表格、公司简介与组织架构图，以及所提供服务（此处即云服务）的简要说明。新注册 14 日，年度重注册 7 日。
如果你在马来西亚的落点是数据中心而不是软件产品，牌照只是庞大审批链条中的一环——电力、水资源与可持续性条件如今才是主战场。详见我们的 2026 年马来西亚数据中心审批规则。
即时通讯与社交媒体：800 万用户的"视为注册"
ASP(C) 牌照最受关注的用法，是平台发牌框架。自 2025 年 1 月 1 日 起，在马来西亚拥有 800 万名或以上用户 的互联网即时通讯服务与社交媒体服务提供者，必须持有 ASP(C) 牌照。这项义务由门槛触发：低于门槛者，不因这项裁定而被要求持牌。
到 2026 年 1 月 1 日，MCMC 推进到下一阶段，启用 CMA 第 46A 条 的"视为"条款：符合条件的提供者被 视为 已注册的 ASP(C) 持牌人，无须再自行申请。MCMC 点名了被纳入的平台——WhatsApp、Telegram、Facebook、Instagram、TikTok 与 YouTube——并说明此举旨在确保大规模服务提供者在马来西亚的法律与监管框架内有序、一致、有效地运营，与国际上监管大型在线平台的做法一致。
对中国 App 公司而言，解读需要精确：
- 马来西亚用户不足 800 万时，通讯／社媒裁定本身不构成你必须持 ASP(C) 的理由。但这不等于你在 CMA 之外——请另行检查你提供的其他内容（云服务、互联网接入、一般消息服务）是否属于类别活动清单。
- 接近 800 万时，应把牌照当成规划项而非事后合规项。持牌主体必须是本地注册公司，也就是说，公司实体、董事与法定簿册都得在跨过门槛之前就位。
- "视为注册"不是豁免。被视为持牌的主体，同样承担完整的牌照条件，以及附着于牌照之上的法定义务——包括下文的《在线安全法》。
《2025 年在线安全法》搭在牌照之上
《2025 年在线安全法》（Act 866） 已于 2026 年 1 月 1 日 生效，其适用范围直接援引 CMA：适用于依 Act 588 持牌的服务提供者——持牌应用服务提供者、持牌内容应用服务提供者与网络服务提供者，统称"持牌服务提供者"。由于 800 万级平台被视为 ASP(C) 持牌人，它们自动落入该法之内。
其义务是操作性的，不只是宣示性的。持牌应用服务提供者与持牌内容应用服务提供者须落实安全措施、向用户提供指引、在其服务上提供 让用户举报有害内容的机制，并编制 在线安全计划。违反订明义务的，据报可处最高 RM1,000 万 的罚款；MCMC 有权调查、发出指示并强制执行。
哪些是豁免的——以及为什么应该先查这一栏
MCMC 的发牌框架同时公布了 不须持牌 的活动，而很多软件企业的答案就在这里。在应用服务类别下，豁免／无须持牌的活动包括：
- 电子交易服务（Electronic transaction service）
- 互动交易服务（Interactive transaction service）
- 联网广告牌与 Cineplex
- 网页托管或客户端／服务器（Web hosting or client server）
在网络侧，附带性网络设施、专用网络设施、广播与制作演播室、LAN 服务、附带性网络服务与专用网络服务均属豁免；在内容应用侧，互联网内容应用服务属豁免。
一个本质上属于交易服务的电商平台，或一家企业网站托管商，完全可能整体落在这一栏。这项分析值得认真做、并且落成书面文件——它决定的是"每年 RM2,500 的申报"还是"完全不必申报"，而且万一 MCMC 来问，这就是你要拿得出来的那份文件。
五种情形，五个答案
| 你在马来西亚做什么 | 大概率结论 | 下一步 |
|---|---|---|
| 从中国向马来西亚客户销售 SaaS，无马来西亚主体、无马来西亚数据中心 | 按 MCMC 的本地存在测试，不在登记要求范围内 | 把分析写成书面记录；一旦本地注册公司或把负载迁到本地，立即重估 |
| 马来西亚 Sdn. Bhd. 向本地客户转售或提供云服务 | 须持 ASP(C) 牌照 | 向 MCMC 登记；每年预算 RM2,500 并办理年度重注册 |
| 外国云厂商通过马来西亚数据中心伙伴服务本地市场 | 本地数据中心主体 才是须持牌人 | 把该义务写进托管合同；核实伙伴的 ASP(C) 是否在有效期内 |
| 通讯或社媒 App 跨过 800 万马来西亚用户 | ASP(C) 加《在线安全法》义务 | 在跨过门槛之前先设好马来西亚公司；安全计划与举报机制要在跨线前建好 |
| 自建或持有铁塔、光纤，或以运营商身份经营 | NFP 与／或 NSP 个人牌照 | 按 RM200 万实收资本、RM50 万净有形资产、30% 土著股权，以及每张牌照每年 RM100,000 起的年费做规划 |
