中国電子認証新規則2026：10月30日の是正期限とCA準拠の電子署名

中国の規制当局は、あらゆる電子署名の土台となるルールを厳格化しました。2026年4月、工業・情報化部（工信部）は「電子認証業務規則に関する通知」（工信発函〔2026〕181号）を発出し、あわせて業界標準「電子認証業務規則規範」T/CQAE 11034-2025を公表しました。電子認証サービス事業者は、移行期間が2026年10月30日に終了するまでに、4つの不可欠な要求——CA直接検証、CA直接契約、意思の記録保持、秘密鍵の直接管理——を満たすよう業務を全面的に改修しなければなりません。

中国本土で、あるいは中国本土の当事者と契約を締結する企業にとって、これは事業者の内部問題ではありません。署名済み契約が争われたとき、裁判所が審査するのはまさにこの信頼の連鎖の各環節です。本稿では、何が変わったのか、4つのルールが何を求めるのか、そして買い手が何を確認すべきかを整理します。

2026年改革が対象とする範囲

中国の電子署名制度には、しばしば混同される2つの層があります。電子署名法は署名がいつ法的に信頼できるかを定めます。その下で、電子認証業務規則はライセンスを持つ認証機関（CA）が本人確認、証書発行、証拠保全をどう行うかを規律します。

2026年の措置が対象とするのはこの第2層です。工信部の通知（工信発函〔2026〕181号）は、各認証機関に対し、改訂された業務規則に照らして既存プロセスを見直し、全面的なコンプライアンス改修を行うよう求めています。併せて公表された標準T/CQAE 11034-2025——これは業界団体の標準であり、通知の本文そのものではありません——は、検査が照合される運用上の細目を定めています。

この路線は、国家暗号管理局が別途進める電子認証サービスにおける暗号使用の管理とは異なります。後者は業務規則そのものではなく暗号使用許可を規律するもので、両路線は同じ事業者に異なる義務を課します。

この改革は明らかに表面上のものではありません。事業者は内部規定の改訂や電子認証業務規則（CPS）文書の更新だけでは要件を満たせません。通知は抜け道も排除しています。プラットフォームは契約条項を用いて認証サービスを「セキュリティサービス」や「補助認証サービス」に変装させてはならず、第三者認証サービスを自社構築プロジェクトに違法に作り替えて規制を回避してはなりません。

4つのレッドライン

標準は改修を4つの要求に集約しています。業界ではこれをレッドラインと呼びます——免除も「移行版」もありません。

• CA直接検証（CA直验）。 本人確認はライセンスを持つCA自身が行わなければなりません。外部機関や個人への委託は禁止され、別法人は外部機関とみなされます。狙いは、実在の身元とデジタル証書の対応関係を維持することです。
• CA直接契約（CA直签）。 認証サービス契約はCAと証書加入者の間で直接締結され、権利義務が明示され受諾されなければなりません。デフォルトのチェックボックスや不明確な授権で代替してはなりません。
• 意思の記録保持（意愿留证）。 加入者の意思はチェーン全体で記録され追跡可能でなければなりません。高保証の証書は音声または映像による確認を要し、基礎レベルの証書は追跡可能な確認記録を要します。
• 秘密鍵の直接管理（私钥直管）。 署名鍵は原則として加入者が保持します。CAが保管する場合は加入者の書面による授権、暗号化保存、そしてすべての使用の完全な記録が必要です——無断の呼び出しは認められません。

これら4つの要求は、「CAに接続する」「共同認証」型の取り決めの構造を変えます。そうしたモデルでは、規制対象の工程がライセンスを持つCA以外の当事者によって行われることが多かったからです。

なぜ裁判所が既に標準を適用しているのか

この改革は行政上の作業にとどまりません。近時の案件で、景德鎮市昌江区人民法院は審査意見において「電子認証業務規則規範」を引用し、CAは利用者の本人確認を第三者に委託してはならないとして、当事者にCA直接検証の検証報告の提出を求めました。

