2026年10月30日，电子认证行业的整改过渡期即将结束。工信部指导发布的《电子认证业务规则规范》（T/CQAE11034-2025）已正式实施。新规的核心要求可以概括为“一证四步”：证书服务告知、身份查验、签署服务协议、数据留存。其中身份查验必须由持牌CA直接完成（CA直验），服务协议必须由CA与订户直接签署（CA直签），申请意愿须全程留证，私钥使用须严管可控。

以下整理了企业最关心的10个问题，结合新规要求和行业实践逐一解答。

1.新规主要管的是谁？电子签厂商需要持CA牌照吗？

新规的监管对象是依法设立的电子认证服务机构（CA机构）。CA机构负责核验身份、签发数字证书、管理证书生命周期，必须持牌经营，持有工信部颁发的《电子认证服务许可证》。

电子签厂商提供的是印章管控、签署流程、文档处理、证据保全等应用服务，现行法律未对此类服务设置持牌要求。电子签厂商不需要CA牌照，但必须与持牌CA合规合作，不越权从事电子认证活动。

2.什么是“可靠电子签名”？它的法律效力是什么？

根据《电子签名法》第二条，电子签名是指数据电文中以电子形式所含、所附用于识别签名人身份并表明签名人认可其中内容的数据。但并非所有电子签名都天然具备与手写签名同等的效力。

《电子签名法》第十三条规定，电子签名同时符合以下四个条件的，才视为“可靠的电子签名”：

第一，电子签名制作数据用于电子签名时，属于电子签名人专有。第二，签署时电子签名制作数据仅由电子签名人控制。第三，签署后对电子签名的任何改动能够被发现。第四，签署后对数据电文内容和形式的任何改动能够被发现。

这四个条件可以概括为“专有、专控、防篡改”。 《电子签名法》第十四条明确：可靠的电子签名与手写签名或者盖章具有同等的法律效力。

法院在审查电子合同效力时，会结合第三方存证报告、电子签约流程，判断签名是否满足专有性、控制性及防篡改性的特征。实名认证、人脸识别、意愿校验、数字证书——这些技术手段的合规运用，正是为了确保电子签名满足“可靠”的法定标准。

新规对证书实行分级管理，涉及生命健康、财产权益等高风险场景禁止使用基础级证书。选择什么等级的证书，直接关系到签名在司法审查中能否被认定为“可靠”。

3.什么是“CA直验”和“CA直签”？

“CA直验”是指身份核验必须由持牌CA机构直接完成，不得委托给外部机构或个人。 按照新规要求，身份核验、认证协议签署、用户知情确认等核心法定环节，必须由持牌CA机构直接完成，不得将核心审核、缔约职责对外委托、转包给RA或其他外部主体；RA机构仅可承担材料收集、技术转发、业务辅助等辅助类工作。

“CA直签”是指电子认证服务协议必须由CA机构与证书订户直接签署，禁止第三方转签或代签。 此前部分平台采用“默认勾选同意”或“平台代签协议”的方式，订户与CA之间的法律关系不够清晰。CA直签之后，一旦发生纠纷，协议主体明确，权利义务关系有据可查。

过去行业中存在的“平台代核验”“RA代理认证”模式，导致身份核验与证书签发之间的责任链条不够清晰。新规要求CA从后台技术服务商转变为认证合规责任的唯一承担主体。

4.安证通等电子签厂商与CA机构合作提供服务合规吗？

合规。签章厂商与持牌CA机构合作，由CA承担认证环节的法定职责，签章厂商承担签署流程、印章管控、文档处理等应用服务，这种分工模式在现行法律框架下有明确依据。

《电子签名法》第十六条规定，电子签名需要第三方认证的，由依法设立的电子认证服务提供者提供认证服务。法律并未要求认证服务与应用服务必须由同一主体提供。身份认证由持牌CA机构负责，签章应用由电子签章服务商负责，两者各司其职，构成完整的服务链条。

新规进一步压实了这种分工：CA必须亲自完成身份核验、协议签署等核心环节，签章平台不越权从事电子认证活动。

5.新规下的电子签厂商合规保障措施有哪些？

电子签厂商的合规保障措施主要集中在几个层面。 以安证通为例，其合规架构可以从四个维度来看。

架构层面，采用多CA接入模式。安证通整合了国内主流第三方CA的数字证书签发通道与认证链，平台支持多家CA证书在线签发和管理。这种架构可以规避单一CA依赖带来的业务连续性风险，也让企业可以根据不同业务场景选择适配的证书等级和区域服务。

