香港香港大全HK GUIDE

公司网络安全条例合规

香港特区政府于2024年通过、将于2026年起分阶段实施的《保护关键基础设施（电脑系统）条例》（以下简称《条例》），是香港首个针对关键基础设施网络安全的专项立法。对于在港设立公司、运营业务或提供数字化服务的内地企业而言，这不再只是 IT 部门的内部事务——它直接关系到机构能否继续持牌运营、能否承接政府与大型机构业务、能否规避最高港币 500 万元的行政罚款。本文从适用对象、核心义务、落地路径三个维度，为内地企业主梳理一份可操作的合规框架。

一、哪些企业会被纳入监管？

《条例》采取”指定制”而非”普遍适用”——政府不会对所有在港企业一视同仁，而是分批将提供「必要服务」的营运者指定为「关键基础设施营运者」（Critical Infrastructure Operator，简称 CIO）。判断是否被指定，主要看三项因素：

维度 核心判断标准 举例
服务类别 是否提供能源、资讯科技、银行金融、陆空海交通、通讯广播、医疗保健、政府服务八大领域之一 港交所结算系统、银行核心系统、电力供应、自来水、医院数据平台
服务中断影响 该服务一旦中断，会否影响社会基本功能、经济运转或公共安全 单一支付清算通道、跨境数据枢纽
规模与依赖度 政府会参考用户规模、市场占有率、系统不可替代性 政府指定名单为准

内地企业主须知：并非所有内地背景企业都会被指定，但符合以下特征的企业被指定概率较高——持有支付牌照或金融业务牌照、为大型公共机构提供 SaaS/PaaS 服务、运营跨境物流或仓储数据平台、参与政府智慧城市项目、运营云数据中心或网络交换节点。具体名单以政府官方公布为准。

重要原则：即使未被正式指定为 CIO，凡承接政府项目或与指定 CIO 有数据互联的企业，仍可能受合同条款约束，被要求达到同等或近似安全标准——这在实务中被称为”延伸合规义务”。

二、四大核心义务：被指定后要做什么？

一旦被指定为 CIO，企业须履行四类核心义务，时间节点与执行细节以官方最新公布为准。

1. 识别并申报关键电脑系统

CIO 须在指定生效后规定期限内，识别其内部哪些电脑系统属于”关键电脑系统”——即”对必要服务的持续提供至关重要，一旦受损会危及服务可用性、完整性或机密性”的系统。

识别维度参考：

识别完成后须向「关键基础设施网络安全事务专责办公室」（下称”专责办”）提交《关键电脑系统清单》，清单变动须在 30 天内更新申报。

2. 落实安全防护与定期审计

被指定系统的安全基线由专责办发布，涵盖组织治理、物理与环境安全、访问控制、加密与密钥管理、漏洞管理、事件侦测与响应、备份与恢复等八大领域。CIO 须：

3. 主动报告网络安全事件

这是《条例》最具刚性的一环。发生网络安全事件后，CIO 须按严重程度分阶段报告：

事件等级 报告时限 报告对象
重大事件（影响服务持续提供） 察觉后 24 小时内 专责办 + 受影响服务监管机构
严重事件（重大数据泄露/系统入侵） 察觉后 48 小时内 专责办
一般事件 7 日内 专责办

注意：不得隐瞒、不得延迟、不得自行处置完毕才报告。报告义务独立于是否已完成修复——”先报告，后处置”是法定原则。

4. 配合政府应急与介入

当发生大规模或跨机构网络事件，专责办有权：

CIO 须在日常运营中预留应急协作接口，确保政府介入时能快速响应。

三、内地企业落地合规的五个步骤

对内地企业而言，香港的合规要求与内地《网络安全法》《数据安全法》《个人信息保护法》存在差异，不能简单照搬内地合规体系。建议按以下顺序推进：

步骤一：自查企业定位

对照八大必要服务领域，判断企业是否可能进入指定名单。考虑因素包括：业务模式、客户结构、数据集中度、是否承接公共项目。建议在指定名单正式公布前主动完成自查，避免被动等待。

步骤二：建立”网络安全负责人”机制

在港公司层面设立具职级的网络安全负责人（可称为 CISO 或网络安全总监），向董事会汇报。该负责人须熟悉香港法律环境、具备与监管机构沟通能力，并能与内地总部 IT 部门协调。