これが企業にとっての実際の帰結です。契約が後に争われ、本人確認の連鎖が外注され、デフォルトのチェックボックスで処理され、あるいは証拠化されていなかった場合、そうした空白が攻撃の的になります。署名時に有効に見えた署名が、紛争時には弁護しにくくなる可能性があります。

すべての買い手が行うべき3つの確認

通知は移行義務を事業者に課しますが、買い手にもチェックリストを与えています。事業者が明確に答えられない質問は、認証チェーンをより詳しく調べる理由になります。

• 許可証の確認。 電子署名事業者、および実際に証書を発行するCAが有効な電子認証サービス許可証を保有していることを確認します。工信部の公式照会窓口https://ythzxfw.miit.gov.cn/indexで検証し、宣伝ページに依拠しないこと。許可証の欠如は即失格です。
• CA直接検証の確認。 これが中核のレッドラインです。個人については、ライセンスを持つCAシステムが実名確認に加え顔認証またはSMSの二要素確認を、第三者を介さず実行すべきです。組織については、CAが営業許可証の確認と口座確認または生体確認を直接行い、プラットフォームが中核の確認データに触れてはなりません。いずれかの工程が「プラットフォームが実施」「第三者検証サービスに接続」と答えられるなら、チェーンは断絶しています。
• 証書発行主体の確認。 署名済み契約を開き、証書の詳細を確認します。発行主体はライセンスを持つCAと完全に一致すべきです。「代理発行」「共同発行」「合作発行」といった曖昧な表現に注意し、証書が工信部の電子認証サービスシステムで照会できることを確認します。発行主体がライセンスを持つCA自身でなければ、新枠組みの下でその証書の法的重みは弱まります。

外国企業が行うべきこと

中国本土の外にいながら中国本土の相手方と署名するチームは、10月30日の期限を遠い compliance 事項ではなく、選定と見直しの窓口として捉えるべきです。

• 署名方法ごとに、証書発行主体の法定名称とその背後の許可証の証拠を事業者に求めます。プラットフォームのブランド、登録プロセス、ライセンスを持つCAは、3つの異なる主体であり得ます。
• 本人確認がどう行われたか、加入者契約がどう提示され受諾されたか、鍵がどこで生成され誰が呼び出せるか、各工程でどの記録が保持されるかを尋ねます。
• 証拠パッケージの見本を求めます。署名済みファイル、証書情報、署名者認証イベント、同意と意思の記録、タイムスタンプ、監査履歴です。
• 事業者のライセンスと契約の執行力は関連するが同一ではないことを銘記します。ある文書が拘束力を持つかは、文書の種類、当事者の意思、署名方法の信頼性、利用可能な証拠によります。中国本土での署名の全体像については、中国本土の電子署名概観をご覧ください。

次に起こること

移行期間は2026年10月30日に終了し、その後工信部は全面的な厳格検査に移行する見込みです。要件を満たせない事業者は非準拠業務の停止、最悪の場合は失権やライセンス取消しに直面します。今、事業者を見直す企業は、紛争の最中に認証チェーンが断絶していたことに気づく事態を避けられます。

要点

• 工信部「電子認証業務規則に関する通知」（工信発函〔2026〕181号）と業界標準T/CQAE 11034-2025は、中国の電子認証に4つのレッドラインを定めます。
• 4つのルールは、CA直接検証、CA直接契約、意思の記録保持、秘密鍵の直接管理です。
• 移行期間は2026年10月30日に終了し、その後検査とライセンス措置が見込まれます。
• 裁判所は既に標準を適用しています。景德鎮の案件で、裁判所はCA直接検証の検証報告を求めました。
• 買い手は、中国発行の証書に依拠する前に、事業者の許可証、CA直接検証の工程、証書発行主体の身元を確認すべきです。