香港网络安全保险落地指南
一句总结：**在香港，网络保险不是法律强制，但网络安全已成为法定责任与实际营运风险。**本页整理香港企业落地网络安全保险的法定背景、事故现况、中小企与关键基础设施营运者的不同路径，以及投保前的准备清单。
本页最后更新：2026 年 10 月 28 日｜资料采集日期：2026 年 10 月 28 日
本页范围与立场
- 本页只整理公开资料与市场普遍做法，不构成保险产品销售、要约或招揽，亦不提供报价或代办投保。
- 所有事故与法规数字一律采用官方公布资料并标明来源与日期。
- 本页以企业（商业）方案为主。
一、香港的网络风险现况（官方数据）
| 项目 | 数字 | 来源 |
|---|---|---|
| 2025 年香港网络安全事故 | 15,877 宗（按年 +27%，创历年新高） | HKCERT |
| 网络钓鱼占整体事故比例 | 57% | HKCERT |
| 2025 年资料外泄事故通报 | 246 宗（按年 +21%；其中 81 宗涉黑客入侵） | 隐私专员公署 |
| 没有专人负责网络安全的中小企 | 约 74%（仅 26% 设有专职人员） | HKCERT |
这些数字说明两件事：事故正在上升，而中小企的防御资源明显不足。对多数企业而言，一次未受保事故的代价，通常远高于年度保费。
二、法定责任：网络安全已成为「必须做」
《保护关键基础设施（电脑系统）条例》（第 653 章）
- 2025 年 3 月 28 日刊宪，2026 年 1 月 1 日起实施。
- 向被指定的关键基础设施营运者施加三类法定责任：架构类（设立安全管理单位）、预防类（风险评估与安全审核）、事故通报及应对类（两小时通报时限）。
- 涵盖能源、资讯科技、银行及金融服务、交通、医疗、通讯及广播等界别。
- 违规罚款由五十万至五百万港元不等，持续违规者另设按日罚款。中小企与一般市民不受直接约束，但条例要求会透过采购与外判合约向下传导至供应商。
《个人资料（隐私）条例》（第 486 章）
资料使用者须采取切实可行的步骤保障个人资料；发生资料外泄事故时，按隐私专员公署的要求作出通报，并可能触发调查与执行通知。2025 年工作报告显示，246 宗通报中来自学校及非牟利机构的有 92 宗（占 37%），且多数事故源于日常流程与人为疏忽，而非高技术黑客。
保监局《网络安全指引》（GL20）
修订版自 2025 年 1 月 1 日起生效，引入网络韧性评估框架（CRAF）。虽然适用于获授权保险公司，但间接影响其资讯科技供应链与中介人的作业要求。
三、两类企业的不同路径
| 企业类型 | 网络保险的意义 | 建议起步点 |
|---|---|---|
| 关键基础设施营运者 | 网络安全已是法定责任，保险是风险转移与事故应变的一环 | 先满足条例的架构与通报要求；以分层保险安排高额保障 |
| 一般中小企 | 防御资源有限，但持有有价值资料或现金流，是常见攻击目标 | 从标准化中小企网络产品入手，优先补强 MFA 与备份 |
四、投保前的准备清单
网络保险的核保问题，本身就是一份实用的风险清单。企业在投保前宜先备妥以下控制：
- 多重认证（MFA）：覆盖电邮、遥距存取与管理账户；
- 端点侦测与回应（EDR）：所有受管理装置；
- 备份：离线或不可变备份，并定期测试复原；
- 员工培训：包括针对 AI 强化钓鱼讯息的辨识演练；
- 事故应变计划：书面计划与过去三年的事故纪录；
- 供应链管理：关键供应商的安全能力评估与合约保安条款；
- AI 使用政策：是否输入公司或个人资料、有无人工覆核机制。
这些既是减保费的条件，也是核保的门槛。未能维持指定安全控制的企业，可能在索赔时被拒赔（见产品与保障结构的不保事项）。
五、常见问题
香港企业买网络保险是强制吗？
不是。香港现时并无强制企业购买网络保险。不过，《保护关键基础设施（电脑系统）条例》自 2026 年 1 月 1 日起，向被指定的关键基础设施营运者施加网络安全法定责任；《个人资料（隐私）条例》亦要求资料使用者采取切实可行的保障步骤。这些法定责任间接推高企业对网络保险的需求，但购买与否仍由企业自行决定。
香港中小企买得到网络保险吗？
可以。Hiscox、OneInfinity、Coalition、Cowbell 等均提供适合中小企的方案，部分支援线上或数码投保，标准保费对安全状况良好的中小企已变得可负担。对多数中小企而言，一次未受保事故的代价通常远高于年度保费。
企业投保网络保险前应先准备什么？
核保通常要求企业具备：全面的多重认证（MFA）、端点侦测与回应（EDR）、离线或不可变备份并定期测试、员工安全培训、事故应变计划，以及供应链风险管理。这些既是减保费的条件，也是核保的门槛。
关键基础设施营运者的供应商也要买网络保险吗？
条例不直接约束供应商，但营运者为符合法定要求，会把安全要求写进采购与外判合约。供应商最终会以合约条款的形式收到这些要求，包括要求提供安全能力证明，甚至自行投保网络保险。
六、配合本地企业保险服务
本站由恒安保险顾问有限公司（持牌保险代理，代理牌照 FA-2958）配合。对于有意了解或安排网络保险，以及香港本地其他企业保险（团体医疗、雇员补偿、商业综合保险等）的企业，可经关于恒安保险顾问页尾的联络方式查询。网站本身不销售保险产品、不提供报价或代办投保。
七、资料来源
- HKCERT《香港网络安全展望 2026》（机构公布，2026-01-28）
- 隐私专员公署 2025 年工作报告（官方原文，2026-02-03）
- 《保护关键基础设施（电脑系统）条例》（第 653 章，政府宪报）
- 保监局《网络安全指引》（GL20，修订版 2025-01-01 生效）