2025年并网调度信息安全协议.docx

2025年并网调度信息安全协议

鉴于双方在保障并网调度系统信息安全方面具有共同责任，根据《中华人民共和国网络安全法》及其他相关法律法规，经友好协商，达成以下协议：
第一条 定义与范围
1.1 本协议所称“并网调度系统”是指由调度方运营管理的，用于对已并网发电设备进行监视、控制、调度和管理的各类信息系统，包括但不限于能量管理系统（EMS）、调度自动化系统（SAS）、安全自动装置系统（SAS）、电力监控系统（SCADA）及相关网络和通信系统。
1.2 本协议所称“并网方”是指通过电力系统接口并网运行的发电企业、新能源场站或其他相关单位。
1.3 本协议所称“调度方”是指负责管理并运行国家或区域电网调度系统的电力企业或其指定部门。
1.4 本协议所称“信息安全”是指确保信息在存储、传输、处理过程中的保密性、完整性、可用性、真实性、不可否认性和不可抵赖性。
1.5 本协议所称“信息”是指在任何形式或载体上存储或传输的，与并网调度系统运行、管理、控制相关的各类数据、指令、参数、配置、日志、软件等。
1.6 本协议所称“安全事件”是指任何影响或可能影响并网调度系统安全运行的事件，包括但不限于网络攻击、病毒入侵、系统瘫痪、信息泄露、未授权访问、破坏性操作等。
1.7 本协议适用于双方在2025年度内，围绕并网调度系统的信息安全保护所进行的所有活动，涵盖并网方与调度方相关信息系统及其所承载信息的保护。
1.8 双方均理解并同意，本协议内容旨在符合或高于国家及行业关于电力监控系统、关键信息基础设施及相关信息安全的规定和标准要求。
第二条 保密义务
2.1 双方承诺对在本协议履行过程中获悉的对方的商业秘密、技术秘密以及其他未公开信息（以下简称“保密信息”）承担严格的保密义务。
2.2 保密信息包括但不限于本协议内容、双方技术方案、系统配置、操作流程、安全策略、运行数据、个人信息等。
2.3 双方仅可为履行本协议之目的，在必要的范围内向本协议规定的代表或工作人员接触和知悉保密信息，并确保该代表或工作人员遵守不低于本协议要求的保密义务。
2.4 未经对方书面同意，任何一方不得向任何第三方披露保密信息，但法律法规另有规定或双方另有约定的除外。
2.5 双方应采取合理的组织和技术措施，保护其自身的保密信息，并监督其代表和工作人员履行保密义务。该等措施应至少包括访问控制、数据加密、安全审计等措施。
2.6 本协议终止或任何一方不再需要保密信息后，该方应立即停止使用，并在收到对方要求时，按照双方约定或法律法规要求，返还或销毁所有包含保密信息的载体，不得保留任何副本或以任何形式使用。
2.7 离职人员对其在职期间接触到的保密信息，即使在离职后，仍负有持续的保密义务。
第三条 访问控制
3.1 调度方负责并网调度系统的整体安全管理，包括对并网方访问调度系统的权限进行审批、管理和监督。
3.2 并网方及其工作人员需要访问调度方系统的，应向调度方提出申请，提供必要的身份证明和访问理由说明。
3.3 调度方根据最小权限原则和职责分离原则，审核并决定并网方的访问权限，配置相应的访问控制策略，确保并网方及其工作人员只能访问其履行职责所必需的系统和信息。
3.4 双方应采用可靠的身份认证机制，如密码、数字证书、多因素认证等，对访问调度方系统的用户进行身份验证。
3.5 双方应记录所有对关键系统和信息的访问及操作日志，包括访问时间、用户、访问对象、操作类型等，日志应保证其完整性、准确性和不可篡改性，并保存足够长的时间以符合监管要求。
3.6 任何一方变更访问权限、密码或口令等认证信息，应及时通知对方，并进行必要的更新。
3.7 远程访问调度方系统必须通过加密信道进行，如使用虚拟专用网络（VPN）等技术，并对远程访问过程进行监控。
第四条 系统安全要求
4.1 并网方承诺其并网相关的信息系统（包括但不限于发电机组的监控系统、数据采集系统、能量管理系统等）符合国家及行业关于电力监控系统信息安全等级保护的要求，并部署必要的安全防护措施，如防火墙、入侵检测/防御系统、防病毒系统、安全审计系统等。
4.2 并网方应建立常态化的漏洞管理机制，及时评估、通报和修复其系统存在的安全漏洞，特别是影响系统安全和信息安全的漏洞。
4.3 并网方应制定并实施信息系统备份和恢复策略，确保在发生安全事件时能够及时恢复系统正常运行。
