Peraturan Pensijilan Elektronik Baharu China 2026: Tarikh Akhir 30 Oktober dan Tandatangan Patuh CA

Pengawal selia China telah memperketat peraturan yang mendasari setiap tandatangan elektronik. Pada April 2026, Kementerian Industri dan Teknologi Maklumat (MIIT) mengeluarkan Notis mengenai Peraturan Perniagaan Pensijilan Elektronik (工信发函〔2026〕181号), bersama piawaian industri T/CQAE 11034-2025, «Spesifikasi Peraturan Perniagaan Pensijilan Elektronik». Penyedia perkhidmatan pensijilan elektronik mesti merombak proses mereka untuk memenuhi empat keperluan yang tidak boleh dirunding — pengesahan langsung CA, perjanjian langsung dengan pelanggan, bukti niat dan pengurusan kunci terkawal — sebelum tempoh peralihan tamat pada 30 Oktober 2026.

Bagi syarikat yang menandatangani di China tanah besar atau dengan pihak China tanah besar, ini bukan urusan dalaman penyedia. Apabila kontrak yang ditandatangani dipertikaikan, mahkamah memeriksa tepatnya mata rantai ini dalam rantaian kepercayaan. Artikel ini menjelaskan apa yang berubah, apa yang dikehendaki empat peraturan, dan apa yang perlu disahkan pembeli.

Skop reformasi 2026

Rejim tandatangan elektronik China mempunyai dua lapisan yang sering dikelirukan. Akta Tandatangan Elektronik menentukan bila sesuatu tandatangan boleh dipercayai dari segi undang-undang. Di bawahnya, peraturan perniagaan pensijilan elektronik mengawal cara pihak berkuasa pensijilan (CA) berlesen mengesahkan identiti, mengeluarkan sijil dan menyimpan bukti.

Langkah 2026 menyasarkan lapisan kedua ini. Notis MIIT (工信发函〔2026〕181号) menghendaki pihak berkuasa pensijilan menyemak proses sedia ada terhadap peraturan perniagaan yang disemak dan menjalankan perombakan pematuhan menyeluruh. Piawaian sampingan T/CQAE 11034-2025 — piawaian persatuan industri, bukan teks notis itu sendiri — menetapkan butiran operasi yang menjadi ukuran pemeriksaan.

Laluan ini berbeza daripada kerja berasingan Pentadbiran Kriptografi Negara mengenai penggunaan kriptografi dalam perkhidmatan pensijilan elektronik, yang mengawal selia lesen penggunaan kriptografi dan bukan peraturan perniagaan itu sendiri; kedua-dua laluan mengenakan kewajipan berbeza pada penyedia yang sama.

Reformasi ini sengaja bukan kosmetik. Penyedia tidak boleh memenuhinya hanya dengan menulis semula dasar dalaman atau mengemas kini pernyataan amalan pensijilan (CPS). Notis juga menutup jalan pintas: platform tidak boleh melalui klausa kontrak mengubah pensijilan menjadi «perkhidmatan keselamatan» atau «perkhidmatan pensijilan bantuan», dan tidak boleh mengubah perkhidmatan pensijilan pihak ketiga menjadi projek binaan sendiri secara haram untuk mengelak peraturan.

Empat garis merah

Piawaian meringkaskan perombakan kepada empat keperluan yang dipanggil industri sebagai garis merah — tanpa pengecualian, tanpa «versi peralihan».

• Pengesahan langsung CA (CA直验). Identiti mesti disahkan oleh CA berlesen sendiri. Mewakilkan kepada organisasi atau individu luar adalah dilarang, dan entiti undang-undang yang berbeza dianggap luar. Tujuannya mengekalkan kaitan antara identiti sebenar dan sijil digital.
• Perjanjian langsung dengan pelanggan (CA直签). Perjanjian perkhidmatan pensijilan mesti dibuat terus antara CA dan pelanggan sijil, supaya hak dan kewajipan dinyatakan dan diterima — bukan tersembunyi di sebalik kotak tanda lalai atau kebenaran yang tidak jelas.
• Bukti niat (意愿留证). Niat pelanggan mesti direkod dan boleh dijejaki sepanjang rantaian. Sijil jaminan tinggi memerlukan pengesahan melalui rakaman audio atau video; sijil peringkat asas memerlukan rekod pengesahan yang boleh dijejaki.
• Pengurusan kunci terkawal (私钥直管). Kunci tandatangan dipegang pelanggan dahulu. Apabila CA meng-hos kunci, ia memerlukan kebenaran bertulis pelanggan, penyimpanan disulitkan dan rekod lengkap setiap penggunaan — tiada panggilan tanpa kebenaran.

Empat keperluan ini mengubah struktur pengaturan berasaskan «menyambung ke CA» atau «pensijilan bersama», kerana dalam model tersebut langkah yang dikawal selia sering dilaksanakan pihak selain CA berlesen.

Mengapa mahkamah sudah menerapkan piawaian

Reformasi bukan sekadar latihan pentadbiran. Dalam kes baru-baru ini, Mahkamah Rakyat Daerah Changjiang, Bandar Jingdezhen, memetik Spesifikasi Peraturan Perniagaan Pensijilan Elektronik dalam pendapat semakannya dan meminta pihak-pihak menyerahkan laporan pengesahan langsung CA, atas alasan CA tidak boleh mempercayakan pengesahan identiti pengguna kepada pihak ketiga.

