供应商合同

《国家网络安全体系法》新文本自2026年4月3日起施行，用于实施欧盟NIS2指令，即欧盟关于网络安全的第2022/2555号指令。供应链是指您的服务所依赖的ICT产品、服务和流程，即硬件、软件和信息技术服务，连同它们的供应商。关键主体或重要主体须确保这条供应链的安全性和连续性，并考虑每家供应商的漏洞（即安全防护上的缺口）及其产品的整体质量。不在该法适用范围内的供应商本身不承担该法规定的义务，因此要通过与您签订的合同为其设定这些义务。

自该法生效之日（2026年4月3日）起受其约束的公司，须在2027年4月3日前落实各项义务，包括针对供应商的义务。哪些合同能赶在这个期限前续签、哪些需要签补充协议，都取决于这个期限。

我们从清单入手。收集与云服务、软件、运维和维修服务供应商以及您所知道的分包商签订的合同。为每家供应商对应一项离开它就会停摆的公司服务，并评估能否替换它、需要多长时间、数据能否取回。我们还会检查供应商是否涉及认定高风险供应商的程序，一旦被认定，其产品须撤出；迄今为止尚未公布此类名单，也未对任何供应商启动此类程序。

我们对照该法规定的义务审阅每份合同，记下合同没有约定或约定不足之处。要求分为四组。供应商处的安全：如何保护您的数据、其内部谁能访问这些数据、如何修补自身软件的漏洞。事件报告：供应商在其处发生事件后通知您的期限，以便您自己的报告能按时提交。核查权：您如何确认供应商履行了承诺。合同退出：您以什么形式、在多长时间内取回数据和文档。

针对新采购，我们编写询价书要求模板：同样的四组内容，既作为向投标方提出的问题，也作为未来合同的要求。在指令中，采购新系统时的安全是一项单独的要求，与系统的开发和维护并列。团队成员具备法律背景：我们描述要求并核查供应商，合同条款的措辞和法律意见由律师事务所负责。

该法是否适用于贵公司，由影响及差距分析来确定；公司内部的事件程序和系统中的安全措施也属于另外的服务范围。

1. 梳理供应商和合同。我们收集合同及其附件，并与同供应商打交道的人员交流。成果：附依赖程度评估的供应商清单和合同日历。
2. 对照义务审阅合同。将每份合同与该法要求您在供应链中确保的内容进行对照。成果：合同审查，要求以通用方式描述。
3. 核查供应商。我们向供应商询问安全措施、数据存放位置、人员访问和漏洞修补情况，并将回答与合同进行比较。成果：每家供应商的评估及不一致之处清单。
4. 将要求移交律师事务所和您。律师事务所为其拟定合同措辞，您获得询价书模板和谈判顺序。成果：可供谈判的补充协议和续签合同。