科技券网络安全类项目申请合规要点
科技券（Technology Voucher Programme，简称 TVP）是香港生产力促进局（HKPC）执行的中小企业资助计划，每家企业累计可获 港币 60 万元 资助（以官方最新公布为准），按项目支出 3:1 配对，自付部分不低于 1/4。网络安全是科技券近年最热门的申请方向之一——但”网络安全”四个字背后，是科技券审核口径中风险等级较高、审计要求最严格的一类项目。
很多企业以为”装个防火墙、做次渗透测试、写份报告”就能过审。事实上，科技券审核小组对网络安全类项目有独立的审查逻辑：从项目范围、供应商资质、报价合理性，到交付物形态、知识产权归属、最终审计核销，都与传统 ERP 或云服务项目差异显著。本文以官方科技券计划指南与常见批核案例为依据，拆解网络安全类项目的合规边界与申请要点。
一、先看清：科技券资助的网络安全范围
科技券对”网络安全”有明确的内涵——通常指与企业信息系统、数据资产相关的安全防护、风险评估、检测加固与合规建设，而非物理安防或人员培训。
常见可资助范围：
- 网络安全风险评估（Security Risk Assessment）
- 漏洞扫描与渗透测试（Vulnerability Assessment / Penetration Testing）
- 终端检测与响应（EDR）、防火墙、上网行为管理等部署
- 安全运营中心（SOC）订阅与托管安全服务（MSSP）
- ISO 27001、PCI DSS、个人资料私隐条例（PDPO）等合规体系建设
- 数据备份与灾难恢复方案（含异地备份、勒索软件防护）
- 安全意识培训与模拟钓鱼演练（限于软件平台订阅类）
通常不在资助范围：
- 纯物理门禁、监控摄像头（CCTV）、保安人员费用
- 通用 IT 培训（即使内容涉及安全）
- 单独购买硬件服务器（即使声称用于安全系统）
- 仅为满足法定要求、属日常营运开支的项目
关键提示：项目方案中需明确说明”为何需要做这件事”。若审核认为项目属企业本应自行承担的法定义务（如零售业 POS 合规要求），可能被判定为不符合”提升生产力或升级业务流程”的资助前提。
二、三类网络安全项目：合规要求差异
网络安全类科技券项目可大致分为三类，合规侧重不同：
| 项目类型 | 典型内容 | 合规侧重 | 常见拒签/退款风险 |
|---|---|---|---|
| 评估咨询类 | 风险评估、渗透测试、ISO 27001 顾问 | 顾问资质、报告交付独立性 | 顾问与实施方为同一公司、利益冲突 |
| 系统部署类 | 防火墙、EDR、备份系统、SOC | 设备/软件品牌合规、报价合理性 | 报价虚高、未做三家报价比较 |
| 托管订阅类 | MSSP、SaaS 安全平台、安全意识培训订阅 | 订阅期匹配项目周期、知识产权清晰 | 订阅期超过 12 个月、首期付费期过早 |
重点规则：
- 顾问与实施必须分离：若 ISO 27001 顾问同时承接体系建设落地，被认定为”自己审自己”，审计阶段可能剔除该笔开支。
- 三家报价强制要求：港币 5 万元以上设备采购须提交至少三家供应商报价（特殊情况下可用”单一报价理由书”代替，但需充分论证）。
- 订阅类首期付款须在项目期内：不可在项目启动前预付全年费用，否则审计时按比例削减。
三、申请前必查：供应商合规清单
科技券对供应商（顾问公司、系统集成商）有显性与隐性两条门槛。显性门槛来自计划指南，隐性门槛来自过往批核案例的”潜规则”。
显性合规要求
- 在香港注册成立、有商业登记
- 非申请企业的关连公司（避免关联交易）
- 具备相关行业认证（如 CREST、ISO 27001 实施经验、HKCERT 合作单位等）
- 报价单须分项列明，覆盖人力、软硬件、订阅、培训各模块
隐性”加分项”（非强制但影响通过率）
- 有政府项目交付记录（如曾中标 HKSAR 部门合约）
- 顾问团队持有 CISSP、CISM、CEH、OSCP 等国际认证
