认证归认证，签章归签章——新规落地，行业终于“对号入座”

近日，由中国质量认证中心等机构起草的《电子认证业务规则规范》（T/CQAE 11034-2025）（以下简称“新规”）正式落地实施。该标准首次系统性对电子签名认证证书实行分级管理，明确将证书划分为基础级与高等级，并划定红线：涉及生命健康、财产权益的高风险场景，禁止使用基础级证书。与此同时，新规对身份查验强度、意愿记录方式、告知义务履行、举证体系覆盖等关键环节提出了前所未有的详细要求。

《电子认证服务管理办法（征求意见稿）》也预计将于2026年正式颁布。这意味着电子认证行业的准入门槛、运营规范、退出机制都将面临系统性重构。如果再往前看，《电子印章管理办法》已从应用终端对电子签章的制发、使用、管理作出规范。它们的核心指向很明确：国家正从认证源头（CA机构）与应用终端（签章平台）两端同时发力，构建更加安全、可信的数字生态。

《电子认证业务规则规范》与《电子签名法》《电子认证服务管理办法（征求意见稿）》形成监管合力，电子认证行业进入强监管新阶段。

一、新规核心：压实CA主体责任，明确五步合规红线

本次电子认证新规的核心导向，是压实电子认证服务机构（CA）的主体责任，规范全流程操作，破解行业长期存在的责任模糊、流程不规范等痛点。新规明确提出核心环节必须由持牌CA亲自完成，不得外包或转包，并划定了以下五步合规红线，每一步均为不可逾越的刚性要求：

1、风险告知：CA机构在提供服务前，必须向申请人充分明示电子认证服务的风险、双方权利义务及法律责任，确保申请人在知情前提下作出决策。严禁默认勾选、隐性条款等损害用户权益的行为。

2、身份查验：CA机构必须亲自完成申请人的身份核验，不得委托外部机构或个人代为操作。具体方式包括：对于基础级证书，须通过实名认证加证件核验；对于高等级证书，还须通过现场面对面或远程音视频方式完成活体检测与身份比对。

3、意愿确认：无论是高等级还是基础级电子签名认证证书，申请人的申请意愿都需全程记录、可追溯。高等级证书还须以录音录像（“双录”）方式记录意愿确认过程。

4、协议直签：CA机构必须与证书申请人直接签订服务协议，禁止通过第三方转签或代签，确保认证关系的直接性和法律效力。

5、私钥直管：私钥使用严管可控，日志至少存6年。私钥控制权归用户所有，若由CA机构托管，必须获得用户书面授权，且每一次私钥调用都需完整记录。全流程操作日志须至少保存6年，确保可审计、可出证、可追溯。

这五步红线指向一个清晰的结论：CA认证是一项独立的、不可外包的专业服务。CA机构必须亲自完成身份核验、协议签署、意愿留存、私钥管理。这也意味着，电子签名平台不需要、也不应该去替代CA做这些事。

二、证书分级：高风险场景合规门槛得以明确

新规首次将电子签名认证证书分为基础级与高等级，并明确规定：涉及生命健康、财产权益的高风险活动，禁止使用基础级证书。

这一分级管理的意义在于，它把过去模糊的“可靠电子签名”要求，转化为了可操作的证书选用规则。需要特别注意的是“财产权益”的界定。新规采用功能性定义，而非列举式清单。在金融实务中，授权书、支付协议、代扣协议等文件，即便不是贷款合同本身，只要其法律效果指向财产权益的处分或转移，即应纳入高风险场景，强制使用高等级证书。

高等级证书在身份核验和意愿留存上提出了更严格的技术要求：身份查验须通过现场面对面或远程音视频方式完成；意愿确认须以录音录像（“双录”）方式记录。这些要求直接对应《电子签名法》第十三条关于“电子签名制作数据由签名人专有且仅由其控制”的可靠性标准。

此外，新规同步强化了证书管理规则的备案要求：CA机构须按标准重构证书分类分级体系，并将新版电子认证业务规则（CPS）提交工信部强制备案。未完成备案的证书等级或业务规则，不得对外提供服务。

但无论是基础级还是高等级证书，认证工作都是由CA机构独立完成的——电子签名平台只负责在签署环节调用CA已经签发的证书。

三、认证归认证，签章归签章：法定分工不可混淆

有

一个似是而非的观念一直在行业内流传：做电子签名的企业，最好自己也有CA牌照，否则提供的服务就“不合规、不完整”。这种观念既缺乏法律依据，也不利于产业生态的健康分工。

《电子签名法》确立的核心逻辑是：可靠的电子签名需要满足专有性、可控性、不可篡改性。CA机构（电子认证服务提供者）的作用，是核验签名人的身份，并签发数字证书，从而建立签名人与电子签名之间的关联。而电子签章的签署行为——调用签名、固化签署时间、生成签署记录、存证——由电子签名应用平台完成。

没有任何一部法律规定，认证服务和签章应用必须由同一家企业提供。《电子签名法》《电子认证服务管理办法》《电子印章管理办法》《电子政务电子认证服务管理办法》以及本次新规，均未设置这样的捆绑要求。事实上，“认证归认证、签章归签章”的分工模式，在上述法律法规中一以贯之。 CA机构持有牌照，承担证书生命周期管理的法定责任；电子签名平台不持牌照，承担流程技术与风控管理的服务责任。两者协作，构成完整的电子签名服务链条。这种分工不是临时的监管妥协，而是产业生态的法定基础。

