Aturan Sertifikasi Elektronik Baru Tiongkok 2026: Tenggat 30 Oktober dan Tanda Tangan Patuh CA

Regulator Tiongkok telah memperketat aturan yang mendasari setiap tanda tangan elektronik. Pada April 2026, Kementerian Perindustrian dan Teknologi Informasi (MIIT) menerbitkan Pemberitahuan tentang Aturan Bisnis Sertifikasi Elektronik (工信发函〔2026〕181号), bersama standar industri T/CQAE 11034-2025, «Spesifikasi Aturan Bisnis Sertifikasi Elektronik». Penyedia layanan sertifikasi elektronik harus merombak proses mereka untuk memenuhi empat persyaratan yang tidak dapat ditawar — verifikasi langsung CA, perjanjian langsung dengan pelanggan, bukti niat, dan pengelolaan kunci terkendali — sebelum masa transisi berakhir pada 30 Oktober 2026.

Bagi perusahaan yang menandatangani di Tiongkok daratan atau dengan pihak Tiongkok daratan, ini bukan urusan internal penyedia. Ketika kontrak yang ditandatangani dipersengketakan, pengadilan memeriksa justru mata rantai ini dalam rantai kepercayaan. Artikel ini menjelaskan apa yang berubah, apa yang diminta empat aturan, dan apa yang harus diverifikasi pembeli.

Cakupan reformasi 2026

Rezim tanda tangan elektronik Tiongkok memiliki dua lapisan yang sering tertukar. Undang-Undang Tanda Tangan Elektronik menentukan kapan tanda tangan dapat diandalkan secara hukum. Di bawahnya, aturan bisnis sertifikasi elektronik mengatur bagaimana otoritas sertifikasi (CA) berlisensi memverifikasi identitas, menerbitkan sertifikat, dan menyimpan bukti.

Langkah-langkah 2026 menyasar lapisan kedua ini. Pemberitahuan MIIT (工信发函〔2026〕181号) mewajibkan otoritas sertifikasi meninjau proses yang ada terhadap aturan bisnis yang direvisi dan melakukan perombakan kepatuhan menyeluruh. Standar pendamping T/CQAE 11034-2025 — standar asosiasi industri, bukan teks pemberitahuannya sendiri — menetapkan detail operasional yang menjadi tolok ukur pemeriksaan.

Jalur ini berbeda dari pekerjaan terpisah Administrasi Kriptografi Negara mengenai penggunaan kriptografi dalam layanan sertifikasi elektronik, yang mengatur lisensi penggunaan kriptografi dan bukan aturan bisnisnya sendiri; kedua jalur membebankan kewajiban berbeda pada penyedia yang sama.

Reformasi ini sengaja tidak kosmetik. Penyedia tidak dapat memenuhinya hanya dengan menulis ulang kebijakan internal atau memperbarui pernyataan praktik sertifikasi (CPS). Pemberitahuan juga menutup celah: platform tidak boleh melalui klausul kontrak mengubah sertifikasi menjadi «layanan keamanan» atau «layanan sertifikasi tambahan», dan tidak boleh mengubah layanan sertifikasi pihak ketiga menjadi proyek mandiri secara melanggar hukum untuk menghindari aturan.

Empat garis merah

Standar meringkas perombakan menjadi empat persyaratan yang oleh industri disebut garis merah — tanpa pengecualian, tanpa «versi transisi».

• Verifikasi langsung CA (CA直验). Identitas harus diverifikasi oleh CA berlisensi sendiri. Mendelegasikan ke organisasi atau individu eksternal dilarang, dan badan hukum berbeda dianggap eksternal. Tujuannya menjaga keterkaitan antara identitas nyata dan sertifikat digital.
• Perjanjian langsung dengan pelanggan (CA直签). Perjanjian layanan sertifikasi harus dibuat langsung antara CA dan pelanggan sertifikat, agar hak dan kewajiban dinyatakan dan diterima — bukan tersembunyi di balik kotak centang bawaan atau otorisasi yang tidak jelas.
• Bukti niat (意愿留证). Niat pelanggan harus tercatat dan dapat dilacak sepanjang rantai. Sertifikat jaminan tinggi memerlukan konfirmasi melalui rekaman audio atau video; sertifikat tingkat dasar memerlukan catatan konfirmasi yang dapat dilacak.
• Pengelolaan kunci terkendali (私钥直管). Kunci tanda tangan dipegang pelanggan terlebih dahulu. Ketika CA menyimpan kunci, diperlukan otorisasi tertulis pelanggan, penyimpanan terenkripsi, dan catatan lengkap setiap penggunaan — tanpa pemanggilan yang tidak sah.

Keempat persyaratan ini mengubah struktur pengaturan berbasis «menyambung ke CA» atau «sertifikasi bersama», karena dalam model tersebut langkah yang diatur sering dijalankan pihak selain CA berlisensi.

Mengapa pengadilan sudah menerapkan standar

Reformasi bukan sekadar latihan administratif. Dalam perkara terbaru, Pengadilan Rakyat Distrik Changjiang, Kota Jingdezhen, mengutip Spesifikasi Aturan Bisnis Sertifikasi Elektronik dalam pendapat pemeriksaannya dan meminta para pihak menyerahkan laporan verifikasi langsung CA, dengan alasan CA tidak boleh mempercayakan verifikasi identitas pengguna kepada pihak ketiga.

