电子认证管理办法

电子认证管理办法一、总则（一）目的本办法旨在规范电子认证服务行为，保障电子认证服务的安全性、可靠性和公正性，维护电子认证各方的合法权益，促进电子政务、电子商务等领域的健康发展。（二）适用范围本办法适用于在中华人民共和国境内从事电子认证服务活动以及与电子认证相关的管理活动。（三）基本原则1.合法性原则：电子认证活动应当遵守国家法律法规，符合相关行业标准和技术规范。2.安全性原则：确保电子认证服务的技术和管理措施能够有效防范安全风险，保障电子签名的真实性、完整性和不可抵赖性。3.公正性原则：电子认证机构应当独立、客观、公正地开展认证服务，不受任何非法干预。4.可追溯性原则：电子认证过程和相关信息应当具有可追溯性，以便在需要时进行查证和监管。（四）定义1.电子认证：指为电子签名相关各方提供真实性、完整性、保密性等认证服务，以确认电子签名的法律效力的活动。2.电子认证机构：依法设立，从事电子认证服务的企业法人。3.电子签名：数据电文中以电子形式所含、所附用于识别签名人身份并表明签名人认可其中内容的数据。二、电子认证机构的设立与审批（一）设立条件1.具有独立的法人资格：电子认证机构应当是依法设立的企业法人，有独立的财产和健全的组织机构。2.具有与提供电子认证服务相适应的专业技术人员和管理人员：包括密码学、计算机技术、网络安全等方面的专业人才。3.具有与提供电子认证服务相适应的资金和经营场所：确保有足够的资金支持业务开展，并具备安全、稳定的经营场所。4.具有符合国家安全标准的技术和设备：采用先进的加密技术、网络安全技术等，保障认证服务的安全性。5.具有国家密码管理机构同意使用密码的证明文件：电子认证服务涉及密码技术的，应当取得国家密码管理机构的相关许可。6.法律、行政法规规定的其他条件：遵守国家其他相关法律法规对电子认证机构设立的要求。（二）设立申请1.申请材料：拟设立电子认证机构的，应当向国务院信息产业主管部门提交下列材料：书面申请报告，包括机构名称、住所、注册资本、股东情况、经营范围、拟开展的电子认证服务等内容；公司章程；公司法定代表人身份证明；专业技术人员和管理人员的资质证明；资金和经营场所证明；国家密码管理机构同意使用密码的证明文件；业务可行性研究报告；信息安全保障措施方案；其他需要提交的材料。2.申请流程：申请人应当按照规定的格式和要求填写申请材料，并提交给国务院信息产业主管部门。国务院信息产业主管部门收到申请材料后，应当进行形式审查。对申请材料齐全、符合法定形式的，应当予以受理，并出具受理通知书；对申请材料不齐全或者不符合法定形式的，应当当场或者在五日内一次告知申请人需要补正的全部内容。（三）审批程序1.初审：国务院信息产业主管部门受理申请后，应当组织有关专家对申请材料进行初审。初审内容包括机构的设立条件、技术方案、业务可行性等方面。初审时间一般不超过二十个工作日。2.现场检查：经初审合格的，国务院信息产业主管部门应当组织对申请人进行现场检查。现场检查主要核实申请人提交的申请材料的真实性，检查其技术和管理措施是否符合要求等。现场检查时间一般不超过十个工作日。3.审批决定：国务院信息产业主管部门根据初审和现场检查情况，作出是否批准设立电子认证机构的决定。予以批准的，颁发电子认证服务许可证；不予批准的，应当书面通知申请人并说明理由。（四）许可证管理1.许可证有效期：电子认证服务许可证的有效期为五年。2.许可证延续：电子认证机构需要延续电子认证服务许可证有效期的，应当在许可证有效期届满六十日前向国务院信息产业主管部门提出申请。国务院信息产业主管部门应当在许可证有效期届满前作出是否准予延续的决定；逾期未作决定的，视为准予延续。3.许可证变更：电子认证机构变更名称、住所、法定代表人、注册资本、股东等事项的，应当在变更前向国务院信息产业主管部门申请办理变更手续，并提交相关证明材料。国务院信息产业主管部门应当自收到申请之日起二十个工作日内作出是否准予变更的决定。三、电子认证服务（一）服务内容1.电子签名认证：为用户提供电子签名的认证服务，确保电子签名的真实性、完整性和不可抵赖性。2.电子证书颁发：根据用户的申请，颁发电子证书，用于证明用户的身份和电子签名的有效性。3.证书更新与撤销：对电子证书进行定期更新，确保证书的有效性；在出现法定情形时，及时撤销电子证书。4.技术咨询与培训：为用户提供电子认证相关的技术咨询服务，帮助用户了解和使用电子认证技术；开展电子认证相关的培训活动，提高用户的电子认证意识和技能。（二）服务规范1.认证流程规范：电子认证机构应当制定明确、规范的电子签名认证流程，确保认证过程的公正性和可追溯性。认证流程应当包括用户申请、身份验证、证书颁发、证书存储与管理等环节。2.服务质量保障：电子认证机构应当建立健全服务质量保障体系，确保电子认证服务的及时性、准确性和稳定性。应当制定服务承诺，并向社会公开。对用户的咨询和投诉应当及时处理，确保用户的合法权益得到保障。3.信息安全保护：电子认证机构应当采取有效的信息安全保护措施，保障用户的个人信息和认证信息的安全。应当建立信息安全管理制度，加强对技术系统的安全防护，防止信息泄露、篡改和丢失。（三）服务监督1.定期检查：国务院信息产业主管部门应当对电子认证机构进行定期检查，检查内容包括机构的服务质量、信息安全状况、遵守法律法规和行业标准情况等。