信息系统安全集成服务资质转让规定

信息系统安全集成服务资质转让规定一、资质转让的基本定义与适用范围（一）资质转让的核心定义信息系统安全集成服务资质转让，是指已获得由国家权威机构（如中国网络安全审查技术与认证中心）颁发的信息系统安全集成服务资质的企业（以下简称“转让方”），通过合法合规的流程，将其资质的相关权益与责任转移至另一符合条件的企业（以下简称“受让方”）的行为。这一行为并非简单的资质证书移交，而是涉及技术能力、人员团队、项目经验等多方面资源的整体性过渡，旨在确保受让方能够持续提供符合资质标准的信息系统安全集成服务。（二）适用主体范围资质转让的适用主体需满足严格的条件。转让方必须是在资质有效期内，且无重大违法违规记录、未被列入失信名单的企业。同时，转让方在资质取得期间，需保持良好的服务质量记录，近三年内未发生过因自身原因导致的重大信息安全事故。受让方则需具备与所转让资质等级相匹配的基础条件，包括但不限于相应的技术人员配置、设备设施、资金实力以及健全的安全管理制度等。例如，申请一级资质转让的受让方，应拥有不少于10名注册信息安全专业人员（CISP），且具备独立完成过至少3个省级及以上信息系统安全集成项目的经验。（三）排除情形以下情形不适用本规定中的资质转让流程：一是资质已过有效期且未完成续期的企业；二是正在接受有关部门调查，或存在未解决的信息安全服务纠纷的企业；三是转让方与受让方存在关联关系，且可能影响资质转让公正性的情况，如母子公司、同一实际控制人控制的多家企业之间的转让，需经过更为严格的审查程序。二、资质转让的前提条件（一）转让方的资格要求转让方在提出转让申请前，需确保自身资质处于正常有效状态，且已完成最近一次的资质年度审核。同时，转让方需对其在资质有效期内开展的所有信息系统安全集成项目进行全面梳理，形成完整的项目档案，包括项目合同、验收报告、安全评估报告等，以证明其服务能力始终符合资质标准。此外，转让方需结清所有与资质相关的费用，如认证费用、监管费用等，并提供相关缴费证明。（二）受让方的资格要求受让方需具备独立法人资格，且其经营范围包含信息系统安全集成相关业务。在技术能力方面，受让方应拥有一支稳定且专业的技术团队，团队成员需具备相应的专业资质证书，如CISP、注册信息安全工程师（CISE）等。受让方的技术负责人应具有不少于5年的信息系统安全集成经验，且主持过至少2个大型信息系统安全集成项目。在资金方面，受让方的净资产需达到所转让资质等级要求的最低标准，例如一级资质受让方的净资产应不低于500万元人民币。此外，受让方需建立完善的信息安全管理体系，包括安全管理制度、风险评估机制、应急响应预案等，并通过ISO27001信息安全管理体系认证。（三）双方的合规性承诺转让方与受让方需共同签署合规性承诺书，承诺在资质转让过程中及转让完成后，严格遵守国家信息安全相关法律法规以及资质管理规定。转让方承诺所提供的所有转让材料真实、准确、完整，不存在隐瞒或虚假陈述的情况；受让方承诺将按照资质标准要求开展业务，保持并提升信息系统安全集成服务能力，接受相关部门的监督检查。三、资质转让的申请与审核流程（一）申请材料准备转让方与受让方需共同准备一系列申请材料，包括但不限于：《信息系统安全集成服务资质转让申请表》，需明确转让资质等级、转让原因、双方基本信息等内容；转让方与受让方的营业执照副本、组织机构代码证、税务登记证（或三证合一证书）复印件；转让方的资质证书原件及复印件，以及近三年的资质年度审核报告；受让方的技术人员资质证书、项目经验证明材料、ISO27001认证证书等；双方签署的资质转让协议，协议中需明确转让的具体内容、双方的权利与义务、转让价款、违约责任等条款；转让方的项目档案材料，包括近三年内完成的信息系统安全集成项目的合同、验收报告、用户反馈意见等；受让方的信息安全管理制度文件，如安全策略、操作规范、应急响应预案等。（二）提交申请与初步审查转让方与受让方需将准备齐全的申请材料提交至资质颁发机构。资质颁发机构在收到申请材料后的10个工作日内，进行初步审查。初步审查主要关注申请材料的完整性、规范性以及是否符合资质转让的基本条件。如发现材料缺失或不符合要求，资质颁发机构将一次性告知申请人需要补正的内容，申请人需在15个工作日内完成补正，逾期未补正的，视为撤回申请。（三）现场核查与技术评估对于通过初步审查的申请，资质颁发机构将组织专家评审组进行现场核查与技术评估。