中国电子商务法律网独家发布中国电子商务协会提出的《电子认证服务管理办法的建议（征求意见稿）》思维导图

第三条 本办法所称电子认证服务机构是指为电子签名人及电子签名信赖方提供签发电子签名认证证书服务或电子认证服务的机构。

第四条 国务院信息产业主管部门依法对电子认证服务机构的设立、运营和安全状况等进行监管。

第二章 电子认证服务机构的设立 第五条 设立电子认证服务机构应当具备以下条件：（一）具备依法设立企业法人或事业法人的全部条件；（二）具有与提供电子认证服务相适应的资金；（三）与所从事的电子认证服务相适应的经营场所；（四）具有符合国家安全标准和行业标准的技术和设备；（五）具有完备的业务规则、管理制度与审计制度；（六）具备完善的安全保障条件和措施；（七）具有国家密码管理机构同意使用密码的证明文件；（八）具备为用户提供长期服务的能力；（九）法律、行政法规规定的其他条件。

第六条 申请设立电子认证服务机构的，应提交以下材料：（一）申请报告；（二）可行性研究报告，包括业务种类、服务规范、市场预测、发展规划、技术标准、安全保障措施、预期服务质量、收费标准等；（三）总体技术方案；（四）认证业务流程说明书；（五）业务规则、管理制度与审计制度；（六）国家密码管理机构同意使用密码的证明文件；（七）相关技术和设备符合国家安全标准和行业标准的证明；（八）具有与提供电子认证服务相适应的资金的证明；（九）具备依法设立企业法人或事业法人的相关证明材料；（十）其他相关证明材料。

第七条 国务院信息产业主管部门将在其网站及中国电子商务协会网站上定期公布取得电子认证服务资格的电子认证服务提供者名单和相关信息，电子认证服务提供者同时应在其网站首页公布其许可证号等信息以备用户查验。

第八条 国务院信息产业主管部门对电子认证服务资格按照本办法第五条的规定及相关标准实施年度检查制度，对年检不符合资格条件的，可吊销其电子认证许可证；电子认证许可证有效期为5年，有效期满可申请续展。 国务院信息产业主管部门还可以通过抽查等方式行使监管职能，发现违反电子签名法和本办法的，可吊销其电子认证许可证。

第九条 电子认证服务机构变更名称、地址、法定代表人的，应当在变更后30日内向国务院信息产业主管部门办理更换许可证手续。

第三章 电子认证服务机构的运营 第十条 电子认证服务机构应按照批准的业务种类和服务范围开展电子认证业务，接受国务院信息产业主管部门的行业管理和监督检查；并 将有关收费项目和收费标准报国务院信息产业主管部门备案； 遵守国务院信息产业主管部门制定的统计制度，按时、如实地报送业务服务情况及有关资料；加强对系统设备的运行管理，保证认证质量，健全规章制度，为用户提供迅速、准确、安全、方便的服务。

第十一条 电子认证服务机构的业务内容包括：（一）制作、签发、管理电子认证证书；（二）对签发的电子认证证书的真实性进行确认；（三）提供电子认证服务；（四）提供电子认证证书目录查询服务；（五）其他经国务院信息产业主管部门核准办理的业务。

第十二条 电子认证服务机构应当在其网站上公布其电子认证业务规则，电子认证业务规则应包括以下内容：（一）对电子认证证书申请人身份审查的内容和程序；（二）电子认证证书类别及申请、颁发、中止、撤消、续展等操作规程；（三）保密制度；（四）信息安全保障措施；（五）电子签名人的责任与义务；（六）电子认证服务机构的赔偿责任和限额；（七）电子认证许可证及其相关信息；（八）其他必要内容。 电子认证服务机构应将其电子认证业务规则报国务院信息产业主管部门备案，未经国务院信息产业主管部门审批，不得更改。

第十三条 电子认证服务机构受理用户办理电子认证证书申请后，应和用户签订书面合同，明确双方的权利义务。

第十四条 电子认证服务机构所使用的技术和设备必须符合国家有关规定，经国务院信息产业主管部门授权部门的测试认证，符合国家有关信息安全的标准。 第十五条 电子认证服务提供者拟暂停或者终止电子认证服务的，应当在暂停或终止服务九十日前，就业务承接及其他有关事项通知有关各方。电子认证服务提供者对在期满之前撤消的证书要向电子签名人支付赔偿金，认证机构与签名人之间另有合同约定的除外。

第十六条 电子认证服务提供者拟暂停或者终止电子认证服务的，应当在暂停或终止服务六十日前向国务院信息产业主管部门报告，并与其他电子认证服务提供者就业务承接进行协商，做出妥善安排。电子认证服务提供者未能就业务承接事项与其他电子认证服务提供者达成协议的，应当申请国务院信息产业主管部门安排其他电子认证服务提供者承接其业务。电子认证服务提供者应积极配合国务院信息产业主管部门指定的其他电子认证服务提供者的承接工作，所发生的相关费用由拟暂停或者终止电子认证服务的电子认证服务机构承担。 电子认证服务提供者被依法吊销电子认证许可证书的，国务院信息产业主管部门将安排其他电子认证服务提供者承接其业务，电子认证服务提供者应积极配合国务院信息产业主管部门指定的其他电子认证服务提供者的承接工作，所发生的相关费用由被依法吊销电子认证许可证书的电子认证服务机构承担。

