중국 전자인증 신규 규정 2026: 10월 30일 시정 기한과 CA 준수 전자서명

중국 규제당국이 모든 전자서명의 토대가 되는 규칙을 강화했습니다. 2026년 4월, 공업정보화부(工信部)는 「전자인증 업무규칙에 관한 통지」(工信发函〔2026〕181号)를 발표하고, 업계 표준 「전자인증 업무규칙 규범」T/CQAE 11034-2025를 함께 공표했습니다. 전자인증 서비스 사업자는 전환 기간이 2026년 10월 30일에 종료되기 전까지 네 가지 양보할 수 없는 요건—CA 직접 검증, CA 직접 계약, 의사 기록 보존, 개인키 직접 관리—을 충족하도록 업무를 전면 개편해야 합니다.

중국 본토에서, 또는 중국 본토 당사자와 계약을 체결하는 기업에게 이것은 사업자의 내부 문제가 아닙니다. 서명된 계약이 분쟁에 휘말리면 법원이 심사하는 것은 바로 이 신뢰 사슬의 각 고리입니다. 이 글은 무엇이 바뀌었는지, 네 가지 규칙이 무엇을 요구하는지, 그리고 구매자가 무엇을 검증해야 하는지를 정리합니다.

2026년 개혁이 다루는 범위

중국의 전자서명 제도에는 흔히 혼동되는 두 개의 층이 있습니다. 전자서명법은 서명이 언제 법적으로 신뢰할 수 있는지를 정합니다. 그 아래에서 전자인증 업무규칙은 라이선스를 보유한 인증기관(CA)이 신원을 어떻게 확인하고, 증서를 발급하며, 증거를 보존하는지를 규율합니다.

2026년 조치는 이 두 번째 층을 대상으로 합니다. 공업정보화부 통지(工信发函〔2026〕181号)는 각 인증기관이 개정된 업무규칙에 비추어 기존 프로세스를 점검하고 전면적인 컴플라이언스 개편을 수행하도록 요구합니다. 함께 공표된 표준 T/CQAE 11034-2025—이는 업계 협회 표준이며 통지 본문 자체가 아닙니다—는 점검이 대조되는 운영상의 세부를 정합니다.

이 노선은 국가암호관리국이 별도로 추진하는 전자인증 서비스의 암호 사용 관리와 다릅니다. 후자는 업무규칙 자체가 아니라 암호 사용 허가를 규율하며, 두 노선은 같은 사업자에게 서로 다른 의무를 부과합니다.

이 개혁은 분명히 겉치레가 아닙니다. 사업자는 내부 규정 개정이나 전자인증 업무규칙(CPS) 문서 갱신만으로 요건을 충족할 수 없습니다. 통지는 우회 경로도 배제합니다. 플랫폼은 계약 조항을 이용해 인증 서비스를 「보안 서비스」나 「보조 인증 서비스」로 변형시켜서는 안 되며, 제3자 인증 서비스를 자체 구축 프로젝트로 위법하게 전환해 규제를 회피해서도 안 됩니다.

네 가지 레드라인

표준은 개편을 네 가지 요건으로 집약합니다. 업계는 이를 레드라인이라 부릅니다—면제도, 「전환 버전」도 없습니다.

• CA 직접 검증(CA直验). 신원은 라이선스를 보유한 CA가 직접 확인해야 합니다. 외부 기관이나 개인에 대한 위탁은 금지되며, 별개 법인은 외부 기관으로 봅니다. 목표는 실재 신원과 디지털 증서의 대응 관계를 유지하는 것입니다.
• CA 직접 계약(CA直签). 인증 서비스 계약은 CA와 증서 가입자 간에 직접 체결되어 권리와 의무가 명시되고 수락되어야 합니다. 기본 체크박스나 불명확한 승인으로 대체할 수 없습니다.
• 의사 기록 보존(意愿留证). 가입자의 의사는 전체 사슬에서 기록되고 추적 가능해야 합니다. 고등급 증서는 음성 또는 영상 확인이 필요하고, 기본 등급 증서는 추적 가능한 확인 기록이 필요합니다.
• 개인키 직접 관리(私钥直管). 서명 키는 원칙적으로 가입자가 보유합니다. CA가 보관하는 경우 가입자의 서면 승인, 암호화 저장, 그리고 모든 사용의 완전한 기록이 필요합니다—무단 호출은 허용되지 않습니다.

이 네 가지 요건은 「CA 연동」이나 「공동 인증」에 기반한 구조를 바꿉니다. 그러한 모델에서는 규제 대상 단계가 라이선스 보유 CA가 아닌 다른 주체에 의해 수행되는 경우가 많았기 때문입니다.

법원이 이미 표준을 적용하는 이유

이 개혁은 행정적 작업에 그치지 않습니다. 최근 사건에서 景德镇시 昌江区 인민법원은 심사의견에서 「전자인증 업무규칙 규범」을 인용하며 CA는 이용자의 신원 확인을 제3자에게 위탁할 수 없다는 근거로 당사자에게 CA 직접 검증 보고서 제출을 요구했습니다.

