Novas regras chinesas de certificação eletrónica 2026: prazo de 30 de outubro e assinaturas conformes com a CA

O regulador chinês apertou as regras que sustentam cada assinatura eletrónica. Em abril de 2026, o Ministério da Indústria e Tecnologia da Informação (MIIT) emitiu o seu Aviso sobre as Regras de Negócio da Certificação Eletrónica (工信发函〔2026〕181号), acompanhado da norma setorial T/CQAE 11034-2025, «Especificação das Regras de Negócio da Certificação Eletrónica». Os fornecedores de serviços de certificação eletrónica devem reformular os seus processos para cumprir quatro requisitos não negociáveis — verificação direta pela CA, contratos diretos com o subscritor, prova da intenção e gestão controlada de chaves — antes de terminar o período de transição, a 30 de outubro de 2026.

Para as empresas que assinam na China continental ou com contrapartes da China continental, isto não é um assunto interno de um fornecedor. Quando um contrato assinado é impugnado, o tribunal examina precisamente estes elos da cadeia de confiança. Este artigo expõe o que mudou, o que as quatro regras exigem e o que um comprador deve verificar.

O que a reforma de 2026 abrange

O regime chinês de assinatura eletrónica tem duas camadas frequentemente confundidas. A Lei da Assinatura Eletrónica determina quando uma assinatura é juridicamente fiável. Por baixo, as regras de negócio da certificação eletrónica regem a forma como uma autoridade de certificação (CA) licenciada verifica a identidade, emite certificados e conserva provas.

As medidas de 2026 atuam sobre essa segunda camada. O aviso do MIIT (工信发函〔2026〕181号) exige que as autoridades de certificação revejam os seus processos existentes à luz das regras de negócio revistas e realizem uma reforma completa de conformidade. A norma complementar T/CQAE 11034-2025 — uma norma de associação setorial, não o texto do aviso em si — fixa o detalhe operacional com que as inspeções são medidas.

Esta linha difere do trabalho separado da Administração Estatal de Criptografia sobre o uso de criptografia nos serviços de certificação eletrónica, que regula o licenciamento do uso de criptografia e não as regras de negócio em si; as duas linhas impõem obrigações diferentes aos mesmos fornecedores.

A reforma deliberadamente não é cosmética. Os fornecedores não a podem cumprir apenas reescrevendo a política interna ou atualizando a declaração de práticas de certificação (CPS). O aviso também exclui atalhos: uma plataforma não pode, por cláusulas contratuais, reclassificar a certificação como «serviço de segurança» ou «serviço de autenticação auxiliar», nem pode converter ilicitamente uma certificação de terceiros num projeto próprio para contornar as regras.

As quatro linhas vermelhas

A norma reduz a reforma a quatro requisitos que o setor chama linhas vermelhas — sem isenções, sem «versão transitória».

• Verificação direta pela CA (CA直验). A identidade deve ser verificada pela própria CA licenciada. É proibido delegar numa organização ou pessoa externa, e uma pessoa coletiva diferente conta como externa. O objetivo é manter intacto o vínculo entre uma identidade real e um certificado digital.
• Contrato direto com o subscritor (CA直签). O contrato de serviço de certificação deve ser celebrado diretamente entre a CA e o subscritor do certificado, para que direitos e obrigações sejam enunciados e aceites — não escondidos atrás de uma caixa marcada por defeito ou de uma autorização pouco clara.
• Prova da intenção (意愿留证). A intenção do subscritor deve ser registada e rastreável em toda a cadeia. Os certificados de maior garantia exigem confirmação por gravação de áudio ou vídeo; os certificados de nível básico exigem um registo de confirmação rastreável.
• Gestão controlada de chaves (私钥直管). As chaves de assinatura são detidas em primeiro lugar pelo subscritor. Quando uma CA aloja a chave, precisa da autorização escrita do subscritor, de armazenamento cifrado e de um registo completo de cada utilização — nenhuma invocação não autorizada.

Estes quatro requisitos alteram a estrutura dos arranjos baseados em «ligar a uma CA» ou na «certificação conjunta», porque nesses modelos os passos regulados eram frequentemente executados por partes distintas da CA licenciada.

Por que os tribunais já aplicam a norma

A reforma não é apenas um exercício administrativo. Num caso recente, o Tribunal Popular do Distrito de Changjiang, em Jingdezhen, citou no seu parecer de revisão a Especificação das Regras de Negócio da Certificação Eletrónica e pediu às partes um relatório de verificação direta pela CA, com o fundamento de que uma CA não pode confiar a verificação de identidade dos utilizadores a um terceiro.

