Новые правила электронной сертификации в Китае 2026: срок 30 октября и подписи, соответствующие требованиям CA

Китайский регулятор ужесточил правила, лежащие в основе каждой электронной подписи. В апреле 2026 года Министерство промышленности и информационных технологий (MIIT) издало Уведомление о правилах ведения электронной сертификации (工信发函〔2026〕181号) вместе с отраслевым стандартом T/CQAE 11034-2025 «Спецификация правил ведения электронной сертификации». Поставщики услуг электронной сертификации должны перестроить свои процессы, чтобы соответствовать четырём не подлежащим обсуждению требованиям — прямая проверка CA, прямые договоры с абонентом, фиксация волеизъявления и контролируемое управление ключами — до завершения переходного периода 30 октября 2026 года.

Для компаний, которые подписывают договоры в материковом Китае или с контрагентами из материкового Китая, это не внутреннее дело поставщика. Когда подписанный договор оспаривается, суд проверяет именно эти звенья цепочки доверия. В этой статье изложено, что изменилось, что требуют четыре правила и что должен проверить покупатель.

Что охватывает реформа 2026 года

Китайский режим электронной подписи имеет два уровня, которые часто путают. Закон об электронной подписи определяет, когда подпись юридически надёжна. Ниже правила ведения электронной сертификации регулируют, как лицензированный удостоверяющий центр (CA) проверяет личность, выпускает сертификаты и хранит доказательства.

Меры 2026 года затрагивают именно этот второй уровень. Уведомление MIIT (工信发函〔2026〕181号) требует от удостоверяющих центров пересмотреть существующие процессы на соответствие пересмотренным правилам ведения и провести полную перестройку в целях соответствия. Сопутствующий стандарт T/CQAE 11034-2025 — стандарт отраслевой ассоциации, а не текст самого уведомления — устанавливает операционные детали, по которым измеряются проверки.

Эта линия отличается от отдельной работы Государственной администрации по криптографии об использовании криптографии в услугах электронной сертификации, которая регулирует лицензирование использования криптографии, а не сами правила ведения; две линии налагают разные обязанности на одних и тех же поставщиков.

Реформа намеренно не косметическая. Поставщики не могут выполнить её, лишь переписав внутреннюю политику или обновив текст регламента сертификационной практики (CPS). Уведомление также исключает обходные пути: платформа не может посредством договорных условий переквалифицировать сертификацию в «сервис безопасности» или «вспомогательный сервис аутентификации», а также не может неправомерно превратить стороннюю сертификацию в собственный проект, чтобы обойти правила.

Четыре «красные линии»

Стандарт сводит перестройку к четырём требованиям, которые отрасль называет «красными линиями» — без исключений, без «переходной версии».

• Прямая проверка CA (CA直验). Личность должна проверять сама лицензированная CA. Делегирование внешней организации или лицу запрещено, а другое юридическое лицо считается внешним. Цель — сохранить связь между реальной личностью и цифровым сертификатом.
• Прямой договор с абонентом (CA直签). Договор о сертификационных услугах должен заключаться напрямую между CA и абонентом сертификата, чтобы права и обязанности были изложены и приняты — а не скрыты за флажком по умолчанию или неясным разрешением.
• Фиксация волеизъявления (意愿留证). Волеизъявление абонента должно фиксироваться и быть отслеживаемым по всей цепочке. Сертификаты повышенной гарантии требуют аудио- или видеозаписи подтверждения; сертификаты базового уровня требуют отслеживаемой записи подтверждения.
• Контролируемое управление ключами (私钥直管). Ключи подписи в первую очередь хранит абонент. Если CA размещает ключ, ей нужно письменное разрешение абонента, шифрованное хранение и полный журнал каждого использования — никаких несанкционированных вызовов.

Эти четыре требования меняют структуру схем, построенных на «подключении к CA» или «совместной сертификации», поскольку в таких моделях регулируемые шаги часто выполняли стороны, отличные от лицензированной CA.

Почему суды уже применяют стандарт

Реформа — не только административное упражнение. В недавнем деле Народный суд района Чанцзян города Цзиндэчжэнь в своём заключении сослался на Спецификацию правил ведения электронной сертификации и потребовал от сторон отчёт о прямой проверке CA, исходя из того, что CA не может поручать проверку личности пользователей третьей стороне.

