标准等保四级外包服务合同

标准等保四级外包服务合同合同编号：________签署日期：____年____月____日签署地点：________省________市甲方（委托方）：________统一社会信用代码：________法定代表人：________注册地址：________邮政编码：________乙方（服务方）：________统一社会信用代码：________法定代表人：________注册地址：________邮政编码：________等级保护测评机构资质编号：________鉴于双方在各自业务领域具备良好的信誉和丰富的经验，为全面落实甲方信息系统的网络安全等级保护制度要求，提升信息安全防护能力，保障业务的连续性和数据的安全性，规范等级保护服务行为，双方经审慎商议，就信息安全等级保护服务合作事宜订立本合同。第1条合同目的与依据（一）为明确甲乙双方在信息安全等级保护服务合作中的权利义务关系，规范等级保护服务行为，保障服务质量，维护双方的合法权益，根据《中华人民共和国网络安全法》《信息安全等级保护管理办法》及相关法律法规的规定，双方在平等自愿、协商一致的基础上，订立本合同。双方一致认为，通过本合同明确约定等级保护服务的内容、标准、收费方式和考核机制，有助于提升服务的专业水平和客户满意度，降低合作过程中的沟通成本和合规风险。（二）双方确认，在合作过程中应当遵循诚实信用原则，严格按照合同约定履行各自义务，积极配合对方的工作，共同维护良好的合作关系。本合同项下各条款的标题仅为方便阅读而设，不影响对本合同内容的解释和执行。双方在合同履行过程中应当本着长期合作、共同发展的原则开展工作，如遇到任何问题或争议，应当本着友好协商的态度及时沟通解决，避免因沟通不畅导致合作受阻或等级保护工作延误。（三）本合同及附件构成双方就信息安全等级保护服务合作事宜的全部约定，此前双方就同一事项达成的任何口头或书面协议、备忘录、会议纪要、报价单等文件，与本合同约定不一致的，均以本合同的约定为准。本合同未尽事宜，由双方另行协商并签订补充协议予以明确。补充协议与本合同具有同等法律效力，补充协议约定与本合同不一致的，以补充协议为准。第2条服务质量标准与保证（一）乙方保证其提供的信息安全等级保护服务符合《中华人民共和国网络安全法》《信息安全等级保护管理办法》《网络安全等级保护基本要求》等法律法规和标准要求，同时满足本合同约定的各项质量指标和服务标准。乙方应当建立并持续运行符合ISO27001信息安全管理体系要求的管理制度，制定完善的等级保护服务作业指导书、质量控制标准和考核办法，确保服务质量的稳定性和持续改进。乙方应当于每年第一季度向甲方提交上一年度服务质量的综合评价报告。（二）乙方应在每个季度向甲方提交服务质量报告，内容包括当季的等级保护服务开展情况、安全测评进展、安全隐患整改情况、安全事件处置记录、客户满意度调查结果、改进措施及效果评估等。客户满意度调查由甲方或甲方委托的第三方机构独立开展，满意度评分不得低于九十分，低于九十分的视为服务质量不达标。甲方有权对乙方的服务质量管理体系进行定期审核，每半年至少进行一次全面质量检查，审核内容包括测评流程规范性、记录完整性、人员资质合规性等。（三）乙方承诺其提供的等级保护服务不存在任何技术瑕疵和执业过失，服务效果应当达到合同约定的标准。乙方应当建立完善的服务质量追溯体系，确保每一项等级保护服务均可追溯到具体经办人员、服务时间、处理结果和操作流程，追溯记录保存期限不少于六年。因乙方执业过失或重大疏忽导致甲方信息系统的安全测评结果失实或等级保护合规审核未通过的，乙方应当承担相应的赔偿责任，赔偿上限为本合同年度服务费总额的三倍。（四）甲方有权对乙方的等级保护服务质量进行定期考核，考核标准以本合同附件中约定的关键绩效指标为准。考核指标包括但不限于：测评方案设计合理性、测评完成及时率不低于百分之九十八、安全隐患发现率不低于百分之九十五、客户投诉率不超过百分之一、测评报告规范性达到百分之百、整改建议采纳率不低于百分之八十五。考核结果分为优秀、合格、基本合格和不合格四个等级，考核结果与服务费用挂钩。连续两个考核周期被评为不合格的，甲方有权要求乙方进行全面整改，整改期限不超过三十日。