赤水市人民医院网络安全三级等级保护测评服务项目公开招标采购公告

****网络安全三级等级保护测评服务项目（3年期）。

依据《中华人民**国网络安全法》、GB/T22239—2019等保2.0系列国家标准、《医疗卫生机构网络安全管理办法》要求，医院两****医院信息管理系统、医院集成平台）为网络安全等级保护三级系统，需按监管要求每年开展等级保护测评工作，最近一次测评报告时间为2026年6月。本次采购3年服务，每年完成一次完整测评（含初测、整改指导、复测、出具正式测评报告），配合**网安、网信、卫生健康部门监督检查，保障医院核心业务系统及患者医疗数据安全稳定运行。

注：系统名称最终以**网安部门备案回执为准；服务期内如系统发生重大变更，双方另行协商。

项目最高限价（拦标价）：人民币246000.00元（3年总价包干）。投标报价高于最高限价的，按无效投标处理。

报价包含3年服务期内每年定级复核、现场测评、漏洞扫描、合规渗透测试、差距分析、整改指导、免费复测、测评报告编制、资料报送、差旅、税费、配合监管检查、技术咨询等全部费用，采购人不再支付任何额外费用。

****（丹青大道999号）

投标人须同时满足以下条件，不满足任意一条的，直接否决投标，不再进入价格比价环节。

（一）符合《****政府采购法》第二十二条规定，具有独立承担民事责任能力的法人，提供合法有效的营业执照。

（二）核心专项资质：******部第三研究所颁发、且在有效期内的《网络安全等级测评与检测评估机构服务认证证书》，****研究所公开的获证机构名录内，投标文件须附证书复印件及官网查询截图并加盖单位公章。******部第三研究所颁发的《网络安全等级测评与检测评估机构服务认证证书》的，不得以自身名义出具等级测评报告；如确需**实施，应委托具备有效资质的机构承担测评工作，并在投标文件中提交双方**合同或**意向书、**方资质证书、官网查询截图及责任划分说明。最终出具的等级测评报告应由具备资质的机构依法签署并盖章。

（三）信用要求：未被“信用中国”列入失信被执行人、重大税收违法失信主体；****政府****政府采购严重违法失信行为记录（提供网站截图）。

（四）提供近三年无重大违法记录书面承诺函。

所有投标人必须逐项响应并作出书面承诺；中标后进行履约核验，不能满足的视为违约。

（一）服务周期：合同服务期限3年，每年开展1次完整等保测评，共计3次测评服务；单次测评工作须在当年采购人通知进场后60个工作日内完成全套测评及复测并提交正式测评报告；单次测评综合得分不低于70分，达不到的视为当期服务违约。

（二）人员配置承诺：项目固定团队不少于4人，其中项目负责人1名；现场实施人员须具备等级保护测评师证书；服务期内更换项目人员必须取得采购人书面同意，替换人员技术资历不得低于原承诺人员；投标文件须提供人员清单及承诺函。

（三）现场响应承诺：中标供应商承诺项目技术人员在采购人通知后4小时内到达****现场，提供测评实施、整改指导、配合**/网信/卫生健康部门监管检查；服务期内提供7×24小时技术咨询支持；投标时提供书面承诺函，中标后核验人员社保证明材料。

（四）保密要求：签订专项保密协议；测评过程严禁拷贝、留存患者原始医疗数据；全部测评中间文档每年测评结束后回收销毁，****医院网络拓扑、业务、安全资料；保密责任不因合同到期而失效。

（五）测评工具与业务保障：测评所使用的漏洞扫描、渗透测试工具必须合法合规；测评操作不得造成HIS、PACS等核心业务停机中断；因测评操作造成业务故障的，全部责任及损失由中标单位承担。

（六）免费复测：每一年度初测完成、医院落实整改后，中标单位提供该年度免费复测服务，直至当年测评报告达到**网安部门受理标准。

（七）交付要求：每一年度测评完成后，提供两套三级系统纸质盖章测评报告各3套，同时提供可编辑电子版全套资料。

《中华人民**国网络安全法》、GB/T22239—2019《信息安全技术 网络安全等级保护基本要求》、GB/T28448—2019《信息安全技术 网络安全等级保护测评要求》、GB/T28449—2018《信息安全技术 网络安全等级保护测评过程指南》、《网络安全等级保护测评高风险判定指引（2020定稿）》、公网安〔2020〕1960号《关于做好网络安全等级保护测评工作的通知》、《医疗卫生机构网络安全管理办法》。

