标准等保管理工程合同

标准等保管理工程合同合同编号：________签署日期：____年____月____日签署地点：________省________市甲方（委托方）：________统一社会信用代码：________法定代表人：________注册地址：________邮政编码：________乙方（服务方）：________统一社会信用代码：________法定代表人：________注册地址：________邮政编码：________等级保护测评机构资质编号：________第1条合同目的与依据（一）甲乙双方本着平等自愿、诚实信用、公平公正的原则，经充分友好协商，就甲方委托乙方提供信息安全等级保护相关服务事宜达成一致意见，特签订本合同，以资共同遵守。双方确认，本合同的签订旨在建立长期稳定的信息安全等级保护合作关系，通过专业化的等级保护服务帮助甲方落实网络安全等级保护制度要求，提升信息系统的安全防护能力和合规水平，降低网络安全风险。（二）本合同的订立、履行、变更、解除、终止及争议解决均适用《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《信息安全等级保护管理办法》《网络安全等级保护条例》以及国家互联网信息办公室、公安部等主管部门发布的相关规章制度和技术标准。双方确认，本合同构成双方就信息安全等级保护服务合作事宜的完整协议，取代此前所有口头或书面的沟通、陈述及约定。（三）鉴于乙方在信息安全等级保护领域具备丰富的行业经验、专业的技术团队和完善的服务管理体系，持有公安部认可的网络安全等级保护测评机构资质，能够为甲方提供高品质、专业化的等级保护测评、安全建设整改、安全运维及安全培训等综合服务；甲方为全面落实网络安全等级保护制度要求，提升信息系统的整体安全防护能力，需要专业的等级保护服务机构提供技术支撑和服务保障。双方经充分沟通和审慎评估，就信息安全等级保护服务合作事宜达成一致意见，同意按照本合同约定的条款和条件开展合作。（四）本合同的签订遵循依法合规、客观公正、安全可控的原则，双方均确认在签订本合同前已充分阅读并理解本合同全部条款，对各自的权利义务、违约责任、争议解决方式等关键内容有清晰的认识和预期，不存在任何重大误解或显失公平的情形。甲方已充分了解乙方的服务资质、技术能力、收费标准和服务承诺，乙方已充分了解甲方的信息系统现状、安全保护等级和等保合规需求，双方基于真实意思表示签订本合同。第2条双方权利义务（一）甲方有权对乙方的等级保护服务过程进行监督和检查，有权要求乙方按照合同约定的标准提供服务，有权对乙方的不当服务行为提出整改要求，整改期限一般不超过十五个工作日。甲方有权要求乙方更换不符合要求的工作人员，有权在乙方违约时按照合同约定追究其违约责任。甲方有权查阅乙方的测评记录、服务报告和安全档案，乙方应当予以配合并提供必要的便利条件。（二）甲方有义务按照合同约定及时向乙方提供必要的配合和支持，包括但不限于提供信息系统的网络拓扑结构、安全设备清单、系统配置信息、管理制度文件、相关人员名单和联系方式，确保乙方能够顺利开展合同项下的等级保护服务工作。甲方应当按照合同约定的时间和方式支付相关费用，不得无故拖延或拒绝支付。甲方提供的资料和信息应当真实、准确、完整，因甲方提供虚假信息导致等级保护测评结果失实的，由甲方自行承担相应后果。（三）乙方有权按照合同约定收取等级保护服务费用，有权要求甲方提供为完成合同目的所必需的配合和支持，有权对甲方提出的不合理要求提出异议，异议应当以书面形式提出并说明理由。