第一章总则第一条为了统筹规划我国电子商务认证机构，规范电子商务认证机构建设和运营，根据国家有关密码管理、计算机信息网络管理和信息安全等法规，特别制定本办法。

第二条电子商务认证机构是指为在电子商务活动中的有关各方提供数字身份证书服务的独立法人单位。

第三条已建、在建和拟建的电子商务认证机构依照本办法进行管理。

第四条国家信息产业主管部门负责电子商务认证机构的审批和管理工作。

第二章认证机构审查与批准

第五条建立电子商务认证机构应向国家信息产业主管部门提出书面申请，并提供以下材料：

（一）组织机构和人员配备情况；

（二）认证机构资产情况；

（三）运营管理规范；

（四）风险承担能力；

（五）必要性和可行性论证。

第六条国家信息产业主管部门在接到建立电子商务认证机构的申请和相关材料后，在三十天内给予答复。

第七条申请建立的电子商务认证机构在取得国家信息产业主管部门同意成立的书面批复后，必须到当地工商行政管理部门注册，向国家密码管理机构提出使用密码的申请。

第三章认证机构密码核发与授权

第八条电子商务认证机构所使用的密码及相关产品的管理应当遵守下列规定：

（一）国家密码管理机构根据国家信息产业主管部门同意成立电子商务认证机构的批复，审批密码及相关产品的配用申请。

（二）电子商务认证机构设置独立的密钥管理中心，由电子商务认证机构业主单位统一规划建设，由国家密码管理机构及其委托单位负责实施指导和管理。

（三）获准使用密码及相关产品的电子商务认证机构，必须遵守国家有关密码管理规定。

（四）电子商务认证机构密码系统的安全性由国家密码管理机构组织审查认证。

第四章认证机构安全技术和标准评测认证

第九条电子商务认证机构所使用的密码及相关产品必须符合国家密码管理机构制定的密码技术规范和标准，基础建设必须符合国家有关安全要求。

第十条电子商务认证机构所使用的技术和设备必须是经过国家授权的部门测试认证，符合国家有关信息安全标准的技术和设备。

第十一条认证系统的安全性必须符合国家关于计算机信息系统安全专用产品管理规定，必须经过国家授权的部门进行安全性测试并合格后方可投入运行。

第十二条国家标准化主管部门制定电子商务认证证书的格式标准，核发相关的标识。电子商务认证机构登记核发的证书必须使用上述格式。

第五章认证机构登记注册和运营管理

第十三条电子商务认证机构由当地工商行政管理部门根据国家信息产业主管部门同意电子商务认证机构的批复进行登记注册。

第十四条电子商务认证机构的登记、变更、注销以及经营范围的核定，按企业登记的有关规定执行。

第十五条电子商务认证机构在提供证书服务时，可以根据国家物价部门的有关规定、收取一定的费用。

第十六条电子商务认证系统在建成后，必须通过国家信息产业、密码管理、公安、工商行政管理、标准化等主管部门的审核、评测和验收后，才能对外提供数字证书服务。

第十七条上述国家有关主管部门对电子商务认证机构进行监督管理，并根据本管理办法，对电子商务认证机构的运营和安全情况进行年度审查。

第六章认证机构权利、义务和责任

第十八条电子商务认证机构对申请证书的单位和个人所提供的相关材料必须进行审核。

第十九条在持有证书的单位和个人有违反国家法律法规的情况下，电子商务认证机构有权收回证书或宣布证书作废。

第二十条电子商务认证机构有保护证书申请单位和个人非公开信息的义务。

第二十一条电子商务认证机构必须建立认证系统的备份机制和应急事件处理程序，确保在人为破坏或自然灾害发生时认证系统和用户证书的安全。

第二十二条电子商务认证机构承担由于认证机构原因的证书失密所造成的经济损失赔偿责任。

第七章认证机构罚则

第二十三条未经批准，擅自建立电子商务认证机构，并对外提供服务的，国家信息产业主管部门分别会同国家公安、工商行政管理等部门责令其停止营业，没收违法所得，并处以三万元以下罚款。

第二十四条认证机构泄露企业或个人非公开信息，或利用这些信息从事危害国家安全，损害企业或个人利益的活动，情节严重，构成犯罪的，吊销认证机构营业执照，依法追究有关人员的刑事责任。

本条款所列行为尚不构成犯罪的，国家信息产业主管部门分别会同国家公安、工商行政管理等部门暂扣认证机构营业执照，没收违法所得，并处以三万元以下罚款。

第二十五条有下列行为之一的，国家信息产业主管部门分别会同国家公安、工商行政管理等部门给予警告，责令改正：

（一）在认证系统的运营或对外提供认证服务过程中，违反安全保密规定的；

（二）认证机构擅自转让认证技术或相关产品的；

（三）未经许可，擅自建立分支认证机构或扩展业务范围的。

第二十六条外组织或个人参与电子商务认证机构运营管理的，国家信息产业主管部门会同国家公安机关给予警告，责令改正。

第八章附则

第二十七条已建、在建的电子商务认证机构按照本办法的有关条款，进行重新登记、审核、验收。

第二十八条本办法由国家信息产业部主管部门负责解释。

第二十九条本办法自公布之日起实行。