Checklist công bố hợp quy dịch vụ chứng thực thông điệp dữ liệu

Kể từ ngày 01 tháng 7 năm 2026, Thông tư 53/2025/TT-BKHCN chính thức có hiệu lực thi hành, đặt ra khung pháp lý bắt buộc đối với toàn bộ các đơn vị cung cấp dịch vụ tin cậy liên quan đến thông điệp dữ liệu trên phạm vi toàn quốc. Các đơn vị này phải tiến hành thủ tục công bố hợp quy dịch vụ theo Quy chuẩn kỹ thuật quốc gia QCVN 139:2025/BKHCN, đồng thời tuân thủ cơ chế kiểm soát chất lượng nghiêm ngặt nhằm duy trì tính pháp lý và kỹ thuật cho hệ thống giao dịch điện tử.

Phạm vi điều chỉnh và đối tượng áp dụng QCVN 139:2025/BKHCN

Theo khoản 1 Điều 1 Thông tư 53/2025/TT-BKHCN, Quy chuẩn kỹ thuật quốc gia về yêu cầu đối với dịch vụ chứng thực thông điệp dữ liệu (ký hiệu QCVN 139:2025/BKHCN) đã được ban hành và đi vào thực thi. Quy chuẩn quy định chi tiết các yêu cầu kỹ thuật đối với dịch vụ, yêu cầu về quy trình vận hành và kiểm soát mà các đơn vị cung ứng phải thiết lập theo mục 1.1 của Quy chuẩn.

Theo đoạn 1 Mục 1.2 của Quy chuẩn, đối tượng chịu sự điều chỉnh trực tiếp bao gồm các tổ chức, cá nhân có liên quan đến hoạt động cung cấp dịch vụ chứng thực thông điệp dữ liệu tại Việt Nam. Toàn bộ các nhà cung cấp giải pháp xác thực, gửi nhận và bảo quản thông điệp trên thị trường thương mại đều phải rà soát hạ tầng để đáp ứng quy chuẩn kỹ thuật này.

Về trường hợp ngoại lệ, theo đoạn 2 Mục 1.2 của Quy chuẩn, văn bản quy định rõ ràng rằng quy chuẩn này không áp dụng cho tổ chức cung cấp dịch vụ chứng thực thông điệp dữ liệu chuyên dùng công vụ. Do đó, các cơ quan, tổ chức vận hành hệ thống chứng thực chuyên dùng phục vụ riêng cho hoạt động công vụ nhà nước sẽ không thuộc đối tượng áp dụng các tiêu chuẩn kỹ thuật ban hành kèm quy chuẩn này.

Các tiêu chuẩn kỹ thuật bắt buộc theo danh mục viện dẫn

QCVN 139:2025/BKHCN xây dựng dựa trên hệ thống tiêu chuẩn quốc tế và khu vực được liệt kê tại Mục 1.3 của Quy chuẩn. Đơn vị vận hành phải tuân thủ nghiêm ngặt các quy định về chính sách an toàn thông tin theo tiêu chuẩn ETSI EN 319 401, cùng quy trình khởi tạo và kiểm tra chữ ký điện tử theo tiêu chuẩn ETSI EN 319 102-1.

Đối với việc xác thực thực thể và quản lý vòng đời định danh, hệ thống phải đáp ứng các tiêu chí quy định tại tiêu chuẩn ISO 29115 và hướng dẫn NIST SP 800-63B. Cấu trúc thông điệp truyền dẫn thư điện tử bảo đảm đòi hỏi phải tuân thủ chuẩn ETSI EN 319 532-3 kết hợp cùng định dạng thư tín điện tử quốc tế IETF RFC 2045 và IETF RFC 5322.

Hạ tầng mật mã đóng vai trò then chốt trong dịch vụ tin cậy. Theo Mục 1.3 và Mục 2.1.4 của Quy chuẩn, thiết bị mật mã, thiết bị lưu khóa và mô-đun HSM phải được đánh giá, kiểm định đạt chuẩn an toàn thông tin theo ISO/IEC 15408 (các phần từ 1 đến 3), ISO/IEC 19790 hoặc các tiêu chuẩn an ninh mô-đun mật mã FIPS PUB 140-2 và FIPS PUB 140-3. Đối với tài liệu điện tử dạng PDF và XML, hệ thống phải tuân thủ chuẩn ISO 14533-3:2017, ISO 32000-2:2020 (PDF 2.0) và chữ ký số XAdES theo ETSI EN 319 132-1 (phiên bản V1.2.1), ETSI EN 319 132-2 (phiên bản V1.1.1).