Itulah kesan praktikal kepada syarikat. Jika kontrak kemudian dipertikaikan dan rantaian pengesahan identiti telah diout-source, diselesaikan dengan kotak tanda lalai, atau tidak pernah dibuktikan, jurang itu menjadi titik serangan. Tandatangan yang kelihatan sah semasa ditandatangani boleh sukar dipertahankan ketika pertikaian.

Tiga semakan yang perlu dibuat setiap pembeli

Notis meletakkan kewajipan peralihan pada penyedia, tetapi juga memberi pembeli senarai semak. Apa-apa soalan yang tidak dijawab penyedia dengan jelas adalah alasan untuk meneliti lebih dalam rantaian pensijilan.

• Semak lesen. Sahkan penyedia tandatangan elektronik dan CA yang benar-benar mengeluarkan sijil memegang lesen perkhidmatan pensijilan elektronik yang sah. Sahkan melalui saluran rasmi MIIT https://ythzxfw.miit.gov.cn/index, bukan halaman pemasaran. Lesen yang tiada bermakna gugur.
• Semak pengesahan langsung CA. Ini garis merah teras. Bagi individu, sistem CA berlesen harus menjalankan pemeriksaan identiti sebenar serta pengesahan dua faktor melalui wajah atau SMS tanpa perantara pihak ketiga. Bagi organisasi, CA harus mengesahkan lesen perniagaan dan melakukan pemeriksaan akaun atau liveness secara langsung, tanpa platform menyentuh data pengesahan teras. Jika mana-mana langkah dijawab «dilakukan platform» atau «diout-source kepada perkhidmatan pengesahan pihak ketiga», rantaian terputus.
• Semak penerbit sijil. Buka kontrak yang ditandatangani dan baca butiran sijil. Penerbit harus sepadan tepat dengan CA berlesen. Berhati-hati dengan frasa kabur seperti «diterbitkan bagi pihak», «diterbitkan bersama» atau «ko-terbit», dan sahkan sijil boleh dicari dalam sistem perkhidmatan pensijilan elektronik MIIT. Jika penerbit bukan CA berlesen itu sendiri, berat undang-undang sijil itu lemah di bawah rangka baharu.

Apa yang perlu dilakukan syarikat asing

Pasukan di luar China tanah besar yang menandatangani dengan pihak China tanah besar harus menganggap tarikh akhir 30 Oktober sebagai tetingkap pemilihan dan semakan, bukan sekadar peristiwa pematuhan yang jauh.

• Minta penyedia menyatakan nama sah penerbit sijil bagi setiap kaedah tandatangan, dan bukti lesen di sebaliknya. Jenama platform, proses pendaftaran dan CA berlesen boleh jadi tiga entiti berbeza.
• Tanya bagaimana identiti disahkan, bagaimana perjanjian pelanggan dibentangkan dan diterima, di mana kunci dijana dan siapa boleh memanggilnya, dan rekod apa yang disimpan pada setiap langkah.
• Minta contoh pakej bukti: fail yang ditandatangani, maklumat sijil, peristiwa pengesahan penandatangan, rekod persetujuan dan niat, cap masa dan sejarah audit.
• Ingat bahawa pelesenan penyedia dan keberkesanan kontrak berkaitan tetapi tidak serupa. Sama ada sesuatu dokumen mengikat masih bergantung pada jenis dokumen, niat pihak, kebolehpercayaan kaedah tandatangan dan bukti yang tersedia. Untuk gambaran keseluruhan tandatangan di China tanah besar, lihat gambaran keseluruhan tandatangan elektronik China tanah besar.

Apa yang berlaku seterusnya

Tempoh peralihan tamat pada 30 Oktober 2026, selepas itu MIIT dijangka beralih kepada pemeriksaan berskala penuh. Penyedia yang gagal memenuhi keperluan berdepan penggantungan perniagaan tidak patuh dan, pada hadnya, pengeluaran atau pembatalan lesen. Syarikat yang menyemak penyedia mereka sekarang mengelak daripada menemui rantaian pensijilan yang rosak ketika pertikaian.

Perkara utama

• Notis MIIT mengenai Peraturan Perniagaan Pensijilan Elektronik (工信发函〔2026〕181号) dan piawaian T/CQAE 11034-2025 menetapkan empat garis merah untuk pensijilan elektronik China.
• Empat peraturan ialah pengesahan langsung CA, perjanjian langsung dengan pelanggan, bukti niat dan pengurusan kunci terkawal.
• Tempoh peralihan tamat pada 30 Oktober 2026, selepas itu pemeriksaan dan tindakan lesen dijangka menyusul.
• Mahkamah sudah menerapkan piawaian: dalam satu kes di Jingdezhen, mahkamah meminta laporan pengesahan langsung CA.
• Pembeli harus mengesahkan lesen penyedia, langkah pengesahan langsung CA dan identiti penerbit sijil sebelum bergantung pada sijil yang dikeluarkan di China.