乙方在履行合同过程中应当严格遵守职业道德和行业规范，按照国家标准和技术规范开展等级保护测评工作，确保测评结果的客观性、公正性和准确性，不得出具虚假或误导性的测评报告，不得利用服务过程中获取的甲方信息为自己或第三方谋取利益。第3条人员配置与管理（一）乙方应当组建专门的等级保护服务团队，团队成员应当具备相应的专业资质和从业经验。服务团队设项目经理一名，负责统筹协调与甲方的日常沟通和事务对接，项目经理应当具有五年以上信息安全等级保护行业工作经验和相应的管理能力，持有网络安全等级保护测评师高级资格证书和CISP注册信息安全专业人员资格。测评服务人员应当经过专业培训，取得相应的等级保护测评师资格证书后方可上岗，每人每年接受专业培训不少于四十学时。（二）乙方更换项目经理应当提前七个工作日书面通知甲方并征得甲方书面同意。其他测评服务人员发生变动的，乙方应当在变动后三个工作日内书面通知甲方，并确保新到岗人员具备与原人员相当的专业水平和工作能力，从业经验不低于原岗位人员。乙方应当保持项目核心团队的稳定性，在合同期内核心人员更换率不得超过百分之三十，项目经理在合同期内原则上不得更换，如确需更换的，应当提前十五日通知甲方并征得甲方同意。（三）乙方应当建立人员备份机制和顶岗制度，确保关键岗位人员因故不能履职时，有合格的后备人员及时接替，不影响服务质量和进度，后备人员应当具备与在岗人员相当的专业能力和从业经验。乙方应当定期对测评服务人员进行业务培训和技能提升，每季度至少组织一次内部技术培训，确保服务团队的专业水平持续满足合同要求，适应网络安全技术和等级保护政策的变化。第4条履约担保（一）本合同签订后七个工作日内，乙方应当向甲方支付履约保证金人民币________元，具体金额以附件中的约定为准。保证金可以银行转账方式支付，也可以银行保函方式提供，银行保函应当为不可撤销的见索即付保函。合同期内乙方无任何违约行为的，合同终止后三十日内甲方将保证金全额无息退还乙方。（二）甲方有权直接从保证金中扣除乙方应付的违约金、赔偿金或其他应由乙方承担的费用，扣除后乙方应当在五个工作日内补足差额，确保保证金金额不低于合同约定的最低限额。保证金不足以弥补甲方损失的，乙方应当另行赔偿差额部分。甲方扣除保证金后应当向乙方出具书面说明和相关凭证，乙方有权对扣除金额提出异议。（三）甲方有权要求乙方提供履约担保，担保金额为合同年度总金额的百分之十。乙方采用银行保函方式提供担保的，保函应当为不可撤销的见索即付保函，有效期应当覆盖合同期限届满后三十日。履约担保的有效期届满前三十日，如果合同尚未履行完毕，乙方应当续办担保手续。第5条数据安全与信息保护（一）乙方在提供等级保护服务过程中收集和处理的甲方数据信息，包括但不限于信息系统架构信息、安全配置信息、漏洞数据、测评数据、安全事件信息、人员信息等，应当严格保密，仅用于本合同约定的服务目的，不得用于其他任何用途。乙方应当建立健全数据安全管理制度，采取必要的技术措施和管理措施保障数据安全，包括但不限于数据加密、访问控制、审计日志、备份恢复等，数据安全措施应当符合国家网络安全等级保护二级及以上标准。（二）乙方不得将甲方的数据信息向任何第三方提供或披露，但以下情形除外：为履行本合同目的需要向公安机关报送等级保护测评结果的，报送前应当向甲方书面说明信息范围和用途；法律法规或监管机构要求提供的，提供前应当通知甲方；经甲方书面同意的。乙方应当对向第三方提供的数据信息范围、用途和接收方进行详细记录和备案，记录保存期限不少于六年。