香港香港大全HK GUIDE

新工业势力数据安全合规要求与材料

「新工业势力资助计划」（NII，全称 New Industrialisation Initiative）由香港特区政府生产力促进局（HKPC）统筹执行，旨在资助本地中小企业将生产线迁移、应用智能制造技术升级转型。计划自2024年起多次优化，单一项目资助额上限最高可达项目总开支的50%（具体金额与年度预算挂钩，以生产力局最新公布为准）。

评审过程中，数据安全合规是技术评审环节的「一票否决项」之一。即使方案在技术先进性、投资回报、产业链带动方面都拿到高分，只要数据合规清单缺失或承诺书未签署，项目仍可能被打入「待补正」甚至直接驳回通道。本文整理2026年申请周期内中小企业必须关注的合规要点与必备材料清单。

一、为什么数据合规成为资助评审硬指标？

NII 资助的核心场景集中在智能生产、数据采集与分析、AI 视觉质检、IoT 联网设备等领域。这些场景天然涉及三类敏感数据：

  1. 生产数据：产能、配方、工艺参数、良品率
  2. 客户与供应链数据：订单信息、上下游企业商业秘密
  3. 个人数据：工厂员工信息、人脸识别考勤数据、访客记录

随着香港《个人资料（私隐）条例》（PDPO）执法趋严，以及《网络安全（关键基础设施）条例》在2025年通过立法，数据安全已不再是企业的「附加题」，而是政府资助评审中衡量企业治理能力的重要维度。

关键认知：资助评审委员希望看到申请企业「具备处理敏感数据的基础能力」，而非要求企业达到上市公司级别的合规水平。

二、合规要求覆盖的四大维度

NII 申请表格与评审指引中，数据安全合规要求拆解为以下四个维度，企业可据此自查：

1. 资料分级与分类管理

企业须提交「资料分级清单」，对项目涉及的数据按敏感度分级处理：

分级 数据类型示例 处理要求
公开级 产品规格书、宣传资料 无特殊限制
内部级 工艺参数、产线排程 仅授权人员访问
机密级 客户名单、供应商合同 加密存储 + 访问日志
敏感级 个人资料、生物识别数据 加密传输 + 匿名化处理 + 留存期限管理

2. 数据存储与跨境流转

由于生产线可能涉及内地厂房、香港总部或海外客户，跨境数据流转是评审高频提问点。企业需说明：

3. 系统访问与权限控制

评审委员通常会查阅申请企业的权限管理机制：

4. 应急响应与事故通报

企业需提交「数据安全事件应急方案」，至少包含：

三、申请时必须准备的六类材料

下表整理NII资助申请阶段数据安全相关的核心材料，按准备难度从低到高排列：

材料编号 材料名称 核心内容 准备难度
01 资料分级清单 按上表四级分类的项目涉及数据清单 ★☆☆
02 数据生命周期流程图 采集→存储→使用→销毁的可视化流程 ★★☆
03 系统访问权限清单 账号、角色、权限矩阵表 ★★☆
04 第三方供应商安全声明 云服务商 / SaaS供应商提供的安全合规证明 ★★☆
05 数据安全事件应急方案 响应流程、联系人、通报机制 ★★★
06 资料保障承诺书 按生产力局指定模板签署 ★☆☆

关键材料说明

材料01｜资料分级清单：这是评审委员评估「企业是否理解数据敏感度」的第一窗口。清单无须复杂格式，使用 Excel 表格即可，每一项数据注明：所属分级、存储位置、负责人。

材料02｜数据生命周期流程图：建议使用 Visio、draw.io 或 PowerPoint 绘制，清晰呈现数据从生产设备产生到最终清除的全流程。流程图应标注加密节点、备份节点、销毁节点。

材料05｜数据安全事件应急方案：这是少数需要企业高层签批的文件。方案应避免空话，列出具体响应步骤，例如：

「T+0 小时内由 IT 负责人初步评估事件等级；T+24 小时内由项目总监决定是否启动对外通报；T+72 小时内完成受影响范围评估。」

材料06｜资料保障承诺书：此文件由生产力局提供模板，申请企业法定代表人须亲笔签署。承诺书一旦签署即具有法律效力，企业须对所提交资料的真实性与数据处理合规性承担法律责任。

四、常见「一票否决」情境与规避建议

根据公开案例与生产力局反馈，NII 申请在数据合规环节被驳回的常见原因包括：

情境A：承诺书漏签或代签

承诺书须由企业法定代表人签署，盖公司印章。若由项目经理代签或仅盖电子章，将被退回补正。

规避建议：在递交前一周预留法定代表人时间，避免临时出差或休假导致延误。

情境B：第三方供应商声明缺失

许多企业使用阿里云、AWS、Microsoft Azure 等云服务。若未取得供应商提供的安全合规声明（如 ISO 27001、SOC 2 报告），会被视为「数据存储合规链不完整」。