第3条违约责任（一）任何一方违反本合同约定的，应当承担违约责任。违约方应当赔偿守约方因此遭受的全部直接经济损失和合理的维权费用，包括但不限于律师费、诉讼费、仲裁费、保全费、鉴定费、差旅费、评估费等。守约方因违约方的违约行为而向第三方支付的违约金或赔偿金，应当计入违约方造成的损失范围。违约方应当自收到守约方书面索赔通知之日起十五个工作日内支付赔偿款项。（二）甲方逾期支付等级保护服务费用的，每逾期一日按应付未付金额的万分之五向乙方支付违约金。逾期超过三十日仍未支付的，乙方有权在书面通知后暂停履行合同项下的义务，暂停期间甲方仍需承担合同约定的各项费用。逾期超过六十日的，乙方有权单方面解除本合同，并要求甲方支付全部已产生的费用和违约金，同时赔偿因此给乙方造成的其他损失。（三）乙方违反合同约定的服务质量标准、服务承诺或技术规范的，甲方有权要求乙方采取补救措施，并根据违约情节扣减相应的服务费用。乙方未在合理期限内采取补救措施，或者采取补救措施后仍不能满足合同约定要求的，甲方有权要求乙方按照合同约定的标准支付违约金，违约金金额为当期服务费的百分之十至百分之三十，并有权解除合同。因乙方测评结果严重失实导致甲方未通过等级保护合规审核的，乙方应当全额退还已收取的测评服务费，并赔偿甲方因此遭受的全部损失。（四）一方违约行为同时触发多项违约条款的，守约方有权选择适用对其最有利的条款，但不得重复计算损失赔偿。双方均存在违约行为的，应当各自承担相应的违约责任，根据各自过错程度分担损失。违约方在承担违约责任后，仍应当继续履行合同义务，不得以已承担违约责任为由拒绝履行合同。第4条争议解决（一）因本合同引起的或与本合同有关的任何争议，双方应当首先通过友好协商的方式解决。协商过程中，双方应当本着解决问题、继续合作的态度，充分交换意见，提出合理的解决方案。协商期限为三十日，自一方书面提出协商请求之日起计算。协商期间，双方应当继续履行合同中无争议的部分，不得以存在争议为由拒绝履行各自应尽的义务。（二）协商期满仍无法达成一致的，任何一方均有权将争议提交甲方所在地有管辖权的人民法院通过诉讼方式解决。争议解决期间，除争议事项本身外，双方应当继续履行本合同的其他条款，不得以争议为由拒绝履行各自的义务。在诉讼过程中，双方可以继续协商或通过人民法院主持的调解解决争议。诉讼费用由败诉方承担，双方各有胜负的按比例分担。（三）本合同的订立、效力、解释、履行、变更、解除、终止以及争议的解决，均适用中华人民共和国法律。本合同未尽事宜，按照有关法律法规和行业惯例执行。双方同意，在合同履行过程中形成的任何书面文件，包括但不限于会议纪要、工作联系函、确认单等，经双方授权代表签字确认后，均对双方具有法律约束力。第5条合同期限与续约（一）本合同自双方签署之日起生效，有效期为一年。合同期满前六十日内，经双方协商一致可以续签本合同，续签条件由双方在续签时另行商定，续签后的服务费用根据上一年度服务考核结果和市场变化情况进行调整。合同期满后双方未续签书面合同，但事实上乙方仍然继续提供等级保护服务且甲方接受的，视为双方同意按照本合同的条件继续履行，合同期限自动续展三个月。（二）任何一方拟提前终止本合同的，应当提前三十日向对方发出书面通知，说明终止的理由和具体时间。提前终止的理由应当正当合理，符合合同约定或法律规定，不得无故单方面终止合同。因一方提前终止合同给对方造成实际损失的，应当承担相应的赔偿责任，赔偿金额不超过本合同年度服务费总额的百分之三十。合同提前终止的，双方应当在终止后十五个工作日内完成费用结算和相关资料、物品的移交工作。（三）合同期限届满前三十日，如双方均未提出书面异议，本合同自动续展一次，续展期限为一年。自动续展期间，本合同的各项条款和条件保持不变，双方仍按本合同约定履行各自义务。任何一方不同意自动续期的，应当在合同期限届满前三十日以书面形式通知对方。自动续展次数不超过两次，超过后双方应当重新签订书面合同。第6条双方权利义务（一）甲方有权对乙方的等级保护服务过程进行监督和检查，有权要求乙方按照合同约定的标准提供服务，有权对乙方的不当服务行为提出整改要求，整改期限一般不超过十五个工作日。甲方有权要求乙方更换不符合要求的工作人员，有权在乙方违约时按照合同约定追究其违约责任。