香港第653章与私隐条例有何区别？企业合规指南

重点摘要

1. 对你公司的风险：持有客户或员工资料，私隐条例已经适用；第653章只约束获指定营运者，但其供应商会通过合同承接要求。
2. 第653章保护基本服务的电脑系统，私隐条例保护个人资料，一起事故可同时触发两者。
3. 获指定营运者须12小时内通报严重事故，每年开展风险评估，最高罚款500万港元。

不少内地企业的香港子公司最近收到客户新问卷：提交风险评估，并“在数小时内”通报事故。这是香港新法例的要求吗？

什么是第653章？它与私隐条例有何区别？

第653章是关键基础设施网络安全法例，要求获指定的基本服务营运者保护关键电脑系统；私隐条例要求所有收集个人资料的机构妥善保护资料。前者保障服务不中断，后者保障个人信息。

熟悉内地法规的读者可以这样理解：第653章思路接近关键信息基础设施保护，私隐条例接近个人信息保护，但两者在香港的具体要求并不相同。

专员办事处表明第653章主要针对大型机构，中小企业及市民不受影响，也不针对个人资料。

第653章与私隐条例的主要区别有哪些？

两者在适用对象、保护内容、执法机构及事故通报上都不同。第653章有固定通报时限和高额罚款；私隐条例以原则为本，依靠调查和执行通知执法，泄露通报仍属自愿。

对比项目	第653章	私隐条例
适用对象	仅限获指定营运者	所有持有个人资料的机构
保护对象	关键电脑系统	个人资料
监管机构	专员、金管局、通讯事务管理局	私隐公署
事故通报	强制：严重12小时、其他48小时	自愿
评估要求	每年风险评估，每两年独立审计	采取切实可行的步骤
最高罚则	50万至500万港元	违反执行通知：罚款5万港元及监禁2年

来源：专员办事处罚则（2026年11月12日查阅）；社区法网。

哪些机构必须遵守第653章？

只有被正式指定为关键基础设施营运者的机构，范围涵盖能源、金融、交通、医疗、电讯等八个界别。如果公司从未收到指定通知，第653章就不会直接约束你。

八个界别为能源、信息科技、金融、航空、陆路、海运、医疗，以及电讯及广播。

获指定营运者的主要责任

1. 成立电脑系统安全管理单位
2. 3个月内提交安全计划及应急预案
3. 12个月内完成风险评估，此后每年一次
4. 24个月内完成独立审计，此后每两年一次
5. 严重事故12小时内通报

没有被指定的公司，为什么仍会受第653章影响？

因为营运者的关键系统往往由供应商开发、托管或运维。营运者会通过合同把要求传导给供应商，例如更短的通报时限、风险评估证明、审计权及指定安全联络人。

Hugill & Ip 律师事务所在2026年4月称之为“供应链涟漪效应”：真正的时限由客户合同决定。

企业场景

一家在深圳设研发中心的软件企业，为香港码头运营商维护调度系统，合同要求疑似事故6小时内通报。深圳值班工程师周五深夜发现异常登录，周一才上报。即使没有数据泄露，公司已经违约。

公司规则：任何疑似安全事故，不论昼夜和所在城市，1小时内通知一位指定负责人。

私隐条例对数据安全有什么要求？

保障资料第4原则要求机构采取所有切实可行的步骤，保护个人资料不被未经授权或意外查阅、处理、丢失或使用，包括访问权限、员工培训及供应商合同。资料越敏感，要求越高。

私隐条例没有强制泄露通报，私隐公署通报表格属自愿；但公署可展开调查，不遵从执行通知即属刑事罪行。强制通报自2020年起讨论，至今仍未立法。

HKCERT 在2026年第三季度处理了4,404起事故，高于去年同期的3,839起。

企业对两部法例最常见的误解是什么？

最常见的误解是以为第653章适用于所有公司、以为它取代了私隐条例，以及直接套用内地或欧盟规则。实际上两部法例并行，一起事故可能同时触发两方面的责任。

1. “第653章适用于所有企业。”不正确，仅限获指定营运者。
2. “第653章取代了私隐条例。”不正确，私隐条例仍全面适用。
3. “香港也有72小时通报规定。”不正确，这是欧盟GDPR。
4. “内地合规体系可直接套用。”不一定，香港的通报对象、时限和罚则都不同。

发生安全事故时，公司应该怎样做？

先控制问题但不要删除证据，立即通知事故负责人，核查客户合同的通报时限，并判断是否涉及个人资料。可向HKCERT求助；若个人资料可能泄露，应考虑通知私隐公署。

HKCERT 24小时热线 8105 6060，或使用网上报告表格（2026年11月12日核实）。

可直接转发的员工通知

【公司通知】如发现系统异常（陌生登录、文件被加密、客户资料误发），请立即通知 [姓名]（[电话]），晚上及节假日同样适用。
请勿删除数据或自行修复。
部分香港客户要求数小时内通报，宁早勿迟。

60秒自查清单

1. 哪些客户属获指定营运者？
2. 已核对合同的事故通报条款？
3. 有指定事故负责人及后备？
4. 12个月内做过风险评估？
5. 员工知道不能删除证据？

先厘清你要向哪部法例负责

对多数在港企业而言，直接适用的是私隐条例，第653章则通过大型客户间接影响你。值得参照它的节奏：每年风险评估，加上清晰的通报流程。

在客户查问之前，先备好独立风险评估

SRAA 信息安全风险评估及审计，把第653章要求营运者开展的风险评估与安全审计整合为一份独立报告，可用于回应客户问卷及履行私隐条例的安全责任，由香港本地团队执行。

预约合规咨询

常见问题

第653章是否适用于中小企业？

不会直接适用。专员办事处表明中小企业及市民不受影响，但为获指定营运者服务的企业，可能通过合同承担类似要求。

内地母公司是否需要遵守第653章？

一般不受直接约束，但若其系统或团队为香港获指定营运者提供服务，便可能通过合同承担通报和评估要求。

香港是否强制要求通报数据泄露？

私隐条例目前没有强制规定，向私隐公署通报属自愿。第653章的获指定营运者则须在12或48小时内通报电脑系统事故。