规避建议：在采购云服务时即向供应商索取最新版本的安全合规证明文件，并存放于独立文件夹以备审计。

情境C：跨境流转表述模糊

部分企业直接在申请材料中写「数据存储于云端」而未说明具体地理位置。若涉及欧盟客户的个人数据，未说明是否签署 SCCs 即构成合规漏洞。

规避建议：在「资料分级清单」中明确每一类数据的存储区域，例如：「客户订单数据存储于香港 AWS ap-east-1 区域」。

情境D：应急方案过度套用模板

部分企业直接套用网上下载的通用方案，未结合自身业务流程定制。评审委员若发现方案与项目实际场景不匹配，会要求补正。

规避建议：方案中至少包含两项与本项目直接相关的具体场景，例如：「若 AI 质检模型被恶意输入污染数据时的回滚机制」。

五、自查清单：递交前最后一遍检查

企业在按下「递交」按钮前，建议对照以下清单逐项确认：

完成全部勾选后，材料方可进入正式递交阶段。

六、延伸阅读与官方资源

NII 资助计划的具体材料要求、评审标准与时间表可能随年度预算调整而变化。建议企业在准备申请材料前：

对于首次申请政府资助的中小企业而言，数据安全合规不仅是「过关工具」，更是企业治理能力升级的契机。一套完整的资料分级与权限管理体系，不仅能顺利通过 NII 评审，也可直接复用于未来申请 BUD 专项基金、EMF 容易混淆的「市场推广基金」等其他政府资助项目。

更多香港政府资助计划申请指南、智能制造转型案例与本地法规解读，请持续关注 hkguide.org —— 内地企业赴港全方位实务参考平台。

常见问答

NII 资助计划中数据安全合规为什么会被一票否决？

文章明确指出，数据合规是技术评审环节的「一票否决项」之一。NII 资助场景集中在智能生产、数据采集与分析、AI 视觉质检、IoT 联网设备等领域，天然涉及生产数据、客户与供应链数据、个人资料等敏感信息。即使方案在技术先进性、投资回报、产业链带动方面都拿到高分，只要数据合规清单缺失或承诺书未签署，项目仍可能被「待补正」甚至直接驳回。

申请 NII 时需要准备哪些数据安全相关材料？

文章整理了六类核心材料：资料分级清单、数据生命周期流程图、系统访问权限清单、第三方供应商安全声明、数据安全事件应急方案、资料保障承诺书。其中承诺书须按生产力局指定模板、由企业法定代表人亲笔签署并加盖公司印章。

内地厂房与香港总部之间传输数据，需要在申请材料中如何说明？

文章在「数据存储与跨境流转」维度提到，企业须说明数据存储地点（本地服务器 / 云服务商 / 混合架构）、跨境传输是否经过加密、是否签署标准合同条款（SCCs），以及是否符合内地《数据出境安全评估办法》或香港相关法规要求。建议在「资料分级清单」中明确每一类数据的具体存储区域，例如注明「客户订单数据存储于香港 AWS ap-east-1 区域」。

资料保障承诺书可以由项目经理代签或仅盖电子章吗？

不可以。文章在「情境A」中专门指出，承诺书须由企业法定代表人签署并加盖公司印章；若由项目经理代签或仅盖电子章，将被退回补正。文章建议在递交前一周预留法定代表人时间，避免临时出差或休假导致延误。

第三方云服务商的安全合规声明一般指哪些文件？

文章在「情境B」中提到，企业若使用阿里云、AWS、Microsoft Azure 等云服务，须取得供应商提供的安全合规声明，常见的包括 ISO 27001、SOC 2 报告等。建议在采购云服务时即向供应商索取最新版本的安全合规证明文件，并存放于独立文件夹以备审计；声明文件需齐全且在有效期内。

数据安全事件应急方案需要写到多细？

文章强调方案应避免空话，需列出具体响应步骤，例如「T+0 小时内由 IT 负责人初步评估事件等级；T+24 小时内由项目总监决定是否启动对外通报；T+72 小时内完成受影响范围评估」。方案至少应包含发现数据外泄后的初步响应时限、内部通报流程与责任人、向监管机构（如私隐专员公署）申报的判断标准、受影响客户的通知机制。方案须由企业高层签批，且至少包含两项与本项目直接相关的具体场景，避免直接套用通用模板。

NII 资助额度上限是多少？

文章提到，NII 计划单一项目资助额上限最高可达项目总开支的 50%，但具体金额与年度预算挂钩。文章同时提醒，资助计划的具体材料要求、评审标准与时间表可能随年度预算调整而变化，企业应以生产力局最新公布为准。

延伸阅读