重點摘要
- 對你公司的風險：持有客戶或員工資料，私隱條例已經適用；第653章只約束獲指定營運者，但其供應商會透過合約承接要求。
- 第653章保護基本服務的電腦系統，私隱條例保護個人資料，一宗事故可同時觸發兩者。
- 獲指定營運者須12小時內通報嚴重事故，每年做風險評估，最高罰款500萬港元。
你的銀行客戶寄來新問卷，要求提交最新風險評估，並「在數小時內」通報事故。這是新網絡安全法例的要求嗎？它又是否適用於你？
什麼是第653章？它與私隱條例有何分別？
第653章是關鍵基礎設施網絡安全法例，要求獲指定的基本服務營運者保護關鍵電腦系統；私隱條例則要求所有收集個人資料的機構妥善保護資料。前者保護服務不中斷，後者保護個人資料。
以商業大廈作比喻：第653章是發電機房和升降機的安全規例，只針對營運這些設施的公司；私隱條例則要求每個租戶鎖好客戶檔案櫃。
專員辦事處表明第653章主要針對大型機構，中小企及市民不受影響，亦不針對個人資料。
第653章與私隱條例的主要分別有哪些？
兩者在適用對象、保護內容、執法機構及事故通報上都不同。第653章有固定通報時限和高額罰款；私隱條例以原則為本，靠調查和執行通知執法，外洩通報仍屬自願。
| 比較項目 | 第653章 | 私隱條例 |
|---|---|---|
| 適用對象 | 只限獲指定營運者 | 所有持有個人資料的機構 |
| 保護對象 | 關鍵電腦系統 | 個人資料 |
| 監管機構 | 專員、金管局、通訊事務管理局 | 私隱公署 |
| 事故通報 | 強制：嚴重12小時、其他48小時 | 自願 |
| 評估要求 | 每年風險評估，每兩年獨立審計 | 採取切實可行的步驟 |
| 最高罰則 | 50萬至500萬港元 | 違反執行通知：罰款5萬港元及監禁2年 |
來源：專員辦事處罰則（2026年11月12日查閱）；社區法網。
哪些機構須遵守第653章？
只有獲正式指定為關鍵基礎設施營運者的機構，範圍涵蓋能源、金融、運輸、醫療、電訊等八個界別。如果公司從未收到指定通知，第653章便不會直接約束你。
八個界別為能源、資訊科技、銀行及金融、航空、陸路、海運、醫療，以及電訊及廣播。
獲指定營運者的主要責任
- 成立電腦系統安全管理單位
- 3個月內提交保安計劃及應急計劃
- 12個月內完成風險評估，其後每年一次
- 24個月內完成獨立審計，其後每兩年一次
- 嚴重事故12小時內通報
沒有被指定的公司，為什麼仍會受第653章影響？
因為營運者的關鍵系統往往由供應商開發、託管或維護。營運者會透過合約把要求轉給供應商，例如更短的通報時限、風險評估證明、審計權利及指定保安聯絡人。
Hugill & Ip 律師行在2026年4月稱之為「供應鏈漣漪效應」：真正的時限由客戶合約訂定。
公司情境
觀塘一家40人資訊科技公司為私家醫院維護預約系統，合約要求懷疑事故6小時內通報。工程師星期五深夜發現異常登入，星期一才上報。即使沒有資料外洩，公司已經違約。
公司規則：任何懷疑保安事故，不論日夜，1小時內通知一位指定負責人。
私隱條例對資料保安有什麼要求？
保障資料第4原則要求機構採取所有切實可行的步驟，保護個人資料不被未經授權或意外查閱、處理、遺失或使用，包括存取權限、員工培訓及供應商合約。資料越敏感，要求越高。
私隱條例沒有強制外洩通報，私隱公署通報表格屬自願；但公署可展開調查，不遵從執行通知即屬刑事罪行。強制通報自2020年起討論，至今仍未立法。
HKCERT 在2026年第三季處理了4,404宗事故，高於去年同期的3,839宗。
企業對兩條法例最常見的誤解是什麼？
最常見的誤解是以為第653章適用於所有公司、以為它取代了私隱條例，以及以為沒有強制通報就沒有後果。事實上兩條法例並行，一宗事故可同時觸發兩者的責任。
- 「第653章適用於所有企業。」不正確，只限獲指定營運者。
- 「第653章取代了私隱條例。」不正確，私隱條例仍全面適用。
- 「私隱條例規定72小時通報。」不正確，這是歐盟GDPR。
- 「沒被指定就不用理會。」有風險，客戶合約可能有相近要求。
發生保安事故時，公司應該怎樣做？
先控制問題但不要刪除證據，立即通知事故負責人，翻查客戶合約的通報時限，並判斷是否涉及個人資料。可向HKCERT求助；若個人資料可能外洩，應考慮通知私隱公署。
HKCERT 24小時熱線 8105 6060，或使用網上報告表格（2026年11月12日核實）。
可直接轉發的員工通知
【公司通知】如發現系統異常（陌生登入、檔案被鎖、客戶資料誤發），請立即通知 [姓名]（[電話]），晚上及假日亦然。
請勿刪除資料或自行修復。
部分客戶要求數小時內通報，寧早勿遲。60秒自我檢查清單
- 哪些客戶屬獲指定營運者？
- 已細閱合約的事故通報條款？
- 有指定事故負責人及後備？
- 12個月內做過風險評估？
- 員工知道不可刪除證據？
先弄清楚你要向哪條法例交代
對大多數香港企業而言，直接適用的是私隱條例，第653章則經大型客戶間接影響你。即使永遠不會被指定，也值得參照它的節奏：每年風險評估，加上清晰的通報流程。
在客戶查問之前，先備妥獨立風險評估
SRAA 資訊保安風險評估及審計，把第653章要求營運者進行的風險評估與保安審計整合成一份獨立報告，可用於回應客戶問卷及履行私隱條例的保安責任，由香港本地團隊執行。
常見問題
第653章是否適用於中小企？
不會直接適用。專員辦事處表明中小企及市民不受影響，但為獲指定營運者服務的中小企，可能透過合約承擔相近要求。
香港是否強制要求通報資料外洩？
私隱條例目前沒有強制規定，向私隱公署通報屬自願。第653章的獲指定營運者則須在12或48小時內通報電腦系統事故。
同一宗事故可以同時觸發兩條法例嗎？
可以。例如勒索軟件令獲指定醫院系統中斷並外洩病人紀錄，醫院須同時遵守第653章通報時限及私隱條例的保安責任。