（三）如发生数据泄露或数据安全事件，乙方应当立即通知甲方，并在两小时内提交书面报告，说明事件基本情况、涉及的数据范围、已造成的影响和已采取的应急措施，同时采取一切必要措施控制风险、减少损失。因乙方原因导致数据泄露或数据安全事件，给甲方或第三方造成损失的，乙方应当承担全部赔偿责任。乙方应当定期对数据安全管理制度进行审查和更新，每半年至少进行一次数据安全风险评估。第6条服务费用与支付方式（一）本合同项下等级保护服务费用由等级保护测评服务费和安全建设整改服务费两部分组成。等级保护测评服务费按照甲方纳入等级保护范围的每个信息系统独立计算，具体费用以附件中的价格清单为准，每个信息系统的测评费用不低于行业指导标准。安全建设整改服务费按照双方确认的《安全建设整改服务价格清单》执行，价格清单有效期为一年，期满后双方根据市场变化情况重新协商确定。除本合同另有约定外，甲方无需在本合同约定之外另行支付任何其他费用，乙方也不得以任何理由要求增加费用。（二）等级保护测评服务费由甲方按测评阶段支付，甲方在收到乙方提交的阶段测评报告和合法有效的增值税专用发票后十五个工作日内通过银行转账完成支付。安全建设整改服务费由甲方按项目进度支付，具体支付节点和比例以附件中的约定为准。乙方逾期提供发票的，甲方付款时间相应顺延。首次付款在合同签订后七个工作日内支付合同总金额的百分之三十，第二次付款在测评工作完成过半后支付百分之四十，尾款在乙方提交全部测评报告并经甲方验收合格后支付百分之三十。（三）甲方应当通过银行转账方式将合同款项支付至乙方指定的以下账户：开户银行：________________，银行户名：________________，银行账号：________________。乙方变更收款账户信息的，应当提前七个工作日以书面形式通知甲方，并加盖单位公章确认。因乙方未及时通知或通知错误导致付款延迟或失败的，由乙方自行承担相应责任，甲方不承担任何违约责任。（四）乙方在收取每一期款项前，应当向甲方开具合法有效的增值税专用发票，发票内容应当与实际提供的服务内容一致，发票金额应当与申请付款金额相符，发票备注栏应当注明合同编号和服务期间。因乙方开具的发票不符合税务机关的要求，导致甲方无法抵扣进项税或遭受税务机关处罚的，乙方应当承担全部责任并赔偿甲方因此遭受的全部损失，包括但不限于补缴税款、滞纳金和罚款。第7条安全管理制度建设（一）双方在信息安全等级保护服务过程中应当严格遵守国家有关网络安全和数据安全的法律法规，建立健全安全管理制度，确保等级保护服务活动的合法合规和安全可控。乙方应当依法取得公安部认可的网络安全等级保护测评机构资质，并在资质证书载明的业务范围内开展等级保护测评活动。乙方的测评人员应当持有国家认可的网络安全等级保护测评师资格证书，持证上岗，每年接受不少于四十学时的专业技术继续教育。（二）乙方应当对其在履行合同过程中可能产生的安全风险进行全面辨识和评估，制定针对性的安全管理措施和风险防控方案。安全风险评估范围包括但不限于：测评操作风险、数据泄露风险、系统中断风险、设备损坏风险和人员安全风险。乙方应当定期对测评服务人员进行安全教育和培训，每季度至少组织一次安全培训，提高安全意识和风险防范能力。乙方的等级保护服务活动应当接受公安机关的监督检查，配合监管部门的调查和检查工作。（三）发生安全事件或数据泄露事件的，乙方应当立即通知甲方，并在两小时内提交书面报告，说明事件基本情况、可能产生的影响和已采取的应对措施，同时采取一切必要措施控制风险、减少损失。因乙方违反安全管理制度或操作规范导致甲方信息系统遭受安全事件或数据泄露的，乙方应当承担全部法律责任和赔偿责任。