10月30日认证合规整改即将到期，企业如何持续合规使用电子签章软件？（附合规自查清单）

随着工信部推动电子认证服务合规升级、10月30日整改节点临近，很多企业在使用电子签章软件签约的过程中，将背后为其提供身份认证服务的电子认证机构是否持牌（工信部《电子认证服务许可证》+国家密码管理局《电子认证服务使用密码许可证》双证缺一不可）作为重点考察项，但是电子认证仅仅只是电子签章应用过程中的一个环节，CA持牌决不能看作是合规使用电子签章的唯一标准。

依据《电子签名法》第13条和2025年《电子印章管理办法》，关于电子签章是否合规的完整判断应覆盖“法律要件、CA合规运营、平台技术能力、司法验证、数据安全”五个维度。因此，判断一家电子签章厂商是否合规，正确的做法是两层拆解：第一层，核实其合作的CA机构是否持牌、是否合规运营；第二层，考察厂商自身在签章能力、印章管控、平台技术、司法证据链与数据安全上的真实水平。

所以企业用户的核查的方向不是问厂商"你有没有牌照"，而是要问清楚三件事：背后提供电子认证服务的是哪家CA？这家CA是否持牌？它是否已完成新规下的合规改造？作为电子签章厂商你持有哪些资质？是否符合《电子签名法》？签署过程是否可以进行数据存证？签署结果是否有法律效力、法院认不认？

一、10月30日，为什么成了电子签章行业合规的重要时间点

行业主管部门近期部署电子认证服务业务规范化工作，要求各电子认证服务机构对照新版《电子认证业务规则规范》（T/CQAE 11034-2025）与修订后的电子认证业务规则（CPS）全面实施业务合规改造，并设置过渡期至2026年10月30日。这次整改的关键词是"全面改造"——不是修订内部制度、更新CPS文本就算完成，而是要对订户告知、身份查验、意愿记录、协议签署、私钥保管、资料留存这条服务全链条做系统性改造，规则、系统、流程同步到位。

更值得注意的是，监管已经开始落到司法审查里。在一起案件的审核意见中，法院明确写道：根据《电子认证业务规则规范》，CA机构不得将用户身份核验委托给第三方，请提交CA直验的验证报告（过往已签电子合同法律效力不受影响，只要可以提供完整存证报告即可）。

与此同时，2025年10月正式发布的《电子印章管理办法》已经施行。作为国家层面首个电子印章管理专项制度，它明确"符合本办法规定的电子印章与实物印章具有同等法律效力"，并从职责体系、制作备案、使用注销等方面构建了全过程管理框架

合规，已经从"加分项"变成了"入场券"。

二、先厘清一个前提：CA机构与电子签章厂商，不是同一个角色

选型前必须建立的第一层认知，是分清服务链条上的两个主体：

• CA机构（电子认证服务机构）：为电子签名相关各方提供真实性、可靠性验证，须持有工信部核发的《电子认证服务许可证》，是电子认证服务的法定责任主体。
• 电子签章服务商：面向最终用户提供电子签署与印章管控服务，不需要持有CA牌照，但必须与持牌CA机构合规合作，不越权从事电子认证活动。

理解了这个分工，很多选型困惑就自然解开了：

第一，"厂商有没有CA牌照"不是必答题，"厂商接入的CA是谁"才是。

厂商自建、对接第三方、还是聚合多家CA，路径可以不同，但最终签发证书的那家CA必须持牌、必须可查。这是底线。

第二，CA持牌不等于CA合规运营，更不等于电子签章结果合规。

工信部《电子认证服务许可证》加上国家密码管理局《电子认证服务使用密码许可证》，是CA机构的"双证"硬门槛，两证缺一不可。但即便持证，若身份核验层层外包、协议默认勾选、签署意愿不留证、私钥管理缺少授权约束，照样会踩到新规红线。

第三，法律早有更完整的判断依据。

《电子签名法》第十三条给出了"可靠电子签名"的四个法定要件

·电子签名制作数据用于电子签名时，属于电子签名人专有；

· 签署时电子签名制作数据仅由电子签名人控制；

· 签署后对电子签名的任何改动能够被发现；

· 签署后对数据电文内容和形式的任何改动能够被发现。

顺着这四个要件往外推，就是下面这套更完整的选型框架。

三、五维度合规选型框架

维度一：法律要件——是否真正构成"可靠电子签名"

电子签名、电子印章的法律效力不是厂商"承诺"出来的，而是靠技术方案和流程设计落到《电子签名法》第十三条的四要件上。

选型自查：

• 签署所用数字证书是否由持牌CA签发，证书信息可否公开验证？
• 私钥是否实现"专有专控"，签署时是否只有签名人本人可控？
• 签署完成后，对签名或文件内容的任何改动，能否被检测出来？

维度二：CA合规运营——"四条红线"是否全部落地

新规落地后，CA直验、CA直签、意愿留证、私钥直管成为四条不可逾越的红线，没有豁免、没有"过渡版本"。

• 1. 身份查验必须CA直验：严禁委托外部机构或个人（非同一法人主体视为外部机构），个人签名由CA系统直接执行实名+人脸/短信二次核验，企业签章由CA直接完成营业执照核验等，平台不得触碰核心核验数据
• 2. 服务协议必须CA直签：由CA机构与订户直接签署，杜绝默认勾选、权责不清
• 3. 申请意愿必须全程留证：高等级证书需通过录音录像、音视频双录等方式确认意愿；基础级证书需留存可追溯的确认记录
• 4. 私钥使用必须严管可控：优先由订户自主持有；CA托管需获得订户书面授权，加密存储、全程留痕，杜绝未经授权调用
• 5. 与之配套的是证书办理的"一证四步"：服务告知、身份查验、签署服务协议、数据留存，每一步都要求有据可查。此外，新规首次对证书实行分级管理（基础级/高等级），涉及生命健康、财产权益的高风险场景禁止使用基础级证书。