Phân loại yêu cầu vận hành và kiểm soát theo từng nhóm dịch vụ

Mục 2.2.2 của Quy chuẩn phân định rõ các yêu cầu về quy trình vận hành và kiểm soát đối với ba phân nhóm dịch vụ cụ thể. Việc phân định này làm cơ sở trực tiếp cho công tác kiểm tra kỹ thuật và chứng nhận sự phù hợp của hệ thống quản lý.

Các tổ chức cung ứng căn cứ vào mô hình dịch vụ thực tế do đơn vị mình triển khai để áp dụng tiêu chuẩn tương ứng, đảm bảo mọi khâu xử lý thông điệp từ khởi tạo, truyền nhận đến lưu giữ vĩnh viễn đều chịu sự kiểm soát kỹ thuật nghiêm ngặt.

Checklist các bước công bố hợp quy dịch vụ cho doanh nghiệp

Để hoàn thành đầy đủ nghĩa vụ pháp lý theo quy định quản lý, tổ chức cung ứng dịch vụ phải thực hiện tuần tự các bước theo danh mục kiểm tra dưới đây:

1. Bước 1: Rà soát hạ tầng kỹ thuật và quy trình vận hành nội bộ

   Tổ chức đối chiếu toàn bộ kiến trúc hệ thống với các yêu cầu kỹ thuật tại Mục 2.2.1 và quy trình kiểm soát tại Mục 2.2.2 của Quy chuẩn. Đồng thời, theo Mục 3.3 của Quy chuẩn, các phương tiện và thiết bị đo phục vụ đo kiểm hệ thống phải tuân thủ nghiêm ngặt các quy định hiện hành của pháp luật về đo lường.

2. Bước 2: Thực hiện đánh giá sự phù hợp theo phương thức 6

   Theo Mục 3.1 của Quy chuẩn, phương thức đánh giá sự phù hợp đối với các yêu cầu tại mục 2.2.2 của Quy chuẩn thực hiện theo phương thức 6 (đánh giá hệ thống quản lý) theo quy định tại Thông tư 28/2012/TT-BKHCN, Thông tư 19/2025/TT-BKHCN quy định kiểm toán kỹ thuật đối với chữ ký điện tử và dịch vụ tin cậy cùng các quy định hiện hành.

3. Bước 3: Lập hồ sơ và hoàn tất thủ tục công bố hợp quy

   Căn cứ Mục 3.2 của Quy chuẩn, tổ chức cung cấp dịch vụ chứng thực thông điệp dữ liệu thuộc phạm vi điều chỉnh tại mục 1.1 thực hiện công bố hợp quy theo quy định và chịu sự kiểm tra của các cơ quan quản lý nhà nước theo Thông tư 28/2012/TT-BKHCN và Thông tư 19/2025/TT-BKHCN.

4. Bước 4: Lưu trữ hồ sơ chứng nhận và chịu sự kiểm tra định kỳ

   Theo Mục 4.2.2 của Quy chuẩn, doanh nghiệp có trách nhiệm lưu trữ toàn bộ hồ sơ chứng nhận theo quy định tại Thông tư số 03/2025/TT-BKHCN ngày 15/5/2025 của Bộ trưởng Bộ Khoa học và Công nghệ quy định thời hạn lưu trữ hồ sơ, tài liệu ngành Khoa học và Công nghệ.

Trách nhiệm của các bên liên quan trong chu trình quản lý

Khung pháp lý tại Thông tư 53/2025/TT-BKHCN phân rõ quyền hạn và trách nhiệm của từng chủ thể tham gia vào chu trình đánh giá và công bố chất lượng dịch vụ.

Trách nhiệm của Tổ chức đánh giá sự phù hợp

• Thực hiện đánh giá sự phù hợp theo đúng quy định của Quy chuẩn QCVN 139:2025/BKHCN theo Mục 4.1.1.
• Báo cáo kết quả hoạt động đánh giá chứng nhận hợp quy đến Ủy ban Tiêu chuẩn Đo lường Chất lượng Quốc gia theo các quy định hiện hành theo Mục 4.1.1 của Quy chuẩn.
• Lưu trữ hồ sơ chứng nhận theo quy định tại Thông tư số 03/2025/TT-BKHCN ngày 15/5/2025 của Bộ trưởng Bộ Khoa học và Công nghệ quy định thời hạn lưu trữ hồ sơ, tài liệu ngành Khoa học và Công nghệ theo Mục 4.1.2 của Quy chuẩn.

Trách nhiệm của Tổ chức cung cấp dịch vụ chứng thực thông điệp dữ liệu

• Tuân thủ nghiêm ngặt toàn bộ các quy định kỹ thuật và quản lý trong quy chuẩn theo Mục 4.2.1 của Quy chuẩn.
• Lưu trữ hồ sơ chứng nhận theo đúng thời hạn quy định tại Thông tư số 03/2025/TT-BKHCN ngày 15/5/2025 theo Mục 4.2.2 của Quy chuẩn.
• Chấp hành sự kiểm tra chuyên ngành của các cơ quan quản lý nhà nước theo Thông tư 28/2012/TT-BKHCN và Thông tư 19/2025/TT-BKHCN theo Mục 3.2 của Quy chuẩn.

