简介

香港法例第653章《保护关键基础设施（电脑系统）条例》（「该条例」）及其相关的《实务守则》已于2026年1月1日正式生效，就香港的关键基础设施营运者建立了一套专有的法定网络安全规范。在此框架下，香港的网络安全由原本自愿管控变为具法律约束力的责任，涵盖必要服务所需的关键电脑系统的管治、技术保障及事故应变等方面。请参阅我们2025年3月〈《保护关键基础设施（电脑系统）条例草案》的主要条文概览〉一文对该条例草案的介绍。

该条例的目标

该条例的主要目标是减少因关键电脑系统受到网络攻击以致必要服务受到干扰、进而影响香港社会日常运作的风险。在该条例下，指定的关键基础设施运营者（「关键基础设施运营者」）负有法定责任，须就其涵盖的系统采用适当的架构、预防及事故应变措施，以达成上述目标。

该条例由保安局辖下的关键基础设施（电脑系统安全）专员（「专员」）监督，并由通讯事务管理局（「通讯局」）及香港金融管理局（「金管局」）等指定机构就其职权范围提供支援。

适用范围

此制度聚焦于为香港提供必要服务的「关键基础设施」，包括能源、资讯科技、海陆空交通运输、金融、医疗及电讯和广播，亦涵盖大型体育及表演场地以及研发园区，反映有关设施在经济及社会层面有广泛的重要性。

在上述行业，特定营运者可能被指定为关键基础设施运营者，并须遵守该条例及《实务守则》下的责任。即使没有被正式指定为关键基础设施运营者的机构，当局也鼓励他们以《实务守则》为基准，加强自身的网络安全及应变能力。

三类法定责任

在该条例下，关键基础设施运营者的责任分为三类：

第1类责任（架构）：包括在香港持续设有办事处；就关键基础设施营运者的变更（例如拥有权变更）作出通知；及设立专用的电脑系统安全管理单位，由合资格的人员监督。

第2类责任（预防）：包括通报关键电脑系统的重大变更；制定及实施正式的电脑系统安全管理计划；定期进行安全风险评估及系统安全审核。

第3类责任（事故通报及应对）：包括参与电脑系统安全演习；维持及实施应急计划；以及在指定时限内向专员报告符合指明条件的电脑系统安全事故。

不遵守上述法定责任或专员发出的指示属刑事罪行，可被判处30万至500万港元不等的巨额罚款，另加持续违规期间每日罚款。

《实务守则》的作用及地位

专员已根据该条例第8条制定《实务守则》，就关键基础设施营运者如何具体履行第1、2及3类责任提供实务指引。虽然《实务守则》并非附属法例，不遵守不会构成刑事罪行，但会成为监管要求及执法指示的重要参考依据。

通讯局及金管局等指定机构可在其各自行业正式采纳《实务守则》的第1及第2类责任，并可发布行业专用的附加守则，按照特定风险状况调整规定。实际上，关键基础设施运营者在评估其政策、管控措施及事故应变能力时，应以《实务守则》为基准。

何谓「关键电脑系统」

凡关键基础设施运营者可在香港接达或可从香港接达、而在指定关键基础设施的核心功能方面担当重要角色的电脑系统，均可被指定为「关键电脑系统」。《实务守则》提供了多项评估参考指标，包括系统对于必要服务的重要性、系统如受到扰乱将造成的影响的严重程度、系统是否处理敏感数码资料，以及系统与其他关键基础设施运营者或其他关键电脑系统的依赖程度。

《实务守则》清楚指出，监控及资料收集系统（SCADA）、分配监控系统（DCS）及可编程逻辑控制器（PLC）等营运科技（OT）亦被视为电脑系统，因此可被指定为关键电脑系统。资讯科技基础设施，例如网络设备、作业平台、中介软件、物联网（IoT）装置及后备电源系统，也可能被监管机构视为电脑系统的一部分。

管治、规划及供应商管理

在机构组织方面，《实务守则》澄清，在香港设有办事处的意思是指在香港有实质业务运营，而不只是设有通讯地址。安全管理部门的主管人员必须具备与关键电脑系统风险状况相符的电脑系统安全专业资格和经验。

在预防控制方面，关键基础设施运营者必须制定全面的安全管理计划，其中应涵盖机构管治、政策和标准、风险管理、存取控制、供应商及云端服务合约以及员工培训等事项。有关计划必须经董事会或同等的高级管理层批准，并至少每两年一次或在发生重大变更后进行检讨。安全风险评估通常须每年进行一次，系统安全审核须每两年进行一次。

《实务守则》特别强调供应链及云端安全，要求关键基础设施运营者确保供应商及云端服务供应商遵守合约规定的安全要求，包括保密规定及清楚界定关键电脑系统安全方面的共同责任。

事故通报及演习

一旦关键电脑系统受到网络安全事故影响，关键基础设施运营者必须在严格的时限内通知专员。已经、正在或相当可能干扰关键基础设施核心功能的严重事故，必须在关键基础设施运营者知悉事故后 12 小时内通报；其他应通报事故则须在48小时内通报。

虽然强制通报的时间紧迫，但并非所有影响关键电脑系统的事故均须通报。《实务守则》说明，当关键基础设施运营者有相当程度的把握确定电脑系统安全事故已发生，即被视为「已知悉」该电脑系统安全事故。《实务守则》也澄清，某些事故，例如因纯技术故障、天灾、大规模停电或因人为错误而导致个人资料外泄，并不构成须通报的电脑系统安全事故。此外，关键基础设施运营者也应参与专员举办的安全演习，以测试应急计划是否有效及员工的准备状态，但不会在真实环境的关键电脑系统进行测试。

对机构的实际影响

对于已经或可能被指定为关键基础设施运营者的机构，该条例及《实务守则》要求设立结构完善、资源充足的合规计划，而非临时采取的网络安全措施。这通常包括建立或提升管治架构、描绘及指定关键电脑系统、制定正式的安全管理计划和应急计划，以及将定期风险评估、审核及演习融入日常业务运作。

即使是不在正式适用范围内的实体，尤其是为关键基础设施运营者提供服务的供应商及云端服务供应商，也可能因为合约要求及网络安全标准和事故处理的期望提高而受到影响。因此，机构应审视其现有安排是否符合《实务守则》，并在有需要的情况下征询法律及技术意见，以确保就香港新的关键基础设施网络安全制度下的监管审查做好准备。

 

如有查询，欢迎与我们联络：

E: technology@onc.hk                                                       T: (852) 2810 1212 W: www.onc.hk                                                                    F: (852) 2804 6311 香港中环康乐广场8号交易广场第三期19楼

注意：以上内容涉及十分专门和复杂的法律知识及法律程序。本篇文章仅是对有关题目的一般概述，只供参考，不能构成任何个别个案的法律意见。如需进一步的法律咨询或协助，请联络我们的律师。

ONC柯伍陈律师事务所发行 © 2026