现场核查主要针对受让方的技术人员、设备设施、安全管理制度的实际执行情况进行检查。专家评审组将通过查阅资料、与相关人员访谈、现场操作演示等方式，评估受让方的技术能力是否达到所转让资质的标准。技术评估则重点关注受让方对信息系统安全集成技术的掌握程度，包括安全需求分析、方案设计、实施部署、运行维护等各个环节的能力。例如，专家评审组可能会要求受让方针对一个模拟的信息系统安全集成项目，出具详细的安全方案，并进行现场答辩。（四）审核结果公示与资质变更经过现场核查与技术评估后，资质颁发机构将根据评审结果作出审核决定。对于审核通过的申请，将在官方网站上进行为期7天的公示。公示期间，任何单位或个人如有异议，可向资质颁发机构提出书面意见，并提供相关证据。公示无异议或异议不成立的，资质颁发机构将为受让方办理资质变更手续，收回转让方的原资质证书，向受让方颁发新的资质证书，并在相关管理系统中更新资质信息。对于审核不通过的申请，资质颁发机构将书面告知申请人审核不通过的原因，并说明申请人可在6个月内重新提交申请。四、资质转让的权利与义务转移（一）技术能力与资源的转移转让方需将与信息系统安全集成服务相关的技术文档、工具软件、项目经验等资源完整地转移给受让方。技术文档包括但不限于安全集成方案模板、测试报告模板、操作手册等；工具软件包括安全扫描工具、漏洞评估工具、入侵检测系统等，转让方需确保这些工具软件的合法使用权一并转移给受让方。同时，转让方的核心技术人员，如项目负责人、安全架构师等，在资质转让完成后，需根据双方协议约定，为受让方提供一定期限的技术支持，帮助受让方尽快熟悉业务流程，提升服务能力。例如，转让方的技术团队可在转让后的3个月内，与受让方团队共同参与项目实施，进行现场指导。（二）项目合同的承接与履行对于转让方在资质有效期内签订的尚未完成的信息系统安全集成项目合同，受让方需与转让方、项目业主方共同协商，确定合同的承接方式。一般情况下，受让方应按照原合同的约定，继续履行项目的实施、维护等义务，并享有相应的权利。转让方需协助受让方与项目业主方进行沟通，确保项目的顺利过渡。如因资质转让导致项目实施出现问题，转让方与受让方需共同承担相应的责任。例如，若受让方在承接项目后，因技术能力不足导致项目延期，转让方需与受让方一起向项目业主方说明情况，并提供必要的技术支持，以减少损失。（三）安全责任的划分在资质转让过程中，转让方与受让方需明确划分信息安全责任。转让方对其在资质转让前开展的信息系统安全集成项目，承担终身责任。即使资质已转让，若因转让方在项目实施过程中的不当行为导致信息安全事故，转让方仍需承担相应的法律责任。受让方则对资质转让后承接的项目以及转让方尚未完成的项目，承担全部安全责任。受让方需建立健全安全责任追溯机制，确保在发生信息安全事故时，能够及时准确地定位责任主体，并采取相应的补救措施。（四）保密义务的延续转让方与受让方在资质转让前后，均需严格遵守保密义务。转让方不得向任何第三方泄露受让方的技术秘密、商业秘密以及项目信息；受让方也不得泄露转让方在资质取得期间的相关保密信息，如项目的核心技术细节、客户名单等。双方需在资质转让协议中明确保密条款的具体内容，包括保密期限、保密范围、违约责任等。如因一方违反保密义务给对方造成损失的，需承担相应的赔偿责任。五、资质转让的监督与管理（一）监督主体与职责国家网络安全监管部门、资质颁发机构以及地方相关行业主管部门共同构成资质转让的监督主体。国家网络安全监管部门负责制定资质转让的总体政策与标准，对全国范围内的资质转让工作进行宏观指导与监督检查。资质颁发机构具体负责资质转让的申请受理、审核、公示、变更等工作，并对转让后的资质使用情况进行跟踪管理。地方相关行业主管部门则需配合国家及资质颁发机构，对本地区内的资质转让企业进行日常监督，及时发现并处理资质转让过程中的违法违规行为。（二）转让后的跟踪检查资质颁发机构在受让方取得资质后的每年度，都将对其进行跟踪检查。跟踪检查的内容包括受让方的技术人员变动情况、项目实施情况、安全管理制度的执行情况等。例如，检查受让方是否保持了规定数量的CISP人员，是否按照要求对信息系统安全集成项目进行了安全评估与测试，是否及时更新了安全管理制度以适应新的技术发展与安全威胁。对于跟踪检查中发现的问题，资质颁发机构将责令受让方限期整改，整改期限一般不超过30天。