1. 定级复核、备案维护：协助复核系统定级情况，备案信息如有变更及时协助更新备案资料；

2. 测评准备调研：收集当年最新网络拓扑、设备台账、安全管理制度，开展资产调研，编制当年测评实施方案；

3. 现场全要素测评：覆盖安全物理环境、安全通信网络、安全区域边界、安全计算环境、****中心、安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理共十大域；采用访谈、文档核查、配置核查、漏洞扫描、合规渗透测试等方式开展测评，严禁破坏性测试；

4. 差距与整改指导：输出当年风险问题清单，区分高、中、低风险，出具可落地的技术、管理整改建议，提供线上及线下整改咨询指导；

5. 复测与正式报告编制：整改完成后开展复测，编制符合**网安部门格式要求的正式《网络安全等级保护测评报告》；

6. 年度支撑：报告交付后持续提供本年度免费技术咨询，配合监管部门检查答疑。

1. 当年测评实施方案；

2. 当年差距分析报告、风险问题清单、整改建议书；

3. 两套三级系统当年正式《网络安全等级保护测评报告》（纸质盖章版各3套及电子版）；

4. 当年项目相关台账资料。

1. 采购人通知进场之日起60个工作日内完成当年全部测评工作；

2. 当年测评报告格式、内容符合等保2.0标准，**网安部门可受理；

3. 测评综合得分不低于70分，本年度测评发现的高风险安全问题完成闭环处置；

4. 全部交付资料齐全完整。

不满足上述任意一条的，视为当年度验收不合格，按合同违约条款处理。

评标流程：资格审查→ 实质性响应审查 → 合格投标人之间取经评审最低报价者为中标候选人。

（一）第一步：资格审查。评标委员会审查投标人资格条件，不满足任意一条的直接否决投标，不再进入比价。

（二）第二步：实质性响应审查。对通过资格审查的投标人，审查其是否全部响应第三条实质性商务服务要求及技术服务内容；存在不响应、负偏离的，直接作无效投标处理。

（三）第三步：价格评审比价。仅对全部通过资格审查、实质性响应审查的有效投标人进行比价：

1. 投标总价不得高于最高限价246000.00元；

2. 评标委员会对报价进行算术错误修正，得出经评审投标价；

3. 在全部有效投标人中，经评审****一中标候选人。

（四）异常报价处置：评标委员会发现投标人报价明显低于其他有效投标人、可能影响服务质量的，有权要求投标人现场作出书面说明并提供证明材料；不能合理说明的，作无效投标处理。

（一）服务期限：3年，自合同签订生效之日起计算，每年完成一轮等级保护测评服务。

（二）付款方式：按年度支付。每一年度测评工作全部完成、资料交付完毕、通过采购人验收合格后，中标供应商提交合法有效发票，采购人在收到发票后30个工作日内支付该年度合同款项（合同总价÷3）。

（三）履约考核：任意一年测评验收不合格的，采购人有权暂缓支付当年度款项，中标单位限期整改；整改后仍不能达到验收标准的，采购人有权解除剩余年度服务合同，并追究违约责任。

（四）合同到期前，双方可根据政策、监管要求协商是否续购。

（一）中标****医院网络、业务、患者信息承担永久保密责任，发生泄密的依法承担相应法律责任。

（二）任意年度未在规定时限完成测评、测评得分达不到70分的，属于合同违约，采购人有权暂缓支付当年度款项，限期整改；整改仍不合格的，采购人有权单方终止后续年度服务，不予支付剩余款项。

（三）严禁转包、违法分包，一经发现直接终止全部服务合同，并追究违约责任。

（一）投标人****医院系统现状，报价包含3年服务周期内全部风险，采购人不接受后期任何增补费用申请。

（二）本项目无预付款；付款节点严格执行年度验收后支付。

（三）服务期内**、网信、卫生健康等监管部门政策发生重大调整的，测评工作按照最新政策标准执行。