정보보안컨설팅서비스 표준계약서(행정기관 및 공공기관용, 본문)

제1장 총칙

제1조(목적) 본 계약은 “수급사업자”가 “발주자”의 정보보호를 위해 정보보안컨설팅서비스를 제공하고 “발주자”는 제공된 서비스에 대한 용역의 대가를 “수급사업자”에게 제공함에 있어서 양 당사자 간 계약관계에서 발생하는 권리와 의무, 그 밖에 필요한 기본적인 사항 등을 규정하여 이를 준수하도록 함으로써 상호간의 이익을 증진하는데 그 목적이 있다.

제2조(정의) ① 이 계약서에서 사용하는 용어의 뜻은 다음 각 호와 같다.

1. ‘계약’이란 발주자와 수급사업자 간의 정보보안컨설팅서비스 제공과 관련한 사항을 정한 계약을 의미한다.

2. ‘과업지시서’란 본 계약에 의하여 수급사업자가 수행하여야 하는 용역위탁(이하 ‘과업’이라 한다)의 내용 및 업무의 범위, 작업장소 등을 상세히 기술한 문서 혹은 그에 준하는 서면을 의미한다.

3. ‘계약의 목적물’이란 본 계약과 과업지시서에 의하여 발주자가 수급사업자로부터 최종적으로 인수하는 목적물을 의미한다.

4. ‘정보보호서비스’란 정보보호를 위한 기술(이하 “정보보호기술”이라 한다) 및 정보보호기술이 적용된 제품(이하 “정보보호제품”이라 한다)을 활용한 서비스를 말한다.

5. ‘정보보안컨설팅서비스’란 보호해야 할 중요 정보자산을 대상으로 위협요인평가, 취약점 분석ㆍ평가, 보호대책 수립, 보안감사 등 보안 전문가에 의한 자문ㆍ지원 서비스를 말한다.

6. ‘서면’이란 당사자의 서명(전자서명법 제2조 제2호에 따른 전자서명을 포함한다) 또는 기명날인이 있는 문서(전자문서 및 전자거래기본법 제2조 제1호에 따른 전자문서를 포함한다)를 의미한다.

7. ‘납기’란 수급사업자가 본 계약에 따른 과업의 수행을 완료하여 발주자가 지정하는 장소에 납품 또는 제공하여야 할 기일 또는 수급사업자가 발주자에 대해 계약의 목적물에 대한 검사를 요청한 날을 의미한다.

8. ‘수령’이란 수급사업자의 목적물을 발주자의 사실상 지배하에 두게 되는 것을 의미한다.

9. ‘검사비용’이란 계약목적물의 검사에 소요되는 비용을 의미하며, 검사에 필요한 소프트웨어, 검사장비 등의 구입 또는 이용에 소요되는 비용을 포함한다.

10. ‘불가항력’이란 태풍, 홍수 기타 악천후, 전쟁 또는 사변, 지진, 화재, 전염병, 폭동 기타 계약당사자의 통제범위를 초월하는 사태의 발생 등의 사유로 인하여 계약당사자 누구의 책임에도 속하지 아니하는 경우를 의미한다.

② 이 계약서에서 사용하는 용어의 정의는 제1항에서 정하는 것 외에는 「정보보호산업의 진흥에 관한 법률」에서 정하는 바에 따른다.

제3조(계약서의 해석) ① 본 계약은 이 계약서 및 첨부문서 일체에 기재된 사항을 내용으로 한다.

② 이 계약서에서 명기하지 아니한 사항에 대하여는 수급사업자와 발주자간 협의에 의해 체결된 별도 특약에 의하거나, 「국가(지방자치단체)를 당사자로 하는 계약에 관한 법률」, 「정보보호산업의 진흥에 관한 법률」, (계약예규)정부 입찰·계약 집행기준, (계약예규)용역계약일반조건, (계약예규)물품구매(제조)계약일반조건 등 기타 계약에 관한 법령, 예규 및 일반 상거래관례에 따른다.

