简慧敏：拉开帷幕的关键基础设施电脑系统安全立法

“加强关键基础设施安全”是笔者自2022年履职以来就深表关注的重要议题。行政长官在《2023施政报告》中首度提出要就关键基础设施的网络安全立法，并于今年内向立法会提交立法草案；现在初步立法框架终于在保安局于2023年咨询持份者后面世，笔者深感振奋！

在7月2日举行的立法会保安事务委员会会议上，其中一项讨论议题就是“加强保护关键基础设施电脑系统安全─建议立法框架”。笔者在会议上就以下3方面向局方表示关注：

1. 涵盖范围

由于拟议条例的范围暂定为“电脑系统安全”，与《2023行政长官施政报告》中的“网络安全”（具体为“着力提升关键基础设施（包括能源、通讯、交通运输、金融机构等）网络安全的保护”）不一致；因此如何定义“电脑系统安全”显得尤为重要，规管范围的适切性和合理性是非常关键的一环，局方必须慎重思考。

2. 规管对象

笔者乐见立法框架在规管对象上致力做到清晰明确，订明营运者必须在香港设有实体及具专业知识的电脑系统安全管理部门；同时，不论营运者自营关键基础设施或外判全部或部分营运工作，营运者均需负责。此举令责任明确，也有助加强政府对营运者的监管效能，确保营运者有效履行其法定责任。

网络世界无远弗届，不论营运者的资讯系统、电脑系统、资讯网络在海外还是香港，只要其为香港提供被指定为“关键基础设施”的服务，该营运者就应被纳入规管。

不过对于条例不涵盖政府部门方面，笔者认为值得商榷。现时拟议条例列明“关键基础设施营运者”在三方面的法定责任（架构、预防、事故通报及应对）；纵然局方表示政府部门已有自己的架构，在预防措施方面也已采取很高（甚至更高）的标准，笔者认为当局仍应考虑将政府部门纳入，例如把政府部门的“事故通报及应对”机制纳入条例规管。

此外，日后的条文还应适当加入域外效力，让我们的法律能有效应对各种外来的风险。

3. 罚则

根据拟议条例规定，建议罚则只有罚款，不负有刑责，违者可被处最高罚款港币50万元至500万元不等，经法庭审讯而定；个别罪行也会就持续违法行为处以额外的每日罚款。

虽然最高罚款500万元高于新加坡的100,000新元（约58万港元）及每日罚款，但在新加坡干犯相关罪行须负上刑事责任，而在香港只有行政罚款。当局应述明订立罚则时的考虑因素，加强业界对建议罚则的认受性。

笔者将于稍后时间，向局方进一步反馈其他意见。

现时保安局网站已开辟专页，局方亦已发专函咨询相关业界，希望大家在8月1日或之前踊跃提交意见书，共同筑牢关键基础设施的安全屏障：