接下来该怎么做
按这个顺序推进。第一，把你将实际向马来西亚用户提供的每一项服务逐条写下来，对照上文 NFP／NSP／ASP／CASP 的表格逐条归类——包括豁免那一栏。第二，决定马来西亚主体放在哪里，因为分公司不能持牌，而事后再补注册公司只会更慢。第三，为层级定价：每年 RM2,500 是零头，而个人牌照是六位数的年度承诺，外加资本与股权门槛。第四，把目光越过牌照本身，看清附着其上的义务——在线安全、网络安全、数据保护。
ONEKEY BIZ 为进入马来西亚的中国科技集团处理整条链路：注册用于持牌的 Sdn. Bhd.、准备 Form D 申报与配套文件，并把年度重注册与公司秘书、税务申报排在同一条时间线上。如果你还在判断"马来西亚数字身份（Malaysia Digital）"是不是更合适的外壳，请先读我们的 MDEC 马来西亚数字框架指南——这两套制度回答的是不同的问题，却常被混为一谈。
把你要上线的东西告诉我们，我们会在你确定架构之前，先把牌照定位写成书面意见。可从 免费咨询 开始，或了解我们如何为科技集团办理 Sdn. Bhd. 公司注册。
常见问题
我们在马来西亚的分公司可以持有 MCMC 类别牌照吗？
不可以。《2000 年通讯与多媒体（发牌）条例》第 23(1) 条规定，《2016 年公司法》定义下的外国公司无资格登记为类别持牌人；MCMC 的云服务发牌 FAQ 也明确指出，外国主体的本地分公司不构成「本地存在」，因为分公司在法律上仍属该外国主体的一部分。个人牌照同样排除外国公司。只要你在马来西亚从事的活动属须持牌活动，持牌主体就必须是马来西亚注册的 Sdn. Bhd.。部长可依第 23(2) 条准许例外，但属裁量且附条件。
我们从中国向马来西亚客户销售 SaaS，在当地没有实体，需要登记吗？
按 MCMC 公布的「本地存在」测试，不需要。其云服务 FAQ 的例示很直接：未在本地注册、也未通过任何本地数据中心提供云服务的公司，无须登记为 ASP(C) 持牌人。但有两件事会改变结论——在马来西亚注册公司并由其提供服务，或通过马来西亚数据中心交付（此时本地数据中心主体才是须持牌人）。请把这项分析写成书面记录，并在上述事实一旦改变时立即重估。
ASP(C) 类别牌照实际要花多少钱、多久能下来？
注册费为每张牌照 RM2,500、按年缴纳；依第 25(5) 条，注册有效期为一个日历年，因此需逐年重新注册。资料齐备后，MCMC 新注册 14 日内处理、年度重注册 7 日内处理。需提交第三附表 Form D 一式两份、注册费、注册通知清单、《2016 年公司法》下的法定表格、公司简介与组织架构图，以及所提供服务的说明。相比之下个人牌照为：申请费 RM10,000、批准费 RM50,000，年费按每张 RM100,000 与年度总营业额 0.5% 孰高。
我们的 App 离 800 万马来西亚用户还很远，是不是完全不受 CMA 管？
不一定。800 万是针对互联网即时通讯与社交媒体服务那项裁定的门槛——低于门槛，仅表示该项义务未被触发，并不涉及清单上的其他应用服务。若你同时以马来西亚主体提供云服务、互联网接入、消息服务或 ASP 类别清单上的其他活动，ASP(C) 的要求可能与用户数无关地独立成立。请把你提供的每一项服务逐条对照类别清单，而不是只盯住一个头条门槛数字。
相关代办服务
这篇文章讲的流程，以下服务我们可以直接替您办完。
- Sdn. Bhd. Incorporation全流程在 SSM 注册私人有限公司（Sdn. Bhd.）。
- Annual Return (Section 68)按时向 SSM 提交公司年度周年申报。
- Appointment / Resignation of Director更新董事会——委任或辞任董事（Section 58/201）。
资料来源与参考
- MCMC — Licensing Guidebook 2025 (Licence Application Procedure and Licensing Criteria)
- MCMC — Class Licence: NFP, NSP, ASP & CASP
- MCMC — Individual Licence: NFP, NSP & CASP
- MCMC — FAQ on Licensing Cloud Service Providers
- MCMC — Regulatory Framework for Internet Messaging and Social Media Service Providers
本文仅供一般参考，不构成法律、税务或移民建议。相关政策、门槛与官方费用由马来西亚主管机构制定，并可能随时调整。请就您的具体情况咨询我们的顾问。