Quy định chứng thực điện tử mới của Trung Quốc 2026: hạn chót 30/10 và chữ ký tuân thủ CA

Cơ quan quản lý Trung Quốc đã siết chặt các quy tắc nằm dưới mọi chữ ký điện tử. Tháng 4/2026, Bộ Công nghiệp và Công nghệ thông tin (MIIT) ban hành Thông báo về Quy tắc nghiệp vụ chứng thực điện tử (工信发函〔2026〕181号), cùng tiêu chuẩn ngành T/CQAE 11034-2025, «Quy phạm quy tắc nghiệp vụ chứng thực điện tử». Nhà cung cấp dịch vụ chứng thực điện tử phải cải tổ quy trình để đáp ứng bốn yêu cầu không thể thương lượng — xác minh trực tiếp CA, hợp đồng trực tiếp với thuê bao, lưu bằng chứng ý chí và quản lý khóa tập trung — trước khi thời gian chuyển tiếp kết thúc vào ngày 30/10/2026.

Với các doanh nghiệp ký kết tại Trung Quốc đại lục hoặc với đối tác Trung Quốc đại lục, đây không phải việc nội bộ của nhà cung cấp. Khi hợp đồng đã ký bị tranh chấp, tòa án xem xét chính những mắt xích này trong chuỗi tin cậy. Bài viết này trình bày những gì đã thay đổi, bốn quy tắc yêu cầu gì và người mua cần xác minh điều gì.

Phạm vi của cải cách 2026

Chế độ chữ ký điện tử Trung Quốc có hai tầng thường bị nhầm lẫn. Luật Chữ ký điện tử quy định khi nào một chữ ký có độ tin cậy pháp lý. Bên dưới, quy tắc nghiệp vụ chứng thực điện tử điều chỉnh cách tổ chức chứng thực (CA) có giấy phép xác minh danh tính, phát hành chứng thư và lưu giữ bằng chứng.

Các biện pháp năm 2026 tác động lên tầng thứ hai này. Thông báo của MIIT (工信发函〔2026〕181号) yêu cầu các tổ chức chứng thực rà soát quy trình hiện có theo quy tắc nghiệp vụ sửa đổi và tiến hành cải tổ tuân thủ toàn diện. Tiêu chuẩn kèm theo T/CQAE 11034-2025 — một tiêu chuẩn hiệp hội ngành, không phải văn bản của thông báo — quy định chi tiết vận hành làm căn cứ kiểm tra.

Đường hướng này khác với công việc riêng của Cục Quản lý Mật mã Nhà nước về sử dụng mật mã trong dịch vụ chứng thực điện tử, vốn điều chỉnh giấy phép sử dụng mật mã chứ không phải bản thân quy tắc nghiệp vụ; hai đường hướng áp đặt nghĩa vụ khác nhau lên cùng một nhóm nhà cung cấp.

Cải cách rõ ràng không phải hình thức. Nhà cung cấp không thể đáp ứng chỉ bằng việc sửa quy chế nội bộ hay cập nhật văn bản quy tắc thực hành chứng thực (CPS). Thông báo cũng loại trừ lối lách: nền tảng không được dùng điều khoản hợp đồng để chuyển hóa dịch vụ chứng thực thành «dịch vụ bảo mật» hay «dịch vụ chứng thực hỗ trợ», cũng không được chuyển đổi trái phép dịch vụ chứng thực bên thứ ba thành dự án tự xây để né tránh quy định.

Bốn ranh giới đỏ

Tiêu chuẩn cô đọng cải tổ thành bốn yêu cầu mà ngành gọi là ranh giới đỏ — không ngoại lệ, không «phiên bản chuyển tiếp».

• Xác minh trực tiếp CA (CA直验). Danh tính phải do chính CA có giấy phép xác minh. Nghiêm cấm ủy quyền cho tổ chức hay cá nhân bên ngoài, và một pháp nhân khác được coi là bên ngoài. Mục tiêu là giữ nguyên vẹn mối liên hệ giữa danh tính thực và chứng thư số.
• Hợp đồng trực tiếp với thuê bao (CA直签). Hợp đồng dịch vụ chứng thực phải được ký trực tiếp giữa CA và thuê bao chứng thư, để quyền và nghĩa vụ được nêu rõ và chấp thuận — không bị che sau ô tích mặc định hay ủy quyền mơ hồ.
• Lưu bằng chứng ý chí (意愿留证). Ý chí của thuê bao phải được ghi lại và truy vết trên toàn chuỗi. Chứng thư cấp cao cần xác nhận bằng ghi âm hoặc ghi hình; chứng thư cấp cơ bản cần hồ sơ xác nhận truy vết được.
• Quản lý khóa tập trung (私钥直管). Khóa ký do thuê bao nắm giữ trước tiên. Khi CA lưu giữ khóa, cần ủy quyền bằng văn bản của thuê bao, lưu trữ mã hóa và ghi chép đầy đủ mọi lần sử dụng — không gọi khóa trái phép.

Bốn yêu cầu này thay đổi cấu trúc của các thỏa thuận dựa trên «kết nối với CA» hay «chứng thực liên hợp», vì trong những mô hình đó các bước được quản lý thường do bên khác CA có giấy phép thực hiện.

Vì sao tòa án đã áp dụng tiêu chuẩn

Cải cách không chỉ là công việc hành chính. Trong một vụ gần đây, Tòa án Nhân dân quận Xương Giang, thành phố Cảnh Đức Trấn đã viện dẫn Quy phạm quy tắc nghiệp vụ chứng thực điện tử trong ý kiến thẩm tra và yêu cầu các bên nộp báo cáo xác minh trực tiếp CA, với lý do CA không được ủy thác việc xác minh danh tính người dùng cho bên thứ ba.

