2026年8月28日
在美國聯邦場景下使用電子簽名，承載它的雲服務必須通過 FedRAMP 授權——而 DocuSign 的商業版不符合。相關產品是在獨立環境中託管的 DocuSign for Government，持有 FedRAMP Moderate 授權；它同時也列入 StateRAMP，供州和地方使用。承包商與機構應在 FedRAMP Marketplace 上核驗當前授權狀態，並確認合同條款要求的是哪個環境，然後再假定任何電子簽流程在覆蓋範圍內。
本文為一般性資訊，不構成法律或採購意見；授權狀態會變化，請以一手來源為準。
一分鐘看懂 FedRAMP
FedRAMP（聯邦風險與授權管理計劃）是美國政府對雲服務的標準化安全評估。聯邦機構使用的雲產品，必須按其所處理數據的影響等級獲得相應 FedRAMP 授權：
- Low——一旦洩露危害有限的數據
- Moderate——受控非密資訊（CUI），多數機構負載落在這裏
- High——最敏感的非密系統（執法、衛生、應急服務）
授權經由機構 ATO（運營授權）或 FedRAMP PMO 路徑取得，且針對特定的雲服務產品——而不是泛泛針對某個廠商。最後這一點正是買家最常踩空的地方。
哪個 DocuSign 有授權，哪個沒有
DocuSign 運營多個環境。持有 FedRAMP Moderate 授權的是專門的政府雲——DocuSign for Government——按 NIST 800-53 的 Moderate 基線控制項通過評估。標準的商業版 DocuSign eSignature 是另一個環境，不在該授權覆蓋之內。
實務含義：
- 機構不能直接買商業版席位然後聲稱有 FedRAMP 覆蓋；數據必須落在經授權的政府環境裏。
- 處理 CUI 的政府承包商應檢查合同條款（FAR 52.204-21、DFARS 252.204-7012 及各機構專門條款）——其中可能要求雲端處理使用 FedRAMP Moderate 等效環境。
- 分包商同樣承繼這些要求；「總包在用」不構成合規理由。另外，採購過程中也要警惕仿冒——我們的識別假冒 DocuSign 郵件指南講的正是經常盯上政府供應商的騙局。
如何自己核驗授權
別輕信銷售簡報。核驗只要五分鐘：
- 在 FedRAMP Marketplace（marketplace.fedramp.gov）搜尋產品名。
- 確認條目顯示為已授權狀態，記下影響等級（Moderate）和授權路徑（機構或 PMO）。
- 查看該服務的持續監控狀況，以及授權是否覆蓋你要用的具體模組（eSignature、CLM 或其他產品——授權是按產品劃分的）。
- 做州和地方業務的話，同時核對 StateRAMP 的等效收錄。
承包商簽政府合同前該問甚麼
如果你的合規團隊也關注簽名證據如何支撐審計，我們在 ESIGN 法案下的電子簽合法性一文中講了 FedRAMP 之外的民事一側；數碼簽名如何為企業所用則適合給非技術干係人做共同科普。評估平台選項的團隊還可以翻翻 DocuSign 主要競品盤點，了解市場全貌。
當「政府級」不是唯一要求時：Nota Sign
很多政府承包商同時也是跨國企業——FedRAMP 覆蓋幫不了一條橫跨亞太簽署的供應鏈。業務的那一側，不妨評估法大大旗下的全球電子簽平台 Nota Sign：連續多年獲 IDC 中國電子簽名軟件市場排名第一，法律覆蓋 100 多個國家和地區，具備亞太合規深度（iAM Smart、Singpass、SES/AES/QES、區域數據中心）。不按席位收費，企業級與公共部門相關機構可獲定制方案。聯絡我們的團隊，傾傾你的跨境流程。