第十七条 中华人民共和国境外的电子认证服务提供者可以向国务院信息产业主管部门提出申请，要求我国承认其颁发的电子认证证书，国务院信息产业主管部门将依据有关协议或者对等原则及申请者的具体情况于九十日内作出承认或不承认的决定。其应提交的中文材料包括：（一）申请报告；（二）基本情况报告，包括业务种类、服务规范、技术标准、安全保障措施、服务质量、收费标准等；（三）总体技术方案；（四）认证业务流程说明书；（五）业务规则、管理制度与稽核制度；（六）技术和设备符合相关安全标准和行业标准的证明；（七）法人的相关证明材料；（八）在本国取得相关许可的证明材料；（九）在本国开展电子认证业务情况的证明材料；（十）其他相关证明材料。

第四章 电子认证证书 第十八条 电子认证证书应包括以下内容：（一）证书发行机构的名称和基本信息；（二）证书的有效期限；（三）证书的版本信息及其所采纳的技术标准；（四）电子签名人的名称和基本信息；（五）认证机构对该证书所载内容的电子签名；（六）私钥所对应的公钥；（七）证书的序列号；（八）其他必要内容。

第十九条 电子认证证书应符合以下标准：（一）电子签名与电子认证证书唯一对应；（二）可客观地辨识签名者的身份；（三）可由用户操作，电子签名附在数据电文内；（四）可判别经签署的数据电文内容是否遭受篡改。

第二十条 电子认证服务机构收到用户中止或撤消证书的申请后，应对用户身份进行确认，再办理中止或撤消证书的手续，并进行公告。

第二十一条 电子认证证书有效期届满，电子认证服务机构须对到期证书进行废除处理并予以公告；用户继续申领的由电子认证服务机构再核发新的证书。

第二十二条 有下列情形之一，电子认证服务机构可不经用户本人同意或向用户通知，废除用户的电子认证证书：（一）确认用户证书的部分事项不真实；（二）确认认证机构本身的系统遭冒用、破解、伪造，以致影响证书的可信赖性；（三）确认用户证书已遭冒用、伪造或篡改；（四）确认用户已死亡或终止。除（一）、（四）项外，电子认证服务机构应立即通知用户，并无偿为用户办理新的证书。

第五章 电子认证服务机构的义务 第二十三条 电子认证服务机构的基本职责是为用户在电子商务交易活动及相关活动提供一个中立的、公正的、值得信赖的第三方认证服务。为此，应履行以下义务：（一）认真核实证书申请者的真实身份，以及其他可能涉及影响证书可靠性的事实，查验证书所记载的事项，保证证书准确无误，防止登记者在交易过程中的欺诈行为；（二）采取必要的安全措施，防止签发的证书和提供的电子签名遭伪造、篡改或未经授权使用；（三）验证申请用户证书的代理人是经合法授权；（四）将用户证书及相关信息放置于可供公众查阅的网络上，供随时查阅取用；（五）督促相对人按照规定办理证书登记、变更、注销等手续；（六）履行应尽的保密义务。

第二十四条 电子认证服务机构应认真履行信息披露的义务，在受理办理证书申请时，应向申请者告知以下事项：（一）证书和电子签名的使用条件；（二）服务收费标准；（三）认证机构使用及存储用户资料的权限；（四）认证机构的责任范围；（五）用户的责任范围；（六）其他的证书应用事项。

第二十五条 电子认证服务机构应向全社会公开披露以下内容，并保证这些内容的准确和完整：（一）认证机构的名称、地址和电话；（二）电子认证许可证的相关信息；（三）认证机构的公钥；（四）签署者的公钥：（五）认证业务说明；（六）作废证书名单；（七）其他应披露的情况。

第二十六条 电子认证服务机构要求申请者提供的信息以足以辨识用户身份为限，但经申请者同意的除外； 电子认证服务机构应确实做到保护用户的商业秘密和隐私，未经许可不得擅自使用。

第六章 电子签名人的义务 第二十七条 电子签名人应履行以下义务： 为获取证书提供给认证机构的所有资料，不论认证机构确认与否，都应保证其真实准确性； 妥善保管自己的私钥，依法正确使用电子签名，防止向未经授权的人泄露； 可以授权他人以本人名义签署电子签名，但应签定明确的授权委托书； 已知其证书被冒用、破解或被他人非法使用时，及时通知认证机构撤消其证书。

第七章 附则 第二十八条 本办法中下列用语的含义是： 公钥和私钥：在采用非对称密码技术的加密系统中，每个用户有两个密钥，一个用以制作数字签名，该密钥可以告诉所有用户，称为公开密钥（简称公钥）；另一个用以确认数字签名，该密钥由用户秘密保存，称为私人密钥（简称私钥）。 电子认证证书（或简称证书）：电子认证服务机构颁发的数据电文或其它记录，用以确认密钥持有人的身份。

第二十九条 于本办法生效前已存在的电子认证服务机构在本办法生效后 三个月内按照电子签名法及本办法的规定到国务院信息产业主管部门办理相关登记许可等手续。

第三十条 中国电子商务协会负责协助国务院信息产业主管部门落实本办法的具体执行工作。

第三十一条 本办法由国务院信息产业主管部门负责解释。

第三十二条 本办法自 月 日起实施。

（中国电子商务协会起草，9月20日）