QCVN 137:2025/BKHCN không áp dụng cho chữ ký số chuyên dùng công vụ

Quy chuẩn kỹ thuật quốc gia QCVN 137:2025/BKHCN được ban hành kèm theo Thông tư 50/2025/TT-BKHCN ngày 31 tháng 12 năm 2025 của Bộ Khoa học và Công nghệ, hiện đã có hiệu lực thi hành và đang áp dụng trong thực tế. Văn bản xác lập ranh giới pháp lý và kỹ thuật rõ ràng đối với các hệ thống cung cấp dịch vụ chứng thực chữ ký số, trong đó quy định rõ QCVN 137:2025/BKHCN không áp dụng cho cơ quan, tổ chức phụ trách dịch vụ chứng thực chữ ký số chuyên dùng công vụ.

Phạm vi áp dụng của QCVN 137:2025/BKHCN theo Thông tư 50/2025/TT-BKHCN

Theo Mục 1.1 QCVN 137:2025/BKHCN, quy chuẩn quy định các yêu cầu đối với dịch vụ chứng thực chữ ký số công cộng, cùng các yêu cầu về quy trình vận hành và kiểm soát đối với tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng. Quy định bao quát toàn diện ba mô hình dịch vụ kỹ thuật chính:

• Dịch vụ chứng thực chữ ký số công cộng theo mô hình ký số trên các phương tiện lưu khóa bí mật bằng thiết bị phần cứng (theo Mục 1.1 QCVN 137:2025/BKHCN).
• Dịch vụ chứng thực chữ ký số công cộng theo mô hình từ xa (theo Mục 1.1 QCVN 137:2025/BKHCN).
• Dịch vụ chứng thực chữ ký số công cộng theo mô hình ký số trên thiết bị di động (theo Mục 1.1 QCVN 137:2025/BKHCN).

Quy chuẩn điều chỉnh trực tiếp các khía cạnh kỹ thuật vận hành, tiêu chuẩn mật mã và quy trình xác thực công cộng, tạo khung kỹ thuật bắt buộc cho toàn bộ thị trường dịch vụ tin cậy thương mại.

Quy định loại trừ: QCVN 137:2025/BKHCN không áp dụng cho chữ ký số chuyên dùng công vụ

Điểm mấu chốt tại Mục 1.2 QCVN 137:2025/BKHCN xác định rõ nhóm đối tượng thuộc phạm vi áp dụng và nhóm đối tượng bị loại trừ hoàn toàn khỏi quy chuẩn. Cụ thể, các chủ thể chịu sự điều chỉnh bao gồm:

• Tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng (theo Mục 1.2 QCVN 137:2025/BKHCN).
• Tổ chức cung cấp dịch vụ chứng thực chữ ký điện tử nước ngoài đề nghị công nhận tại Việt Nam (theo Mục 1.2 QCVN 137:2025/BKHCN).
• Các tổ chức, cá nhân có liên quan đến hoạt động cung cấp dịch vụ chứng thực chữ ký số công cộng tại Việt Nam (theo Mục 1.2 QCVN 137:2025/BKHCN).

Đồng thời, quy định ghi nhận điều khoản loại trừ mang tính tuyệt đối: "Quy chuẩn này không áp dụng cho Tổ chức cung cấp dịch vụ chứng thực chữ ký số chuyên dùng công vụ" (theo Mục 1.2 QCVN 137:2025/BKHCN). Việc phân định này ngăn ngừa việc áp sai quy chuẩn kỹ thuật thương mại vào hạ tầng khóa công khai phục vụ hoạt động công vụ của cơ quan nhà nước.

Đối chiếu phạm vi áp dụng giữa các nhóm chủ thể

Để nhận diện rõ thẩm quyền và nghĩa vụ kỹ thuật, bảng đối chiếu dưới đây phân định việc áp dụng quy chuẩn căn cứ theo Mục 1.1 và Mục 1.2 QCVN 137:2025/BKHCN:

Hệ thống tiêu chuẩn kỹ thuật viện dẫn trong QCVN 137:2025/BKHCN

Theo Mục 1.3 QCVN 137:2025/BKHCN, hệ thống tiêu chuẩn kỹ thuật áp dụng cho dịch vụ chứng thực chữ ký số công cộng viện dẫn hàng loạt tiêu chuẩn quốc tế nghiêm ngặt, bao gồm:

• Giao thức chứng chỉ và danh sách thu hồi: IETF RFC 5280, IETF RFC 6960 (theo Mục 1.3 QCVN 137:2025/BKHCN).
• Đánh giá an toàn thông tin và hệ thống: ISO/IEC 15408, ISO/IEC 9594-8 / Recommendation ITU-T X.509 (theo Mục 1.3 QCVN 137:2025/BKHCN).
• Yêu cầu an toàn mô-đun mật mã: FIPS PUB 140-2, FIPS PUB 140-3 (theo Mục 1.3 QCVN 137:2025/BKHCN).
• Hàm băm và mã hóa dữ liệu: FIPS PUB 202, FIPS PUB 180-4, FIPS PUB 197 (theo Mục 1.3 QCVN 137:2025/BKHCN).
• Tiêu chuẩn dịch vụ tin cậy và ký số máy chủ: EN 419 221-5:2018, EN 419 221-1:2018, EN 419 221-2:2019, ETSI EN 319 401, ETSI EN 319 411-1, ETSI TS 119 431-1, ETSI TS 119 432 (theo Mục 1.3 QCVN 137:2025/BKHCN).