Itulah konsekuensi praktis bagi perusahaan. Jika kontrak kemudian dipersengketakan dan rantai verifikasi identitas dialihdayakan, ditangani kotak centang bawaan, atau tidak pernah dibuktikan, celah itu menjadi titik serangan. Tanda tangan yang tampak sah saat ditandatangani bisa sulit dipertahankan saat sengketa.

Tiga pemeriksaan yang harus dilakukan setiap pembeli

Pemberitahuan menempatkan kewajiban transisi pada penyedia, tetapi juga memberi pembeli daftar periksa. Pertanyaan apa pun yang tidak dijawab penyedia dengan jelas adalah alasan untuk menelusuri lebih dalam rantai sertifikasi.

• Periksa lisensi. Pastikan penyedia tanda tangan elektronik dan CA yang benar-benar menerbitkan sertifikat memiliki lisensi layanan sertifikasi elektronik yang valid. Verifikasi melalui kanal resmi MIIT https://ythzxfw.miit.gov.cn/index, bukan halaman pemasaran. Lisensi yang tidak ada berarti gugur.
• Periksa verifikasi langsung CA. Ini garis merah inti. Untuk individu, sistem CA berlisensi harus menjalankan pemeriksaan identitas nyata plus verifikasi dua faktor via wajah atau SMS tanpa perantara pihak ketiga. Untuk organisasi, CA harus memverifikasi izin usaha dan melakukan pemeriksaan rekening atau liveness secara langsung, tanpa platform menyentuh data verifikasi inti. Jika suatu langkah dijawab «dilakukan platform» atau «dialihdayakan ke layanan verifikasi pihak ketiga», rantai terputus.
• Periksa penerbit sertifikat. Buka kontrak yang ditandatangani dan baca detail sertifikat. Penerbit harus persis sama dengan CA berlisensi. Waspadai frasa kabur seperti «diterbitkan atas nama», «diterbitkan bersama», atau «ko-terbit», dan pastikan sertifikat dapat dicari di sistem layanan sertifikasi elektronik MIIT. Jika penerbit bukan CA berlisensi sendiri, bobot hukum sertifikat melemah di bawah kerangka baru.

Apa yang harus dilakukan perusahaan asing

Tim di luar Tiongkok daratan yang menandatangani dengan pihak Tiongkok daratan harus memperlakukan tenggat 30 Oktober sebagai jendela seleksi dan peninjauan, bukan sekadar peristiwa kepatuhan yang jauh.

• Minta penyedia menyebutkan nama hukum penerbit sertifikat untuk setiap metode tanda tangan, dan bukti lisensi di belakangnya. Merek platform, proses pendaftaran, dan CA berlisensi bisa jadi tiga entitas berbeda.
• Tanyakan bagaimana identitas diverifikasi, bagaimana perjanjian pelanggan disajikan dan diterima, di mana kunci dibuat dan siapa yang dapat memanggilnya, dan catatan apa yang disimpan di setiap langkah.
• Minta contoh paket bukti: berkas yang ditandatangani, informasi sertifikat, peristiwa autentikasi penandatangan, catatan persetujuan dan niat, stempel waktu, dan riwayat audit.
• Ingat bahwa lisensi penyedia dan keberlakuan kontrak terkait tetapi tidak identik. Apakah dokumen tertentu mengikat tetap bergantung pada jenis dokumen, niat para pihak, keandalan metode tanda tangan, dan bukti yang tersedia. Untuk gambaran menyeluruh tanda tangan di Tiongkok daratan, lihat ikhtisar tanda tangan elektronik Tiongkok daratan.

Apa yang terjadi selanjutnya

Masa transisi berakhir 30 Oktober 2026, setelah itu MIIT diperkirakan beralih ke inspeksi skala penuh. Penyedia yang tidak memenuhi persyaratan menghadapi penghentian bisnis yang tidak patuh dan, pada batasnya, pencabutan atau pembatalan lisensi. Perusahaan yang meninjau penyedia mereka sekarang menghindari menemukan rantai sertifikasi yang rusak di tengah sengketa.

Poin utama

• Pemberitahuan MIIT tentang Aturan Bisnis Sertifikasi Elektronik (工信发函〔2026〕181号) dan standar T/CQAE 11034-2025 menetapkan empat garis merah untuk sertifikasi elektronik Tiongkok.
• Empat aturannya adalah verifikasi langsung CA, perjanjian langsung dengan pelanggan, bukti niat, dan pengelolaan kunci terkendali.
• Masa transisi berakhir 30 Oktober 2026, setelah itu inspeksi dan tindakan lisensi diperkirakan menyusul.
• Pengadilan sudah menerapkan standar: dalam perkara di Jingdezhen, pengadilan meminta laporan verifikasi langsung CA.
• Pembeli harus memverifikasi lisensi penyedia, langkah verifikasi langsung CA, dan identitas penerbit sertifikat sebelum mengandalkan sertifikat yang diterbitkan di Tiongkok.