{"license":"CC-BY-4.0","jurisdiction":{"code":"HK","iso_numeric":"344","name_it":"Hong Kong","name_en":"Hong Kong","name_fr":"Hong Kong","name_es":"Hong Kong","name_de":"Hongkong","name_local":"香港","type":"territorio","regions":{"continent":"asia","m49":"Eastern Asia","memberships":[]},"national_cyber_agency":{"name":"Office of the Commissioner of Critical Infrastructure (Computer-system Security)","url":"https://www.occics.gov.hk"}},"documents":[{"id":"e6c6008a-c15e-5462-8b2c-7fe799342c7c","slug":"hk-critical-infrastructures-computer-systems-ordinance-2025","title_original":"Protection of Critical Infrastructures (Computer Systems) Ordinance (Cap. 653)","title_it":"Ordinanza di Hong Kong sulla protezione delle infrastrutture critiche (sistemi informatici)","title_en":"Protection of Critical Infrastructures (Computer Systems) Ordinance (Cap. 653)","title_fr":"Ordonnance de Hong Kong sur la protection des infrastructures critiques (systèmes informatiques)","title_es":"Ordenanza de Hong Kong de protección de las infraestructuras críticas (sistemas informáticos)","title_de":"Verordnung zum Schutz kritischer Infrastrukturen (Computersysteme) von Hongkong (Cap. 653)","short_title":{"it":"Ordinanza di Hong Kong sulle infrastrutture critiche (Cap. 653)","en":"Hong Kong critical infrastructure ordinance (Cap. 653)","fr":"Ordonnance de Hong Kong sur les infrastructures critiques","es":"Ordenanza de Hong Kong de infraestructuras críticas","de":"Hongkonger Verordnung über kritische Infrastrukturen (Cap. 653)"},"document_type":"law","jurisdiction":"HK","issuing_body":"Legislative Council of the Hong Kong Special Administrative Region","issuing_body_it":"Consiglio legislativo della Regione amministrativa speciale di Hong Kong","issuing_body_fr":"Conseil législatif de la Région administrative spéciale de Hong Kong","issuing_body_es":"Consejo Legislativo de la Región Administrativa Especial de Hong Kong","issuing_body_de":"Legislativrat der Sonderverwaltungsregion Hongkong","official_number":"Cap. 653","aliases":["Cap. 653","保護關鍵基礎設施(電腦系統)條例","Critical Infrastructure Ordinance","PCICSO"],"date_adopted":"2025-03-28","date_in_force":"2026-01-01","status":"in_vigore","languages":["en","zh"],"summary":{"it":"L'ordinanza impone obblighi di sicurezza informatica agli operatori di infrastrutture critiche designati, per ridurre il rischio che attacchi informatici interrompano i servizi essenziali di Hong Kong. Riguarda due categorie: le infrastrutture che forniscono servizi essenziali in otto settori (energia, informatica, banche e servizi finanziari, trasporto aereo, terrestre e marittimo, sanità, telecomunicazioni e radiodiffusione) e quelle che sostengono attività sociali o economiche fondamentali, come grandi impianti sportivi e per spettacoli e parchi per la ricerca; gli uffici governativi sono esclusi. Gli operatori designati devono avere un ufficio a Hong Kong e un'unità di gestione della sicurezza informatica, presentare un piano di sicurezza e un piano di risposta alle emergenze entro tre mesi dalla designazione, svolgere una valutazione del rischio ogni 12 mesi e un audit indipendente ogni 24 mesi e partecipare alle esercitazioni del Commissario. Gli incidenti gravi vanno notificati entro 12 ore e gli altri entro 48 ore, con un rapporto scritto entro 14 giorni; le multe arrivano a 5 milioni di dollari di Hong Kong, con sanzioni giornaliere per le violazioni che continuano.","en":"The Ordinance imposes computer-system security obligations on designated critical infrastructure operators, to reduce the risk of cyberattacks disrupting essential services in Hong Kong. It covers two categories: infrastructures providing essential services in eight sectors (energy, information technology, banking and financial services, air, land and maritime transport, healthcare, telecommunications and broadcasting) and infrastructures that maintain critical societal or economic activities, such as major sports and performance venues and research and development parks; government departments are excluded. Designated operators must keep an office in Hong Kong and a computer-system security management unit, submit a security management plan and an emergency response plan within three months of designation, carry out a risk assessment every 12 months and an independent audit every 24 months, and take part in the Commissioner's drills. Serious incidents must be notified within 12 hours and other incidents within 48 hours, with a written report within 14 days; fines reach HK$5 million, with daily fines for continuing offences.","fr":"L'ordonnance impose des