기업에 대한 실제 결과는 이렇습니다. 계약이 나중에 다투어지는데 신원 확인 사슬이 외주화되었거나 기본 체크박스로 처리되었거나 아예 증거화되지 않았다면, 그 공백이 공격 지점이 됩니다. 서명 시점에 유효해 보였던 서명이 분쟁 시 방어하기 어려울 수 있습니다.

모든 구매자가 수행해야 할 세 가지 확인

통지는 전환 의무를 사업자에게 부과하지만, 구매자에게도 체크리스트를 줍니다. 사업자가 명확히 답하지 못하는 질문은 인증 사슬을 더 들여다볼 이유가 됩니다.

• 허가증 확인. 전자서명 사업자와 실제로 증서를 발급하는 CA가 유효한 전자인증 서비스 허가증을 보유했는지 확인합니다. 공업정보화부 공식 조회 채널 https://ythzxfw.miit.gov.cn/index에서 검증하고, 홍보 페이지에 의존하지 마십시오. 허가증 부재는 즉시 탈락 사유입니다.
• CA 직접 검증 확인. 이것이 핵심 레드라인입니다. 개인의 경우 라이선스 보유 CA 시스템이 실명 확인에 더해 얼굴 또는 SMS 2차 확인을 제3자 중계 없이 수행해야 합니다. 조직의 경우 CA가 사업자등록증 확인과 계좌 확인 또는 생체 확인을 직접 수행하고, 플랫폼이 핵심 확인 데이터에 접촉해서는 안 됩니다. 어느 단계든 「플랫폼이 수행」 또는 「제3자 검증 서비스에 연동」이라고 답한다면 사슬은 끊어진 것입니다.
• 증서 발급 주체 확인. 서명된 계약을 열어 증서 정보를 확인합니다. 발급 주체는 라이선스 보유 CA와 정확히 일치해야 합니다. 「대행 발급」「공동 발급」「협력 발급」 같은 모호한 표현을 경계하고, 증서가 공업정보화부 전자인증 서비스 시스템에서 조회 가능한지 확인합니다. 발급 주체가 라이선스 보유 CA 자체가 아니면 새 체계에서 그 증서의 법적 무게는 약화됩니다.

외국 기업이 해야 할 일

중국 본토 밖에서 중국 본토 상대방과 서명하는 팀은 10월 30일 기한을 먼 곳의 컴플라이언스 사건이 아니라 선정과 재검토의 창으로 보아야 합니다.

• 서명 방식별로 증서 발급 주체의 법정 명칭과 그 배후의 허가증 증거를 사업자에게 요구합니다. 플랫폼 브랜드, 등록 절차, 라이선스 보유 CA는 서로 다른 세 주체일 수 있습니다.
• 신원이 어떻게 확인되었는지, 가입자 계약이 어떻게 제시되고 수락되었는지, 키가 어디서 생성되고 누가 호출할 수 있는지, 각 단계에서 어떤 기록이 보존되는지 묻습니다.
• 증거 패키지 견본을 요구합니다. 서명된 파일, 증서 정보, 서명자 인증 이벤트, 동의와 의사 기록, 타임스탬프, 감사 이력입니다.
• 사업자의 라이선스와 계약의 집행 가능성은 관련되지만 동일하지 않음을 기억하십시오. 특정 문서의 구속력은 문서 유형, 당사자의 의사, 서명 방식의 신뢰성, 가용한 증거에 달려 있습니다. 중국 본토 서명의 전체 그림은 중국 본토 전자서명 개요를 참고하십시오.

다음에 일어날 일

전환 기간은 2026년 10월 30일에 종료되며, 이후 공업정보화부는 전면적 엄격 점검으로 전환할 것으로 예상됩니다. 요건을 충족하지 못하는 사업자는 미준수 업무 정지, 최악의 경우 퇴출이나 라이선스 취소에 직면합니다. 지금 사업자를 재검토하는 기업은 분쟁 중에 인증 사슬이 끊어진 것을 뒤늦게 발견하는 일을 피할 수 있습니다.

핵심 요점

• 공업정보화부 「전자인증 업무규칙에 관한 통지」(工信发函〔2026〕181号)와 업계 표준 T/CQAE 11034-2025는 중국 전자인증에 네 가지 레드라인을 정합니다.
• 네 가지 규칙은 CA 직접 검증, CA 직접 계약, 의사 기록 보존, 개인키 직접 관리입니다.
• 전환 기간은 2026년 10월 30일에 종료되며, 이후 점검과 라이선스 조치가 예상됩니다.
• 법원은 이미 표준을 적용하고 있습니다. 景德镇 사건에서 법원은 CA 직접 검증 보고서를 요구했습니다.
• 구매자는 중국 발급 증서에 의존하기 전에 사업자의 허가증, CA 직접 검증 단계, 증서 발급 주체의 신원을 확인해야 합니다.