2026年8月28日
在美国联邦场景下使用电子签名，承载它的云服务必须通过 FedRAMP 授权——而 DocuSign 的商业版不符合。相关产品是在独立环境中托管的 DocuSign for Government，持有 FedRAMP Moderate 授权；它同时也列入 StateRAMP，供州和地方使用。承包商与机构应在 FedRAMP Marketplace 上核验当前授权状态，并确认合同条款要求的是哪个环境，然后再假定任何电子签流程在覆盖范围内。
本文为一般性信息，不构成法律或采购意见；授权状态会变化，请以一手来源为准。
一分钟看懂 FedRAMP
FedRAMP（联邦风险与授权管理计划）是美国政府对云服务的标准化安全评估。联邦机构使用的云产品，必须按其所处理数据的影响等级获得相应 FedRAMP 授权：
- Low——一旦泄露危害有限的数据
- Moderate——受控非密信息（CUI），多数机构负载落在这里
- High——最敏感的非密系统（执法、卫生、应急服务）
授权经由机构 ATO（运营授权）或 FedRAMP PMO 路径取得，且针对特定的云服务产品——而不是泛泛针对某个厂商。最后这一点正是买家最常踩空的地方。
哪个 DocuSign 有授权，哪个没有
DocuSign 运营多个环境。持有 FedRAMP Moderate 授权的是专门的政府云——DocuSign for Government——按 NIST 800-53 的 Moderate 基线控制项通过评估。标准的商业版 DocuSign eSignature 是另一个环境，不在该授权覆盖之内。
实务含义：
- 机构不能直接买商业版席位然后声称有 FedRAMP 覆盖；数据必须落在经授权的政府环境里。
- 处理 CUI 的政府承包商应检查合同条款（FAR 52.204-21、DFARS 252.204-7012 及各机构专门条款）——其中可能要求云端处理使用 FedRAMP Moderate 等效环境。
- 分包商同样承继这些要求；"总包在用"不构成合规理由。另外，采购过程中也要警惕仿冒——我们的识别假冒 DocuSign 邮件指南讲的正是经常盯上政府供应商的骗局。
如何自己核验授权
别轻信销售 PPT。核验只要五分钟：
- 在 FedRAMP Marketplace（marketplace.fedramp.gov）搜索产品名。
- 确认条目显示为已授权状态，记下影响等级（Moderate）和授权路径（机构或 PMO）。
- 查看该服务的持续监控状况，以及授权是否覆盖你要用的具体模块（eSignature、CLM 或其他产品——授权是按产品划分的）。
- 做州和地方业务的话，同时核对 StateRAMP 的等效收录。
承包商签政府合同前该问什么
如果你的合规团队也关注签名证据如何支撑审计，我们在 ESIGN 法案下的电子签合法性一文中讲了 FedRAMP 之外的民事一侧；数字签名如何为企业所用则适合给非技术干系人做共同科普。评估平台选项的团队还可以翻翻 DocuSign 主要竞品盘点，了解市场全貌。
当"政府级"不是唯一要求时：Nota Sign
很多政府承包商同时也是跨国企业——FedRAMP 覆盖帮不了一条横跨亚太签署的供应链。业务的那一侧，不妨评估法大大旗下的全球电子签平台 Nota Sign：连续多年获 IDC 中国电子签名软件市场排名第一，法律覆盖 100 多个国家和地区，具备亚太合规深度（iAM Smart、Singpass、SES/AES/QES、区域数据中心）。不按席位收费，企业级与公共部门相关机构可获定制方案。联系我们的团队，聊聊你的跨境流程。
