中小企业网络安全资助计划申请
勒索软件、供应链攻击、AI 换脸诈骗——香港近年针对企业的网络攻击呈上升趋势。香港生产力促进局（生产力局）属下的 网络安全漏洞研究及评估中心（CSI） 与 科技券计划（TVP） 长期为本地中小企业提供网络安全相关资助；2025–2026年度，相关部门进一步整合资源，企业可同时申请两套资助，用以采购检测、应急、培训等多项服务。
核心优势：事前检测与事后应急均可获资助；无须一次性投入大额资金；获批后可由政府指定第三方提供专业服务。
一、谁可以申请？基本门槛
两套资助对申请人资格有共通要求，亦各有侧重。
通用资格
- 在港注册：持有商业登记证（BR）的本地实体，包括有限公司、无限公司、合伙、独资均可
- 实质营运：在香港有真实业务运作，雇员通常不少于 2 人
- 非受资助机构：本身不是政府资助的公营机构、法定组织或公营公司
- 非上市机构（部分计划适用），以避免与公开市场股东重复受惠
申请人需提交的关键文件
| 文件类别 | 用途 |
|---|---|
| 商业登记证 | 证明合法注册 |
| 公司注册证书（有限公司适用） | 主体识别 |
| 业务证明文件（合约、发票、报税表） | 证明实质营运 |
| 项目报价单 | 厘定资助金额上限 |
| 项目计划书 | 说明目标、范围、预算、交付物 |
行业限制
部分行业受监管较严（如持牌金融机构、互联网银行），须先与所属监管机构沟通，确认资助项目不会与现行监管要求重叠。
二、两套主要资助计划对比
香港现行与网络安全直接相关的政府资助计划主要有以下两套，互不冲突，可在同一公司同一财年内分项申请。
| 维度 | 科技券计划（TVP） | 中小企业网络安全资助（CSI 系列） |
|---|---|---|
| 资助方 | 创新及科技基金下名义组 | 生产科技局统筹 |
| 资助比例 | 政府配对，最高 3:1（即企业自付 25%） | 通常为项目费用一定百分比，以官方最新公布为准 |
| 单项目上限 | 港币 90 万元（以官方最新公布为准） | 港币 50 万元（以官方最新公布为准） |
| 累计上限 | 每家企业累计上限港币 180 万元 | 视乎年度配额与个别计划 |
| 覆盖范围 | 检测服务、应急响应、咨询服务、培训、合规咨询、软件采购、硬件采购（云端版） | 检测评估、应急响应、员工培训、认证咨询 |
| 申请周期 | 全年滚动受理，按月或季度评审 | 视乎年度财政周期，通常分批申请 |
| 核销方式 | 先垫后审，企业先行支付、获批后发还资助额 | 视乎个别计划，部分为先垫后审、部分为直接折扣 |
提示：两套计划属不同资助来源，理论上可在同一年度内就不同项目分别申请；但企业须保留清晰的账目分隔，避免审计时出现重复受惠疑议。
三、典型可资助项目清单
网络安全涵盖的领域相当广泛。以下项目类型在过往获批个案中较常出现（实际以官方最新公布为准）：
检测与评估
- 网络渗透测试：模拟真实攻击，测试企业网络、应用、系统的安全漏洞
- 漏洞扫描与弱密码审计
- 钓鱼邮件演练（Phishing Simulation）：以模拟钓鱼邮件测试员工警觉性
- 红蓝对抗演练：攻防两端实战演练
应急响应与复原
- 勒索软件应急处置
- 事故调查与根因分析
- 数据复原与备份验证
- 事件后合规通报协助
培训与认证
- 员工网络安全意识培训
- IT 管理人员专业认证（如 CISSP、CISM、ISO 27001 等）培训费
- 管理层网络安全治理工作坊
- 桌面演练（Tabletop Exercise）
合规与制度建设
- ISO 27001 信息安全管理体系建设咨询