甲方有权查阅乙方的测评记录、服务报告和安全档案，乙方应当予以配合并提供必要的便利条件。（二）甲方有义务按照合同约定及时向乙方提供必要的配合和支持，包括但不限于提供信息系统的网络拓扑结构、安全设备清单、系统配置信息、管理制度文件、相关人员名单和联系方式，确保乙方能够顺利开展合同项下的等级保护服务工作。甲方应当按照合同约定的时间和方式支付相关费用，不得无故拖延或拒绝支付。甲方提供的资料和信息应当真实、准确、完整，因甲方提供虚假信息导致等级保护测评结果失实的，由甲方自行承担相应后果。（三）乙方有权按照合同约定收取等级保护服务费用，有权要求甲方提供为完成合同目的所必需的配合和支持，有权对甲方提出的不合理要求提出异议，异议应当以书面形式提出并说明理由。乙方在履行合同过程中应当严格遵守职业道德和行业规范，按照国家标准和技术规范开展等级保护测评工作，确保测评结果的客观性、公正性和准确性，不得出具虚假或误导性的测评报告，不得利用服务过程中获取的甲方信息为自己或第三方谋取利益。第7条保密义务（一）双方确认，在合作过程中一方向另一方披露的与等级保护服务相关的技术信息、安全信息、系统架构信息、漏洞信息、测评数据、安全策略、管理制度、客户信息及其他未公开信息，均构成保密信息。保密信息不包括已公开的信息或接收方在披露前已合法持有的信息，以及接收方从第三方合法获取且不承担保密义务的信息。保密信息范围以本合同附件中的保密信息清单为准，甲方信息系统的安全漏洞信息属于特别保密信息，应当采取最高级别的保密措施。（二）接收方应对保密信息严格保密，未经披露方事先书面同意，不得以任何形式向任何第三方披露、传播、复制或使用。接收方应当建立严格的内部保密制度，限制保密信息的知悉范围，仅允许因履行合同所必需的工作人员接触保密信息，并确保该等人员了解并遵守保密义务。接收方应当采取不低于保护自身同类保密信息的安全措施保护披露方的保密信息，包括但不限于加密存储、访问控制、物理隔离、审计追踪等，安全措施应当符合国家网络安全等级保护二级及以上标准。（三）本条款约定的保密义务不因本合同的变更、解除或终止而免除，保密期限自合同生效之日起至合同终止后十年止。法律法规另有规定或司法机关依法强制要求披露的除外。接收方违反保密义务的，应当立即停止侵权行为，采取补救措施防止损失扩大，并赔偿披露方因此遭受的全部损失，包括但不限于直接经济损失、商誉损失和合理的维权费用。第8条通知与送达（一）双方在本合同首部列明的地址为有效送达地址，该地址同时适用于各类通知、函件以及因本合同引起的诉讼或仲裁程序中的司法文书送达。任何一方的送达地址或联系方式发生变更的，应当提前五个工作日书面通知对方。未及时通知的，向原地址发送的通知在原地址被退回时视为已有效送达，由此产生的法律后果由地址变更方自行承担。（二）以书面形式发出的通知，按照以下规则确定送达时间。以专人方式送达的，对方工作人员签收时视为送达。以挂号信或特快专递方式邮寄的，以邮寄回执或物流跟踪信息上记载的签收日期为送达日期，自查收之日起三个工作日后视为送达。以电子邮件方式发送的，以发送方邮件系统显示发送成功的时间为送达时间。以传真方式发送的，以发送成功的传真报告时间为送达时间。（三）双方确认，在合同履行过程中通过电子邮件发送的日常沟通文件，在发送成功后即视为已送达。通过即时通讯工具发送的紧急通知，在发送成功后即视为已送达，但发送方应当保留发送记录作为证明。对于重要事项的通知，包括但不限于合同解除通知、违约通知、费用调整通知、安全事件通报等，应当以书面形式并加盖单位公章后送达，仅通过电子邮件或即时通讯工具发送的不具有法律效力。第9条等保测评实施流程（一）乙方应当根据甲方信息系统的安全保护等级和实际安全状况，制定详细的等级保护测评实施计划。测评实施计划应当包括测评范围、测评依据、测评方法、测评工具、测评人员安排、测评进度计划、风险控制措施和应急预案等内容。测评实施计划应当经甲方审核确认后方可实施。测评实施过程中，乙方应当严格按照经确认的测评计划开展工作，如需调整测评计划，应当提前书面通知甲方并说明调整原因。（二）等级保护测评应当包括以下基本环节：测评准备阶段，包括合同签订、人员组织、工具准备、现场勘查等；方案编制阶段，包括测评方案设计、测评指标确定、测评方法选择等；现场测评阶段，包括技术测试、安全管理核查、文档审查、人员访谈等；分析与报告编制阶段，包括测评数据分析、风险评价、等级保护测评报告编制等。