乙方应当建立安全事件报告制度，定期向甲方报告安全管理情况，重大安全事件应当随时报告。第8条风险评估服务（一）风险评估服务包括但不限于以下内容：资产识别与价值评估、威胁识别与评估、脆弱性识别与评估、现有安全措施有效性评估、风险计算与等级评定、风险处置建议等。风险评估应当采用国家标准《信息安全技术信息安全风险评估规范》中规定的方法论和流程，确保评估结果的专业性和权威性。风险评估报告应当全面、准确地反映甲方信息系统面临的安全风险状况。（二）风险评估应当覆盖甲方信息系统的全部资产，包括硬件资产、软件资产、数据资产、人员资产、服务资产和无形资产等。风险评估过程中，乙方应当采用资产调查、威胁建模、漏洞扫描、渗透测试、人员访谈、文档审查等多种方法，确保评估结果的全面性和准确性。高风险项应当单独列出并附详细的整改建议和时间要求，乙方应当协助甲方对高风险项进行优先处置。（三）风险评估报告应当包括风险评估概述、评估范围和方法、资产识别与价值评估结果、威胁识别与评估结果、脆弱性识别与评估结果、现有安全措施有效性评估、风险计算与等级评定、风险处置建议和整改优先级等内容。风险评估报告应当由乙方具有相应资质的安全评估人员签字确认。乙方应当对风险评估报告的质量和准确性负责，因风险评估报告质量问题导致甲方遭受安全事件的，乙方应当承担相应的赔偿责任。第9条合同期限与续约（一）本合同自双方签署之日起生效，有效期为一年。合同期满前六十日内，经双方协商一致可以续签本合同，续签条件由双方在续签时另行商定，续签后的服务费用根据上一年度服务考核结果和市场变化情况进行调整。合同期满后双方未续签书面合同，但事实上乙方仍然继续提供等级保护服务且甲方接受的，视为双方同意按照本合同的条件继续履行，合同期限自动续展三个月。（二）任何一方拟提前终止本合同的，应当提前三十日向对方发出书面通知，说明终止的理由和具体时间。提前终止的理由应当正当合理，符合合同约定或法律规定，不得无故单方面终止合同。因一方提前终止合同给对方造成实际损失的，应当承担相应的赔偿责任，赔偿金额不超过本合同年度服务费总额的百分之三十。合同提前终止的，双方应当在终止后十五个工作日内完成费用结算和相关资料、物品的移交工作。（三）合同期限届满前三十日，如双方均未提出书面异议，本合同自动续展一次，续展期限为一年。自动续展期间，本合同的各项条款和条件保持不变，双方仍按本合同约定履行各自义务。任何一方不同意自动续期的，应当在合同期限届满前三十日以书面形式通知对方。自动续展次数不超过两次，超过后双方应当重新签订书面合同。第10条违约责任（一）任何一方违反本合同约定的，应当承担违约责任。违约方应当赔偿守约方因此遭受的全部直接经济损失和合理的维权费用，包括但不限于律师费、诉讼费、仲裁费、保全费、鉴定费、差旅费、评估费等。守约方因违约方的违约行为而向第三方支付的违约金或赔偿金，应当计入违约方造成的损失范围。违约方应当自收到守约方书面索赔通知之日起十五个工作日内支付赔偿款项。（二）甲方逾期支付等级保护服务费用的，每逾期一日按应付未付金额的万分之五向乙方支付违约金。逾期超过三十日仍未支付的，乙方有权在书面通知后暂停履行合同项下的义务，暂停期间甲方仍需承担合同约定的各项费用。逾期超过六十日的，乙方有权单方面解除本合同，并要求甲方支付全部已产生的费用和违约金，同时赔偿因此给乙方造成的其他损失。（三）乙方违反合同约定的服务质量标准、服务承诺或技术规范的，甲方有权要求乙方采取补救措施，并根据违约情节扣减相应的服务费用。