제2장 계약의 내용

제4조(계약의 내용 및 성립) ① 본 계약은 정보보안컨설팅서비스 계약기간, 장소, 검사의 방법 및 시기, 대금과 지급방법, 지급기일 등에 관해 필요한 조건을 정한다.

② 본 계약보다 상세한 내용을 양 당사자의 합의에 의해 별도로 특약을 체결할 수 있다. 다만, 「정보보호산업의 진흥에 관한 법률」 및 「독점규제 및 공정거래에 관한 법률」 등 관련 법령을 준수하여야 한다.

③ 제2항의 특약은 발주자가 서면으로 작성하여 수급사업자에게 통지하고, 수급사업자가 이에 승낙함으로써 성립한다.

④ 수급사업자는 본 계약과 함께 계약의 투명성 및 공정성을 높이기 위하여 입찰·낙찰, 계약체결 또는 계약이행 등의 과정(준공·납품 이후를 포함한다)에서 직접적·간접적으로 금품·향응 등을 발주자 및 계약 관련 임직원 등에게 주거나 받지 아니할 것을 약정하고 이를 지키지 아니한 경우에는 해당 입찰·낙찰을 취소하거나 계약을 해제·해지할 수 있다는 조건의 ‘청렴계약 이행각서’를 제출하여야 한다.

제5조(목적물의 정의 및 과업의 범위) 정보보안컨설팅서비스 제공의 업무범위와 수준 등을 정하기 위한 구체적인 사항은 과업지시서에서 정한다.

제6조(정보보안컨설팅서비스의 내용) 정보보안컨설팅서비스가 계약의 내용이 되는 경우 수급사업자는 계약기간 동안 다음 각 호 서비스의 전부 또는 일부를 발주자와 협의하여 수행한다.

1. 주요정보통신 기반시설 취약점 분석ㆍ평가

2. 전자금융 기반시설 취약점 분석ㆍ평가

3. 정보보호 관리체계(ISMS, ISO/IEC 27001) 인증

4. 개인정보보호 관리체계(PIMS) 인증

5. 개인정보 영향평가(PIA)

6. 취약점 진단 및 모의해킹

7. 개발보안 컨설팅

8. 기타 보안강화를 위한 컨설팅 등

제7조(계약의 변경) ① 다음 각 호의 어느 하나에 해당하는 경우에는 발주자와 수급사업자가 상호 합의하여 계약을 변경할 수 있다.

1. 합리적이고 객관적인 사유가 발생하여 부득이하게 계약변경이 필요한 경우

2. 발주자의 요청에 따라 계약내용을 변경, 추가하는 경우

② 제1항에 의한 계약변경은 서면에 의해서만 변경할 수 있으며, 서면에 의하지 않은 계약변경은 원칙적으로 무효로서 일방은 상대방에게 변경된 계약내용의 이행책임 및 계약내용의 불이행으로 인한 손해배상책임을 물을 수 없다.

③ 제1항에 의한 계약 변경 시 양 당사자는 대금 관련 사항들을 반드시 협의한다.

④ 일방에 의한 계약변경 요청이 있는 날로부터 10일이 지난 후에도 상대방이 협의를 개시하지 아니하거나 요청이 있는 날로부터 30일 이내에 합의에 도달하지 못한 경우에는 발주자 또는 수급사업자는 「정보보호산업의 진흥에 관한 법률」 제25조에 따라 설치된 정보보호산업 분쟁조정위원회에 조정을 신청할 수 있다.

제8조(대가의 산정) ① 「정보보호산업의 진흥에 관한 법률」에 따라 발주자는 정보보안컨설팅서비스의 품질보장을 위하여 적정한 수준의 대가를 지급하도록 노력하여야 하며 소프트웨어산업협회가 공표하는 ‘SW사업 대가산정 가이드’에 따라 양 당사자가 협의하여 결정한다.

