字級
香港網絡保安保險落地指南
一句總結：**在香港，網絡保險不是法律強制，但網絡安全已成為法定責任與實際營運風險。**本頁整理香港企業落地網絡保安保險的法定背景、事故現況、中小企與關鍵基礎設施營運者的不同路徑，以及投保前的準備清單。
本頁最後更新：2026 年 10 月 28 日｜資料採集日期：2026 年 10 月 28 日
本頁範圍與立場
- 本頁只整理公開資料與市場普遍做法，不構成保險產品銷售、要約或招攬，亦不提供報價或代辦投保。
- 所有事故與法規數字一律採用官方公布資料並標明來源與日期。
- 本頁以企業（商業）方案為主。
一、香港的網絡風險現況（官方數據）
| 項目 | 數字 | 來源 |
|---|---|---|
| 2025 年香港網絡安全事故 | 15,877 宗（按年 +27%，創歷年新高） | HKCERT |
| 網絡釣魚佔整體事故比例 | 57% | HKCERT |
| 2025 年資料外洩事故通報 | 246 宗（按年 +21%；其中 81 宗涉黑客入侵） | 私隱專員公署 |
| 沒有專人負責網絡安全的中小企 | 約 74%（僅 26% 設有專職人員） | HKCERT |
這些數字說明兩件事：事故正在上升，而中小企的防禦資源明顯不足。對多數企業而言，一次未受保事故的代價，通常遠高於年度保費。
二、法定責任：網絡安全已成為「必須做」
《保護關鍵基礎設施（電腦系統）條例》（第 653 章）
- 2025 年 3 月 28 日刊憲，2026 年 1 月 1 日起實施。
- 向被指定的關鍵基礎設施營運者施加三類法定責任：架構類（設立安全管理單位）、預防類（風險評估與安全審核）、事故通報及應對類（兩小時通報時限）。
- 涵蓋能源、資訊科技、銀行及金融服務、交通、醫療、通訊及廣播等界別。
- 違規罰款由五十萬至五百萬港元不等，持續違規者另設按日罰款。中小企與一般市民不受直接約束，但條例要求會透過採購與外判合約向下傳導至供應商。
《個人資料（私隱）條例》（第 486 章）
資料使用者須採取切實可行的步驟保障個人資料；發生資料外洩事故時，按私隱專員公署的要求作出通報，並可能觸發調查與執行通知。2025 年工作報告顯示，246 宗通報中來自學校及非牟利機構的有 92 宗（佔 37%），且多數事故源於日常流程與人為疏忽，而非高技術黑客。
保監局《網絡安全指引》（GL20）
修訂版自 2025 年 1 月 1 日起生效，引入網絡韌性評估框架（CRAF）。雖然適用於獲授權保險公司，但間接影響其資訊科技供應鏈與中介人的作業要求。
三、兩類企業的不同路徑
| 企業類型 | 網絡保險的意義 | 建議起步點 |
|---|---|---|
| 關鍵基礎設施營運者 | 網絡安全已是法定責任，保險是風險轉移與事故應變的一環 | 先滿足條例的架構與通報要求；以分層保險安排高額保障 |
| 一般中小企 | 防禦資源有限，但持有有價值資料或現金流，是常見攻擊目標 | 從標準化中小企網絡產品入手，優先補強 MFA 與備份 |
四、投保前的準備清單
網絡保險的核保問題，本身就是一份實用的風險清單。企業在投保前宜先備妥以下控制：
- 多重認證（MFA）：覆蓋電郵、遙距存取與管理帳戶；
- 端點偵測與回應（EDR）：所有受管理裝置；
- 備份：離線或不可變備份，並定期測試復原；
- 員工培訓：包括針對 AI 強化釣魚訊息的識別演練；
- 事故應變計劃：書面計劃與過去三年的事故紀錄；
- 供應鏈管理：關鍵供應商的保安能力評估與合約保安條款；
- AI 使用政策：是否輸入公司或個人資料、有無人工覆核機制。
這些既是減保費的條件，也是核保的門檻。未能維持指定保安控制的企業，可能在索償時被拒賠（見產品與保障結構的不保事項）。
五、常見問題
香港企業買網絡保險是強制嗎？
不是。香港現時並無強制企業購買網絡保險。不過，《保護關鍵基礎設施（電腦系統）條例》自 2026 年 1 月 1 日起，向被指定的關鍵基礎設施營運者施加網絡安全法定責任；《個人資料（私隱）條例》亦要求資料使用者採取切實可行的保障步驟。這些法定責任間接推高企業對網絡保險的需求，但購買與否仍由企業自行決定。
香港中小企買得到網絡保險嗎？
可以。Hiscox、OneInfinity、Coalition、Cowbell 等均提供適合中小企的方案，部分支援線上或數碼投保，標準保費對保安狀況良好的中小企已變得可負擔。對多數中小企而言，一次未受保事故的代價通常遠高於年度保費。
企業投保網絡保險前應先準備什麼？
核保通常要求企業具備：全面的多重認證（MFA）、端點偵測與回應（EDR）、離線或不可變備份並定期測試、員工安全培訓、事故應變計劃，以及供應鏈風險管理。這些既是減保費的條件，也是核保的門檻。
關鍵基礎設施營運者的供應商也要買網絡保險嗎？
條例不直接約束供應商，但營運者為符合法定要求，會把保安要求寫進採購與外判合約。供應商最終會以合約條款的形式收到這些要求，包括要求提供保安能力證明，甚至自行投保網絡保險。
六、配合本地企業保險服務
本站由恒安保險顧問有限公司（持牌保險經紀，牌照 FA2958）配合。對於有意了解或安排網絡保險，以及香港本地其他企業保險（團體醫療、僱員補償、商業綜合保險等）的企業，可經關於恒安保險顧問頁尾的聯絡方式查詢。網站本身不銷售保險產品、不提供報價或代辦投保。
七、資料來源
- HKCERT《香港網絡安全展望 2026》（機構公布，2026-01-28）
- 私隱專員公署 2025 年工作報告（官方原文，2026-02-03）
- 《保護關鍵基礎設施（電腦系統）條例》（第 653 章，政府憲報）
- 保監局《網絡安全指引》（GL20，修訂版 2025-01-01 生效）