Nuevas reglas chinas de certificación electrónica 2026: plazo del 30 de octubre y firmas conformes con la CA

El regulador chino ha endurecido las reglas que subyacen a cada firma electrónica. En abril de 2026, el Ministerio de Industria y Tecnología de la Información (MIIT) emitió su Aviso sobre las Reglas de Negocio de la Certificación Electrónica (工信发函〔2026〕181号), junto con la norma sectorial T/CQAE 11034-2025, «Especificación de las Reglas de Negocio de la Certificación Electrónica». Los proveedores de servicios de certificación electrónica deben reformar sus procesos para cumplir cuatro requisitos no negociables —verificación directa por la CA, contratos directos con el suscriptor, prueba de la intención y gestión controlada de claves— antes de que termine el periodo de transición, el 30 de octubre de 2026.

Para las empresas que firman en China continental o con contrapartes de China continental, esto no es un asunto interno de un proveedor. Cuando se impugna un contrato firmado, el tribunal examina precisamente estos eslabones de la cadena de confianza. Este artículo expone qué cambió, qué exigen las cuatro reglas y qué debe verificar un comprador.

Qué abarca la reforma de 2026

El régimen chino de firma electrónica tiene dos capas que suelen confundirse. La Ley de Firma Electrónica determina cuándo una firma es jurídicamente fiable. Por debajo, las reglas de negocio de la certificación electrónica rigen cómo una autoridad de certificación (CA) con licencia verifica la identidad, emite certificados y conserva pruebas.

Las medidas de 2026 actúan sobre esa segunda capa. El aviso del MIIT (工信发函〔2026〕181号) exige que las autoridades de certificación revisen sus procesos existentes frente a las reglas de negocio revisadas y realicen una reforma completa de cumplimiento. La norma complementaria T/CQAE 11034-2025 —una norma de asociación sectorial, no el texto del aviso en sí— fija el detalle operativo con el que se miden las inspecciones.

Esta línea difiere del trabajo separado de la Administración Estatal de Criptografía sobre el uso de criptografía en los servicios de certificación electrónica, que regula la licencia de uso de criptografía y no las reglas de negocio en sí; las dos líneas imponen obligaciones distintas a los mismos proveedores.

La reforma deliberadamente no es cosmética. Los proveedores no pueden cumplirla solo reescribiendo su política interna o actualizando su declaración de prácticas de certificación (CPS). El aviso también descarta atajos: una plataforma no puede, mediante cláusulas contractuales, reclasificar la certificación como «servicio de seguridad» o «servicio de autenticación auxiliar», ni puede convertir ilícitamente una certificación de terceros en un proyecto propio para eludir las reglas.

Las cuatro líneas rojas

La norma reduce la reforma a cuatro requisitos que el sector llama líneas rojas: sin exenciones, sin «versión transitoria».

• Verificación directa por la CA (CA直验). La identidad debe verificarla la propia CA con licencia. Se prohíbe delegarla en una organización o persona externa, y una persona jurídica distinta cuenta como externa. El objetivo es mantener intacto el vínculo entre una identidad real y un certificado digital.
• Contrato directo con el suscriptor (CA直签). El contrato de servicio de certificación debe celebrarse directamente entre la CA y el suscriptor del certificado, de modo que los derechos y obligaciones se enuncien y se acepten, no queden tras una casilla marcada por defecto o una autorización poco clara.
• Prueba de la intención (意愿留证). La intención del suscriptor debe registrarse y ser rastreable en toda la cadena. Los certificados de mayor garantía requieren confirmación por grabación de audio o video; los certificados de nivel básico requieren un registro de confirmación rastreable.
• Gestión controlada de claves (私钥直管). Las claves de firma las posee en primer lugar el suscriptor. Cuando una CA aloja la clave, necesita la autorización escrita del suscriptor, almacenamiento cifrado y un registro completo de cada uso: ninguna invocación no autorizada.

Estos cuatro requisitos cambian la estructura de los arreglos basados en «conectar con una CA» o la «certificación conjunta», porque en esos modelos los pasos regulados a menudo los realizaban partes distintas de la CA con licencia.

Por qué los tribunales ya aplican la norma

La reforma no es solo un ejercicio administrativo. En un caso reciente, el Tribunal Popular del Distrito de Changjiang, en Jingdezhen, citó en su opinión de revisión la Especificación de las Reglas de Negocio de la Certificación Electrónica y pidió a las partes un informe de verificación directa por la CA, con el fundamento de que una CA no puede confiar la verificación de identidad de los usuarios a un tercero.

