Bagong Patakaran sa Electronic Certification ng China 2026: Deadline ng Oktubre 30 at CA-Compliant na E-Signature

Pinalakas ng regulator ng China ang mga patakarang nasa ilalim ng bawat electronic signature. Noong Abril 2026, inilabas ng Ministry of Industry and Information Technology (MIIT) ang Notice on Electronic Certification Business Rules (工信发函〔2026〕181号), kasama ang industry standard na T/CQAE 11034-2025, «Electronic Certification Business Rules Specification». Dapat repormahin ng mga electronic certification service provider ang kanilang mga proseso upang matugunan ang apat na hindi mapag-usapang requirement — direktang CA verification, direktang kasunduan sa subscriber, proof of intent, at kontroladong pamamahala ng key — bago magtapos ang transition period sa Oktubre 30, 2026.

Para sa mga kumpanyang pumipirma sa mainland China o sa mga counterparty sa mainland China, hindi ito internal na usapin ng isang provider. Kapag kinuwestiyon ang isang pinirmahang kontrata, eksaktong sinusuri ng hukuman ang mga link na ito sa trust chain. Inilalahad ng artikulong ito ang nabago, ang hinihingi ng apat na patakaran, at ang dapat i-verify ng mamimili.

Saklaw ng 2026 reform

Ang rehimen ng electronic signature sa China ay may dalawang layer na madalas ipagkamali. Ang Electronic Signature Law ay nagtatakda kung kailan legal na maaasahan ang isang pirma. Sa ilalim nito, ang electronic certification business rules ay kumokontrol sa kung paano nagve-verify ng identity, naglalabas ng certificate, at nag-iimbak ng ebidensya ang isang lisensyadong certification authority (CA).

Ang mga hakbang ng 2026 ay tumutugon sa ikalawang layer na ito. Inaatasan ng MIIT notice (工信发函〔2026〕181号) ang mga certification authority na suriin ang kanilang mga umiiral na proseso laban sa binagong business rules at magsagawa ng buong compliance overhaul. Ang kasamang standard na T/CQAE 11034-2025 — isang industry association standard, hindi ang teksto ng notice mismo — ay nagtatakda ng operational detail na pinagbabasehan ng mga inspection.

Ang linyang ito ay naiiba sa hiwalay na gawain ng State Cryptography Administration sa paggamit ng cryptography sa electronic certification services, na kumokontrol sa cryptography-use licensing at hindi sa business rules mismo; iba ang obligasyong ipinapataw ng dalawang linya sa parehong mga provider.

Ang reform ay sadyang hindi kosmetiko. Hindi ito matutugunan ng mga provider sa pamamagitan lamang ng muling pagsulat ng internal policy o pag-update ng certification practice statement (CPS) text. Tinatanggihan din ng notice ang mga shortcut: hindi maaaring gamitin ng platform ang mga contractual clause upang gawing «security service» o «auxiliary authentication service» ang certification, at hindi maaaring iligal na gawing self-built project ang third-party certification upang ilagan ang mga patakaran.

Ang apat na red line

Binabawasan ng standard ang overhaul sa apat na requirement na tinatawag ng industriya na red lines — walang exemption, walang «transition version».

• Direktang CA verification (CA直验). Dapat i-verify ng lisensyadong CA mismo ang identity. Ipinagbabawal ang pagdelegar sa external na organisasyon o indibidwal, at ang ibang legal entity ay itinuturing na external. Layunin nitong panatilihing buo ang ugnayan ng tunay na identity at digital certificate.
• Direktang kasunduan sa subscriber (CA直签). Dapat direktang pinapirmahan ang certification service agreement sa pagitan ng CA at ng certificate subscriber, upang maisasaad at matanggap ang mga karapatan at obligasyon — hindi nakatago sa default checkbox o malabong awtorisasyon.
• Proof of intent (意愿留证). Dapat maitala at masubaybayan ang intent ng subscriber sa buong chain. Ang mas mataas na assurance certificates ay nangangailangan ng confirmation sa audio o video recording; ang basic-level certificates ay nangangailangan ng traceable confirmation record.
• Kontroladong pamamahala ng key (私钥直管). Ang signing keys ay hawak muna ng subscriber. Kung nagho-host ang CA ng key, kailangan nito ng nakasulat na awtorisasyon ng subscriber, encrypted storage, at buong talaan ng bawat paggamit — walang hindi awtorisadong pag-invoke.

Binabago ng apat na requirement na ito ang istruktura ng mga arrangement na nakabatay sa «pagkonekta sa isang CA» o «joint certification», dahil sa mga modelong iyon ang mga regulated na hakbang ay madalas isinasagawa ng iba maliban sa lisensyadong CA.

Bakit inilalapat na ng mga hukuman ang standard

Ang reform ay hindi lamang administratibong gawain. Sa isang kamakailang kaso, binanggit ng Changjiang District People's Court ng Jingdezhen City sa review opinion nito ang Electronic Certification Business Rules Specification at hiniling sa mga partido ang direktang CA verification report, sa batayan na hindi maaaring ipagkatiwala ng CA ang user identity verification sa third party.