② 발주자 및 수급사업자는 대금, 대금지급 방식(현금/어음 등), 지급시기, 지급률(선금/중도금/잔금) 등 대금지급조건을 계약서에 명시한다.

제9조(계약이행 보증금) ① 발주자는 필요한 경우 이 계약 전문에서 정한 계약이행보증금을 수급사업자에게 요구할 수 있으며, 수급사업자는 현금을 납부하거나 또는 다음 각 호 중 하나를 발주자에게 제출한다.

1. 보증보험회사, 신용보증기금 등 이와 동등한 보증기관이 발행하는 보증서

2. 국채 또는 지방채

3. 금융기관의 지급보증서 또는 예금증서

② 계약이행보증금 보증기간의 만료일은 계약기간의 종료일 이후로 하여야 한다.

제10조(선급금의 지급) ① 수급사업자가 선급금을 청구하고자 할 때에는 제9조에 따른 계약 이행을 보증하고 선급금사용계획서를 발주자에게 제출하여야 한다.

② 수급사업자는 지급받은 선급금을 본 계약 이행을 위한 목적 외에는 사용할 수 없다.

③ 수급사업자가 선급금을 지급 받았을 경우에는 잔금 청구 시 선급금 사용내역서를 발주자에게 제출하여야 한다.

제3장 계약당사자의 권리ㆍ의무

제11조(기본원칙) ① 발주자와 수급사업자는 상호존중 및 신의성실의 원칙에 따라 계약을 이행한다.

② 발주자와 수급사업자는 본 계약상 권리와 의무를 이행함에 있어서 독립된 계약자의 지위를 가지며 본 계약에 명시된 경우를 제외하고는 상대방을 대리하거나 상대방의 의무를 부담하지 않는다.

제12조(인력의 투입 및 관리책임자의 지정) ① 수급사업자는 본 계약의 이행을 위하여 「정보보호산업의 진흥에 관한 법률 시행규칙」 별표 1의 기술인력 자격기준에 따라 정보보안컨설팅서비스를 수행할 수 있는 자격 기준을 갖춘 자(이하 “정보보호 전문 인력”이라 한다)를 투입하여야 한다.

② 수급사업자는 정보보호 전문 인력의 관리 및 정보보안컨설팅서비스의 수행에 관한 제반사항을 총괄하는 관리책임자를 지정하여야 한다.

③ 수급사업자의 관리책임자 또는 정보보호 전문 인력(이하 “관리책임자 등”이라 한다)은 다음 각 호에 해당하는 행위를 하여서는 아니 된다.

1. 비정상적인 방법을 통해 발주자의 시스템에 접근하는 행위

2. 발주자의 정상적인 시스템 접근을 통제하는 행위

3. 서비스 수행과 무관하게 제3자의 권리를 침해하거나 정당한 활동을 방해하는 행위

4. 기타 계약의 내용을 벗어나는 범위의 행위

제13조(발주자의 협력의무) ① 발주자는 수급사업자가 정보보안컨설팅서비스의 수행을 위해 필요한 시설, 시스템, 정보보호프로그램 등의 현황자료를 요청할 경우 이를 제공하여야 한다. 다만, 보안 등의 사유가 존재하는 경우에는 이를 제공하지 않을 수 있다.

② 수급사업자가 정보보안컨설팅서비스의 수행을 위해 발주자에 대한 설문조사 및 면담 등을 요청한 경우에 발주자는 이에 협력하여야 한다.

③ 수급사업자가 정보보안컨설팅서비스의 수행을 위해 발주자의 시설 및 정보보호프로그램 등에 대한 현장실사를 요청한 경우 발주자는 이에 협력하여야 하며, 일정 및 범위 등에 대한 세부사항은 발주자와 수급사업자가 협의하여 결정한다.

④ 수급사업자가 정보보호프로그램 설치 등 정보보안컨설팅서비스의 제공을 위해 필요한 협력을 요청한 경우 발주자는 이에 협력할 수 있다.

