电子认证新规落地，企业关心的10个常见问题

2026年《电子认证业务规则规范》（T/CQAE 11034—2025）正式实施，并与新修订的《电子认证服务管理办法》等规章配套落地，与《电子签名法》共同构建我国电子认证行业「法律—规章—标准」三位一体的合规框架。

新规到底改了什么？对企业有什么影响？以下整理了最常被问到的10个问题，逐一解答。

Q1｜新规的监管对象是谁？电子签厂商需要CA牌照吗？

新规的核心指向对象是依法设立的电子认证服务机构，即CA机构。CA机构负责核验身份、签发数字证书、管理证书生命周期，属于许可经营，必须持有工业和信息化部颁发的《电子认证服务许可证》。

而电子签厂商提供的是印章管控、签署流程、文档处理、证据保全等应用技术服务，现行法律并未对此类服务设置持牌要求。两者是产业链上两个不同层级的角色：认证归认证，签章归签章。

需要明确的是，电子签厂商不需要CA牌照，但必须与持牌CA合规合作，不能越权从事电子认证活动——不代核验身份、不代签协议、不自行签发证书。

Q2｜什么是「一证四步」？

新规把证书办理固化为四个标准化步骤，即「一证四步」：

1证书服务告知——向订户充分、清晰告知权利义务、收费标准、使用条件、私钥存储模式、责任划分与禁止用途，禁止用默认勾选代替告知。

2身份查验——由CA亲自执行身份核验，不得委托外部机构或个人。

3签署服务协议——由CA与证书订户直接签署电子认证服务协议。

4数据留存——从申请、查验、意愿确认、协议签署到签发交付，全流程记录完整归档。

四个步骤环环相扣，每一步都设置了刚性约束，指向同一个目标：让认证过程可核查、可追溯、可举证。

Q3｜什么是「CA直验」？为什么必须由持牌CA亲自完成？

「CA直验」是指身份核验必须由持牌CA机构自主完成，不得委托给非同一法人的外部机构或个人。这不只是行业倡导，而是有明确依据的刚性要求。

《电子认证服务管理办法》第二十二条规定：电子认证服务机构不得就证书申请的受理和查验，证书的签发和交付向外部机构或个人进行委托。

按证书等级不同，查验强度也有差异：高等级证书——个人需面对面查验、远程人工面对面查验、生物特征（人脸、指纹等）实人核验；机构需核验法人或受托人实人身份，受托人办理还需补充对公打款等验证方式；基础级证书——除高等级证书核验方式外，个人可采用运营商三要素、银行卡四要素等核验；机构进行法人、受托人实人查验，可使用订户持有的同等级或更高等级有效机构证书完成身份核验；须完整留存查验记录，并为每张证书建立独立的身份验证档案。

Q4｜什么是「CA直签」？和「平台代签协议」有什么不同？

「CA直签」是指电子认证服务协议必须由CA机构与证书订户直接签署，杜绝默认勾选、一键同意、第三方代签等不规范模式。差别在于法律关系是否清晰：

1-过去由平台代签，订户与CA之间的法律关系模糊，一旦发生纠纷，权利义务主体不清、举证困难；

2-CA直签之后，签约主体明确、权责边界清晰、协议有据可查，订户能清楚知道自己接受的认证服务由谁提供。

协议内容需覆盖告知环节的全部核心权责事项，包括服务范围、双方责任、证书使用规则与法律责任条款等。

Q5｜电子签名认证证书分几级？不同场景该怎么选？

新规首次对电子签名认证证书实行分类分级管理。按「证书主体类型＋业务风险等级」，划分为四大类别：

主体类型	等级	适用场景
个人	高等级	高风险业务场景
个人	基础级	一般业务场景
机构	高等级	高风险业务场景
机构	基础级	一般业务场景

每一类证书的扩展项都须携带主管部门对应的证书策略 OID，可据此直接识别证书等级与适用场景。

两条红线务必记牢

涉及生命健康、财产权益等高风险业务场景，严禁使用基础级证书；婚姻、收养、继承等人身关系，以及停止供水、供热供气等公用事业服务等法律规定的情形，不适用电子签名，不能使用电子签名认证证书办理相关业务。