Các tiêu chuẩn trên cấu thành hệ thống chỉ dẫn kỹ thuật dành riêng cho các nhà cung cấp dịch vụ chứng thực công cộng, làm cơ sở kiểm tra và chứng nhận hợp quy.

Trách nhiệm và yêu cầu thực thi đối với các đơn vị

Căn cứ quy định tại Thông tư 50/2025/TT-BKHCN và QCVN 137:2025/BKHCN, các bên liên quan cần xác định rõ trách nhiệm chuyên môn:

1. Nhà cung cấp dịch vụ công cộng: Rà soát hạ tầng thiết bị phần cứng, hệ thống ký số từ xa và giải pháp ký số di động nhằm đáp ứng đầy đủ yêu cầu tại Mục 1.1 và các tài liệu viện dẫn tại Mục 1.3 QCVN 137:2025/BKHCN.
2. Tổ chức nước ngoài: Chuẩn bị hồ sơ kỹ thuật đối chiếu trực tiếp với các tiêu chuẩn quốc tế quy định tại Mục 1.3 QCVN 137:2025/BKHCN khi nộp hồ sơ đề nghị công nhận dịch vụ tại Việt Nam theo Mục 1.2.
3. Hệ thống chữ ký số chuyên dùng công vụ: Tách biệt độc lập quy trình vận hành và tiêu chuẩn kỹ thuật với hệ thống công cộng, không dùng QCVN 137:2025/BKHCN làm căn cứ đánh giá hợp quy theo Mục 1.2.

Tình huống thực tế về phân định thẩm quyền áp dụng quy chuẩn

Một đơn vị sự nghiệp nhà nước triển khai cổng dịch vụ công nội bộ thắc mắc liệu hệ thống máy chủ ký số chuyên dùng công vụ có phải thực hiện quy trình kiểm tra chứng nhận phù hợp quy chuẩn QCVN 137:2025/BKHCN hay không.

Căn cứ Mục 1.2 QCVN 137:2025/BKHCN, văn bản nêu rõ quy chuẩn không áp dụng cho tổ chức cung cấp dịch vụ chứng thực chữ ký số chuyên dùng công vụ. Do đó, hệ thống chuyên dùng công vụ không chịu sự kiểm tra hợp quy theo các tiêu chuẩn viện dẫn tại Mục 1.3 của quy chuẩn này. Ngược lại, nếu đơn vị thuê dịch vụ chứng thực chữ ký số công cộng từ một doanh nghiệp thương mại theo mô hình từ xa hoặc thiết bị di động, doanh nghiệp cung cấp dịch vụ đó bắt buộc phải tuân thủ toàn bộ điều kiện tại Mục 1.1 và Mục 1.2 QCVN 137:2025/BKHCN.

Câu hỏi thường gặp

QCVN 137:2025/BKHCN áp dụng cho những mô hình dịch vụ nào?

Theo Mục 1.1 QCVN 137:2025/BKHCN, quy chuẩn áp dụng cho 03 mô hình dịch vụ chứng thực chữ ký số công cộng: ký số trên thiết bị phần cứng lưu khóa bí mật, ký số từ xa, và ký số trên thiết bị di động.

Tổ chức cung cấp chữ ký số chuyên dùng công vụ có phải áp dụng quy chuẩn này không?

Không. Căn cứ Mục 1.2 QCVN 137:2025/BKHCN, quy chuẩn quy định cụ thể không áp dụng cho Tổ chức cung cấp dịch vụ chứng thực chữ ký số chuyên dùng công vụ.

Tổ chức chứng thực nước ngoài có thuộc phạm vi của quy chuẩn không?

Có. Theo Mục 1.2 QCVN 137:2025/BKHCN, tổ chức cung cấp dịch vụ chứng thực chữ ký điện tử nước ngoài đề nghị công nhận tại Việt Nam thuộc đối tượng áp dụng của quy chuẩn.

Khuyến nghị thực hiện

Quy định tại QCVN 137:2025/BKHCN ban hành kèm theo Thông tư 50/2025/TT-BKHCN thiết lập ranh giới áp dụng rõ ràng giữa dịch vụ chứng thực công cộng và công vụ. Các tổ chức cung cấp dịch vụ công cộng cần liên tục đối soát quy trình vận hành với hệ thống tiêu chuẩn viện dẫn. Đối với các đơn vị vận hành chứng thực chữ ký số chuyên dùng công vụ, cần kiểm tra kỹ văn bản gốc để thực hiện đúng quy định loại trừ, đảm bảo xây dựng hệ thống đúng thẩm quyền và chuẩn mực pháp lý tương ứng.