4.4 并网方应定期对其信息系统进行安全评估和渗透测试，并将评估报告和测试结果按要求提交给调度方。
4.5 双方应建立并网方系统与调度方系统之间通信接口的安全管理机制，接口协议应采用加密传输方式，接口调用需进行身份认证和权限校验。
4.6 双方应定期交换关于信息安全状况、威胁态势、漏洞信息、安全事件等方面的信息，共同提升并网调度系统的整体安全水平。
第五条 运行与监控
5.1 调度方负责对并网调度系统及其运行状态进行全面的网络安全监控，及时发现并处置异常情况和安全威胁。
5.2 并网方应配合调度方的安全监控工作，按要求提供必要的技术支持和信息，并对自身系统的安全状况负责。
5.3 并网方应建立内部安全管理制度和操作规程，规范工作人员对相关系统的操作行为，防止因操作不当引发安全事件。
5.4 发生可能影响调度系统安全或信息安全的异常情况时，并网方应在第一时间通知调度方，并按照调度方的要求采取措施。
第六条 安全事件处置
6.1 双方同意建立安全事件协同处置机制。发生信息安全事件时，应立即启动应急响应流程。
6.2 事件发生方应立即采取措施控制事件影响范围，防止事件扩大，并开始收集、保存证据。
6.3 事件发生方应在约定的时间内（例如：事件发生后X小时内）向对方通报事件的基本情况，包括事件类型、发生时间、影响范围、已采取措施等。
6.4 双方应指派专门人员负责沟通协调，共同分析事件原因，制定和执行应急处置方案，包括系统隔离、数据恢复、漏洞修复等。
6.5 事件处置完毕后，双方应共同对事件进行调查，分析事件根本原因，总结经验教训，并采取措施防止类似事件再次发生。调查报告应按要求保存。
第七条 责任与赔偿
7.1 双方应严格遵守本协议各项条款，因一方违反本协议规定，导致发生信息安全事件，给对方造成损失的，违约方应承担相应的赔偿责任。
7.2 赔偿范围包括但不限于直接经济损失（如系统修复费用、业务中断损失等）和合理的调查、取证费用等。
7.3 赔偿金额应根据实际损失情况确定，但赔偿总额不应超过因违约行为而获利或应避免的损失金额（以较低者为准）。
7.4 因不可抗力或第三方原因导致的安全事件，双方互不承担赔偿责任，但应及时通知对方并配合处置。
7.5 双方同意，在各自控制范围内，对因对方原因遭受的损失，有权向对方提出赔偿要求。
第八条 法律适用与争议解决
8.1 本协议的订立、效力、解释、履行及争议解决均适用中华人民共和国法律。
8.2 因本协议引起的或与本协议有关的任何争议，双方应首先通过友好协商解决。协商不成的，任何一方均有权将争议提交至[请选择：人民法院诉讼 或 仲裁委员会仲裁]，选择[请选择：诉讼 或 仲裁]方式时，应明确具体的法院名称或仲裁机构名称。
第九条 协议期限与终止
9.1 本协议有效期自双方签字盖章之日起生效，至2025年[请填写具体日期，例如：12月31日]止。
9.2 协议期满前[请填写具体时间，例如：三个月]，如双方均未提出书面终止要求，本协议自动续展一年，续展次数不限/或限定次数。
9.3 除本协议另有约定外，任何一方可在协议有效期内，因特定原因书面通知对方终止本协议，特定原因可能包括：一方严重违反本协议且在收到通知后[请填写具体时间，例如：十五个工作日]内未能纠正；一方进入破产、清算程序；法律法规重大变化导致协议无法履行等。
9.4 协议终止时，双方应按照本协议约定及法律法规要求，妥善处理善后事宜，包括但不限于：返还或销毁保密信息；停止相关服务；配合完成安全评估等。保密义务、责任条款等在本协议终止后仍然有效。
第十条 其他条款
10.1 本协议构成双方就信息安全合作达成的完整协议，取代之前所有的口头或书面约定、谅解。
10.2 对本协议的任何修改或补充，均应以书面形式作出，并经双方授权代表签字盖章后生效。
10.3 如果本协议任何条款被有管辖权的法院认定为无效或不可执行，该条款的无效或不可执行不影响其他条款的效力。
10.4 本协议未尽事宜，由双方另行协商签订补充协议。补充协议与本协议具有同等法律效力。
10.5 本协议各项条款应被视为相互关联、互为补充的整体。
10.6 双方应确保其签署和履行本协议的行为符合所有适用的法律法规要求。
10.7 本协议由双方授权代表签字并加盖公司公章（或合同专用章）后生效。
（以下无正文）