제14조(수급사업자의 정보보안 준수의무 등) ① 수급사업자는 발주자의 「보안업무규정 및 세부지침」등을 준수하여야 한다.

② 수급사업자는 정보보안컨설팅서비스 제공을 통해 알게 된 발주자에 관한 정보 중 다음 각 호의 어느 하나에 해당하는 정보를 계약목적 외로 이용하거나 외부에 유출 하여서는 아니 된다.

1. 하드웨어 및 소프트웨어 구성현황

2. 네트워크 구성현황

3. 통신망 보안 등 보안관련 사항

4. 소프트웨어 소스코드

5. 사이버위협에 대한 분석자료, 보안취약점 및 대응 정보

6. 그 밖에 공표되지 않은 자료로서 외부에 알려지게 되는 경우 발주자의 업무에 지장을 초래할 수 있는 사항

③ 수급사업자는 계약과 관련하여 제출한 산출물의 배포 또는 복제가 필요한 경우 발주자와 협의하여야 한다. 다만, 발주자는 특수성(보안 등)을 이유로 해당 산출물의 배포 또는 복제를 제한 할 수 있으며, 수급사업자는 이에 따라야 한다.

제15조(보고서 제출 의무) 정보보안컨설팅서비스를 수행하는 수급사업자는 계약기간동안 제6조에 따른 서비스를 수행하고 상호 합의된 일정에 따라 발주자에게 중간보고서 또는 결과보고서의 형태로 컨설팅 보고서를 제출하여야 한다. 다만, 수급사업자는 보고서의 내용이 제3자의 권리를 침해하지 않았음을 보증하여야 한다.

제16조(납품 또는 제공의 방법) ① 수급사업자는 본 계약에 의한 과업의 수행을 완료한 후 양 당사자가 협의하여 정한 절차에 따라 납품 또는 제공하며, 동 절차는 과업지시서에 명시한다.

② 수급사업자는 납기의 지연, 기타 납품과 제공에 관련한 문제점이 발생하였을 경우 신속하게 발주자의 지시를 받아 필요한 조치를 강구한다.

③ 불가항력으로 인하여 수급사업자의 납기가 지연되는 경우 양 당사자는 협의하여 납기를 조정할 수 있다.

제17조(수령 및 검사) ① 발주자는 수급사업자가 목적물을 납품·제공한 경우 즉시 수령증명서를 수급사업자에게 교부한다. 이는 검사 이전인 경우에도 동일하다.

② 발주자와 수급사업자는 협의하여 수급사업자의 과업수행에 대해 객관적이고 공정 타당한 검사의 기준 및 방법을 정하여 검사의 기준 및 방법을 과업지시서에 명시한다.

③ 발주자는 정당한 사유가 있는 경우를 제외하고는 수급사업자로부터 목적물을 수령한 날 또는 수급사업자로부터 검사요청이 있은 날로부터 14일 이내에 검사를 완료하고 검사결과를 수급사업자에게 통지하여야 한다. 다만, 천재지변 등 불가항력의 사유로 기간내에 검사를 완료하지 못한 경우에는 당해 사유가 소멸한 날부터 3일 이내에 검사를 완료하여야 한다.

④ 검사결과 불합격인 경우 발주자는 제3항의 검사결과 통지 시 반드시 불합격사유를 명시한다.

⑤ 수급사업자는 검사결과에 이의가 있을 경우 불합격 사유에 대해 소명하거나 재검사를 요청할 수 있다. 이 경우 발주자는 수급사업자의 요청이 있은 후 10일 이내에 필요한 조치를 취한다. 수급사업자의 이의신청으로 인해 지연된 기간은 2회에 한하여 지체일수에 산입하지 아니한다.

제18조(불합격품의 처리) ① 수급사업자는 제17조에 따른 검사 결과, 불합격된 목적물에 대해서는 발주자의 지시에 따라 신속히 대체물의 납품 및 기타 필요한 조치를 취한다.

