电子认证新规Q&A：16个问题讲清楚CPS、CA责任边界与电子签章合规要点

本文围绕工业和信息化部发布的《电子认证业务规则规范》（T/CQAE 11034-2025），系统梳理电子认证领域的最新合规要求，涵盖新规的实施背景、约束对象、核心要求，以及电子签章厂商与CA机构的合作模式等通用性内容，帮助您全面了解电子认证新规的合规要点。

关于电子认证新规的常见问题解答：

Q1：《电子认证业务规则规范》是什么？具有怎样的法律效力？实施的目的是什么？

A：《电子认证业务规则规范》（T/CQAE 11034-2025）是由工业和信息化部指导、中国电子质量管理协会发布的行业团体标准。该标准与《中华人民共和国电子签名法》《电子认证服务管理办法》共同构成我国电子认证行业“法律→规章→标准”三位一体的合规框架体系。

虽然团体标准本身属于鼓励采纳的技术指引，但按照工业和信息化部监管要求，所有电子认证服务机构（CA机构）须遵照执行该标准，在规定时间内完成电子认证业务规则（CPS）的修订工作。在司法实践中，该标准也将作为行业公认的操作规范，成为判断CA机构是否尽到勤勉义务的重要参考依据。

新规出台的核心目的，是压实电子认证服务机构（CA机构）的主体责任，构建更加坚实可信的电子签名信任体系。长期以来，电子认证行业存在服务标准不统一、流程分散、权责不清等问题。新规通过刚性要求规范CA机构的服务行为，从根源上解决行业痛点，推动电子认证服务从“能用”走向“合规可审计”。

Q2：电子认证新规的主要约束对象是谁？

A：新规的主要约束对象是电子认证服务机构（CA机构）。所有持有工信部颁发的《电子认证服务许可证》的CA机构，均须遵照新规要求，在规定时限内完成业务规则（CPS）修订，确保业务开展符合最新合规要求。电子签章平台本身不属于CA机构，不需要持有CA牌照。但契约锁等电子签章平台作为电子签名服务的提供方，须与持牌CA机构合规合作，不越权从事电子认证活动。

Q3：新规对数字证书的申请与签发提出了哪些核心要求？

A：新规明确提出，数字证书办理必须严格执行 “一证四步” 的标准化流程：

第一步：服务告知——CA机构须向订户充分、清晰地告知证书使用规则、权利义务及风险。

第二步：身份查验——CA机构必须亲自执行身份核验，不得委托给任何外部机构或个人。

第三步：签署服务协议——电子认证服务协议必须由CA机构与证书订户直接签署。

第四步：数据留存——从用户申请到证书交付的每一环节均有据可查、有迹可循。

此外，新规还首次对电子签名认证证书实行分级管理，明确划分为基础级与高等级两个等级，并划定红线：涉及生命健康、财产权益的高风险场景，禁止使用基础级证书。

Q4：电子认证新规对CA机构的身份核验责任作了哪些规定？

A：新规明确要求CA机构承担直接的身份核验主体责任，核心要点包括：

·亲自核验，不得外包：身份查验义务未委托给外部机构或个人（非属同一法人主体的机构视为外部机构）。CA机构从后台技术服务商，转变为电子认证合规责任的唯一承担主体。

·分级核验：根据证书等级不同，采用相应强度的核验手段。高等级证书采用人脸识别、远程面对面视频核验等强实人查验方式；基础级证书支持电信运营商三要素验证、银行卡四要素验证等方式。

·全程留痕：所有核验过程和结果均以可追溯方式完整记录，每张证书建立独立的身份验证记录。

Q5：什么是CA机构的CPS？它为什么重要？

A：CPS（Certification Practice Statement，证书业务声明/电子认证业务规则），是CA机构关于其在全部数字证书服务生命周期（如签发、吊销、更新）中所遵循的业务规范的详细描述和声明。它不仅仅是一本程序手册，更体现了CA机构的运营、技术和法律承诺。根据监管要求，所有CA机构须按照新规要求制定本机构的电子认证业务规则，并在提供电子认证服务前予以公布、向工信部备案。CA的CPS须经工信部审核通过——只有CPS获批的CA才有资格颁发符合新规的数字证书。

