Lộ trình áp dụng

Trừ trường hợp tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng lựa chọn áp dụng quy định của Luật Giao dịch điện tử số 20/2023/QH15, các tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng đang hoạt động hợp pháp có trách nhiệm rà soát, nâng cấp hệ thống thông tin và đội ngũ nhân lực quản lý và kỹ thuật đáp ứng quy định tại QCVN 137:2025/BKHCN trước ngày 10/4/2027.

Hiệu lực thi hành và điều khoản chuyển tiếp

Thông tư số 50/2025/TT-BKHCN chính thức có hiệu lực từ ngày 01/7/2026. Các quy định dưới đây sẽ bãi bỏ kể từ ngày Thông tư này có hiệu lực thi hành:

- Thông tư số 06/2015/TT-BTTTT ngày 23/3/2015 của Bộ trưởng Bộ Thông tin và Truyền thông quy định danh mục tiêu chuẩn bắt buộc áp dụng về chữ ký số và dịch vụ chứng thực chữ ký số.

- Thông tư số 16/2019/TT-BTTTT ngày 05/12/2019 của Bộ trưởng Bộ Thông tin và Truyền thông quy định danh mục tiêu chuẩn bắt buộc áp dụng về chữ ký số và dịch vụ chứng thực chữ ký số theo mô hình ký số trên thiết bị di động và ký số từ xa.

Hồ sơ đề nghị cấp Giấy phép cung cấp dịch vụ chứng thực chữ ký số công cộng đã nộp cho cơ quan nhà nước có thẩm quyền nhưng đến ngày Thông tư này có hiệu lực thi hành chưa được cấp giấy phép thì được tiếp tục áp dụng quy định của Thông tư số 06/2015/TT-BTTTT và Thông tư số 16/2019/TT-BTTTT.

Phạm vi điều chỉnh và đối tượng áp dụng

Thông tư ban hành kèm Quy chuẩn quy định các yêu cầu kỹ thuật đối với mật mã và chữ ký số; thông tin, dữ liệu; chứng thư chữ ký số; HSM và thiết bị mật mã, lưu khóa. Bên cạnh đó, Quy chuẩn còn đưa ra những yêu cầu về quy trình vận hành và kiểm soát đối với tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng bao gồm:

- Dịch vụ chứng thực chữ ký số công cộng theo mô hình ký số trên các phương tiện lưu khóa bí mật bằng thiết bị phần cứng: Tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng theo mô hình ký số trên các phương tiện lưu khóa bí mật bằng thiết bị phần cứng phải triễn khai các biện pháp bảo đảm quy trình vận hành và kiểm soát cung cấp dịch vụ đáp ứng các quy định của tiêu chuẩn ETSI EN 319 411-1 (phiên bản V1.4.1).

- Dịch vụ chứng thực chữ ký số công cộng theo mô hình từ xa: Tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng theo mô hình ký số từ xa phải triển khai các biện pháp bảo đảm quy trình vận hành và kiểm soát cung cấp dịch vụ đáp ứng các quy định của tiêu chuẩn ETSI TS 119 431-1 (áp dụng phiên bản V1.1.1) và ETSI TS 119 431-2 (áp dụng phiên bản V1.1.1).

- Dịch vụ chứng thực chữ ký số công cộng theo mô hình ký số trên thiết bị di động: Tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng theo mô hình ký số trên thiết bị di động phải triển khai các biện pháp bảo đảm quy trình vận hành và kiểm soát cung cấp dịch vụ đáp ứng các quy định của tiêu chuẩn ETSI EN 319 411-1 (áp dụng phiên bản V1.4.1).

Quy chuẩn áp dụng cho Tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng; Tổ chức cung cấp dịch vụ chứng thực chữ ký điện tử nước ngoài đề nghị công nhận tại Việt Nam và các tổ chức, cá nhân có liên quan đến hoạt động cung cấp dịch vụ chứng thực chữ ký số công cộng tại Việt Nam. Mặt khác, Quy chuẩn không áp dụng cho Tổ chức cung cấp dịch vụ chứng thực chữ ký số chuyên dùng công vụ.

Làm rõ một số khái niệm

Quy chuẩn giải thích các từ ngữ và khái niệm chuyên ngành như sau:

- Mô hình ký số trên các phương tiện lưu khóa bí mật bằng thiết bị phần cứng: Mô hình mà khóa bí mật của thuê bao được tạo và lưu trữ hoàn toàn trong thiết bị phần cứng (USB token, thẻ thông minh hoặc thiết bị tương đương) do thuê bao trực tiếp sở hữu và kiểm soát vật lý

- Mô hình ký số từ xa: Mô hình mà khóa bí mật của thuê bao được tạo và lưu trữ tại hệ thống của tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng, việc tạo chữ ký số được thực hiện từ xa theo lệnh của thuê bao thông qua cơ chế xác thực và ủy quyền nghiêm ngặt.

- Mô hình ký số trên thiết bị di động: Mô hình mà khóa bí mật của thuê bao được lưu trữ và sử dụng để tạo chữ ký số trực tiếp trên thiết bị di động của thuê bao (thường thông qua thẻ SIM có tích hợp chức năng mật mã hoặc thành phần bảo mật tương đương).