定期检查每年至少进行一次。2.不定期抽查：国务院信息产业主管部门可以根据实际情况，对电子认证机构进行不定期抽查。不定期抽查主要针对电子认证机构在服务过程中出现的问题或者社会反映的热点问题进行。3.用户投诉处理：国务院信息产业主管部门应当建立用户投诉处理机制，受理用户对电子认证机构的投诉。对用户投诉应当及时进行调查处理，并将处理结果告知用户。四、电子签名与电子证书（一）电子签名1.电子签名的效力：符合法律规定的电子签名与手写签名或者盖章具有同等的法律效力。电子签名应当符合下列条件：电子签名制作数据用于电子签名时，属于电子签名人专有；签署时电子签名制作数据仅由电子签名人控制；签署后对电子签名的任何改动能够被发现；签署后对数据电文内容和形式的任何改动能够被发现。2.电子签名的使用：用户在使用电子签名时，应当按照电子认证机构的要求进行操作，确保电子签名的真实性和有效性。电子签名应当与所签署的数据电文相关联，能够反映签名人的真实意思表示。（二）电子证书1.电子证书的内容：电子证书应当包含下列内容：证书持有人的姓名或者名称、地址等基本信息；证书持有人的电子签名验证数据；证书的有效期；证书的序列号；电子认证机构的电子签名；其他需要包含的信息。2.电子证书的存储与管理：电子认证机构应当建立电子证书存储与管理制度，确保电子证书的安全存储和有效管理。电子证书应当存储在安全的介质中，并进行备份。对电子证书的存储和管理应当进行记录，以便在需要时进行查证。3.电子证书的更新与撤销：电子认证机构应当按照规定的时间间隔对电子证书进行更新，确保电子证书的有效性。在出现下列情形之一时，电子认证机构应当及时撤销电子证书：证书持有人申请撤销；证书持有人的电子签名验证数据泄露或者可能泄露；证书持有人的身份信息发生变更；证书持有人不再符合电子认证机构规定的认证条件；法律、行政法规规定的其他情形。五、监督管理（一）监管部门职责1.国务院信息产业主管部门：负责全国电子认证服务活动的监督管理工作，制定电子认证服务相关政策和标准，审批电子认证机构的设立，对电子认证机构进行监督检查等。2.地方信息产业主管部门：负责本行政区域内电子认证服务活动的监督管理工作，配合国务院信息产业主管部门开展相关工作，对本行政区域内的电子认证机构进行日常监督检查等。3.其他相关部门：其他有关部门按照各自职责，依法对电子认证服务活动进行监督管理。例如，国家密码管理部门负责对电子认证服务中涉及的密码技术进行管理；公安机关负责对电子认证服务活动中的网络安全违法行为进行查处等。（二）监督检查措施1.现场检查：监管部门有权对电子认证机构进行现场检查，检查内容包括机构的办公场所、技术设备、人员资质、业务流程、信息安全等方面。电子认证机构应当配合监管部门的现场检查，如实提供有关资料和情况。2.资料查阅：监管部门有权查阅、复制电子认证机构的相关文件、资料和数据，包括认证申请材料、认证记录、证书存储信息、业务报表等。电子认证机构应当按照监管部门的要求提供相关资料。3.数据监测：监管部门可以通过技术手段对电子认证机构的业务系统进行数据监测，监测内容包括认证数据的准确性、完整性、安全性等方面。电子认证机构应当保障监管部门的数据监测工作顺利进行。（三）处罚措施1.警告：对违反本办法规定的电子认证机构，监管部门可以给予警告，责令其限期改正。2.罚款：对逾期不改正或者情节严重的电子认证机构，监管部门可以并处一定数额的罚款。罚款数额根据违法行为的性质、情节和危害程度确定。3.吊销许可证：对情节特别严重的电子认证机构，监管部门可以吊销其电子认证服务许可证。被吊销许可证的电子认证机构，应当停止从事电子认证服务活动，并依法进行清算。4.追究刑事责任：对违反本办法规定，构成犯罪的，依法追究刑事责任。例如，电子认证机构泄露用户信息，情节严重的，可能构成侵犯公民个人信息罪；电子认证机构在认证过程中弄虚作假，骗取用户信任，造成重大损失的，可能构成诈骗罪等。六、法律责任（一）电子认证机构的法律责任1.违反设立条件的责任：电子认证机构未按照本办法规定的设立条件设立的，由国务院信息产业主管部门责令限期改正；逾期未改正的，处一万元以上三万元以下的罚款。2.违反服务规范的责任：电子认证机构违反本办法规定的服务规范，提供虚假认证服务或者服务质量不符合要求的，由国务院信息产业主管部门责令改正，并处一万元以上三万元以下的罚款；情节严重的，吊销其电子认证服务许可证。3.违反信息安全保护规定的责任：电子认证机构违反本办法规定的信息安全保护规定，导致用户信息泄露或者认证信息被篡改的，由国务院信息产业主管部门责令改正，并处一万元以上三万元以下的罚款；情节严重的，吊销其电子认证服务许可证；给用户造成损失的，依法承担赔偿责任。4.其他违法行为的责任：电子认证机构有其他违反本办法规定的行为的，依照相关法律法规的规定进行处罚。（二）用户的法律责任1.提供虚假信息的责任：用户在申请电子认证服务时提供虚假信息的，电子认证机构有权拒绝为其提供服务。用户因此给电子认证机构或者其他用户造成损失的，应当依法承担赔偿责任。2.不当使用电子签名的责任：用户不当使用电子签名，导致他人损失的，应当依法承担赔偿责任。例如，用户故意泄露电子签名制作数据，导致他人冒用其电子签名进行交易，用户应当对交易相对方的损