Iyan ang praktikal na bunga sa mga negosyo. Kung kuwestiyunin ang isang kontrata at ang identity-verification chain ay outsource, default-checkbox, o hindi kailanman naebidensya, ang mga puwang na iyon ang nagiging punto ng atake. Ang pirmang mukhang valid sa pagpirma ay maaaring mahirap ipagtanggol sa pagtatalo.

Tatlong pagsusuri na dapat gawin ng bawat mamimili

Inilalagay ng notice ang transition obligations sa mga provider, ngunit binibigyan din ng checklist ang mga mamimili. Anumang tanong na hindi malinaw na masasagot ng provider ay dahilan upang higit na siyasatin ang certification chain.

• Suriin ang lisensya. Kumpirmahin na ang e-signature provider at ang CA na tunay na naglalabas ng certificates ay may valid na electronic certification service licence. I-verify ito sa opisyal na channel ng MIIT https://ythzxfw.miit.gov.cn/index, hindi sa marketing page. Ang kawalan ng lisensya ay disqualifying.
• Suriin ang direktang CA verification. Ito ang core red line. Para sa mga indibidwal, dapat isagawa ng lisensyadong CA system ang real-name checks kasama ang face o SMS second-factor verification na walang third-party relay. Para sa mga organisasyon, dapat i-verify ng CA ang business licence at direktang gumawa ng account o liveness checks, nang hindi hinahawakan ng platform ang core verification data. Kung anumang hakbang ay sinasagot na «ginawa ng platform» o «outsource sa third-party verification service», sira ang chain.
• Suriin ang certificate issuer. Buksan ang isang pinirmahang kontrata at basahin ang certificate details. Dapat eksaktong tumugma ang issuing body sa lisensyadong CA. Mag-ingat sa malabong pananalita tulad ng «issued on behalf of», «jointly issued», o «co-issued», at kumpirmahin na mahahanap ang certificate sa electronic certification service system ng MIIT. Kung ang issuer ay hindi ang lisensyadong CA mismo, humihina ang legal na bigat ng certificate sa ilalim ng bagong framework.

Ano ang dapat gawin ng mga foreign company

Ang mga team sa labas ng mainland China na pumipirma sa mga counterparty sa mainland China ay dapat ituring ang Oktubre 30 deadline bilang selection at review window, hindi lamang isang malayong compliance event.

• Hilingin sa provider ang legal na pangalan ng certificate issuer para sa bawat paraan ng pagpirma, at ang licence evidence sa likod nito. Ang brand ng platform, registration process, at lisensyadong CA ay maaaring tatlong magkaibang entity.
• Itanong kung paano na-verify ang identity, paano ipinakita at tinanggap ang subscriber agreement, saan ginagawa ang mga key at sino ang makakapag-invoke, at anong mga record ang itinatago sa bawat hakbang.
• Humingi ng sample evidence package: ang pinirmahang file, certificate information, signer authentication events, consent at intent records, timestamps, at audit history.
• Tandaan na ang provider licensure at contract enforceability ay magkaugnay ngunit hindi magkapareho. Kung ang isang partikular na dokumento ay binding ay depende pa rin sa uri ng dokumento, intent ng mga partido, reliability ng paraan ng pagpirma, at available na ebidensya. Para sa mas malawak na larawan ng pagpirma sa mainland China, tingnan ang pangkalahatang-tanaw ng electronic signature sa mainland China.

Ano ang susunod

Nagtatapos ang transition period sa Oktubre 30, 2026, pagkatapos nito ay inaasahang lilipat ang MIIT sa full-scale inspection. Ang mga provider na hindi makakatugon ay haharap sa suspensyon ng non-compliant na negosyo at, sa sukdulan, sa pagtanggal o pag-revoke ng lisensya. Ang mga kumpanyang nagsusuri ng kanilang provider ngayon ay umiiwas na matuklasan ang sirang certification chain sa gitna ng pagtatalo.

Mga pangunahing punto

• Ang MIIT notice sa Electronic Certification Business Rules (工信发函〔2026〕181号) at ang standard na T/CQAE 11034-2025 ay nagtatakda ng apat na red line para sa electronic certification sa China.
• Ang apat na patakaran ay direktang CA verification, direktang kasunduan sa subscriber, proof of intent, at kontroladong pamamahala ng key.
• Nagtatapos ang transition period sa Oktubre 30, 2026, pagkatapos nito ay inaasahan ang mga inspection at aksyon sa lisensya.
• Inilalapat na ng mga hukuman ang standard: sa isang kaso sa Jingdezhen, hiniling ng hukuman ang direktang CA verification report.
• Dapat i-verify ng mga mamimili ang lisensya ng provider, ang direktang CA verification step, at ang identity ng certificate issuer bago umasa sa certificate na inilabas sa China.