如受让方在规定期限内未完成整改，或整改后仍不符合资质标准，资质颁发机构将依法撤销其资质证书。（三）违法违规行为的处理对于在资质转让过程中存在违法违规行为的企业，将依法进行严肃处理。如转让方隐瞒真实情况、提供虚假材料骗取资质转让的，资质颁发机构将撤销其转让决定，收回受让方的资质证书，并将转让方列入失信名单，在三年内不受理其任何资质申请。受让方在资质转让后，如未按照资质标准要求开展业务，或发生重大信息安全事故的，资质颁发机构将视情节轻重，给予警告、罚款、降低资质等级直至吊销资质证书的处罚。构成犯罪的，将依法移送司法机关追究刑事责任。（四）社会监督机制鼓励社会各界对信息系统安全集成服务资质转让行为进行监督。任何单位或个人发现资质转让过程中存在违法违规行为，均可向相关监督部门举报。监督部门对举报内容进行核实后，将依法进行处理，并为举报人保密。同时，资质颁发机构将定期在官方网站上公布资质转让的相关信息，包括转让企业名单、审核结果、违法违规处理情况等，接受社会公众的监督。六、资质转让的违约责任与争议解决（一）转让方的违约责任若转让方违反资质转让协议的约定，如未按照协议约定转移技术资源、隐瞒重大信息安全事故等，需向受让方支付违约金，违约金金额一般不低于转让价款的20%。如因转让方的违约行为给受让方造成损失的，转让方还需承担相应的赔偿责任，赔偿范围包括受让方的直接经济损失以及为解决纠纷所产生的合理费用，如律师费、诉讼费等。此外，转让方的违约行为还可能导致其被资质颁发机构列入失信名单，影响其未来的资质申请与业务开展。（二）受让方的违约责任受让方如未按照协议约定支付转让价款，或在资质转让后未履行相应的安全责任，导致转让方遭受损失的，需向转让方支付违约金，并赔偿转让方的实际损失。例如，受让方在承接项目后，因自身技术能力不足导致项目失败，给转让方的声誉造成损害的，受让方需采取措施消除影响，并赔偿转让方因此遭受的经济损失。如受让方严重违反协议约定，转让方有权解除资质转让协议，并要求受让方返还已取得的资质相关资源。（三）争议解决途径转让方与受让方在资质转让过程中如发生争议，首先应通过友好协商的方式解决。协商不成的，可向双方共同约定的仲裁机构申请仲裁，或向有管辖权的人民法院提起诉讼。在争议解决期间，双方应继续履行资质转让协议中不涉及争议的条款，确保信息系统安全集成服务的正常开展。例如，即使双方在转让价款支付方面存在争议，受让方仍需按照协议约定，继续为转让方尚未完成的项目提供技术支持，直至争议解决。七、资质转让的特殊情形处理（一）企业合并、分立中的资质转让当转让方发生企业合并或分立时，资质转让需按照特殊流程处理。在企业合并的情况下，合并后的企业如符合受让方资格要求，可继承原转让方的资质。合并企业需向资质颁发机构提交合并相关证明材料，包括合并协议、工商变更登记证明等，并接受资质颁发机构的审查。审查重点关注合并后的企业是否整合了原转让方的技术能力与资源，是否能够保持资质标准要求的服务能力。在企业分立的情况下，分立后的企业如需继承原转让方的资质，需根据分立后的业务划分情况，确定资质的归属。如分立后的多家企业均涉及信息系统安全集成业务，需重新评估各企业的资质条件，符合条件的企业可分别申请相应等级的资质。（二）外资企业参与资质转让外资企业参与信息系统安全集成服务资质转让，需遵循国家相关法律法规的特殊规定。外资企业作为受让方时，需经过国家安全审查，以确保其不会对国家信息安全造成威胁。国家安全审查的内容包括外资企业的股权结构、实际控制人背景、技术来源等。例如，对于涉及敏感行业（如国防、金融、能源等）的信息系统安全集成资质转让，外资企业作为受让方的审查将更为严格，可能需要提供更多的安全保障措施，如承诺将相关数据存储在国内服务器上，接受国家相关部门的安全监管等。（三）跨区域资质转让跨区域资质转让是指转让方与受让方不在同一省级行政区域内的情况。在这种情况下，资质转让的申请流程需经过转让方所在地与受让方所在地的相关行业主管部门的协同审查。转让方所在地的行业主管部门需对转让方的资质情况、项目经验等进行核实，并出具相关证明材料。受让方所在地的行业主管部门则需对受让方的资格条件进行初步审查，并将审查意见提交至资质颁发机构。资质颁发机构在综合两地主管部门的意见后，进行最终的审核决定。跨区域资质转让的审核周期可能会适当延长，一般不超过60个工作日。八、资质转