每个测评阶段完成后，乙方应当向甲方提交阶段性工作成果，经甲方确认后方可进入下一阶段。（三）乙方在测评过程中发现的安全隐患和漏洞，应当及时向甲方书面通报，并协助甲方进行安全整改和加固。对于发现的高危漏洞和重大安全隐患，乙方应当立即通知甲方，并在二十四小时内提交详细的漏洞说明和整改建议。乙方应当对测评过程中发现的全部安全问题进行汇总分析，形成系统性的安全整改建议报告，并在最终测评报告中完整反映所有发现的安全问题及其整改情况。第10条履约担保（一）本合同签订后七个工作日内，乙方应当向甲方支付履约保证金人民币________元，具体金额以附件中的约定为准。保证金可以银行转账方式支付，也可以银行保函方式提供，银行保函应当为不可撤销的见索即付保函。合同期内乙方无任何违约行为的，合同终止后三十日内甲方将保证金全额无息退还乙方。（二）甲方有权直接从保证金中扣除乙方应付的违约金、赔偿金或其他应由乙方承担的费用，扣除后乙方应当在五个工作日内补足差额，确保保证金金额不低于合同约定的最低限额。保证金不足以弥补甲方损失的，乙方应当另行赔偿差额部分。甲方扣除保证金后应当向乙方出具书面说明和相关凭证，乙方有权对扣除金额提出异议。（三）甲方有权要求乙方提供履约担保，担保金额为合同年度总金额的百分之十。乙方采用银行保函方式提供担保的，保函应当为不可撤销的见索即付保函，有效期应当覆盖合同期限届满后三十日。履约担保的有效期届满前三十日，如果合同尚未履行完毕，乙方应当续办担保手续。第11条等级保护测评服务范围与内容（一）甲方委托乙方提供的信息安全等级保护服务范围包括但不限于以下内容：信息系统安全等级保护定级与备案咨询、等级保护差距评估与测评、安全建设整改方案设计与实施指导、安全管理制度体系建设和完善、安全运维服务与安全监测、应急响应与安全事件处置、安全培训与安全意识教育、等级保护合规性审核与复查等。具体服务范围、内容及各项服务的执行标准，以本合同附件一《等级保护服务范围与标准明细表》的约定为准。服务范围可根据甲方系统变化和监管要求进行调整，调整后以双方签署的补充协议或变更确认函为准。（二）乙方应当根据甲方信息系统的实际安全状况、等级保护级别和合规需求，在合同约定的范围内向甲方提供专业化的等级保护服务。服务内容涵盖以下主要方面：对甲方所有纳入等级保护范围的信息系统进行全面调研和现场勘查，出具详细的信息系统安全现状评估报告和等级保护测评方案，基于测评结果设计针对性的安全建设整改方案，协助甲方完成安全整改和制度建设工作，提交完整的等级保护测评报告，协助甲方向公安机关完成备案和测评结果报送工作。安全现状评估报告应当包含网络安全等级保护基本要求的全部测评指标。（三）本合同项下的等级保护服务分为等级保护测评服务和安全建设整改服务两大类。等级保护测评服务包括系统定级咨询、差距评估、安全测评、渗透测试、漏洞扫描、合规审核等基础服务，适用于甲方已纳入等级保护范围的所有信息系统，测评服务费用已包含在合同约定的服务费用中。安全建设整改服务包括安全技术措施建设、安全管理制度建设、安全产品采购与集成、安全加固与优化等专项服务，根据甲方的实际需求和整改方案另行委托，费用按照双方确认的《安全建设整改服务价格清单》另行计算，专项服务的收费标准为每个系统人民币________元或每个项目人民币________元。（四）甲方有权根据实际业务发展和信息系统变化情况，在提前十五日书面通知乙方的情况下，对等级保护服务范围进行合理调整。调整后的服务内容以双方签署的补充协议为准。服务范围的调整应当充分考虑乙方的实际履约能力和技术人员配置情况，调整幅度过大导致乙方工作成本发生重大变化的，双方应当另行协商服务费用和服务方案。年度内服务范围调整累计不超过三次，超出部分双方应当重新评估服务方案和费用标准。（五）乙方应当按照国家和行业相关标准提供等级保护服务，包括但不限于《网络安全等级保护基本要求》《网络安全等级保护测评要求》《网络安全等级保护安全设计技术要求》等国家标准和行业规范。服务过程中使用的测评工具、漏洞扫描设备和安全分析方法应当符合行业规范，不得使用未经认证或存在重大缺陷的测评工具，确保测评结果的准确性和可靠性。