流程层面，认证环节交由CA独立完成。安证通不持有CA牌照，也不试图替代CA完成认证环节。身份核验、证书签发、服务协议签署由CA直接操作，平台不代核验、不转签协议，符合新规“CA直验、CA直签”的要求。

存证层面，建立全周期留痕能力。安证通建立了覆盖证书签发、签名过程、验证环节的全周期留痕能力，关键节点数据可追溯、可提取，日志保存周期严格对齐新规要求的至少6年。

场景层面，按证书等级匹配核验强度。新规将证书分为基础级与高等级，涉及财产权益、生命健康的高风险场景禁止使用基础级证书。合规的平台应支持根据合同场景自动匹配证书等级和相应的意愿确认方式。

6.企业如何判断所使用的电子签章服务是否合规？

有三个核心问题值得确认：

查服务商资质。登录工信部官方查询渠道，验证电子签名服务商对接的CA机构是否持有《电子认证服务许可证》。签章平台自身不需要CA牌照，但其合作的CA必须持牌。

查是否“CA直验”。个人签名身份核验，应由持牌CA系统直接执行实名加人脸或短信二次核验，无第三方中转。企业签章身份核验，应由CA直接完成营业执照核验等操作，平台不得触碰核心核验数据。如果回答是“由平台完成”或“对接了第三方核验服务”，合规基础就需要打问号。

查证书签发主体。拿出已签署的电子合同，查看数字证书信息，确认证书是否由持牌CA签发，证书链是否完整可验证。企业可以要求平台提供完整的合规留痕证据，包括CA的身份查验记录、意愿确认凭证、证书签发日志等。

7.已经在用的电子合同，法律效力会受影响吗？

已签署的电子合同和加盖的电子印章，其法律效力由《电子签名法》保障，与新规实施没有直接冲突。新规约束的是CA机构未来的服务行为，不溯及既往。

企业需要关注的是新签合同——如果签署流程中仍存在平台代核验、协议代签等情况，未来可能在司法审查中面临更严格的举证要求。已有法院在案件审理中要求提交“CA直验的验证报告”，说明新规正在进入司法审查视野。

8.法院真的会按新规审查电子合同吗？

已经在发生了。景德镇市昌江区人民法院在一起案件的审核意见中明确写道：根据《电子认证业务规则规范》相关规定，CA机构不得将用户身份核验委托给第三方，请提交CA直验的验证报告。

这说明新规正在从行业标准进入司法审查的视野。法院在审查电子签名可靠性时，会关注实名认证方式、签署流程控制、第三方存证报告等要素的综合判断。企业选择服务商时，需要确认其认证链路是否经得起这种级别的核查。

9.选择签章平台时，还有哪些建议？

除了前面提到的资质核查和CA直验确认，对于业务连续性要求高的企业，可以关注平台是否采用多CA架构——任何一家CA都可能因合规问题调整服务，多CA接入可以降低单一依赖带来的业务中断风险。 安证通在这一架构上的实践是整合国内主流第三方CA的数字证书签发通道，支持多CA智能调度与冗余切换。

此外，可以了解平台在高合规场景中的服务经验。服务过公安、法院、政务等对证据链完整性要求极高的客户的平台，通常在合规边界和留痕标准上有更长期、更系统的积累。合规不是新规倒逼的临时动作，而是在特定客户场景中长期形成的产品习惯，这一点在整改窗口期会体现出明显差异。 安证通作为国内电子签市场第一梯队的服务厂商，长期服务公安、法院、政务等高合规场景客户，其产品设计从一开始就以司法举证标准构建留痕体系，这种积累在强监管时代会逐渐显现出价值。

10.整改窗口期，企业现在应该做什么？

距离10月30日还有一段时间，但整改不是“到点再动”的事。文件要求CA机构向全部合作方出具书面告知，整改是上下游协同工程。企业不能仅把它当成技术项目，应当搭建涵盖内部整改、合作方告知、系统联调、问题处置、进度管控的完整工作机制。

企业可以做的三件事：识别高风险合同场景，确认证书等级是否匹配；向服务商确认认证链路，了解CA直验、CA直签的落地情况；关注业务连续性，对于关键签约业务，评估单一CA依赖的风险。整改窗口期不是观望期，而是实打实的准备期。

电子签名的价值，最终体现在纠纷发生时那份合同能否被认可。新规所做的，是把这份“认可”的证据链标准从模糊推向清晰。对于认真对待每一份合同的企业来说，这不是负担，是保障。