② 수급사업자가 제1항의 필요조치를 취하는 것이 수급사업자의 본래의 납기를 지체한 것에 대한 책임을 감경시키지 않는다.

③ 목적물이 불합격된 사유가 발주자가 공급한 설비의 하자 등 발주자의 귀책사유에 기인한 경우 이에 대한 책임은 발주자가 부담한다.

제19조(검사비용) ① 검사비용은 원칙적으로 발주자가 부담한다.

② 수급사업자의 요청 또는 귀책사유로 인해 재검사를 실시하는 경우에만 수급사업자가 검사비용을 부담한다.

제20조(지체상금) ① 수급사업자의 귀책사유로 인하여 계약기간 내에 과업수행을 완료하지 못하였을 경우 발주자는 지체일수 1일에 대하여 총 계약금의 1,000분의 2.5에 해당하는 지체상금을 대금에서 공제할 수 있다.

② 다음 각 호의 어느 하나에 해당되어 과업수행이 지체되었다고 인정할 때에는 그 해당일수를 제1항의 지체일수에 산입하지 아니한다.

1. 불가항력의 사유에 의한 경우

2. 발주자의 책임으로 과업수행의 착수가 지연되거나 과업수행이 중단된 경우

3. 기타 수급사업자의 책임에 속하지 않는 사유로 인하여 지체된 경우

제21조(하도급 승인) ① 수급사업자가 도급받은 사업의 전부 또는 일부를 하도급하거나 하수급인이 하도급 받은 사업의 전부 또는 일부를 다시 하도급하려는 경우 하도급·재하도급 계약승인신청서를 제출하여 발주자로부터 서면의 승인을 받아야 한다.

② 신청을 받은 발주자는 14일 이내에 승인 여부를 수급사업자 내지 하수급인에게 알려야 한다. 다만, 하도급 적정성 판단에 상당한 시일이 요구되는 등 불가피한 사유가 있는 경우에는 한 차례만 통지기간을 연장할 수 있다.

③ 발주자는 하도급 또는 재하도급 계약의 준수여부를 확인하기 위하여 필요한 경우 승인을 할 때 하도급 또는 재하도급을 승인받은 자가 정보보호시스템 구축 사업 하도급·재하도급 계약 준수실태 보고서에 따라 그 준수 여부를 보고하는 것을 조건으로 할 수 있다.

④ 수급사업자는 도급받은 사업에 대해 하도급거래를 할 경우 「하도급거래 공정화에 관한 법률」과 「정보보호산업의 진흥에 관한 법률」 등 관련 법령을 준수하여야 한다.

제22조(비밀유지) ① 발주자 또는 수급사업자는 본 계약으로 지득한 상대방의 업무상 및 기술상의 기밀을 상대방의 승낙이 없는 한 제3자에게 누설하지 아니한다.

② 발주자는 수급사업자의 기술자료, 경영정보 등 영업상 중요정보가 포함된 자료의 제출을 요청하는 경우 비밀유지계약을 체결한다.

③ 발주자와 수급사업자는 본 계약의 계약기간 중은 물론 계약의 종료 또는 해지 이후에도 제1항의 의무를 부담하며, 제1항의 의무에 위반하여 상대방에게 손해를 입힌 경우 이를 배상한다.

제4장 기타

제23조(정보보호 교육의 실시) ① 수급사업자는 정보보안컨설팅서비스 제공과 관련하여 발주자의 정보보호인력에 대한 교육을 실시할 필요가 있는 경우 발주자와 협의하여 정보보호교육을 실시할 수 있다.

② 제1항에 따른 정보보호교육의 실시시기, 방법 및 비용 등은 수급사업자와 발주자간의 협의를 통하여 정한다.