obligations de sécurité des systèmes informatiques aux opérateurs d'infrastructures critiques désignés, afin de réduire le risque que des cyberattaques perturbent les services essentiels de Hong Kong. Elle vise deux catégories : les infrastructures qui fournissent des services essentiels dans huit secteurs (énergie, informatique, banque et services financiers, transports aérien, terrestre et maritime, santé, télécommunications et radiodiffusion) et celles qui soutiennent des activités sociales ou économiques essentielles, comme les grands équipements sportifs et de spectacle et les parcs de recherche ; les services de l'administration sont exclus. Les opérateurs désignés doivent disposer d'un bureau à Hong Kong et d'une unité de gestion de la sécurité informatique, présenter un plan de sécurité et un plan de réponse d'urgence dans les trois mois suivant la désignation, réaliser une évaluation des risques tous les 12 mois et un audit indépendant tous les 24 mois, et participer aux exercices du commissaire. Les incidents graves doivent être notifiés sous 12 heures et les autres sous 48 heures, avec un rapport écrit sous 14 jours ; les amendes atteignent 5 millions de dollars de Hong Kong, avec des astreintes journalières pour les infractions qui se poursuivent.","es":"La ordenanza impone obligaciones de seguridad de los sistemas informáticos a los operadores de infraestructuras críticas designados, para reducir el riesgo de que los ciberataques interrumpan los servicios esenciales de Hong Kong. Abarca dos categorías: las infraestructuras que prestan servicios esenciales en ocho sectores (energía, informática, banca y servicios financieros, transporte aéreo, terrestre y marítimo, sanidad, telecomunicaciones y radiodifusión) y las que sostienen actividades sociales o económicas fundamentales, como grandes recintos deportivos y de espectáculos y parques de investigación; los departamentos del Gobierno quedan excluidos. Los operadores designados deben tener una oficina en Hong Kong y una unidad de gestión de la seguridad informática, presentar un plan de seguridad y un plan de respuesta a emergencias en los tres meses siguientes a la designación, realizar una evaluación de riesgos cada 12 meses y una auditoría independiente cada 24 meses, y participar en los ejercicios del comisionado. Los incidentes graves deben notificarse en 12 horas y los demás en 48 horas, con un informe escrito en 14 días; las multas alcanzan 5 millones de dólares de Hong Kong, con multas diarias para las infracciones que continúan.","de":"Die Verordnung erlegt benannten Betreibern kritischer Infrastrukturen Pflichten zur Sicherheit ihrer Computersysteme auf, um das Risiko zu verringern, dass Cyberangriffe wesentliche Dienste in Hongkong stören. Sie erfasst zwei Kategorien: Infrastrukturen, die wesentliche Dienste in acht Sektoren erbringen (Energie, Informationstechnologie, Bank- und Finanzdienstleistungen, Luft-, Land- und Seeverkehr, Gesundheitswesen, Telekommunikation und Rundfunk), und Infrastrukturen, die kritische gesellschaftliche oder wirtschaftliche Tätigkeiten aufrechterhalten, etwa große Sport- und Veranstaltungsstätten und Forschungs- und Entwicklungsparks; Regierungsstellen sind ausgenommen. Benannte Betreiber müssen ein Büro in Hongkong und eine Einheit für das Sicherheitsmanagement der Computersysteme unterhalten, innerhalb von drei Monaten nach der Benennung einen Sicherheitsmanagementplan und einen Notfallplan vorlegen, alle 12 Monate eine Risikobewertung und alle 24 Monate ein unabhängiges Audit durchführen und an den Übungen des Commissioner teilnehmen. Schwere Vorfälle sind innerhalb von 12 Stunden und andere Vorfälle innerhalb von 48 Stunden zu melden, mit einem schriftlichen Bericht innerhalb von 14 Tagen; die Geldstrafen betragen bis zu 5 Mio. HK$, mit Tagessätzen bei fortgesetzten Verstößen."},"scope":{"it":"Organizzazioni designate come operatori di infrastrutture critiche dalle autorità di regolazione e i loro sistemi informatici designati come critici; l'elenco degli operatori non è pubblico.","en":"Organisations designated as critical infrastructure operators by the regulating authorities and their computer systems designated as critical; the list of operators is not made public.","fr":"Organisations désignées comme opérateurs d'infrastructures critiques par les autorités de régulation et leurs systèmes informatiques désignés comme critiques ; la liste des opérateurs n'est pas publique.","es":"Organizaciones designadas como operadores de infraestructuras críticas por las autoridades reguladoras y sus sistemas informáticos designados como críticos; la lista de operadores no es pública.","de":"Von den Regulierungsbehörden als Betreiber kritischer Infrastrukturen benannte Organisationen und ihre als kritisch benannten Computersysteme; die Liste der Betreiber wird nicht veröffentlicht."