步骤三：绘制系统清单与数据流向图

对所有生产系统、办公系统、第三方接入系统进行盘点，明确：

清单形成后，预判其中哪些可能被认定为”关键电脑系统”，并按更严格标准提前加固。

步骤四：建设事件响应能力

《条例》最考验企业的不是日常防护，而是事件发生后的头 24 小时。建议：

步骤五：引入第三方合规咨询

合规涉及法律、技术、运营三个层面。建议引入同时具备以下三类资质的咨询机构：

合规体系的搭建周期通常 6 至 12 个月，预算应覆盖体系建设、第三方审计、应急演练与日常运维四部分。

四、内地企业常见误区与风险提示

误区 真实情况 风险
“我们没被指定就不需要合规” 承接指定 CIO 业务的承包商同样受合同条款约束 失去商业机会，被迫临时补做合规
“用内地合规体系就够了” 香港在系统识别、独立审计、事件报告时限上有特殊要求 形式合规但实质不合规，被监管指出
“等指定名单公布再行动” 系统盘点与加固需 6-12 个月，临阵准备来不及 错过指定后规定期限，可能被处罚
“事件处置完再报告” 报告义务独立于处置进度，先报告后处置是法定原则 被认定为隐瞒或延迟，承担加重责任
“安全是 IT 部门的事” 《条例》明确要求董事会或治理层参与安全决策 治理层缺位，政策缺乏顶层授权

关于处罚：违反《条例》可被处以最高港币 500 万元罚款，关键岗位人员还可能面临个人责任——这是香港网络安全领域迄今为止最重的法定罚则之一。

五、与内地法规的协同要点

在港内地企业往往同时受内地与香港两套规则约束，需特别关注：

香港的网络安全合规体系正在从”行业自律”走向”法定监管”。对内地企业主而言，这既是挑战也是机遇——早一步完成合规的企业，将在政府项目竞标、金融机构合作、跨境数据业务中占据明显优势。建议从今天起，把网络安全合规纳入公司治理议程，而非留给 IT 部门独自应对。

如需了解香港公司注册、税务申报、工作签证、数据跨境等更多实务内容，请持续关注 香港大全——内地人赴港全方位指南。

常见问答

《保护关键基础设施（电脑系统）条例》适用于所有在港内地企业吗？

并非所有在港内地企业都会被纳入监管。《条例》采取”指定制”，由政府根据服务类别、服务中断影响、规模与依赖度三项因素，分批将提供八大必要服务领域业务的营运者指定为关键基础设施营运者。未被正式指定的内地企业，一般不直接承担《条例》项下的法定义务；但承接政府项目或与指定 CIO 存在数据互联的企业，仍可能因合同条款而承担”延伸合规义务”。

内地企业如何判断自己是否可能被指定为关键基础设施营运者？

可对照八大必要服务领域——能源、资讯科技、银行金融、陆空海交通、通讯广播、医疗保健、政府服务，并结合自身业务模式、客户结构、数据集中度、是否承接公共项目进行自查。持有支付牌照或金融业务牌照、为大型公共机构提供 SaaS/PaaS 服务、运营跨境物流或仓储数据平台、参与政府智慧城市项目、运营云数据中心或网络交换节点的企业，被指定的概率相对较高。具体名单以政府官方公布为准。

被指定后，企业最迟要在多久内完成关键电脑系统识别与申报？

《条例》要求 CIO 在指定生效后规定期限内，识别其内部哪些电脑系统属于”关键电脑系统”，并向专责办提交《关键电脑系统清单》。清单发生变动时，须在 30 天内更新申报。由于具体期限以官方最新公布为准，企业应在被指定后第一时间与专责办确认时点要求，避免因逾期而承担行政责任。

发生网络安全事件后多久要向政府报告？能否先处置再报告？

《条例》明确”先报告，后处置”是法定原则，报告义务独立于修复进度。企业须按事件严重程度分阶段报告：重大事件须在察觉后 24 小时内报告，严重事件须在 48 小时内报告，一般事件须在 7 日内报告。不得隐瞒、不得延迟、不得自行处置完毕才报告，否则可能被认定为隐瞒或延迟，承担加重责任。

香港的网络安全合规体系与内地法规差异大吗？能否直接沿用内地合规体系？

两地合规体系存在明显差异，不能简单照搬。香港《条例》在系统识别标准、独立第三方审计、事件报告时限等方面有自身要求；同时，内地《网络安全法》《数据安全法》《个人信息保护法》在数据出境、个人信息处理等方面也有独立的法定要求。建议内地企业分别设计合规体系，并在合同模板中预先约定两套规则的衔接条款，必要时引入同时具备香港本地执业经验与内地企业服务经验的第三方合规咨询机构协助落地。

如果违反《条例》，企业会被处以多少罚款？个人是否也要承担责任？

违反《条例》可被处以最高港币 500 万元的罚款，是香港网络安全领域迄今为止最重的法定罚则之一。除机构罚款外，关键岗位人员还可能面临个人责任。因此《条例》明确要求董事会或同等治理机构参与安全决策，仅由 IT 部门独自应对难以满足治理层面的合规要求。具体处罚适用情形以官方最新公布为准。

延伸阅读