反过来说，如果一个平台同时持有CA牌照，且将认证和签章深度捆绑，反而容易产生利益冲突：认证环节的独立性如何保障？用户是否被迫接受单一CA？这些问题在新规强化认证独立性的背景下，正在变成监管关注的风险点。

四、多CA接入：不是技术选项，而是法律策略

基于上述法律框架，可以推导出一个清晰的结论：电子签名平台应当采用多CA接入架构，而非绑定单一CA。

理由有以下三个：

第一，风险分散。任何一家CA机构都有可能因自身合规问题被暂停或撤销资质。一旦单一CA停摆，绑定该CA的平台将面临所有在途合同无法签署、存量证书失效的风险。多CA架构允许平台在第一时间切换至其他持牌CA，保障业务连续性。

第二，场景适配。电子签名平台不同业务场景对认证强度的要求不同。单一CA未必在所有等级、所有地区都能提供最优服务。多CA接入让平台可以灵活选择。

第三，司法举证的冗余保障。电子签名平台不同CA的验证报告格式、数据存证方式存在差异。多CA并存意味着平台可以留存多源证据，避免因单一CA的技术缺陷或数据丢失而导致举证失败。

这正是监管所倡导的方向——CA做好认证，平台做好集成与风控，各自独立，协同发展。那些试图用牌照做围墙、强制用户绑定单一CA的做法，恰恰与新规精神背道而驰。

五、行业变局与企业的显示选择

新规落地后，行业格局将发生几个确定性的变化：

1、合规取代技术，成为核心竞争维度。过去大家比拼签约速度、并发处理能力、界面美观度；未来比拼的是合规架构设计、证据链完整性、应对司法审查的能力。

2、CA市场加速出清。准入门槛提高后，部分资金实力不足、技术能力薄弱的中小CA将退出市场或被迫合并。行业集中度上升，头部CA的优势进一步扩大。同时，CPS强制备案机制将淘汰那些业务规则不透明、证书管理体系混乱的机构。

3、司法采信标准逐步统一。随着越来越多的案件参照新规进行审查，各地法院对电子签名可靠性的判断尺度将趋于一致——全流程留痕、身份查验合规、意愿确认完整的签名，才能获得司法认可。

对于企业法务和合规负责人，建议采取以下行动：

1、重新评估存量业务场景，识别其中涉及财产权益、生命健康的高风险合同，尽快将证书升级为高等级。不要等到发生诉讼时才后悔证据不足。

2、在采购电子签名平台时，对于业务连续性要求高的企业，优先考虑采用多CA接入架构的平台，以规避单点故障风险。

3、主动要求平台提供完整的合规留痕证据，包括但不限于：CA的身份查验记录、签名人的意愿确认音视频（如有）、证书签发日志、签署时间戳报告。这些材料是未来举证的生命线。

4、密切关注《电子认证服务管理办法》修订稿的最终落地时间，提前调整内部签约流程，避免在法规生效后出现被动。

六、安证通的合规路线与生态主张

安证通在这一轮监管升级中，并没有临时“补课”，而是基于对法律逻辑的长期理解，提前布局了与新规高度契合的技术与商务架构。

安证通整合了国内绝大多数主流第三方CA的数字证书签发通道与认证链。安证通电子签名平台已接入国内主流持牌CA机构，覆盖各类型证书等级和业务区域，形成了即时、开放、稳定的数字认证服务体系。这不仅意味着企业在安证通平台上可以自由选择最适合的证书提供商，也从根本上避免了单一CA依赖带来的业务连续性风险。

直连持牌CA，不做核心认证的“二传手”。身份核验、证书签发、服务协议签署，全部由CA独立完成，安证通只负责技术集成与流程调度。这完全符合新规“禁止核心职能外包”的要求，且不留合规死角。

多CA智能调度与冗余切换。基于广泛的CA接入基础，安证通实现了多CA智能调度与秒级冗余切换。当某家CA因合规整改、服务异常或证书等级不可用而无法继续提供服务时，系统自动切换至其他持牌CA，企业用户无感知，业务不中断。

全流程留痕方面，安证通建立了覆盖证书签发、签名过程、验证环节的全周期举证能力，所有关键节点数据可追溯、可提取，并严格遵循日志保存至少6年的合规要求，直接对齐规则规范对举证制度的要求。

值得注意的是，安证通始终强调“不绑定单一CA”的开放中立原则。这一立场与监管鼓励的多元、分工协作的产业生态方向一致，也为客户保留了根据业务需要灵活选择CA合作伙伴的空间。我们相信，市场的选择权和法律的合规要求应当统一——CA与签章平台之间是平等的合作关系，而非依附或垄断关系。

回顾过去数年行业发展的沉浮，一个朴素的道理正在被验证：有牌照的，安心做认证；没牌照的，合规集成认证，做好签章平台。认证和签章这两件事，从来就不需要由同一家企业做完。这是《电子签名法》以来一贯的法律逻辑，也是监管此次通过新规再次明确的产业路径。安证通始终坚持这一路径，并将继续与持牌CA机构、企业客户共同构建一个分工清晰、权责明确、合规可信的电子签名生态。

新闻详情

认证归认证，签章归签章——新规落地，行业终于“对号入座”

相关新闻