分类分级的目标，是让核验强度匹配业务风险：金融信贷、医疗知情文书等高风险业务，应当选用高等级证书，否则签署文件存在不被司法采信的风险。

Q6｜「可靠电子签名」的法定标准是什么？

《中华人民共和国电子签名法》给出了明确标准。

第二条界定：电子签名，是指数据电文中以电子形式所含、所附用于识别签名人身份并表明签名人认可其中内容的数据。

第十三条规定，同时符合四个条件才视为可靠电子签名：

1-电子签名制作数据用于电子签名时，属于电子签名人专有；

2-签署时电子签名制作数据仅由电子签名人控制；

3-签署后对电子签名的任何改动能够被发现；

4-签署后对数据电文内容和形式的任何改动能够被发现。

第十四条明确：可靠的电子签名与手写签名或者盖章具有同等的法律效力。

新规与法律的关系，可以这样理解：法律给出「什么是可靠」的原则，新规把「可靠」拆成了可落地、可核查、可留证的流程动作——实名核验、意愿留痕、协议直签、数据归档，一环都不能少。签名是不是本人、签署是不是自愿、内容有没有被改动，司法审查最终落到这三个问题上！

Q7｜签名私钥必须自己保管吗？托管在CA安全吗？

签名私钥的所有权归订户。新规给出的原则是「专有专控」，合规路径有两种：

1-订户自主持有——通过符合国家安全标准的密码模块（如UKey等硬件设备）自行生成并保管私钥；

2-由CA托管——必须取得订户单独签署的书面授权，私钥加密存储，每一次调用操作留存完整日志。

此外还有两条底线：未经授权不得保存或调用订户签名私钥；根证书私钥严禁托管给第三方，须由CA在自身安全环境中保管。

Q8｜相关记录要留存多久？

依据《电子认证服务管理办法》第二十条，信息保存期限至少为电子签名认证证书失效后五年；《电子认证业务规则规范》进一步要求，证书从申请、查验、意愿确认、协议签署到签发交付的全流程记录完整归档，形成可追溯的证据链。

要注意，需要留存的不只是合同文本，还包括身份查验记录、意愿确认凭证、协议签署记录、证书签发与操作日志等。这些材料共同构成完整证据链，用来满足监管核查与司法举证的需求。

Q9｜已经在用的电子合同，法律效力会受影响吗？

一份电子合同是否有效，依《电子签名法》第十三条、第十四条逐案认定——看签名是否专有、专控、防篡改，已签署合同的法律效力不会因新规出台而失效。

但「不受影响」是有前提的，需要分清两种情形：

1-合同本身已满足「可靠电子签名」要件——无论新旧规，效力都受《电子签名法》保障；

2-签署流程本身存在瑕疵（如身份核验形同虚设、意愿无法证明）——这类风险在新规之前就已存在，新规只是让它在涉诉时更容易被放大。

企业真正要做的，是把两件事查清：

1-存量——正在使用的数字证书是否已完成新规适配，过渡期后会不会停用；

2-新签——签约链路中的身份核验、协议签署、意愿留痕是否符合新规要求。

核心是看清责任边界：认证环节的责任由CA承担，签署应用环节的责任由平台承担。企业应当了解自己的签约链路中，这两个环节分别由谁提供、是否合规。

Q10｜整改窗口期，企业应该做什么？

过渡期到2026年10月30日为止。建议企业先做「三查」：

1-查服务商资质——确认所合作的CA机构是否持有《电子认证服务许可证》；

2-查是否「CA直验」——个人签名的身份核验是否由持牌CA系统直接执行、有无第三方中转；企业签章的身份核验是否由CA直接完成。

3-查证书等级与留痕——拿一份已签署的合同，查看数字证书信息是否由持牌CA签发、证书链是否完整；确认所用证书等级是否与业务风险匹配，能否提供完整的查验、意愿与签发留痕。

整改不是「到点再动」的事。距离10月30日只剩三周，越早完成排查，越能避免业务中断与合同效力存疑的连锁风险。

总结

电子签名的价值，最终体现在纠纷发生时那份合同能否被认可。

新规所做的，是把这份「认可」的证据链标准，从模糊推向清晰：谁核验的身份、谁签的协议、谁管的私钥、记录留了多久——每一个环节都要说得清、查得到。

对认真对待每一份合同的企业来说，这不是负担，而是保障。当可信身份、可靠意愿、可追溯行为成为电子签名服务的常态，整个行业的信任基础也就更加牢固。