Q6：电子签名认证证书如何分类？不同等级适用于什么场景？

A：新规将电子签名认证证书分为两个等级：

高等级电子签名认证证书：适用于涉及生命健康、财产权益等高风险场景的电子签名认证。

基础级电子签名认证证书：适用于除高等级证书规定场景外的其他电子签名场景。

同时，基础级证书有明确的应用限制——严禁用于婚姻、收养、继承等人身关系及公共事业服务场景；金融、医疗等关键领域也禁止使用基础级证书进行认证。

Q7：电子认证新规对订户签名密钥对（私钥）的生成、存储和使用有哪些要求？

A：新规要求CA机构在CPS（证书业务声明）中明确订户签名密钥对的生成、交付及控制方式，并符合以下要求之一：由订户持有的符合国家安全标准的密码模块产生和存储——即用户自行通过Ukey等硬件密码模块生成并保管私钥。由CA产生、保存，并提供技术措施确保订户对签名私钥的独占控制权——即私钥托管在CA机构，但每次调用必须获得订户明确授权并完整保存记录。采用通过主管部门认可的其他创新性保护方案。核心原则是实现订户对签名私钥的“专有专控”，确保独占性。未经书面授权，严禁保存或使用用户私钥，操作需全程可追溯。

Q8：电子认证机构（CA）与电子签名/电子签章服务商有什么区别？

A：电子认证机构（CA）与电子签名服务商是两个不同层级的角色，各有法定边界。

· 电子认证服务：由持牌的CA机构独立提供，是指为电子签名相关各方提供真实性、可靠性验证的活动。CA机构须持有工信部颁发的《电子认证服务许可证》。

· 电子签名/电子签章服务：由电子签名/电子签章服务商面向最终用户提供，是指数据电文中以电子形式所含、所附用于识别签名人身份并表明签名人认可其中内容的数据。

电子签名服务商不需要持有CA牌照，只要其与持牌CA机构合规合作、不越权从事电子认证活动，即可合法合规运营。电子认证是电子签约过程中的一个合规环节，但并不等同于电子签约本身。

Q9：新规实施后，数字证书的申请流程会有哪些变化？

A：新规实施后，数字证书申请流程将更加规范化和标准化。以CA机构推行的“一证六步”流程为例，完整的证书申请流程包括：

·订户告知：CA机构通过强制阅读、短信或邮件等方式，向订户明确告知权利义务、收费标准、使用条件等关键信息。

·信息核验：个人用户提供有效身份证件，机构用户提供营业执照等法定登记证书，通过权威数据源进行真实性验证。

·身份核验：根据证书等级采用人脸识别、视频核验或三要素/四要素验证等方式确认身份。

·意愿确认：通过音视频双录或短信验证等方式记录用户真实意愿。

·协议签订：CA机构与订户签署《电子认证服务协议》，明确双方权利义务。

·证书签发：所有前置条件满足且审核通过后，数字证书予以签发。

整个流程更加严格，但长期来看将大幅提升电子合同的安全性与司法采信力。

Q10：电子签章厂商与CA机构合规合作的背景是什么？

A：电子签章厂商与CA机构的合作，本质上是基于各自法定职责的能力互补。CA机构的法定职责：验证用户真实身份、签发数字证书、确保证书私钥合规管理。电子签章平台的职责：提供签署服务、印章管控、文件管理、数据存证、系统集成等业务功能。新规进一步明确了双方的责任边界——认证归认证，签章归签章，各自在法定职责范围内为用户提供服务。

以电子签章行业头部厂商契约锁为例，其严格遵循《电子签名法》及工信部合规认证监管要求，采用国家密码管理局认可的商用密码技术和国密算法，与全国多家持牌CA机构合作为用户提供具有法律效力的可靠电子签章服务。这种“平台+CA”的合作模式，既保证了认证环节的合规性，又通过平台的技术能力提升了签署体验。

Q11：新规实施后，企业使用电子签章服务会受到影响吗？

A：新规主要是推动CA机构和电子签章平台双方在各自职责范围内完成合规改造，实现“认证归CA、签署归签章”。

对于终端企业用户而言，使用体验基本不受影响。合规的电子签章平台会自动完成模式改升级，实现CA直验身份、直签协议等流程，用户只需按照平台指引完成身份认证和证书申请即可。新规的最终目的，恰恰是保护证书订户（即电子签名人）以及采购电子签名服务的企业客户的合法权益。

