Dịch vụ nào không áp dụng theo Thông tư 53/2025/TT-BKHCN?

Căn cứ theo Đoạn 2 Mục 1.2 Quy chuẩn kỹ thuật quốc gia QCVN 139:2025/BKHCN ban hành kèm theo Thông tư 53/2025/TT-BKHCN, dịch vụ không thuộc phạm vi điều chỉnh là dịch vụ do tổ chức cung cấp dịch vụ chứng thực thông điệp dữ liệu chuyên dùng công vụ thực hiện. Văn bản đã chính thức phát sinh hiệu lực thi hành kể từ ngày 01 tháng 7 năm 2026 theo quy định tại Điều 2. Do đó, các đơn vị cung cấp giải pháp công vụ thuộc khu vực này không chịu sự ràng buộc bởi các quy định kỹ thuật tại quy chuẩn nêu trên, trong khi toàn bộ tổ chức, cá nhân tham gia cung cấp dịch vụ thương mại thông thường tại Việt Nam đều bắt buộc phải tuân thủ.

Phạm vi loại trừ theo Thông tư 53/2025/TT-BKHCN

Căn cứ theo Đoạn 2 Mục 1.2 Quy chuẩn kỹ thuật quốc gia QCVN 139:2025/BKHCN, nguyên văn quy định nêu rõ: "Quy chuẩn này không áp dụng cho Tổ chức cung cấp dịch vụ chứng thực thông điệp dữ liệu chuyên dùng công vụ." Quy định này phân định ranh giới giữa dịch vụ phục vụ công vụ chuyên trách trong bộ máy nhà nước và các dịch vụ cung cấp trên thị trường thương mại. Các hệ thống thông điệp dữ liệu công vụ hoạt động theo cơ chế quản trị và yêu cầu kỹ thuật chuyên biệt riêng, không thuộc sự điều chỉnh trực tiếp của hệ thống quy chuẩn kỹ thuật thương mại do Bộ Khoa học và Công nghệ ban hành tại văn bản này.

Sự loại trừ này xuất phát từ bản chất của hoạt động hành chính công vụ, vốn đòi hỏi các cấp độ kiểm soát nghiệp vụ đặc thù nhằm bảo đảm vận hành thông suốt của các cơ quan nhà nước. Việc quy chuẩn không bao hàm dịch vụ chuyên dùng công vụ giúp các tổ chức công vụ duy trì hạ tầng kỹ thuật theo quy định chuyên ngành mà không bị chồng chéo với hệ tiêu chuẩn chung của thị trường.

Nhóm đối tượng chịu sự điều chỉnh của quy chuẩn

Trái ngược với nhóm đối tượng công vụ được loại trừ, phạm vi áp dụng bắt buộc được xác lập rõ tại Đoạn 1 Mục 1.2: "Quy chuẩn này được áp dụng cho các tổ chức, cá nhân có liên quan đến cung cấp dịch vụ chứng thực thông điệp dữ liệu tại Việt Nam." Theo quy định tại Mục 1.1, quy chuẩn áp dụng thống nhất các yêu cầu kỹ thuật về dịch vụ chứng thực thông điệp dữ liệu, cùng các yêu cầu về quy trình vận hành và kiểm soát đối với tổ chức cung cấp dịch vụ.

Tại Mục 1.4.1, dịch vụ chứng thực thông điệp dữ liệu được giải thích là dịch vụ do tổ chức cung cấp dịch vụ tin cậy thực hiện nhằm chứng minh việc gửi, nhận, thời điểm gửi, nhận, tính toàn vẹn và nguồn gốc của thông điệp dữ liệu giữa người gửi và người nhận. Khái niệm thông điệp dữ liệu tại Mục 1.4.2 bao gồm thông tin được tạo ra, gửi đi, nhận hoặc lưu trữ bằng phương tiện điện tử. Do đó, bất kỳ doanh nghiệp hoặc cá nhân nào triển khai giải pháp kỹ thuật nhằm xác thực luồng truyền tải dữ liệu số trên lãnh thổ Việt Nam đều phải rà soát hạ tầng để đáp ứng đầy đủ các tiêu chuẩn kỹ thuật vận hành.