Tình huống minh họa thực tế

Một doanh nghiệp công nghệ triển khai dịch vụ lưu trữ và xác nhận tính toàn vẹn của thông điệp dữ liệu thương mại tại Việt Nam. Doanh nghiệp này thuộc đối tượng điều chỉnh theo Mục 1.2 của Quy chuẩn và không thuộc diện dịch vụ công vụ ngoại lệ.

Khi tiến hành thủ tục hợp chuẩn hợp quy, bộ phận kỹ thuật của doanh nghiệp phải áp dụng tiêu chuẩn ETSI TS 119 511 theo Mục 2.2.2.3 của Quy chuẩn cho quy trình vận hành và kiểm soát. Doanh nghiệp ký hợp đồng với tổ chức đánh giá sự phù hợp độc lập để thực hiện kiểm toán kỹ thuật và đánh giá hệ thống quản lý theo phương thức 6 quy định tại Mục 3.1 của Quy chuẩn, Thông tư 28/2012/TT-BKHCN và Thông tư 19/2025/TT-BKHCN.

Sau khi được cấp chứng nhận, doanh nghiệp hoàn thành việc nộp hồ sơ công bố hợp quy tới cơ quan nhà nước theo Mục 3.2. Cả tổ chức chứng nhận và doanh nghiệp đều tiến hành lưu giữ tài liệu vào hệ thống lưu trữ hồ sơ theo thời hạn quy định tại Thông tư số 03/2025/TT-BKHCN ngày 15/5/2025, sẵn sàng phục vụ các đợt kiểm tra theo Mục 4.1.2 và Mục 4.2.2 của Quy chuẩn.

Câu hỏi thường gặp

Quy định tại Thông tư 53/2025/TT-BKHCN bắt đầu có hiệu lực từ thời điểm nào?

Theo Điều 2 Thông tư 53/2025/TT-BKHCN, văn bản có hiệu lực thi hành kể từ ngày 01 tháng 7 năm 2026. Do đó, các tổ chức cung cấp dịch vụ thuộc diện điều chỉnh hiện nay đang phải chấp hành đầy đủ các nghĩa vụ kiểm toán và công bố theo quy chuẩn.

Dịch vụ chứng thực thông điệp dữ liệu chuyên dùng công vụ có phải công bố hợp quy không?

Không. Căn cứ đoạn 2 Mục 1.2 của Quy chuẩn QCVN 139:2025/BKHCN, quy chuẩn kỹ thuật này không áp dụng đối với tổ chức cung cấp dịch vụ chứng thực thông điệp dữ liệu chuyên dùng công vụ.

Phương thức đánh giá sự phù hợp đối với quy trình vận hành hệ thống là phương thức nào?

Theo Mục 3.1 của Quy chuẩn, phương thức đánh giá sự phù hợp đối với các yêu cầu tại mục 2.2.2 thực hiện theo phương thức 6 (đánh giá hệ thống quản lý) căn cứ quy định tại Thông tư 28/2012/TT-BKHCN và Thông tư 19/2025/TT-BKHCN.

Tổ chức đánh giá chứng nhận hợp quy phải báo cáo kết quả hoạt động cho cơ quan nào?

Theo Mục 4.1.1 của Quy chuẩn, tổ chức đánh giá sự phù hợp có trách nhiệm thực hiện các nghĩa vụ báo cáo kết quả hoạt động đánh giá chứng nhận hợp quy đến Ủy ban Tiêu chuẩn Đo lường Chất lượng Quốc gia theo các quy định hiện hành.

Kết luận và các công việc tổ chức cần thực hiện ngay

Thông tư 53/2025/TT-BKHCN ban hành kèm QCVN 139:2025/BKHCN đã xác lập chuẩn mực kỹ thuật bắt buộc cho toàn bộ thị trường dịch vụ tin cậy và chứng thực điện tử tại Việt Nam. Việc tuân thủ quy chuẩn không chỉ là nghĩa vụ pháp lý tiên quyết để duy trì giấy phép cung ứng dịch vụ mà còn là thước đo bảo đảm an toàn dữ liệu và giá trị chứng cứ cho khách hàng.

Các tổ chức cung cấp dịch vụ và đơn vị đánh giá sự phù hợp cần chủ động rà soát hệ thống, đối chiếu trực tiếp với các điều khoản của quy chuẩn gốc, kiểm tra hiệu lực văn bản liên quan và tham khảo ý kiến tư vấn pháp lý chuyên sâu để đảm bảo hồ sơ công bố hợp quy hoàn toàn chính xác, đầy đủ theo luật định.