},"topics":["critical-infrastructure","incident-reporting","incident-response","governance","energy","financial-sector","health","telecommunications"],"source_url":"https://www.elegislation.gov.hk/hk/cap653","archive_snapshot_url":"https://web.archive.org/web/https://www.elegislation.gov.hk/hk/cap653","license":"sconosciuto","notes":{"it":"Pubblicata nella Gazzetta il 28 marzo 2025. Con l'avviso di entrata in vigore L.N. 144 del 2025, pubblicato il 27 giugno 2025, il Segretario per la sicurezza ha fissato l'entrata in vigore al 1° gennaio 2026. L'ordinanza è applicata dall'Office of the Commissioner of Critical Infrastructure (Computer-system Security), istituito nel gennaio 2026 presso il Security Bureau, insieme alle autorità designate per alcuni settori. Il codice di condotta generale è stato emanato il 1° gennaio 2026, i codici settoriali per l'energia il 28 gennaio 2026 e per i trasporti terrestri il 22 giugno 2026. Testo bilingue (inglese e cinese) sulla banca dati ufficiale e-Legislation; informazioni sugli obblighi su https://www.occics.gov.hk","en":"Published in the Gazette on 28 March 2025. By Commencement Notice L.N. 144 of 2025, published on 27 June 2025, the Secretary for Security appointed 1 January 2026 as the commencement date. The Ordinance is enforced by the Office of the Commissioner of Critical Infrastructure (Computer-system Security), set up in January 2026 under the Security Bureau, together with the designated authorities for certain sectors. The generic Code of Practice was issued on 1 January 2026 and sectoral codes for energy on 28 January 2026 and for land transport on 22 June 2026. Bilingual text (English and Chinese) in the official e-Legislation database; guidance on the obligations at https://www.occics.gov.hk","fr":"Publiée au Journal officiel le 28 mars 2025. Par l'avis d'entrée en vigueur L.N. 144 de 2025, publié le 27 juin 2025, le secrétaire à la Sécurité a fixé l'entrée en vigueur au 1er janvier 2026. L'ordonnance est appliquée par l'Office of the Commissioner of Critical Infrastructure (Computer-system Security), créé en janvier 2026 au sein du Security Bureau, avec les autorités désignées pour certains secteurs. Le code de pratique général a été publié le 1er janvier 2026, puis les codes sectoriels pour l'énergie le 28 janvier 2026 et pour les transports terrestres le 22 juin 2026. Texte bilingue (anglais et chinois) dans la base officielle e-Legislation ; informations sur les obligations sur https://www.occics.gov.hk","es":"Publicada en el Boletín Oficial el 28 de marzo de 2025. Mediante el aviso de entrada en vigor L.N. 144 de 2025, publicado el 27 de junio de 2025, el secretario de Seguridad fijó la entrada en vigor el 1 de enero de 2026. La ordenanza la aplica la Office of the Commissioner of Critical Infrastructure (Computer-system Security), creada en enero de 2026 dentro del Security Bureau, junto con las autoridades designadas para algunos sectores. El código de prácticas general se publicó el 1 de enero de 2026 y los códigos sectoriales de energía el 28 de enero de 2026 y de transporte terrestre el 22 de junio de 2026. Texto bilingüe (inglés y chino) en la base oficial e-Legislation; información sobre las obligaciones en https://www.occics.gov.hk","de":"Am 28. März 2025 in der Gazette veröffentlicht. Mit der Inkrafttretensbekanntmachung L.N. 144 of 2025, veröffentlicht am 27. Juni 2025, bestimmte der Secretary for Security den 1. Januar 2026 als Tag des Inkrafttretens. Die Verordnung wird vom Office of the Commissioner of Critical Infrastructure (Computer-system Security) durchgesetzt, das im Januar 2026 beim Security Bureau eingerichtet wurde, zusammen mit den für bestimmte Sektoren benannten Behörden. Der allgemeine Verhaltenskodex wurde am 1. Januar 2026 herausgegeben, die sektoralen Kodizes für Energie am 28. Januar 2026 und für den Landverkehr am 22. Juni 2026. Zweisprachiger Text (Englisch und Chinesisch) in der amtlichen Datenbank e-Legislation; Hinweise zu den Pflichten unter https://www.occics.gov.hk"},"ingested_from":"manuale","verified_at":"2026-10-29","verified_by":"Verifica via web","editorial_status":"pubblicato","created_at":"2026-10-29","updated_at":"2026-10-29","superseded_by":[],"url":"https://www.cybersecuritydatabase.org/en/documents/hk-critical-infrastructures-computer-systems-ordinance-2025/"}]}