Phân loại các loại hình dịch vụ theo quy định kỹ thuật

Quy chuẩn xác định rõ ràng các phân nhóm dịch vụ cụ thể trong hoạt động giao dịch điện tử, thiết lập định nghĩa pháp lý cho từng mô hình cung cấp dịch vụ tại Mục 1.4:

Tại Mục 1.4.6, nghiệp vụ ký số trên thông điệp dữ liệu để lưu trữ dài hạn được quy định cụ thể là: "áp dụng chữ ký số và/hoặc dấu thời gian lên thông điệp dữ liệu và các bằng chứng liên quan nhằm duy trì giá trị pháp lý và khả năng xác minh được trong thời gian dài, kể cả khi thuật toán hoặc chứng thư số hết hiệu lực." Đây là nền tảng kỹ thuật then chốt bảo đảm giá trị chứng minh pháp lý cho các tài liệu lưu trữ điện tử, phòng ngừa rủi ro vô hiệu hóa chứng thư số theo thời gian.

Danh mục tiêu chuẩn kỹ thuật và quy chuẩn viện dẫn quốc tế

Để bảo đảm tính tương thích kỹ thuật và độ an toàn cao nhất, văn bản viện dẫn trực tiếp hệ thống tiêu chuẩn quốc tế nghiêm ngặt tại Mục 1.3 và Mục 1.5. Cụ thể bao gồm:

• Tiêu chuẩn viễn thông và chữ ký điện tử: Viện Tiêu chuẩn Viễn thông Châu Âu (ETSI) với các tiêu chuẩn ETSI EN 319 401, ETSI EN 319 102-1, ETSI EN 319 521, ETSI EN 319 532-3, ETSI EN 319 531, ETSI TS 119 511 và ETSI TR 119 001.
• Tiêu chuẩn mật mã và định danh: Tiêu chuẩn NIST SP 800-63B của Hoa Kỳ, FIPS PUB 140-2, FIPS PUB 140-3; tiêu chuẩn an toàn công nghệ thông tin ISO 29115, ISO/IEC 15408 (các phần từ 1 đến 3), ISO/IEC 19790, ISO 16363:2011.
• Giao thức Internet từ IETF: Giao thức thư tín và cú pháp bản ghi IETF RFC 2045, RFC 5322, RFC 3161 về dấu thời gian số (TSP), RFC 3986 (URI), RFC 4998 (ERS), RFC 5280 về cấu trúc chứng thư và danh sách thu hồi CRL, RFC 5816, RFC 6283 (XMLERS), RFC 6960 (OCSP).
• Hạ tầng quản lý khóa mật mã: Thiết bị bảo mật phần cứng HSM (Hardware Security Module) dùng để lưu trữ và xử lý khóa bí mật, thuật toán chữ ký số đường cong Elliptic (ECDSA), chính sách chứng thư CP, quy chế chứng thực CPS, cấp độ đảm bảo đánh giá EAL do tổ chức chứng thực CA ban hành.

Tình huống minh họa phân định thẩm quyền áp dụng

Xem xét một tình huống thực tế nhằm làm rõ phạm vi áp dụng giữa hai đơn vị cung ứng giải pháp chứng từ điện tử:

Đơn vị A là doanh nghiệp công nghệ cung cấp dịch vụ gửi, nhận thư điện tử và lưu trữ chứng từ số cho các doanh nghiệp thương mại điện tử. Theo Đoạn 1 Mục 1.2 và Mục 1.4.4, đơn vị A là tổ chức cung cấp dịch vụ chứng thực thông điệp dữ liệu tại Việt Nam. Do đó, đơn vị A bắt buộc phải thực hiện kiểm toán kỹ thuật độc lập theo Mục 1.4.7, bảo đảm hệ thống máy chủ, thiết bị HSM đáp ứng tiêu chuẩn mật mã, đồng thời duy trì khả năng xác minh tính toàn vẹn của dữ liệu theo Mục 1.4.5.

Ngược lại, Đơn vị B là cơ quan thiết lập mạng lưới chứng thực thông điệp dữ liệu chuyên dùng công vụ phục vụ truyền nhận văn bản nội bộ giữa các cơ quan hành chính nhà nước. Căn cứ Đoạn 2 Mục 1.2, đơn vị B thuộc trường hợp loại trừ rõ ràng: quy chuẩn kỹ thuật này không áp dụng đối với tổ chức cung cấp dịch vụ chứng thực thông điệp dữ liệu chuyên dùng công vụ. Đơn vị B không phải thực hiện các thủ tục đánh giá quy chuẩn theo văn bản này mà tuân thủ các quy chế công vụ tương ứng.