- 个人资料（私隐）条例合规咨询
- 第三方供应商尽职调查框架建立
技术采购（部分计划覆盖）
- 端点侦测与回应（EDR）软件订阅
- 多重身份验证（MFA）解决方案
- 漏洞管理平台
- 安全资讯与事件管理（SIEM）云端服务
四、申请前需要做的准备
获得资助并非一蹴而就，建议企业主在正式递交前预留 2–4 个月 准备时间。
第一步：内部网络安全体检
- 列出当前 IT 资产清单：服务器、终端、云端服务、物联网装置
- 盘点已有安全措施：防火墙、防毒软件、备份策略、密码政策
- 整理过往事故记录：如曾否被钓鱼、勒索软件、数据外泄
第二步：识别真实风险与优先项
可参考 NIST 网络安全框架或香港金管局 Cyber Resilience Assessment Framework，自评当前成熟度等级（1–5 级）。常见弱点包括：
- 仅有防毒软件，缺乏端点侦测
- 备份未做异地演练
- 员工未接受年度钓鱼演练
- 第三方供应商无安全审计
第三步：选定服务供应商
两套资助均要求供应商为计划认可名单内机构。挑选供应商时建议考虑：
| 评估维度 | 关键问题 |
|---|---|
| 资质 | 是否具备认可资格、相关认证、过往获批经验 |
| 经验 | 服务行业背景是否与本企业相近 |
| 报价透明度 | 是否提供分项报价、是否含隐性收费 |
| 交付物 | 报告格式、复盘机制、后续跟进支援 |
| 行业限制 | 是否熟悉本行业监管要求 |
第四步：撰写项目计划书
计划书须涵盖以下要素，是评审的核心依据：
- 背景与痛点：说明企业当前面临的网络安全挑战
- 项目目标：期望达成的具体成果，如减少多少高危漏洞
- 项目范围：明确包含与不包含的工作
- 实施方法：使用何种工具、框架、最佳实践
- 时间表：分阶段里程碑
- 预算明细：按服务、人月、工具订阅逐项列出
- 预期成效：可量化的指标，如漏洞修复率提升、员工演练通过率提升
五、申请流程拆解
两套计划的整体流程相近，主要阶段如下：
| 阶段 | 关键动作 | 预估时间 |
|---|---|---|
| 1. 准备 | 内部盘点、风险评估、选定供应商 | 4–8 周 |
| 2. 报价 | 取得认可供应商正式报价单 | 1–2 周 |
| 3. 撰写 | 完成计划书、预算表、申请人声明 | 2–4 周 |
| 4. 递交 | 经计划指定渠道提交电子申请 | 1 周 |
| 5. 评审 | 计划秘书处初审、专家评审、批核委员会 | 约 6–12 周 |
| 6. 签约 | 与计划秘书处及供应商签订三方协议 | 1–2 周 |
| 7. 执行 | 项目按计划书实施，企业保留凭证 | 视乎项目周期 |
| 8. 验收 | 提交最终报告、成果证明、付款发票 | 2–4 周 |
| 9. 发还 | 计划秘书处审核后发还资助款项 | 4–8 周 |
整体从准备到获得发还，常规项目约 6–12 个月。
六、常见被拒原因与避坑要点
根据近年公开的获批与被拒案例统计，常见被拒原因如下：
- 项目与企业业务脱节：计划书仅描述通用 IT 升级，未具体说明网络安全成效
- 报价单一供应商且缺乏市场比较：评审会怀疑价格合理性
- 预算虚高：明显高于市场行情，缺乏分项依据
- 成果难以量化：未设定可衡量的关键绩效指标
- 供应商不在认可名单：直接导致资格不符
- 企业自身出资能力不足：评审会质疑项目可持续性
- 重复申请：曾就相同项目获批同类资助
实务建议
- 计划书内每一个项目活动都对应一个可量化指标
- 预算表分项越细越好，至少按”人月 × 单价”拆解
- 附上供应商过往同类项目案例摘要
- 在计划书中预留风险管理章节，说明若项目延期或供应商更换的应对机制