Đó là hệ quả thực tế với doanh nghiệp. Nếu hợp đồng về sau bị tranh chấp mà chuỗi xác minh danh tính bị thuê ngoài, xử lý bằng ô tích mặc định hoặc không hề được chứng cứ hóa, những khoảng trống đó sẽ trở thành điểm tấn công. Một chữ ký trông hợp lệ khi ký có thể khó bảo vệ khi tranh chấp.

Ba kiểm tra mọi người mua nên thực hiện

Thông báo đặt nghĩa vụ chuyển tiếp lên nhà cung cấp, nhưng cũng cho người mua một danh sách kiểm tra. Bất kỳ câu hỏi nào nhà cung cấp không trả lời rõ ràng đều là lý do để xem xét kỹ hơn chuỗi chứng thực.

• Kiểm tra giấy phép. Xác nhận nhà cung cấp ký điện tử và CA thực sự phát hành chứng thư đều có giấy phép dịch vụ chứng thực điện tử còn hiệu lực. Xác minh trên kênh chính thức của MIIT https://ythzxfw.miit.gov.cn/index, không dựa vào trang quảng cáo. Thiếu giấy phép là bị loại.
• Kiểm tra xác minh trực tiếp CA. Đây là ranh giới đỏ cốt lõi. Với cá nhân, hệ thống CA có giấy phép nên thực hiện xác minh danh tính thực cộng xác minh hai yếu tố bằng khuôn mặt hoặc SMS, không qua trung gian. Với tổ chức, CA nên xác minh giấy phép kinh doanh và trực tiếp thực hiện kiểm tra tài khoản hoặc xác minh sống, nền tảng không được chạm vào dữ liệu xác minh cốt lõi. Nếu bước nào được trả lời là «do nền tảng làm» hoặc «thuê dịch vụ xác minh bên thứ ba», chuỗi đã đứt.
• Kiểm tra bên phát hành chứng thư. Mở một hợp đồng đã ký và đọc thông tin chứng thư. Bên phát hành phải khớp chính xác với CA có giấy phép. Cảnh giác các cách diễn đạt mơ hồ như «phát hành thay», «phát hành chung» hay «đồng phát hành», và xác nhận chứng thư tra cứu được trong hệ thống dịch vụ chứng thực điện tử của MIIT. Nếu bên phát hành không phải chính CA có giấy phép, trọng lượng pháp lý của chứng thư bị suy yếu dưới khung mới.

Doanh nghiệp nước ngoài nên làm gì

Các đội ngoài Trung Quốc đại lục ký với đối tác Trung Quốc đại lục nên coi hạn 30/10 là cửa sổ lựa chọn và rà soát, không chỉ là sự kiện tuân thủ ở nơi xa.

• Yêu cầu nhà cung cấp cho biết tên pháp lý của bên phát hành chứng thư cho từng phương thức ký, và bằng chứng giấy phép phía sau. Thương hiệu nền tảng, quy trình đăng ký và CA có giấy phép có thể là ba thực thể khác nhau.
• Hỏi danh tính được xác minh thế nào, hợp đồng thuê bao được trình bày và chấp thuận ra sao, khóa được tạo ở đâu và ai có thể gọi, và mỗi bước lưu giữ những hồ sơ nào.
• Yêu cầu một mẫu gói bằng chứng: tệp đã ký, thông tin chứng thư, sự kiện xác thực người ký, hồ sơ chấp thuận và ý chí, dấu thời gian và lịch sử kiểm toán.
• Nhớ rằng giấy phép nhà cung cấp và tính khả thi của hợp đồng liên quan nhưng không đồng nhất. Một văn bản cụ thể có ràng buộc hay không còn tùy loại văn bản, ý chí các bên, độ tin cậy của phương thức ký và bằng chứng sẵn có. Về bức tranh chung của việc ký tại Trung Quốc đại lục, xem tổng quan chữ ký điện tử Trung Quốc đại lục.

Điều gì tiếp theo

Thời gian chuyển tiếp kết thúc ngày 30/10/2026, sau đó MIIT dự kiến chuyển sang thanh tra toàn diện. Nhà cung cấp không đáp ứng sẽ đối mặt với tạm dừng hoạt động không tuân thủ, và ở mức cao nhất là bị loại hoặc thu hồi giấy phép. Doanh nghiệp rà soát nhà cung cấp ngay bây giờ sẽ tránh phát hiện chuỗi chứng thực đứt gãy giữa lúc tranh chấp.

Điểm chính

• Thông báo của MIIT về Quy tắc nghiệp vụ chứng thực điện tử (工信发函〔2026〕181号) và tiêu chuẩn T/CQAE 11034-2025 đặt ra bốn ranh giới đỏ cho chứng thực điện tử Trung Quốc.
• Bốn quy tắc là: xác minh trực tiếp CA, hợp đồng trực tiếp với thuê bao, lưu bằng chứng ý chí và quản lý khóa tập trung.
• Thời gian chuyển tiếp kết thúc ngày 30/10/2026, sau đó dự kiến có thanh tra và biện pháp về giấy phép.
• Tòa án đã áp dụng tiêu chuẩn: trong một vụ tại Cảnh Đức Trấn, tòa yêu cầu báo cáo xác minh trực tiếp CA.
• Người mua nên xác minh giấy phép nhà cung cấp, bước xác minh trực tiếp CA và danh tính bên phát hành chứng thư trước khi tin vào chứng thư phát hành tại Trung Quốc.