- 在 HKPC 网站供应商名录或认可服务提供商名单内
- 报价水平与市价相符（过高或过低均触发核查）
红线（一旦触碰几乎直接拒签）
- 供应商与申请企业股东、董事重叠
- 项目内容仅为”出售现成软件 License”而无任何咨询/实施/定制成分
- 报价构成仅有一项”打包价”，无法拆解
- 项目方案完全由供应商代写、申请企业无法独立说明项目逻辑
四、项目方案撰写：网络安全赛道的”过审结构”
审核小组阅读项目方案书时，关注的是”问题 → 方案 → 成果 → 价值”四段逻辑是否自洽。网络安全类项目尤其要避免”产品推销书”风格。
推荐的四段式结构
1. 痛点陈述（Why） 结合行业风险与企业实际现状，例如：”本企业为跨境电商，2025 年遭受两次钓鱼邮件攻击导致客户数据外泄，目前使用免费版防火墙缺乏统一日志审计……”
2. 解决方案（What） 说明项目具体做什么、覆盖哪些系统、采用何种标准或框架（如 NIST CSF、ISO 27001 控制项 A.5–A.18）。
3. 交付物（Deliverables） 明确列出最终交付物清单：风险评估报告、渗透测试报告（须含修复建议）、系统部署文档、安全策略手册、员工培训记录等。
4. 商业价值（Value） 量化或半量化项目带来的改善：例如”将钓鱼邮件点击率从 18% 降至 5% 以下”“通过 ISO 27001 认证后可承接对供应商资信有要求的政府标书”等。
五、交付与审计：网络安全类项目的核销红线
科技券项目验收时，企业须提交项目成果报告与支出凭证。网络安全类项目的审计有以下高频问题：
支出核销常见退回项
| 问题类型 | 具体表现 | 处理建议 |
|---|---|---|
| 订阅费核销 | 全年订阅费一次性入账，项目期仅覆盖 6 个月 | 按比例分摊，仅申报项目期内部分 |
| 报告交付缺失 | 仅有顾问签字章，无独立版本号、日期、客户签收记录 | 要求顾问提供书面交付确认函 |
| 软硬件混淆 | 防火墙设备费用混入”咨询服务费”科目 | 按发票实际科目申报，不得跨类合并 |
| 关连交易 | 由申请企业董事名下另一公司提供服务 | 提前更换供应商或在方案中明确独立性声明 |
成果验收关键点
- 渗透测试报告须包含漏洞等级评定（CVSS 评分）与修复优先级建议
- 风险评估报告须使用可识别的国际框架（如 NIST、ISO 27005），不得仅用自创模板
- 安全策略文件须有企业管理层签批与实施日期
- ISO 27001 类项目，证书须在项目结束日前发出，否则审计时按”未完成”处理
六、合规自查清单：申请前 7 项对号入座
在递交申请前，建议中小企业先用以下清单自检：
- 项目目标明确，且非纯法定义务或日常营运支出
- 供应商独立于申请企业，且具备相关资质认证
- 报价单分项明细，三家报价比较齐备
- 顾问与实施角色由不同主体承担
- 项目周期建议 6–12 个月，与订阅期匹配
- 自付部分资金已落实，不依赖贷款或政府其他资助
- 方案书由申请企业内部撰写，避免完全外包代写
七、写在最后
网络安全类科技券项目是政策与市场双向需求的交汇点：一方面政府希望中小企业提升整体抗风险能力，另一方面企业也确实存在合规与防护的硬性缺口。但越是热门的赛道，审核与审计越严格——稍有不慎，便可能从”资助名单”跌入”退款名单”。
核心建议：
- 先做”非网络安全类”的基础数字化项目（如 ERP、CRM）积累一次成功交付记录，再申请网络安全项目，通过率显著提升。
- 避免一上来就申请大额订阅型 MSSP，可从单次风险评估 + 渗透测试切入，控制项目金额在港币 20 万以内。
- 保留所有交付物与沟通记录，审计阶段”拿得出”比”写得好”更重要。
如需进一步了解科技券申请流程、其他资助计划对比，或网络安全合规框架选型，欢迎浏览 hkguide.org 获取更多香港相关指南。
本文内容仅供参考，具体资助金额、申请资格与合规要求以香港生产力促进局（HKPC）官方最新公布为准。