Nuove regole cinesi sulla certificazione elettronica 2026: scadenza del 30 ottobre e firme conformi alla CA

L'autorità di regolamentazione cinese ha inasprito le regole che stanno sotto ogni firma elettronica. Nell'aprile 2026 il Ministero dell'Industria e delle Tecnologie dell'Informazione (MIIT) ha emanato l'Avviso sulle regole di business della certificazione elettronica (工信发函〔2026〕181号), insieme alla norma di settore T/CQAE 11034-2025, «Specifica delle regole di business della certificazione elettronica». I fornitori di servizi di certificazione elettronica devono riformare i propri processi per soddisfare quattro requisiti non negoziabili — verifica diretta della CA, contratti diretti con l'abbonato, prova dell'intento e gestione controllata delle chiavi — prima che il periodo transitorio termini il 30 ottobre 2026.

Per le aziende che firmano nella Cina continentale o con controparti della Cina continentale, non si tratta di una questione interna a un fornitore. Quando un contratto firmato viene contestato, il tribunale esamina proprio questi anelli della catena di fiducia. Questo articolo illustra cosa è cambiato, cosa richiedono le quattro regole e cosa deve verificare un acquirente.

Cosa copre la riforma del 2026

Il regime cinese della firma elettronica ha due livelli spesso confusi. La Legge sulla firma elettronica stabilisce quando una firma è giuridicamente affidabile. Sotto di essa, le regole di business della certificazione elettronica disciplinano come un'autorità di certificazione (CA) autorizzata verifica l'identità, emette i certificati e conserva le prove.

Le misure del 2026 agiscono su questo secondo livello. L'avviso del MIIT (工信发函〔2026〕181号) richiede alle autorità di certificazione di riesaminare i processi esistenti alla luce delle regole di business riviste e di attuare una riforma completa della conformità. La norma di accompagnamento T/CQAE 11034-2025 — una norma di associazione di settore, non il testo dell'avviso stesso — fissa il dettaglio operativo su cui si misurano le ispezioni.

Questa linea differisce dal lavoro separato dell'Amministrazione statale della crittografia sull'uso della crittografia nei servizi di certificazione elettronica, che disciplina la licenza d'uso della crittografia e non le regole di business in sé; le due linee impongono obblighi diversi agli stessi fornitori.

La riforma non è deliberatamente cosmetica. I fornitori non possono soddisfarla solo riscrivendo la politica interna o aggiornando la dichiarazione delle pratiche di certificazione (CPS). L'avviso esclude anche scorciatoie: una piattaforma non può, con clausole contrattuali, riclassificare la certificazione come «servizio di sicurezza» o «servizio di autenticazione ausiliaria», né può convertire illecitamente una certificazione di terzi in un progetto interno per eludere le regole.

Le quattro linee rosse

La norma riduce la riforma a quattro requisiti che il settore chiama linee rosse — senza esenzioni, senza «versione transitoria».

• Verifica diretta della CA (CA直验). L'identità deve essere verificata dalla CA autorizzata stessa. È vietato delegarla a un'organizzazione o persona esterna, e una persona giuridica diversa conta come esterna. L'obiettivo è mantenere intatto il legame tra un'identità reale e un certificato digitale.
• Contratto diretto con l'abbonato (CA直签). Il contratto di servizio di certificazione deve essere stipulato direttamente tra la CA e l'abbonato al certificato, affinché diritti e obblighi siano enunciati e accettati — non nascosti dietro una casella predefinita o un'autorizzazione poco chiara.
• Prova dell'intento (意愿留证). L'intento dell'abbonato deve essere registrato e tracciabile lungo tutta la catena. I certificati ad alta garanzia richiedono una conferma tramite registrazione audio o video; i certificati di livello base richiedono una registrazione di conferma tracciabile.
• Gestione controllata delle chiavi (私钥直管). Le chiavi di firma sono detenute in primo luogo dall'abbonato. Dove una CA ospita la chiave, servono l'autorizzazione scritta dell'abbonato, l'archiviazione cifrata e un registro completo di ogni uso — nessuna invocazione non autorizzata.

Questi quattro requisiti cambiano la struttura degli accordi basati sul «collegamento a una CA» o sulla «certificazione congiunta», perché in quei modelli i passaggi regolati erano spesso eseguiti da soggetti diversi dalla CA autorizzata.

Perché i tribunali applicano già la norma

La riforma non è solo un esercizio amministrativo. In un caso recente, il Tribunale popolare del distretto di Changjiang, a Jingdezhen, ha citato nel suo parere di esame la Specifica delle regole di business della certificazione elettronica e ha chiesto alle parti un rapporto di verifica diretta della CA, sul presupposto che una CA non possa affidare a terzi la verifica dell'identità degli utenti.