乙方未在合理期限内采取补救措施，或者采取补救措施后仍不能满足合同约定要求的，甲方有权要求乙方按照合同约定的标准支付违约金，违约金金额为当期服务费的百分之十至百分之三十，并有权解除合同。因乙方测评结果严重失实导致甲方未通过等级保护合规审核的，乙方应当全额退还已收取的测评服务费，并赔偿甲方因此遭受的全部损失。（四）一方违约行为同时触发多项违约条款的，守约方有权选择适用对其最有利的条款，但不得重复计算损失赔偿。双方均存在违约行为的，应当各自承担相应的违约责任，根据各自过错程度分担损失。违约方在承担违约责任后，仍应当继续履行合同义务，不得以已承担违约责任为由拒绝履行合同。第11条服务质量标准与保证（一）乙方保证其提供的信息安全等级保护服务符合《中华人民共和国网络安全法》《信息安全等级保护管理办法》《网络安全等级保护基本要求》等法律法规和标准要求，同时满足本合同约定的各项质量指标和服务标准。乙方应当建立并持续运行符合ISO27001信息安全管理体系要求的管理制度，制定完善的等级保护服务作业指导书、质量控制标准和考核办法，确保服务质量的稳定性和持续改进。乙方应当于每年第一季度向甲方提交上一年度服务质量的综合评价报告。（二）乙方应在每个季度向甲方提交服务质量报告，内容包括当季的等级保护服务开展情况、安全测评进展、安全隐患整改情况、安全事件处置记录、客户满意度调查结果、改进措施及效果评估等。客户满意度调查由甲方或甲方委托的第三方机构独立开展，满意度评分不得低于九十分，低于九十分的视为服务质量不达标。甲方有权对乙方的服务质量管理体系进行定期审核，每半年至少进行一次全面质量检查，审核内容包括测评流程规范性、记录完整性、人员资质合规性等。（三）乙方承诺其提供的等级保护服务不存在任何技术瑕疵和执业过失，服务效果应当达到合同约定的标准。乙方应当建立完善的服务质量追溯体系，确保每一项等级保护服务均可追溯到具体经办人员、服务时间、处理结果和操作流程，追溯记录保存期限不少于六年。因乙方执业过失或重大疏忽导致甲方信息系统的安全测评结果失实或等级保护合规审核未通过的，乙方应当承担相应的赔偿责任，赔偿上限为本合同年度服务费总额的三倍。（四）甲方有权对乙方的等级保护服务质量进行定期考核，考核标准以本合同附件中约定的关键绩效指标为准。考核指标包括但不限于：测评方案设计合理性、测评完成及时率不低于百分之九十八、安全隐患发现率不低于百分之九十五、客户投诉率不超过百分之一、测评报告规范性达到百分之百、整改建议采纳率不低于百分之八十五。考核结果分为优秀、合格、基本合格和不合格四个等级，考核结果与服务费用挂钩。连续两个考核周期被评为不合格的，甲方有权要求乙方进行全面整改，整改期限不超过三十日。第12条争议解决（一）因本合同引起的或与本合同有关的任何争议，双方应当首先通过友好协商的方式解决。协商过程中，双方应当本着解决问题、继续合作的态度，充分交换意见，提出合理的解决方案。协商期限为三十日，自一方书面提出协商请求之日起计算。协商期间，双方应当继续履行合同中无争议的部分，不得以存在争议为由拒绝履行各自应尽的义务。（二）协商期满仍无法达成一致的，任何一方均有权将争议提交甲方所在地有管辖权的人民法院通过诉讼方式解决。争议解决期间，除争议事项本身外，双方应当继续履行本合同的其他条款，不得以争议为由拒绝履行各自的义务。在诉讼过程中，双方可以继续协商或通过人民法院主持的调解解决争议。诉讼费用由败诉方承担，双方各有胜负的按比例分担。（三）本合同的订立、效力、解释、履行、变更、解除、终止以及争议的解决，均适用中华人民共和国法律。本合同未尽事宜，按照有关法律法规和行业惯例执行。