以测评通过为交付条件
等保测评通过、报告到手才算交付。设备到货不算，配置完成也不算。
交付标准 · 网络安全系统集成
交付到「测评通过、报告到手」才算完
安全项目的交付物不是设备，是报告。设备装完了、灯亮了，但测评没过，这个项目就没有交付。
渗透测试报告随交付提供
上线前做一次渗透测试并出具报告，问题项全部闭环。
整改闭环要有清单
每一条整改项对应责任人与完成时间，逐条勾选。不留「已知悉、后续处理」这类条目。
原厂授权与服务承诺函
交付时提供所涉产品的原厂授权函与服务承诺函，明确响应时限与升级路径。
验收
四项指标，谁签字、什么时候签
| 验收项 | 指标 | 谁签字 | 什么时候 |
|---|---|---|---|
| 等保测评报告 | 通过并到手 | 客户信息科 + 测评机构 | 上线前 |
| 渗透测试报告 | 问题项全部闭环 | 客户信息安全负责人 | 上线前 |
| 整改闭环清单 | 100% 勾选 | 客户项目负责人 | 交付时 |
| 原厂授权与服务承诺函 | 齐全 | 客户采购负责人 | 交付时 |
不通过怎么办
不达标的时候，这些条款会生效
验收条款写进合同，不靠口头承诺。下面是这条业务线最常见的三种不达标情形与处理方式。
测评不通过
免费整改直到通过。整改期间的投入与测评费用由我方承担。
渗透测试发现高危漏洞
修复并复测，直到无高危项。不带着漏洞交付。
授权函缺失
补齐后交付。这一条属于合规要求，不接受「先用后补」。
依据
这条标准从哪来
这份标准来自两处：一是等保测评的流程要求（先测评后运行，报告是法定凭证）；二是行业里常见的问题 —— 设备装完人就走了，测评卡住没人管。
下一步
接下来
这份标准不是给所有人看的，是给正在评估的人看的。