Questa è la conseguenza pratica per le aziende. Se un contratto viene poi contestato e la catena di verifica dell'identità è stata esternalizzata, risolta con una casella predefinita o mai documentata, quelle lacune diventano il punto di attacco. Una firma che sembrava valida al momento della firma può essere difficile da difendere in una controversia.

Tre verifiche che ogni acquirente dovrebbe fare

L'avviso pone gli obblighi transitori sui fornitori, ma offre anche agli acquirenti una lista di controllo. Qualsiasi domanda a cui il fornitore non risponda con chiarezza è un motivo per guardare più da vicino la catena di certificazione.

• Verificare la licenza. Confermare che il fornitore di firma elettronica e la CA che emette effettivamente i certificati possiedano una licenza valida di servizio di certificazione elettronica. Verificarlo sul canale ufficiale del MIIT https://ythzxfw.miit.gov.cn/index, non su una pagina di marketing. Una licenza mancante è squalificante.
• Verificare la verifica diretta della CA. Questa è la linea rossa centrale. Per le persone, il sistema della CA autorizzata dovrebbe eseguire controlli di identità reale più verifica a due fattori tramite volto o SMS, senza ritrasmissione di terzi. Per le organizzazioni, la CA dovrebbe verificare la licenza commerciale ed eseguire direttamente controlli di conto o di vitalità, senza che la piattaforma tocchi i dati di verifica essenziali. Se un passaggio viene risposto come «fatto dalla piattaforma» o «esternalizzato a un servizio di verifica di terzi», la catena è rotta.
• Verificare l'emittente del certificato. Aprire un contratto firmato e leggere i dettagli del certificato. L'emittente dovrebbe corrispondere esattamente alla CA autorizzata. Attenzione a diciture vaghe come «emesso per conto di», «emesso congiuntamente» o «co-emesso», e confermare che il certificato sia consultabile nel sistema di servizio di certificazione elettronica del MIIT. Se l'emittente non è la CA autorizzata stessa, il peso giuridico del certificato è indebolito nel nuovo quadro.

Cosa dovrebbero fare le aziende estere

I team fuori dalla Cina continentale che firmano con controparti della Cina continentale dovrebbero trattare la scadenza del 30 ottobre come una finestra di selezione e revisione, non solo come un evento di conformità lontano.

• Chiedete al fornitore il nome giuridico dell'emittente del certificato per ogni metodo di firma, e la prova di licenza a supporto. Il marchio della piattaforma, il processo di registrazione e la CA autorizzata possono essere tre entità distinte.
• Chiedete come è stata verificata l'identità, come è stato presentato e accettato il contratto dell'abbonato, dove vengono generate le chiavi e chi può invocarle, e quali registrazioni sono conservate a ogni passaggio.
• Chiedete un esempio di pacchetto di prove: il file firmato, le informazioni del certificato, gli eventi di autenticazione del firmatario, le registrazioni di consenso e intento, i timestamp e la cronologia di audit.
• Ricordate che la licenza del fornitore e l'esecutività del contratto sono correlate ma non identiche. Se un determinato documento sia vincolante dipende ancora dal tipo di documento, dall'intento delle parti, dall'affidabilità del metodo di firma e dalle prove disponibili. Per il quadro generale della firma nella Cina continentale, vedere la panoramica sulla firma elettronica nella Cina continentale.

Cosa viene dopo

Il periodo transitorio termina il 30 ottobre 2026, dopodiché si prevede che il MIIT passi a ispezioni su larga scala. I fornitori che non soddisfano i requisiti rischiano la sospensione delle attività non conformi e, al limite, la rimozione o la revoca della licenza. Le aziende che rivedono ora i propri fornitori evitano di scoprire una catena di certificazione rotta nel bel mezzo di una controversia.

Punti chiave

• L'avviso del MIIT sulle regole di business della certificazione elettronica (工信发函〔2026〕181号) e la norma T/CQAE 11034-2025 fissano quattro linee rosse per la certificazione elettronica in Cina.
• Le quattro regole sono: verifica diretta della CA, contratto diretto con l'abbonato, prova dell'intento e gestione controllata delle chiavi.
• Il periodo transitorio termina il 30 ottobre 2026, dopo il quale si attendono ispezioni e misure sulle licenze.
• I tribunali applicano già la norma: in un caso a Jingdezhen, il tribunale ha richiesto un rapporto di verifica diretta della CA.
• Gli acquirenti dovrebbero verificare la licenza del fornitore, il passaggio di verifica diretta della CA e l'identità dell'emittente del certificato prima di affidarsi a un certificato emesso in Cina.