双方同意，在合同履行过程中形成的任何书面文件，包括但不限于会议纪要、工作联系函、确认单等，经双方授权代表签字确认后，均对双方具有法律约束力。第13条通知与送达（一）双方在本合同首部列明的地址为有效送达地址，该地址同时适用于各类通知、函件以及因本合同引起的诉讼或仲裁程序中的司法文书送达。任何一方的送达地址或联系方式发生变更的，应当提前五个工作日书面通知对方。未及时通知的，向原地址发送的通知在原地址被退回时视为已有效送达，由此产生的法律后果由地址变更方自行承担。（二）以书面形式发出的通知，按照以下规则确定送达时间。以专人方式送达的，对方工作人员签收时视为送达。以挂号信或特快专递方式邮寄的，以邮寄回执或物流跟踪信息上记载的签收日期为送达日期，自查收之日起三个工作日后视为送达。以电子邮件方式发送的，以发送方邮件系统显示发送成功的时间为送达时间。以传真方式发送的，以发送成功的传真报告时间为送达时间。（三）双方确认，在合同履行过程中通过电子邮件发送的日常沟通文件，在发送成功后即视为已送达。通过即时通讯工具发送的紧急通知，在发送成功后即视为已送达，但发送方应当保留发送记录作为证明。对于重要事项的通知，包括但不限于合同解除通知、违约通知、费用调整通知、安全事件通报等，应当以书面形式并加盖单位公章后送达，仅通过电子邮件或即时通讯工具发送的不具有法律效力。第14条等级保护测评服务范围与内容（一）甲方委托乙方提供的信息安全等级保护服务范围包括但不限于以下内容：信息系统安全等级保护定级与备案咨询、等级保护差距评估与测评、安全建设整改方案设计与实施指导、安全管理制度体系建设和完善、安全运维服务与安全监测、应急响应与安全事件处置、安全培训与安全意识教育、等级保护合规性审核与复查等。具体服务范围、内容及各项服务的执行标准，以本合同附件一《等级保护服务范围与标准明细表》的约定为准。服务范围可根据甲方系统变化和监管要求进行调整，调整后以双方签署的补充协议或变更确认函为准。（二）乙方应当根据甲方信息系统的实际安全状况、等级保护级别和合规需求，在合同约定的范围内向甲方提供专业化的等级保护服务。服务内容涵盖以下主要方面：对甲方所有纳入等级保护范围的信息系统进行全面调研和现场勘查，出具详细的信息系统安全现状评估报告和等级保护测评方案，基于测评结果设计针对性的安全建设整改方案，协助甲方完成安全整改和制度建设工作，提交完整的等级保护测评报告，协助甲方向公安机关完成备案和测评结果报送工作。安全现状评估报告应当包含网络安全等级保护基本要求的全部测评指标。（三）本合同项下的等级保护服务分为等级保护测评服务和安全建设整改服务两大类。等级保护测评服务包括系统定级咨询、差距评估、安全测评、渗透测试、漏洞扫描、合规审核等基础服务，适用于甲方已纳入等级保护范围的所有信息系统，测评服务费用已包含在合同约定的服务费用中。安全建设整改服务包括安全技术措施建设、安全管理制度建设、安全产品采购与集成、安全加固与优化等专项服务，根据甲方的实际需求和整改方案另行委托，费用按照双方确认的《安全建设整改服务价格清单》另行计算，专项服务的收费标准为每个系统人民币________元或每个项目人民币________元。（四）甲方有权根据实际业务发展和信息系统变化情况，在提前十五日书面通知乙方的情况下，对等级保护服务范围进行合理调整。调整后的服务内容以双方签署的补充协议为准。服务范围的调整应当充分考虑乙方的实际履约能力和技术人员配置情况，调整幅度过大导致乙方工作成本发生重大变化的，双方应当另行协商服务费用和服务方案。年度内服务范围调整累计不超过三次，超出部分双方应当重新评估服务方案和费用标