选型自查：身份核验是"平台做的"还是"CA做的"？协议是CA与你直接签的吗？私钥调用有书面授权和全程留痕吗？CPS是否已按新规修订并向工信部备案。

维度三：平台技术能力——牌照替代不了工程能力

CA解决的是"身份可信、证书可信"，但企业真正的用签场景，是印章怎么管、合同怎么签、系统怎么接。这部分能力完全落在电子签章平台身上：

• 1. 印章管控：用印流程、分级授权、印章集中管控、外带用印管理；
• 2. 多CA接入：能否对接多家持牌CA，避免被单一供应商绑定；
• 3. 开放集成：与OA、ERP、CRM、HR、采购等系统的接口与集成能力；
• 4. 签署体验：模板化、批量签署、多终端签署、异地多方签署。

选型自查：平台是否只做"通道"，还是有完整的印章管控与业务集成能力？

维度四：司法验证——出事时能不能"自证清白"

合规的最终检验场是法庭。新规要求电子签章过程信息应当被记录并保存，实现电子签章行为可追溯、可定责；验证时应当按照国家标准核验签章数据的真实性、完整性和不可否认性，并可核验签章时印章的有效性

选型自查：

• 1. 能否提供CA直验报告（法院明确要求该报告）
• 2. 证据链是否完整（时间戳、哈希值、签署日志、用印记录）？
• 3. 是否对接公证处、司法鉴定机构或可信存证体系？
• 4. 是否有真实司法采信案例

维度五：数据安全——底线能力

电子签章系统承载的是企业最核心的合同与用印数据，安全合规要求覆盖《网络安全法》《数据安全法》《个人信息保护法》《密码法》的交叉约束

选型自查：

• 1. 是否通过等保测评、商用密码应用安全性评估？
• 2. 是否支持私有化部署/本地化存储，满足数据不出域的诉求？
• 3. 私钥托管是否有订户书面授权、是否有加密存储与全量审计日志
• 4. 是否遵循最小权限原则，操作全程留痕？

五、一张选型自查清单（建议直接套用）

以下为重点核查项及其合格标准表明：

1、合作CA资质：其接入的CA机构持有工信部《电子认证服务许可证》+国密局《电子认证服务使用密码许可证》

2、CPS合规：该CA的CPS已按《电子认证业务规则规范》修订并备案

3、身份核验：由CA"直验"，无第三方中转，平台不触碰核心核验数据

4、协议签署：服务协议由CA与订户直接签署

5、意愿留证：高等级证书有双录/音视频确认，基础级有可追溯记录

6、私钥管理：订户自主持有或CA托管+书面授权，全程留痕可审计

7、证书等级：高风险场景使用高等级证书，不用基础级

8、平台能力：具备印章管控、多CA接入、开放集成能力

9、司法验证：可提供CA直验报告与完整证据链，有司法采信案例

10、数据安全：等保测评、密码评估通过，支持私有化部署

任何一项答不上来，都说明该认真核实服务商的合规状态了。

六、常见问题解答（FAQ）

Q1：电子签章厂商需要持有CA牌照吗？

A：不需要。CA（电子认证服务机构）与电子签章服务商是两个不同层级的角色。CA须持有工信部《电子认证服务许可证》，而电子签章平台不属于CA机构，本身不需要CA牌照，但必须与持牌CA合规合作，不越权从事电子认证活动。

Q2：那选型时到底该怎么查CA？

A：三件事：一看它为证书签发的CA是否持牌（可在工信部电子认证服务系统查询）；二看身份核验是否由这家CA直接执行；三看该CA的CPS是否已按新规修订。在拿到已签署的电子合同时，再核对证书签发主体是否与持牌CA完全一致——法院已明确要求提交"CA直验的验证报告"。

Q3：10月30日整改，对使用电子签名的企业有什么影响？

A：整改主体是CA机构，但影响传导到用签企业。过渡期结束后，若企业使用的电子签章厂商及CA机构未按要求完成合规改造，可能会影响使用，需要提前联系厂商完成升级。

Q4：基础级证书和高等级证书怎么选？

A：新规将证书分为基础级和高等级。涉及生命健康、财产权益的高风险场景必须使用高等级证书；基础级证书禁用于婚姻、收养、继承等人身关系及公共事业服务场景，金融、医疗等关键领域也禁止使用基础级证书。

Q5：制度依据到底有哪些？

A：三层体系：法律层《电子签名法》《密码法》《网络安全法》《数据安全法》；规章层《电子印章管理办法》（国办发〔2025〕33号）与《电子认证服务管理办法》；标准层《电子认证业务规则规范》（T/CQAE 11034-2025）。

结语：合规选型，看的是"体系"而不是"一张证"

10月30日的倒计时，本质上是一次行业信任底座的重建。它把电子认证服务应有的责任，真正落到了系统、流程和证据上——规则越清晰，责任越明确，企业使用电子签名的预期就越稳定所以，选型的正确姿势是两层：先看它背后的CA持不持牌、合不合规，再看厂商自己在签章、印章管控、集成与证据链上有没有真本事。 单看任何一层，都不全面。