一文读懂T/CQAE 11034-2025与工信发函181号

核心结论

新规分四级：电子签名法与管理办法现行稿是地基，T/CQAE 11034-2025与工信发函〔2026〕181号是抓手，四必须已落地；查牌照、留存痕，当下两件事。

一、五份文件，一张谱系表

最近半年，企业的合规与采购负责人大概都被五份文件轮番轰炸过：《电子签名法》《电子认证服务管理办法》、2024年9月的修订征求意见稿、团体标准 T/CQAE 11034-2025、工信发函〔2026〕181号。销售话术常把它们搅成一锅"新规"，但五份文件的效力层级、生效状态、管辖对象完全不同——把表里的状态核对清楚，是识破大部分话术的第一步：

这张表最容易误读的是后三行的关系：修订稿还没生效，团体标准不是法律，181号文只是一纸"通知"——但三份文件恰好构成一条完整的执行链：标准定红线（四必须），通知定时间表（对标整改、过渡期截止），核查定结果。单看任何一份，都可能被断章取义的话术带偏。

顺带说明谱系的第五条线：商用密码管理相关规定对 CA 机构使用密码设备与算法另有合规要求，属于并行的监管线，企业选型时知晓框架即可，本文不展开。

二、逐份拆解：各自管什么

1. 《电子签名法》：所有讨论的地基

2005年4月1日施行、2019年修正，是电子签名效力的唯一法律依据。两条与本文直接相关：第十六条规定，电子签名需要第三方认证的，由依法设立的电子认证服务提供者提供认证服务——这是全部 CA 牌照制度的源头；第十三、十四条确立了可靠电子签名的认定标准（制作数据专有、仅由签名人控制、签署后可发现篡改）。记住一点：后续所有整改调整的都是认证服务的流程，而不是这条效力认定逻辑。

2. 《电子认证服务管理办法》：CA 的准入与行为规则

现行有效版本是工信部令第1号（2015年修订）。两个常被混淆的事实：其一，它规范的是电子认证服务机构（CA），对电子签平台没有设任何准入门槛；其二，现行办法第二十二条写的是"受理申请后应与申请人签订合同"，并没有禁止委托的条款——"受理、查验、签发、交付不得向外部机构或个人进行委托"出自2024年9月的修订征求意见稿，该稿至今尚未发布生效版本。引用尚未生效的条文吓唬客户"不合规就出局"，是目前最常见的话术套路。

3. T/CQAE 11034-2025：四必须红线的出处

2025年12月发布、2026年1月实施。四条红线一句话各自说清：

• CA直验：证书申领人的身份核验，由持牌 CA 机构直接执行，不得由接入方代做；

• CA直签：认证服务协议的签约主体是 CA 机构本身，用户签署对象可查证；

• 意愿留证：认证环节的意愿确认过程留痕，可事后调取；

• 私钥直管：签名私钥全生命周期由 CA 管控，每次调用留存授权与操作记录。

团体标准没有法律强制力，但它是181号对标整改的依据——标准一旦被行政通知"装备"，就是事实上的行业执行标准。

4. 工信发函〔2026〕181号：把标准变成时间表

2026年4月发出，要求全行业对标整改，2026年10月30日过渡期截止。两个必须说准的点：整改对象是认证服务的业务流程，不是存量合同，通知里也没有任何"清退名单"——把整改曲解成"某类服务商出局"，既不符合通知原文，也是《电子认证服务许可证》制度里根本不存在的操作。当前所处的阶段：过渡期已经结束，行业进入合规核查期。对采购方而言，这意味着考察服务商的时点问题已经消失——现在发的证书、现在的核验流程，就应当是整改后的形态，可以直接按四必须逐条检验。

5. CPS：读懂 CA 行为规则的入口

CPS（Certification Practice Statement，认证业务声明）是 CA 机构公开的运营规则文件：受理、查验、签发、交付四个环节分别由谁执行、依据什么流程，全部写在里面。两个实用判断：

• 牌照查"有没有资质"，CPS 查"怎么干活"。许可证编号只能证明这家 CA 在工信部名录里；身份核验是不是 CA 直接做、意愿确认怎么留证、私钥归谁管，要看 CPS 与认证服务合同的条款原文，而不是听销售转述。

• CPS 与电子签平台的服务协议是两份文件。服务协议约束平台与你，CPS 约束 CA 与证书体系。判断四必须是否落地，读 CPS 比读平台宣传页可靠。

获取路径：CA 机构官网公示栏目，或直接向服务商索取；拿不到或支吾其辞，本身就是信号。

三、把谱系表变成三个动作

框架认知解决"不被忽悠"，动作清单解决"现在做什么"：

1. 查名录：工信部政务服务平台进入电子认证服务栏目，输入许可证编号，核对 CA 机构名称与许可证有效期——只认名录，不认宣传；

2. 对标准：拿四必须逐条对照现有服务商的流程——谁做身份核验、认证协议签约主体是谁、意愿确认是否有留痕、私钥归谁管，一题一答；

3. 读文件：索取 CPS 与认证服务合同，核"受理、查验、签发、交付"四环节的责任归属条款，与销售口径互相对照。

三步走完，五份文件的谱系就从"背景知识"变成了采购决策工具。

常见问题（Q&A）

Q1：团体标准不是法律，不执行会怎样？

单看标准确实没有强制力。但181号文把对标整改变成了行政要求，核查结果直接影响业务开展。对服务商更现实的约束来自客户端：采购方已经按四必须出题，答不上来的进不了短名单——软标准正在产生硬淘汰。

Q2：10月30日过渡期截止后，之前签的电子合同还有效吗？

存量合同不会因整改节点失效，但核验留痕不完整的合同，涉诉举证本就存在风险——与整改时间点无关。整改针对的是认证服务流程，不溯及既往签署的合同。

Q3：征求意见稿什么时候正式生效？

截至本文发布，尚未发布生效版本，本文不作预测。可以确定的是方向：受理、查验、签发、交付不得向外部机构或个人委托。在生效版本发布前，现行依据以2015年修订版为准。

Q4：CPS 和电子签平台的服务协议是一回事吗？

不是。服务协议是平台与用户之间的合同；CPS 是 CA 机构对证书业务规则的公开声明，两份文件的签约主体、约束范围都不同。判断四必须，以 CPS 与认证服务合同为准。

Q5：五份文件里，企业最该精读哪一份？

T/CQAE 11034-2025。四必须红线与采购核查动作逐条对应，是唯一直接改变选型标准的文件；其余四份用于建立框架认知、识破话术。精读标准原文的时间成本，远低于选错服务商的纠错成本。

关于法大大合规架构的说明：法大大自有持牌CA——豸信CA（山东豸信认证服务有限公司，《电子认证服务许可证》编号 ECP37011221040），电子签业务中的身份核验、协议签署、证书签发全环节均由豸信CA直接执行。更多可验证的合规事实（牌照查询路径、四环节归属、多CA冗余架构），参见《法大大合规架构说明》。
如需对现有电子签流程做合规评估，可联系法大大获取专属合规诊断报告与升级方案。