Đối tượng chịu ảnh hưởng và trách nhiệm thi hành

Các nhóm chủ thể tham gia giao dịch điện tử và dịch vụ chứng thực cần nắm rõ các trách nhiệm cụ thể sau:

• Tổ chức cung cấp dịch vụ chứng thực thông điệp dữ liệu: Rà soát quy trình quản trị theo quy chế chứng thực CPS, chính sách chứng thư CP; bảo đảm thiết bị phần cứng HSM đạt chuẩn kiểm định an toàn; thiết lập cơ chế ký số kết hợp dấu thời gian theo Mục 1.4.6 để tài liệu lưu trữ duy trì giá trị pháp lý dài hạn kể cả khi chứng thư số hoặc thuật toán gốc hết hiệu lực.
• Tổ chức kiểm toán kỹ thuật: Tổ chức chứng nhận được chỉ định theo quy định pháp luật căn cứ Mục 1.4.8 thực hiện đánh giá độc lập hệ thống và quy trình cung cấp dịch vụ của các nhà cung ứng tin cậy.
• Cơ quan nhà nước quản lý dịch vụ chuyên dùng công vụ: Phân định ranh giới hạ tầng công vụ để không áp dụng nhầm lẫn các thủ tục kiểm toán quy chuẩn thương mại.
• Khách hàng, doanh nghiệp sử dụng dịch vụ lưu trữ: Căn cứ Mục 1.4.5 để yêu cầu bên cung cấp dịch vụ bảo đảm khả năng xác minh lại tính toàn vẹn của toàn bộ thông điệp dữ liệu kèm bằng chứng liên quan trong suốt thời hạn thỏa thuận lưu trữ.

Câu hỏi thường gặp

Dịch vụ chứng thực công vụ có phải chịu sự điều chỉnh của văn bản này không?

Không. Đoạn 2 Mục 1.2 quy định rõ quy chuẩn này không áp dụng cho Tổ chức cung cấp dịch vụ chứng thực thông điệp dữ liệu chuyên dùng công vụ.

Văn bản có hiệu lực thi hành từ mốc thời gian nào?

Theo quy định tại Điều 2, văn bản có hiệu lực thi hành kể từ ngày 01 tháng 7 năm 2026. Tính đến thời điểm hiện tại, văn bản đã có hiệu lực pháp luật đầy đủ và đang được áp dụng.

Dịch vụ lưu trữ thông điệp dữ liệu phải bảo đảm quyền lợi gì cho khách hàng?

Theo Mục 1.4.5, dịch vụ lưu trữ và xác nhận tính toàn vẹn của thông điệp dữ liệu bắt buộc phải lưu trữ thông điệp dữ liệu kèm các bằng chứng liên quan và cung cấp khả năng xác minh lại tính toàn vẹn của thông điệp dữ liệu đó trong suốt thời hạn lưu trữ.

Giải pháp nào giúp duy trì giá trị pháp lý khi chứng thư số hết hiệu lực?

Theo Mục 1.4.6, giải pháp kỹ thuật là thực hiện ký số trên thông điệp dữ liệu để lưu trữ dài hạn thông qua việc áp dụng chữ ký số và/hoặc dấu thời gian lên thông điệp dữ liệu cùng các bằng chứng liên quan.

Kết luận và các bước triển khai tiếp theo

Quy định pháp lý đã xác lập rõ ràng phạm vi phân định: dịch vụ chứng thực thông điệp dữ liệu chuyên dùng công vụ hoàn toàn không chịu sự điều chỉnh của quy chuẩn kỹ thuật này, trong khi các nhà cung cấp dịch vụ tin cậy thương mại tại Việt Nam phải tuân thủ bắt buộc. Các cơ quan, doanh nghiệp và tổ chức cần chủ động đối chiếu hệ thống kỹ thuật hiện hành, kiểm tra quy chế vận hành CPS và chứng nhận HSM, đồng thời tham khảo các văn bản pháp luật gốc để bảo đảm tuân thủ đúng quy chuẩn đã có hiệu lực.