- Thiết bị bảo mật phần cứng: Thiết bị phần cứng chuyên dụng (Hardware Security Module - HSM) dùng để tạo, lưu trữ, quản lý và bảo vệ khóa mật mã, đáp ứng các yêu cầu bảo mật cao.

- Thiết bị mật mã, lưu khóa: Thiết bị phần cứng được sử dụng để lưu trữ và thực hiện các thao tác mật mã liên quan đến khóa bí mật của thuê bao.

- Hệ thống quản lý khóa bí mật, chứng thư chữ ký số và tạo chữ ký số của khách hàng: Hệ thống của tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng theo mô hình ký số từ xa, thực hiện việc tạo, lưu trữ khóa bí mật và tạo chữ ký số thay mặt thuê bao theo lệnh của thuê bao.

- Thè SIM: Thẻ nhận dạng thuê bao di động có tích hợp applet mật mã hoặc thành phần bảo mật, được sử dụng làm phương tiện lưu trữ khóa bí mật và tạo chữ ký số trong mô hình ký số trên thiết bị di động.

- Thuê bao: Cá nhân hoặc tổ chức được tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng cấp chứng thư số và sử dụng dịch vụ chữ ký số.

- Kiềm toán kỹ thuật: Hoạt động đánh giá độc lập, khách quan đối với hệ thống thông tin, quy trình cung cấp dịch vụ nhằm xác định việc đáp ứng tiêu chuẩn kỹ thuật bắt buộc áp dụng, quy chuẩn kỹ thuật, yêu cầu kỹ thuật của chữ ký điện tử bảo đảm an toàn, chứng thư chữ ký điện tử bảo đảm an toàn, chữ ký số, chứng thư chữ ký số và dịch vụ tin cậy. Trong đó, tiêu chuẩn kỹ thuật bắt buộc áp dụng khi được viện dẫn trong quy chuẩn kỹ thuật hoặc văn bản quy phạm pháp luật.

- Tổ chức kiểm toán kỹ thuật: Tỗ chức chứng nhận được chỉ định theo quy định của pháp luật về tiêu chuẩn, quy chuẩn kỹ thuật, chất lượng sản phẩm, hàng hóa.

Quy định về quản lý

Phương thức đánh giá sự phù hợp đối với các yêu cầu tại mục 2.2.1, mục 2.3.2 và 2.4.3 của Quy chuẩn thực hiện theo phương thức 6 (đánh giá hệ thống quản lý) theo quy định tại Thông tư 28/2012/TT-BKHCN ngày 12/12/2012 quy định về công bố hợp chuẩn, công bố hợp quy và phương thức đánh giá sự phù hợp với tiêu chuẩn, quy chuẩn kỹ thuật và Thông tư 19/2025/TT-ВKHCN ngày 06/10/2025 quy định kiểm toán kỹ thuật với chữ ký điện tử dịch vụ tin cậy.

Tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng thuộc phạm vi điều chỉnh của Thông tư thực hiện công bố hợp quy theo quy định và chịu sự kiểm tra của các cơ quan quản lý nhà nước theo các quy định tại Thông tư 28/2012/TT-BKHCN ngày 12/12/2012 quy định về công bố hợp chuẩn, công bố hợp quy và phương thức đánh giá sự phù hợp với tiêu chuẩn, quy chuẩn kỹ thuật; Thông tư 19/2025/TT-BKHCN ngày 06/10/2025 quy định kiểm toán kỹ thuật đối với chữ ký điện tử và dịch vụ tin cậy và các quy định hiện hành.

Trách nhiệm của tổ chức, cá nhân

Tổ chức đánh giá sự phù hợp và Tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng có trách nhiệm phải lưu trữ hồ sơ chứng nhận theo quy định tại Thông tư số 03/2025/TT-BKHCN ngày 15/5/2025 của Bộ trưởng Bộ Khoa học và Công nghệ quy định thời hạn lưu trữ hồ sơ, tài liệu ngành Khoa học và Công nghệ.

Ngoài ra, Tổ chức đánh giá sự phù hợp cần thực hiện đánh giá sự phù hợp theo đúng quy định của Quy chuẩn này và thực hiện các nghĩa vụ báo cáo kết quả hoạt động đánh giá chứng nhận hợp quy đến Ủy ban Tiêu chuẫn Đo lường Chất lượng Quốc gia theo các quy định hiện hành.

Góp phần thúc đẩy giao dịch điện tử và chuyển đổi số quốc gia

Việc ban hành Quy chuẩn kỹ thuật quốc gia về yêu cầu đối với dịch vụ chứng thực chữ ký số công cộng là bước đi quan trọng trong quá trình hoàn thiện hạ tầng pháp lý và kỹ thuật cho chuyển đổi số tại Việt Nam. Chữ ký số là thành phần cốt lõi trong các giao dịch điện tử, từ dịch vụ công trực tuyến, thương mại điện tử cho đến các hoạt động tài chính, ngân hàng và quản trị doanh nghiệp.

Khi các dịch vụ chứng thực chữ ký số được chuẩn hóa về mặt kỹ thuật, mức độ an toàn và tin cậy của giao dịch điện tử sẽ được nâng cao, qua đó tạo niềm tin cho người dân, doanh nghiệp và các cơ quan nhà nước trong việc sử dụng các dịch vụ số.