Esa es la consecuencia práctica para las empresas. Si un contrato se impugna después y la cadena de verificación de identidad se subcontrató, se resolvió con una casilla por defecto o nunca se documentó, esas lagunas se convierten en el punto de ataque. Una firma que parecía válida al firmar puede ser difícil de defender en un litigio.

Tres comprobaciones que todo comprador debería hacer

El aviso sitúa las obligaciones de transición en los proveedores, pero también da a los compradores una lista de verificación. Cualquier pregunta que el proveedor no responda con claridad es motivo para mirar más de cerca la cadena de certificación.

• Comprobar la licencia. Confirme que el proveedor de firma electrónica y la CA que realmente emite los certificados poseen una licencia válida de servicio de certificación electrónica. Verifíquelo en el canal oficial del MIIT https://ythzxfw.miit.gov.cn/index, no en una página de marketing. La ausencia de licencia es descalificante.
• Comprobar la verificación directa por la CA. Esta es la línea roja central. Para las personas, el sistema de la CA con licencia debería ejecutar comprobaciones de identidad real más verificación de segundo factor por rostro o SMS, sin retransmisión de terceros. Para las organizaciones, la CA debería verificar la licencia comercial y realizar directamente comprobaciones de cuenta o de vitalidad, sin que la plataforma toque los datos de verificación esenciales. Si algún paso se responde como «hecho por la plataforma» o «subcontratado a un servicio de verificación de terceros», la cadena está rota.
• Comprobar el emisor del certificado. Abra un contrato firmado y lea los detalles del certificado. El emisor debería coincidir exactamente con la CA con licencia. Vigile formulaciones vagas como «emitido en nombre de», «emitido conjuntamente» o «coemitido», y confirme que el certificado puede consultarse en el sistema de servicio de certificación electrónica del MIIT. Si el emisor no es la propia CA con licencia, el peso jurídico del certificado se debilita en el nuevo marco.

Qué deberían hacer las empresas extranjeras

Los equipos fuera de China continental que firman con contrapartes de China continental deberían tratar el plazo del 30 de octubre como una ventana de selección y revisión, no solo como un evento de cumplimiento lejano.

• Pida a su proveedor el nombre jurídico del emisor del certificado para cada método de firma y la prueba de licencia que lo respalda. La marca de la plataforma, el proceso de registro y la CA con licencia pueden ser tres entidades distintas.
• Pregunte cómo se verificó la identidad, cómo se presentó y aceptó el contrato del suscriptor, dónde se generan las claves y quién puede invocarlas, y qué registros se conservan en cada paso.
• Solicite una muestra del paquete de pruebas: el archivo firmado, la información del certificado, los eventos de autenticación del firmante, los registros de consentimiento e intención, las marcas de tiempo y el historial de auditoría.
• Recuerde que la licencia del proveedor y la exigibilidad del contrato están relacionadas pero no son idénticas. Si un documento concreto es vinculante aún depende del tipo de documento, la intención de las partes, la fiabilidad del método de firma y las pruebas disponibles. Para el panorama general de la firma en China continental, consulte la visión general de la firma electrónica en China continental.

Qué viene después

El periodo de transición termina el 30 de octubre de 2026, tras lo cual se espera que el MIIT pase a inspecciones a gran escala. Los proveedores que no cumplan se enfrentan a la suspensión de la actividad no conforme y, en el límite, a la exclusión o revocación de su licencia. Las empresas que revisen a sus proveedores ahora evitan descubrir una cadena de certificación rota en medio de un litigio.

Puntos clave

• El aviso del MIIT sobre las Reglas de Negocio de la Certificación Electrónica (工信发函〔2026〕181号) y la norma T/CQAE 11034-2025 fijan cuatro líneas rojas para la certificación electrónica en China.
• Las cuatro reglas son: verificación directa por la CA, contrato directo con el suscriptor, prueba de la intención y gestión controlada de claves.
• El periodo de transición termina el 30 de octubre de 2026, tras lo cual se esperan inspecciones y medidas sobre licencias.
• Los tribunales ya aplican la norma: en un caso en Jingdezhen, el tribunal exigió un informe de verificación directa por la CA.
• Los compradores deberían verificar la licencia del proveedor, el paso de verificación directa por la CA y la identidad del emisor del certificado antes de confiar en un certificado emitido en China.