Q12：新规实施后，CA机构的身份核验方式有哪些变化？

A：新规实施后，CA机构必须亲自执行身份核验，不得委托给任何外部机构或个人。根据证书等级的不同，CA机构采用相应强度的核验手段：

高等级证书：采用人脸识别、远程面对面视频核验等强实人查验方式，并须通过音视频双录方式完整记录办理意愿。

基础级证书：支持电信运营商三要素验证、银行卡四要素验证等方式，但仍须保留完整的告知和核验记录。

所有核验过程和结果均须以可追溯方式完整记录，每张证书建立独立的身份验证记录。

Q13：企业如何判断所选择的电子认证服务是否合规？

A：企业可以从以下几个方面判断电子认证服务的合规性：

·CA机构资质：确认CA机构持有工信部颁发的《电子认证服务许可证》。

·CPS审核状态：确认CA机构的CPS已按照新规要求完成修订并经工信部审核通过。

·身份核验方式：确认CA机构亲自执行身份核验，未委托外部机构代为完成。

·证书分类：确认所使用的证书等级与业务场景的风险等级相匹配。

·私钥管理：确认私钥的生成、存储和使用方式符合“专有专控”原则。

·全程留痕：确认从申请到交付的每一环节均有据可查、有迹可循。

Q14：新规实施后，电子认证行业将发生哪些变化？

A：新规的实施标志着电子认证行业正式迈入强监管、标准化、规范化的高质量发展新阶段。具体而言：

责任边界更加清晰：CA机构承担电子认证的法定责任，电子签章平台承担签署服务的技术责任，双方各司其职。

不合规机构加速出清：无法在规定时限内完成CPS修订和合规升级的CA机构将面临清退。

证书公信力提升：严格的“一证四步”流程将大幅提升数字证书的身份可信度和司法采信力。

用户权益得到更好保障：新规最终保护的是证书订户和广大企业客户的合法权益。

Q15：电子认证新规实施后电子签章厂商需要持牌经营吗？

A：不需要。

根据《中华人民共和国电子签名法》和《电子认证服务管理办法》的规定，CA牌照颁发给的是“电子认证服务机构”，即依法设立的、为电子签名相关各方提供真实性、可靠性验证服务的第三方机构。这类机构须具备独立法人资格、符合国家密码管理局要求的密码设备、专业人员及安全保障能力，经工信部审查批准后方可持牌经营。

契约锁等电子签章厂商提供的服务性质与此截然不同。 电子签章厂商从事的是电子签名应用技术服务——包括签署流程管理、印章管控、文件存证、系统集成对接等。这类服务属于信息化技术服务的范畴，本身不涉及CA牌照法定的许可经营范围。换言之，电子签章厂商自始至终就不是《电子签名法》及《电子认证服务管理办法》所设定的持牌对象。

这就好比道路运输许可证颁发给客运公司，而导航软件开发商不需要持有该许可证——两者处于产业链的不同环节，前者是运营主体，后者是技术支撑方，法律规制的维度完全不同。新规只是进一步明确了CA机构必须亲自完成认证核验，不再允许将认证环节外包给电子签章厂商代为完成。对于电子签章厂商而言，合规的关键是“不越权”——只要不介入认证环节、不代为核验身份和签发证书，而是通过系统直连的方式将认证环节交还给持牌CA机构，其合法经营地位就毫无争议。这与“是否持牌”没有关系，因为从法律上讲，电子签章厂商根本不在CA牌照的颁发对象范围内。

Q16：电子认证新规的实施对契约锁这类电子签章厂商的影响是什么？

A：新规最直接、最核心的约束对象是CA机构，而非电子签章厂商。

新规是对电子认证服务供给侧的改革，它的直接目的是 “让认证回归CA”——压实CA机构作为法定认证主体的责任，要求其亲自完成身份核验、证书签发、意愿确认等关键环节，不得外包给任何外部机构。这是新规的第一层、也是最核心的指向。但电子签章厂商作为与CA机构紧密协作的产业链一环，自然也会受到连带影响。

这种影响集中体现为 “配合与适配” 。电子签章厂商的角色发生了明确转变：新规后认证必须交给CA直连；服务协议必须与CA直签；证书私钥须由CA的密码设备生成和管理。电子签章厂商需要完成系统层面的技术改造，确保认证入口、协议签署、证书管理等环节全面对接CA机构，在“辅助服务”范围内做好流程支撑和技术适配工作。

这并不动摇电子签章厂商的合法经营基础。电子认证与电子签章本就是两类不同性质的业务——前者是许可经营，后者是技术服务，分属不同主体、不同环节，也受不同法律约束。电子签章厂商不需要持有CA牌照，只要不越权从事电子认证活动，其合法经营不受影响。

从行业角度看，新规的实施是对电子认证行业的一次拨乱反正。 它终结了长期以来认证环节层层外包、权责不清的乱象，明确了CA机构和电子签章厂商各自的责任边界，让“认证的归CA，签章的归签章”。这将推动行业建立更透明、更规范的信任基础，促进电子签章的互信互认和健康发展。对于契约锁这类与持牌CA机构合规合作的电子签章厂商而言，更重要的任务是配合合规、完成技术适配的调整期，以及更公平的市场环境。

根据官方信息显示，契约锁为代表的电子签章服务商，始终专注电子签署、印章管控业务领域，已经提前根据工信部要求完成平台技术准备，随时可以为用户接入多家持牌 CA 机构的认证及私钥托管服务，为用户持续提供符合《电子签名法》及国家工信部合规要求的电子签署及印章管控服务。