中國電子認證新規 2026：10月30日整改截止與 CA 合規電子簽章

中國監管機構收緊了電子簽章之下的規則。2026 年 4 月，工業和信息化部（工信部）發布《關於做好電子認證業務規則相關工作的通知》（工信發函〔2026〕181號），並同步發布行業標準《電子認證業務規則規範》T/CQAE 11034-2025。電子認證服務機構必須全面改造業務流程，在過渡期於 2026 年 10 月 30 日結束前滿足四項不可妥協的要求：CA 直驗、CA 直簽、意願留證、私鑰直管。

對於在中國大陸境內或與中國大陸主體簽署合約的企業而言，這不是供應商的內部事務。一旦已簽署的合約發生爭議，法院審查的正是信任鏈中的這些環節。本文將說明此次監管變化、四條紅線的具體要求，以及買方應當核實的內容。

2026 年新規覆蓋的範圍

中國的電子簽章制度包含兩個常被混淆的層級。《電子簽名法》規定簽名何時具有法律可靠性；在其之下，電子認證業務規則規範持牌認證機構（CA）如何核驗身份、簽發證書並留存證據。

2026 年的相關舉措針對的是第二個層級。工信部通知（工信發函〔2026〕181號）要求各電子認證服務機構對照修訂後的業務規則全面自查並實施合規改造。配套行業標準 T/CQAE 11034-2025——它是行業協會標準，並非通知正文本身——規定了核查所依據的操作細則。

這條監管線與國家密碼管理局另行推進的電子認證服務密碼使用管理不同：後者規範的是密碼使用許可，而非業務規則本身，兩條監管線對同一批機構提出了不同的義務。

這次改革明確不是表面文章。服務機構僅靠修訂內部制度或更新電子認證業務規則（CPS）文本無法達標。通知同時排除了規避做法：平台不得藉合約約定將認證服務變相轉為「安全服務」或「輔助認證服務」，也不得把第三方認證服務違規改造為自建項目以規避監管。

四條紅線

該標準把整改歸結為四項要求，業內稱之為紅線——沒有豁免，也沒有「過渡版本」。

• CA 直驗。 身份必須由持牌 CA 本身核驗。嚴禁委託外部機構或個人（非同一法人主體視為外部機構）執行身份查驗，以從源頭保障數位身份的真實性與唯一性。
• CA 直簽。 認證服務協議必須由 CA 與證書訂戶直接簽署，使雙方權利義務被明確告知並接受，而不是以預設勾選或模糊授權代替。
• 意願留證。 訂戶的簽署意願須全程記錄、可追溯。高等級證書需透過音訊或視訊錄製確認；基礎級證書需留存可追溯的確認記錄。
• 私鑰直管。 簽章金鑰原則上由訂戶自行持有。若由 CA 託管，須取得訂戶書面授權，加密儲存，並完整記錄每一次調用——杜絕未經授權調用。

這四項要求改變了基於「對接 CA」或「聯合認證」的既有合作結構，因為在那些模式中，受監管的環節往往並非由持牌 CA 本身完成。

為何法院已在適用該標準

此次改革不僅是行政層面的要求。近期，景德鎮市昌江區人民法院在一起案件的審核意見中引用《電子認證業務規則規範》，以「CA 機構不得將用戶身份核驗委託給第三方」為依據，要求當事人提交 CA 直驗的驗證報告。

對企業的實際影響是：若合約日後遭到質疑，而身份核驗鏈條被外包、以預設勾選完成、或從未留證，這些缺口就會成為爭議的突破口。簽署時看似有效的簽名，一旦涉訴可能難以辯護。

買方應做的三項核查

通知把過渡期義務落在服務機構身上，但也給了買方一份核查清單。服務機構無法清楚回答的問題，都是進一步核查認證鏈的理由。

• 查牌照。 確認電子簽章服務商、以及實際簽發證書的 CA，均持有有效的電子認證服務許可證。透過工信部官方查詢渠道驗證：https://ythzxfw.miit.gov.cn/index，而不是依賴宣傳頁面。缺證即一票否決。
• 查是否 CA 直驗。 這是核心紅線。個人簽名身份核驗應由持牌 CA 系統直接執行實名核驗加人臉或簡訊二次核驗，無第三方中轉。企業簽章身份核驗應由 CA 直接完成營業執照核驗與對公打款或活體核驗，平台不得觸碰核心核驗資料。若任一環節的答案是「由平台完成」或「對接了第三方核驗服務」，則核驗鏈條斷裂。
• 查證書簽發主體。 打開一份已簽署的合約，查看數位證書資訊。簽發主體應與持牌 CA 完全一致。警惕「代發」「聯合簽發」「合作簽發」等模糊表述，並確認證書可在工信部電子認證服務系統中查詢驗證。若簽發主體並非持牌 CA 本身，該證書在新規框架下的法律效力將大打折扣。

外國企業應當做什麼

在中國大陸境外、但與中國大陸對手方簽約的團隊，應把 10 月 30 日截止視為一個選型與複核窗口，而不只是一件遠方的合規事件。

• 向服務商索取每一種簽署方式對應的證書簽發主體的法定名稱，以及其背後的牌照證明。平台品牌、註冊流程與持牌 CA 可能是三個不同的主體。
• 詢問身份如何核驗、訂戶協議如何展示與接受、金鑰在何處生成、誰可以調用，以及每個環節留存了哪些記錄。
• 索取一份證據包樣本：已簽署檔案、證書資訊、簽署人認證事件、同意與意願記錄、時間戳與稽核記錄。
• 記住服務商持牌與合約可執行性相關但不等同。某份檔案是否具有約束力，仍取決於檔案類型、當事人意願、簽名方式的可靠性以及可用的證據。關於中國大陸簽署的整體圖景，可參閱中國大陸電子簽章概覽。

後續將發生什麼

過渡期於 2026 年 10 月 30 日結束，此後工信部預計將轉入全維度從嚴核查。無法達標的服務機構將面臨不合規業務停服，乃至清退或吊銷牌照。現在複核服務商的企業，可避免在爭議發生時才發覺認證鏈條已經斷裂。

要點

• 工信部《關於做好電子認證業務規則相關工作的通知》（工信發函〔2026〕181號）與行業標準 T/CQAE 11034-2025，為中國電子認證劃定四條紅線。
• 四條紅線是：CA 直驗、CA 直簽、意願留證、私鑰直管。
• 過渡期於 2026 年 10 月 30 日結束，此後預計展開核查與牌照處置。
• 法院已開始適用該標準：景德鎮一起案件中，法院要求提交 CA 直驗驗證報告。
• 買方在依賴中國簽發的證書前，應核實服務商牌照、CA 直驗環節以及證書簽發主體的身份。