乙方应当每季度向甲方通报一次等级保护政策法规变化情况，协助甲方及时调整等保合规策略。第12条等级保护合规要求（一）甲方应当依法开展信息系统的安全保护等级定级工作，明确信息系统的安全保护等级，并根据等级保护要求采取相应的安全保护措施。信息系统的安全保护等级分为一级、二级、三级、四级和五级，其中一级最低，五级最高。甲方委托乙方提供等级保护服务的范围主要覆盖二级及以上的信息系统。甲方应当向乙方提供真实、完整的定级备案材料，包括但不限于定级报告、备案表、系统基本情况说明等。（二）等级保护合规要求包括但不限于以下内容：按照《网络安全等级保护基本要求》中对应安全保护等级的技术要求和管理要求进行安全建设；定期开展等级保护测评，三级及以上的信息系统每年至少进行一次等级保护测评；对测评发现的安全问题进行及时整改；建立并运行安全管理制度和安全技术措施；配合公安机关的监督检查和等级保护审核工作。甲方应当确保纳入等级保护范围的信息系统符合上述合规要求，并按照合同约定向乙方提供必要的配合和支持。（三）等级保护政策法规发生变化时，乙方应当及时通知甲方，并根据新的政策法规要求对服务方案进行调整。因政策法规变化导致需要增加服务内容或调整服务标准的，双方应当另行协商服务费用和服务方案。因政策法规变化导致合同无法继续履行的，双方均有权解除合同，按照实际服务天数结算费用，互不承担违约责任。第13条人员配置与管理（一）乙方应当组建专门的等级保护服务团队，团队成员应当具备相应的专业资质和从业经验。服务团队设项目经理一名，负责统筹协调与甲方的日常沟通和事务对接，项目经理应当具有五年以上信息安全等级保护行业工作经验和相应的管理能力，持有网络安全等级保护测评师高级资格证书和CISP注册信息安全专业人员资格。测评服务人员应当经过专业培训，取得相应的等级保护测评师资格证书后方可上岗，每人每年接受专业培训不少于四十学时。（二）乙方更换项目经理应当提前七个工作日书面通知甲方并征得甲方书面同意。其他测评服务人员发生变动的，乙方应当在变动后三个工作日内书面通知甲方，并确保新到岗人员具备与原人员相当的专业水平和工作能力，从业经验不低于原岗位人员。乙方应当保持项目核心团队的稳定性，在合同期内核心人员更换率不得超过百分之三十，项目经理在合同期内原则上不得更换，如确需更换的，应当提前十五日通知甲方并征得甲方同意。（三）乙方应当建立人员备份机制和顶岗制度，确保关键岗位人员因故不能履职时，有合格的后备人员及时接替，不影响服务质量和进度，后备人员应当具备与在岗人员相当的专业能力和从业经验。乙方应当定期对测评服务人员进行业务培训和技能提升，每季度至少组织一次内部技术培训，确保服务团队的专业水平持续满足合同要求，适应网络安全技术和等级保护政策的变化。第14条服务费用与支付方式（一）本合同项下等级保护服务费用由等级保护测评服务费和安全建设整改服务费两部分组成。等级保护测评服务费按照甲方纳入等级保护范围的每个信息系统独立计算，具体费用以附件中的价格清单为准，每个信息系统的测评费用不低于行业指导标准。安全建设整改服务费按照双方确认的《安全建设整改服务价格清单》执行，价格清单有效期为一年，期满后双方根据市场变化情况重新协商确定。除本合同另有约定外，甲方无需在本合同约定之外另行支付任何其他费用，乙方也不得以任何理由要求增加费用。（二）等级保护测评服务费由甲方按测评阶段支付，甲方在收到乙方提交的阶段测评报告和合法有效的增值税专用发票后十五个工作日内通过银行转账完成支付。安全建设整改服务费由甲方按项目进度支付，具体支付节点和比例以附件中的约定为准。乙方逾期提供发票的，甲方付款时间相应顺延。首次付款在合同签订后七个工作日内支付合同总金额的百分之三十，第二次付款在测评工作完成过半后支付百分之四十，尾款在乙方提交全部测评报告并经甲方验收合格后支付百分之三十。（三）甲方应当通过银行转账方式将合同款项支付至乙方指定的以下账户：开户银行：________________，银行户名：________________，银行账号：________________。乙方变更收款账户信息的，应当提前七个工作日以书面形式通知甲方，并加盖单位公章确认。因乙方未及时通知或通知错误导致付款延迟或失败的，由乙方自行