Таково практическое следствие для бизнеса. Если договор позже оспаривается, а цепочка проверки личности была передана на аутсорсинг, оформлена флажком по умолчанию или никогда не подтверждена доказательствами, эти пробелы становятся точкой атаки. Подпись, выглядевшая действительной при подписании, может оказаться трудно защитимой в споре.

Три проверки, которые должен провести каждый покупатель

Уведомление возлагает переходные обязанности на поставщиков, но также даёт покупателям контрольный список. Любой вопрос, на который поставщик не отвечает ясно, — причина присмотреться к цепочке сертификации внимательнее.

• Проверить лицензию. Убедитесь, что поставщик электронной подписи и CA, фактически выпускающая сертификаты, имеют действующую лицензию на услуги электронной сертификации. Проверьте через официальный канал MIIT https://ythzxfw.miit.gov.cn/index, а не через рекламную страницу. Отсутствие лицензии — дисквалифицирующий фактор.
• Проверить прямую проверку CA. Это центральная «красная линия». Для физических лиц система лицензированной CA должна выполнять проверку реального имени плюс двухфакторную проверку по лицу или SMS без пересылки через третью сторону. Для организаций CA должна проверить лицензию на ведение деятельности и напрямую провести проверку счёта или живости, без доступа платформы к ключевым данным проверки. Если какой-либо шаг описывается как «выполнено платформой» или «передано сторонней службе проверки», цепочка разорвана.
• Проверить эмитента сертификата. Откройте подписанный договор и прочитайте данные сертификата. Эмитент должен точно совпадать с лицензированной CA. Остерегайтесь расплывчатых формулировок вроде «выпущен от имени», «выпущен совместно» или «со-выпущен», и убедитесь, что сертификат доступен для проверки в системе услуг электронной сертификации MIIT. Если эмитент не сама лицензированная CA, юридический вес сертификата ослабляется в новой системе.

Что следует делать иностранным компаниям

Команды за пределами материкового Китая, подписывающие документы с контрагентами из материкового Китая, должны рассматривать срок 30 октября как окно выбора и проверки, а не только как далёкое событие соответствия.

• Запросите у поставщика юридическое наименование эмитента сертификата для каждого способа подписания и подтверждение лицензии за ним. Бренд платформы, процедура регистрации и лицензированная CA могут быть тремя разными субъектами.
• Спросите, как проверялась личность, как предъявлялся и принимался договор с абонентом, где создаются ключи и кто может их вызывать, и какие записи сохраняются на каждом шаге.
• Запросите образец пакета доказательств: подписанный файл, сведения о сертификате, события аутентификации подписанта, записи о согласии и волеизъявлении, отметки времени и журнал аудита.
• Помните, что лицензирование поставщика и исполнимость договора связаны, но не идентичны. Является ли конкретный документ обязательным, всё ещё зависит от типа документа, воли сторон, надёжности способа подписания и доступных доказательств. Для общей картины подписания в материковом Китае см. обзор электронной подписи в материковом Китае.

Что будет дальше

Переходный период завершается 30 октября 2026 года, после чего ожидается переход MIIT к масштабным проверкам. Поставщики, не соответствующие требованиям, рискуют приостановкой несоответствующей деятельности и, в пределе, исключением или отзывом лицензии. Компании, которые проверят своих поставщиков сейчас, избегут обнаружения разорванной цепочки сертификации в разгар спора.

Ключевые выводы

• Уведомление MIIT о правилах ведения электронной сертификации (工信发函〔2026〕181号) и стандарт T/CQAE 11034-2025 устанавливают четыре «красные линии» для электронной сертификации в Китае.
• Четыре правила: прямая проверка CA, прямой договор с абонентом, фиксация волеизъявления и контролируемое управление ключами.
• Переходный период завершается 30 октября 2026 года, после чего ожидаются проверки и меры по лицензиям.
• Суды уже применяют стандарт: в деле в Цзиндэчжэне суд потребовал отчёт о прямой проверке CA.
• Покупателям следует проверить лицензию поставщика, шаг прямой проверки CA и личность эмитента сертификата, прежде чем полагаться на сертификат, выпущенный в Китае.