CPS 新规从严核查落地 60 天：企业签署流程的四个合规雷区

电子认证新规从严核查，已落地两个月

2026年7月1日，国家密码管理局第6号局令《电子认证服务使用密码管理办法》正式施行，电子认证行业结束过渡期、进入从严核查阶段。两个月过去，对使用电子签名的企业来说，真正值得关注的不是「行业洗牌」，而是自己的签署流程是否还合规。

新办法的核心指向很明确：无证经营、外包核验、流程不合规的电子认证服务机构与电子签平台将面临清退、吊销牌照。而企业端最常踩的雷，往往不在「选没选对平台」，而在「选了之后流程怎么跑」。

新规背景：从「办法修订」到「行业出清」

这次监管升级并非突然。2026年之前，电子认证行业经历过一段快速扩张期，持牌CA机构与各类电子签平台数量增长，但资质参差、核验外包、密码使用不规范等问题也随之积累。

国家密码管理局第6号局令的发布，是对《电子认证服务使用密码管理办法》的系统性修订。与旧办法相比，新办法在密码使用、运行管理、设备管理、人员管理、文档管理、安全保密管理等方面提出了更明确的体系化要求，并设置了过渡期，要求存量持证单位对照新办法开展合规性评估、限期整改。

对行业而言，这是一次「出清」：合规能力不足的机构将退出市场，头部合规机构份额提升。对企业而言，这意味着一个现实问题——如果自己用的平台在出清中被清退，已签署文件的效力、证书的延续、数据的迁移都会受影响。选型时考察平台的合规资质与长期经营能力，比以往更重要。

第一类雷：数字证书的「来路」不清

电子签名的法律效力，建立在数字证书的合法性之上。企业最容易忽略的是：自己用的证书，到底是谁签发的、是不是持牌CA签发的、证书链路是否完整可验。

新办法对电子认证服务使用密码的合规性提出了明确要求：已获得《电子认证服务使用密码许可证》的单位，应当对照新办法规定的条件与要求开展合规性评估。对企业而言，这意味着签署平台的CA资质、证书签发链路、密钥管理方式都必须经得起核查。

一个简单的自查动作：要求平台出具持牌CA资质证明、证书链完整可验证、密钥由合规机构管理。如果平台说不清「证书是谁签的」，这份签署的合规基础就要打问号。

第二类雷：实名认证与意愿认证「外包」

新办法明确打击「外包核验」——也就是把实名认证、意愿认证这类关键核验环节转包给无资质机构或个人完成。

对企业来说，这个雷的传导路径是：平台为了压缩成本，把核验环节外包，导致认证记录不完整、核验标准不统一。一旦发生纠纷，认证环节的证据链断裂，电子签名的「可靠性」就难以自证。

合规的做法是：实名认证走持牌CA体系的工商数据核验与人脸识别，意愿认证由签署人本人在可控环境完成，核验记录完整留痕。企业在选型时可以追问：认证流程是平台自营还是外包？认证记录是否可导出、可验证？

第三类雷：证书生命周期管理缺失

证书不是签一次就完事，它有签发、使用、更新、吊销的完整生命周期。新办法强化了对证书生命周期的管理要求，尤其是密钥安全。

企业签署场景里常见的隐患包括：证书过期未更新导致签署失效；人员离职后证书未及时吊销，仍能发起签署；密钥存储不合规，存在被复制风险。

对照新办法，企业应确认签署平台具备：证书到期自动提醒与更新机制、人员离职后的证书吊销与权限回收流程、符合要求的密钥存储方案。这四项看似基础，却直接决定签署链条的长期合规性。

新规之下，企业选型该问平台的六个问题

把监管要求翻译成选型问题，企业可以在评估电子签平台时直接抛出这六问。

一问资质：平台对接的CA机构是否持有工信部《电子认证服务许可证》？二问密码：密码使用是否符合国家密码管理局要求，密钥由谁管理、存储在哪？三问认证：实名认证与意愿认证是平台自营还是外包，核验记录是否完整？四问证书：证书签发链路是否完整可验，过期与吊销机制是否健全？五问存证：签署证据是否完整留痕、可导出、可验证，时间戳是否可信？六问延续：若平台发生经营变化，已签署文件的效力与数据迁移如何保障？

六个问题里，前四个直接对应新办法的合规要求，后两个关系到长期使用风险。对金融、政务、医疗等强监管行业的企业来说，这六问应该成为选型清单的固定项。

第四类雷：存证与审计「只存不验」

电子签名合规的最后一环是存证：签署过程的数据（认证记录、签署日志、文件摘要）是否被完整保存、是否可随时验证。

「只存不验」是常见问题：平台宣称有存证，但企业要导出证据时发现格式不完整、时间戳缺失、哈希链断裂，无法在纠纷中作为有效证据使用。

合规的存证应满足三点：存证内容覆盖签署全过程的关键节点；时间戳可信且可验证；证据包可一键导出、格式规范。企业在签署量大、纠纷风险高的场景（如金融、医疗、工程）应特别核查这三点。

企业签署合规自查清单

综合新办法的要求，企业可以按四步完成签署链路自查。

第一步查资质：签署平台是否对接持牌CA，证书签发链路是否完整。第二步查认证：实名认证与意愿认证是否自营、记录是否完整。第三步查生命周期：证书到期是否自动提醒、离职人员是否及时回收权限。第四步查存证：签署证据是否完整留痕、可导出、可验证。

四步自查不涉及技术细节，业务与法务即可完成。对使用电子签名进行合同签署、用印的企业来说，这四步是2026年下半年最值得做的合规动作——新规从严核查不是「平台的事」，而是每个企业签署流程的底线检查。