제24조(지식재산권) ① 당해 계약에 따른 계약목적물에 대한 지식재산권은 발주자와 수급사업자가 공동으로 소유하며, 별도의 정함이 없는 한 지분은 균등한 것으로 한다. 다만, 개발의 기여도 및 계약목적물의 특수성(국가안전보장, 국방, 외교관계 등)을 고려하여 계약당사자 간의 협의를 통해 지식재산권 귀속주체 등에 대해 달리 정할 수 있다.

② 수급사업자는 발주자로부터 사용을 허락받은 지식재산권을 본 계약에 의한 과업 수행 이외의 용도로 사용하지 않으며, 발주자의 서면으로 된 사전승낙 없이 제3자에게 누설하거나 사용하게 하지 않는다. 이는 본 계약의 계약기간 중은 물론 계약의 종료 또는 해지 이후에도 동일하다.

③ 수급사업자는 과업 수행과 관련하여 발주자 또는 수급사업자와 제3자간에 지식재산권에 관한 분쟁이 발생하거나 발생할 우려가 있는 경우 지체 없이 구체적인 상황을 발주자에게 서면으로 통지한다. 이 경우 발주자 또는 수급사업자 중 책임 있는 당사자는 자신의 노력과 비용으로 해당 분쟁을 처리하며, 상대방의 손해에 대하여 배상한다.

제25조(계약의 해제, 해지) ① 발주자 또는 수급사업자는 다음 각 호의 어느 하나에 해당하는 경우 본 계약의 일부 또는 전부를 해제하거나 해지할 수 있다. 다만, 제2호의 경우에는 수급사업자의 계약이행 가능성이 있고 계약을 유지할 필요가 있다고 인정되며 수급사업자가 계약이행이 완료되지 아니한 부분에 상당하는 계약보증금을 추가 납부하는 때에는 계약을 유지한다.

1. 발주자 또는 수급사업자가 계약내용에 대한 중대한 위반을 하였을 경우

2. 본 계약 제20조에 의한 지체상금이 당해 계약의 계약보증금 상당액에 달한 경우

3. 정당한 이유 없이 약정한 착수기일을 경과하고도 서비스 수행에 착수하지 아니할 경우

4. 수급사업자의 귀책사유로 인하여 정보보안컨설팅서비스 수행기한까지 해당 서비스를 완료하지 못하거나 완료할 가능성이 없다고 인정될 경우

5. 입찰에 관한 서류 등을 허위 또는 부정한 방법으로 제출하여 계약이 체결된 경우

6. 수급사업자가 ‘청렴계약 이행각서’에 위배되는 행위를 한 경우

② 발주자 또는 수급사업자는 제1항 각호의 사유가 발생하였을 경우 상대방에게 지체 없이 통지한다.

③ 수급사업자의 귀책사유로 인하여 계약이 해제 내지 해지된 경우 발주자는 수급사업자에게 이미 지급한 계약금 또는 연구기자재 등 유형적 발생품의 환수를 청구할 수 있다.

④ 계약이 해제 내지 해지된 경우 수급사업자는 해제 내지 해지된 날부터 20일 이내에 해지시까지의 계약금 사용실적 및 해지시까지의 보고서 등의 결과물을 발주자에게 제출하고 발주자는 이에 대한 검수를 완료한 후 기성부분에 대하여 계약금을 정산한다.

제26조(손해배상) 발주자 또는 수급사업자는 본 계약의 위반으로 인하여 손해를 입었을 때 상대방에게 손해배상을 청구할 수 있다. 다만, 불가항력으로 인하여 상대방 및 제3자에게 발생시킨 손해에 대하여는 책임을 부담하지 아니한다.

제27조(분쟁해결) ① 이 계약과 관련하여 분쟁이 발생한 경우, 수급사업자와 발주자는 상호 협의하여 분쟁을 원활히 해결하기 위해 노력하여야 한다.

② 제1항의 규정에도 불구하고 분쟁이 해결되지 않은 경우 「정보보호산업의 진흥에 관한 법률」 제25조에 의거하여 정보보호산업 분쟁조정위원회에 조정을 신청할 수 있다.