企业软件物料清单（SBOM）提供合同.docxVIP

企业软件物料清单（SBOM）提供合同

合同编号：__________

第一章总则

第一条合同名称

本合同全称为“企业软件物料清单（SBOM）提供合同”。

第二条合同目的

甲方（委托方）委托乙方（服务方）提供企业软件物料清单（SBOM）相关服务，以实现软件资产的可视化管理和风险控制。

第三条合同依据

本合同的订立与履行，应遵循《中华人民共和国合同法》、《中华人民共和国网络安全法》、《中华人民共和国数据安全法》及行业相关法律法规的规定。

第四条适用范围

本合同适用于甲方委托乙方提供的SBOM数据采集、分析、报告生成及后续维护等相关服务，涵盖甲方指定范围内的所有软件资产。

第二章双方基本信息

第五条甲方信息

甲方名称：__________

法定代表人：__________

注册地址：__________

经营地址：__________

联系方式：__________

统一社会信用代码：__________

第六条乙方信息

乙方名称：__________

法定代表人：__________

注册地址：__________

经营地址：__________

联系方式：__________

统一社会信用代码：__________

第三章服务内容与标准

第七条SBOM数据采集

7.1采集范围

乙方应根据甲方提供的软件清单及实际部署情况，采集指定范围内的软件组件、版本、依赖关系及配置信息，包括但不限于操作系统、中间件、应用程序、开源组件及第三方库等。

7.2采集方法

乙方应采用自动化扫描工具、手动核查及第三方数据接口相结合的方式，确保采集数据的全面性与准确性，并保留采集过程中的完整日志记录。

7.3采集周期

乙方应按照甲方要求，定期进行SBOM数据采集，初始采集周期为合同生效后30日内完成首轮采集，后续采集周期根据甲方需求确定。

第八条SBOM数据分析

8.1数据清洗

乙方应对采集的SBOM数据进行清洗与标准化处理，剔除冗余信息、纠正错误数据，并确保数据格式符合行业通用标准（如SPDX、CycloneDX等）。

8.2漏洞扫描

乙方应结合权威漏洞数据库（如NVD、CVE等），对SBOM中的软件组件进行漏洞扫描与风险评估，识别已知高危漏洞并提出修复建议。

8.3合规性分析

乙方应依据甲方所在行业的合规要求（如ISO27001、GDPR等），对SBOM数据进行合规性分析，并出具符合甲方审计需求的报告。

第九条SBOM报告提供

9.1报告类型

乙方应提供以下类型的SBOM报告：

（1）基础SBOM报告：包含软件清单、版本及依赖关系；

（2）漏洞风险评估报告：列出已知漏洞及修复优先级；

（3）合规性分析报告：对照法规要求出具符合性结论。

9.2报告格式

所有报告应以电子文档形式提供，支持PDF及机器可读格式（如JSON、XML），并附带必要的解读说明。

9.3报告周期

基础SBOM报告及漏洞报告每月更新一次，合规性分析报告根据甲方审计需求提供。

第四章权利与义务

第十条甲方权利与义务

10.1权利

（1）甲方有权要求乙方按照合同约定提供SBOM数据采集、分析及报告服务；

（2）甲方有权对乙方提供的服务质量进行监督，并提出改进建议；

（3）甲方有权在合同框架内，要求乙方对SBOM数据进行脱敏处理以满足特定场景需求。

10.2义务

（1）甲方应向乙方提供完整的软件资产清单及部署环境说明，配合乙方完成数据采集工作；

（2）甲方应确保提供的软件清单准确无误，并对清单真实性负责；

（3）甲方应按照合同约定支付服务费用，并承担因第三方数据接口产生的额外费用。

第十一条乙方权利与义务

11.1权利

（1）乙方有权要求甲方提供必要的技术支持与配合，以确保服务顺利进行；

（2）乙方有权按照合同约定收取服务费用，并对甲方提供的数据保密；

（3）乙方有权根据技术发展动态，优化服务方案并调整服务标准。

11.2义务

（1）乙方应按照合同约定，按时交付SBOM数据及分析报告；

（2）乙方应确保提供的数据真实、准确，并符合行业通用标准；

（3）乙方应对采集的SBOM数据承担保密义务，未经甲方书面许可不得泄露给第三方。

第五章保密条款

第十二条保密范围

本合同项下的所有技术信息、商业数据及服务过程中产生的数据均属保密信息，包括但不限于软件清单、漏洞扫描结果、合规性分析结论及双方交流的内部意见。

第十三条保密期限

保密期限自本合同生效之日起至合同终止后三年止，或至保密信息完全公开为止，以较长期限为准。

第十四条保密措施

双方应采取合理措施保护保密信息，包括但不限于：

（1）设置访问权限，仅授权人员可接触保密信息；

（2）对涉密数据进行加密存储与传输；

（3）对员工进行保密培训，明确违约责任。

第六章知识产权

第十五条