Essa é a consequência prática para as empresas. Se um contrato for depois impugnado e a cadeia de verificação de identidade tiver sido subcontratada, resolvida com uma caixa por defeito ou nunca documentada, essas lacunas tornam-se o ponto de ataque. Uma assinatura que parecia válida ao assinar pode ser difícil de defender em litígio.

Três verificações que todo o comprador deve fazer

O aviso coloca as obrigações de transição nos fornecedores, mas também dá aos compradores uma lista de verificação. Qualquer pergunta a que o fornecedor não responda com clareza é motivo para olhar mais de perto para a cadeia de certificação.

• Verificar a licença. Confirme que o fornecedor de assinatura eletrónica e a CA que realmente emite os certificados detêm uma licença válida de serviço de certificação eletrónica. Verifique-o no canal oficial do MIIT https://ythzxfw.miit.gov.cn/index, e não numa página de marketing. A ausência de licença é desqualificante.
• Verificar a verificação direta pela CA. Esta é a linha vermelha central. Para particulares, o sistema da CA licenciada deve executar verificações de identidade real mais verificação de segundo fator por rosto ou SMS, sem retransmissão de terceiros. Para organizações, a CA deve verificar a licença comercial e realizar diretamente verificações de conta ou de vitalidade, sem que a plataforma toque nos dados de verificação essenciais. Se algum passo for respondido como «feito pela plataforma» ou «subcontratado a um serviço de verificação de terceiros», a cadeia está quebrada.
• Verificar o emissor do certificado. Abra um contrato assinado e leia os detalhes do certificado. O emissor deve corresponder exatamente à CA licenciada. Vigie formulações vagas como «emitido em nome de», «emitido conjuntamente» ou «coemitido», e confirme que o certificado pode ser consultado no sistema de serviço de certificação eletrónica do MIIT. Se o emissor não for a própria CA licenciada, o peso jurídico do certificado fica enfraquecido no novo quadro.

O que as empresas estrangeiras devem fazer

As equipas fora da China continental que assinam com contrapartes da China continental devem tratar o prazo de 30 de outubro como uma janela de seleção e revisão, e não apenas como um evento de conformidade distante.

• Peça ao seu fornecedor o nome jurídico do emissor do certificado para cada método de assinatura, e a prova de licença que o sustenta. A marca da plataforma, o processo de registo e a CA licenciada podem ser três entidades distintas.
• Pergunte como a identidade foi verificada, como o contrato do subscritor foi apresentado e aceite, onde as chaves são geradas e quem as pode invocar, e que registos são conservados em cada passo.
• Solicite uma amostra do pacote de provas: o ficheiro assinado, a informação do certificado, os eventos de autenticação do signatário, os registos de consentimento e intenção, as marcas temporais e o histórico de auditoria.
• Recorde que o licenciamento do fornecedor e a exequibilidade do contrato estão relacionados mas não são idênticos. Se um determinado documento é vinculativo depende ainda do tipo de documento, da intenção das partes, da fiabilidade do método de assinatura e das provas disponíveis. Para o panorama geral da assinatura na China continental, veja a visão geral da assinatura eletrónica na China continental.

O que vem a seguir

O período de transição termina a 30 de outubro de 2026, após o que se espera que o MIIT passe a inspeções em larga escala. Os fornecedores que não cumpram enfrentam a suspensão da atividade não conforme e, no limite, a exclusão ou revogação da licença. As empresas que revejam os seus fornecedores agora evitam descobrir uma cadeia de certificação quebrada em pleno litígio.

Pontos-chave

• O aviso do MIIT sobre as Regras de Negócio da Certificação Eletrónica (工信发函〔2026〕181号) e a norma T/CQAE 11034-2025 fixam quatro linhas vermelhas para a certificação eletrónica na China.
• As quatro regras são: verificação direta pela CA, contrato direto com o subscritor, prova da intenção e gestão controlada de chaves.
• O período de transição termina a 30 de outubro de 2026, após o que se esperam inspeções e medidas sobre licenças.
• Os tribunais já aplicam a norma: num caso em Jingdezhen, o tribunal exigiu um relatório de verificação direta pela CA.
• Os compradores devem verificar a licença do fornecedor, o passo de verificação direta pela CA e a identidade do emissor do certificado antes de confiar num certificado emitido na China.