七、资助获批后的合规要求
获得资助并不代表万事大捷，企业仍须遵守多项合规要求：
- 项目变更须事先申请：范围、供应商、时间表如需调整，须事先取得秘书处书面批准
- 凭证保存：所有发票、合同、付款记录须保留至少 7 年
- 成果共享：部分计划要求企业分享项目经验、用作案例推广
- 实地审计：秘书处有权就获批项目进行实地或书面审计
- 进度报告：项目执行期间可能须提交中期进度报告
- 避免利益冲突：与关联公司进行交易须事先披露并取得批准
八、内地企业主特别注意事项
跨境数据传输
部分检测工具在境外运作，扫描结果可能涉及跨境传输。须评估是否符合《个人资料（私隐）条例》及内地《数据安全法》《个人信息保护法》要求。
资金来源合规
如企业股东包含内地资本，建议保留清晰资金来源证明，避免被反洗钱审查延误审批。
公司架构清晰度
评审通常会查阅公司注册处的资料，如股权结构、董事资料、最终实益拥有人。建议提前整理一份架构图，必要时附于计划书附录。
语言与文化差异
计划书须以中文或英文撰写。建议由熟悉本地政府文书风格的顾问协助，避免表述过于直译。
与现有监管协调
若企业属持牌金融机构、保险公司或受规管电子支付机构，须先与所属监管机构沟通，避免资助项目与监管要求重叠。
九、结语：把资助当作起点而非终点
获得政府资助只是网络安全建设的起点，而非终点。建议企业在项目完成后建立持续改进机制：
- 将本次项目的检测结果纳入下一年度的漏洞管理周期
- 把培训内容固化为新员工入职流程的一部分
- 每年至少进行一次桌面演练或钓鱼演练
- 持续关注香港电脑保安事故协调中心（HKCERT）的最新警报与最佳实践
内地企业主在港经营，除了把握网络安全资助外，亦应同步关注个人资料私隐专员公署（PCPD）发布的《人工智能私隐框架模型》，以及金管局针对中小企的网络安全指引。
香港大全 整理了更多关于香港公司运营、签证、税务、资助的实用指南，欢迎站内浏览。
常见问答
TVP 科技券与 CSI 中小企业网络安全资助可以同时申请吗？
可以。两套计划属不同资助来源，理论上可在同一年度内就不同项目分别申请；但企业须保留清晰的账目分隔，避免审计时被认定为重复受惠。建议在计划书与账目上明确区分项目内容、供应商与开支明细。
申请网络安全资助一般需要准备多久？
建议在正式递交前预留 2–4 个月准备时间。整体流程通常包括内部盘点、风险评估、选定认可供应商、撰写计划书、电子递交、评审、签约、执行、验收与发还等阶段，从准备到拿到发还款项，常规项目约 6–12 个月。
内地股东占多数的香港公司申请资助，会不会被额外审查？
文章指出，评审通常会查阅公司注册处的股权结构、董事资料与最终实益拥有人资料。若股东包含内地资本，建议提前整理一份清晰的股权架构图，必要时附于计划书附录；同时保留清晰的资金来源证明，避免被反洗钱审查延误审批。语言与文书风格亦建议由熟悉本地政府文书的顾问协助撰写。
哪些类型的网络安全项目最容易获批？
过往获批个案中较常出现的项目类型包括：网络渗透测试、漏洞扫描与弱密码审计、钓鱼邮件演练、勒索软件应急处置、员工网络安全意识培训、ISO 27001 体系建设咨询，以及端点侦测、MFA、SIEM 等云端安全方案订阅。能否获批更关键的是计划书能否将项目活动对应到可量化的成效指标，并附有合理分项预算与供应商比较依据。
持牌金融机构或受监管行业可以申请这两套资助吗？
可以申请，但文章提醒，部分行业受监管较严，须先与所属监管机构沟通，确认资助项目不会与现行监管要求重叠；同时须留意计划书中关于跨境数据传输、供应商利益冲突披露、成果共享等方面的合规要求，避免与既有监管义务产生冲突。