【导语】

过去，企业选择电子合同，最关心的是“这个签名是不是本人签的”。身份核验通过、数字证书签发，就算完成了电子签名认证。但2026年夏天，随着一系列新规密集落地，这套逻辑可能不再适用。

2026年7月1日起，工信部《电子认证业务规则规范》（T/CQAE 11034-2025，简称CPS规范）与国家密码管理局《电子认证服务使用密码管理办法》（国家密码管理局令第6号）同日施行。电子签名的合规标准已从“证明签名是真的”全面升级为“证明签约是本人自愿的”。这不仅是技术要求的升级，更是整个电子认证行业底层逻辑的重塑。

一、为什么要从“真”升级到“愿”？

在金融信贷、医疗知情同意、招投标等涉及生命健康和财产权益的高风险场景中，线上签约的便捷性背后隐藏着一个长期存在的隐患：签名是真的，但意愿未必是真的。

数字证书可以证明“这个CA证书确实属于张三”，但无法证明“张三是在完全知情、完全自愿的情况下签署的这份合同”。近年的司法实践中，争议已不再停留在“是否完成签署”，而是聚焦于“是否本人操作”“是否知晓合同内容”“是否真实、自愿签署”。部分反催收群体甚至开始利用电子签名的合规漏洞进行恶意抗辩，主张合同签署不是本人真实意愿。

与此同时，AI换脸、深度伪造等黑产技术的发展，让不法分子可能通过技术手段胁迫或强制用户完成看似合规的签约操作。传统的视频认证大多停留在身份信息核对层面，仅确认“对方是用户本人”，并未深入验证签约行为是否出于真实意愿。

正是在这样的背景下，CPS新规应运而生。

二、CPS新规的核心：从“四步走”到“四必须”

新规通过“四必须”确保电子签名的法律效力：

第一，身份认证必须“CA直验”。身份查验不得委托给外部机构，必须由持牌CA直接完成。此前行业中普遍存在的认证业务层层委托、责任链条断裂的做法已被明文禁止。证书申请的受理、审核全环节必须由持牌CA自主操作，严禁委托外部机构或个人代办。

第二，服务协议必须“CA直签”。CA须与证书订户直接签订服务协议，杜绝仅与电子签平台签约、默认勾选同意、一键授权等不规范模式。一旦发生纠纷，协议主体清晰，权益有明确法律依据。

第三，申请意愿必须“全程留证”。这是“从证明是真的到证明是自愿的”最直接的体现。高等级证书申请须通过录音录像等方式完整记录订户意愿。所谓“双录”，即在向用户签发电子签名认证证书前，CA机构通过录音录像的方式确认并记录证书申请人的意愿。基础级证书可采用强制阅读、短信、邮件等方式留存确认记录，形成可追溯的电子证据链。

第四，私钥使用必须“严管可控”。CA若提供私钥托管，必须获得订户明确授权，且每次私钥调用需有完整操作日志。签名私钥所有权归属用户，优先由用户自主持有；若委托托管，必须单独签署书面授权文件。

这四条红线，将此前松散的业务流程拧成了一条完整的证据链。身份查验、服务协议、申请意愿与私钥使用被拆成四段独立链路，每一段都必须可追溯、可核验。

三、对企业意味着什么？

新规的实施对使用电子签名服务的企业影响深远。

首先，采购决策变了。过去企业选择电子签平台，可能由IT部门基于功能便利性做决定；如今法务和风控部门必须深度参与。低价接口售卖模式将被淘汰，合规能力成为第一考量。

其次，证据能力更强了。全流程留痕，音视频等关键证据至少存储5年以上。一旦产生纠纷，企业能拿出完整的证据链证明签约是本人真实意愿，这是过去纸质合同和早期电子签难以做到的。

最后，不合规的代价变高了。自2026年7月1日起，CPS新规正式从严核查，无证经营、外包核验、流程不合规的CA与电子签平台将面临清退、吊销牌照。如果企业使用的电子签名服务不符合新规要求，合同的法律效力可能被质疑，在诉讼中处于不利地位

【签盾说】合规，是信任的起点

对于普通企业而言，最直接的建议是：检查你正在使用的电子合同平台是否符合新规要求。

合规的电子合同平台会自动完成CA直验身份、直签协议等流程，企业使用体验基本不受影响。但如果平台本身不合规，企业签署的合同可能存在法律效力风险。2026年是电子签名行业的合规分水岭。选择合规平台不仅是法律要求，更是企业数字资产的安全保障。

签盾严格遵循CPS规范，坚持身份直验、协议直签、意愿双录、私钥严管，全链路留痕可追溯。我们相信，合规不是成本，而是数字信任的基石。企业在选择电子签服务时，请务必核实服务商的合规资质——因为每一份合同的背后，都是企业的真实权益。