Có nên chuyển từ USB Token sang ký số từ xa khi gia hạn? Cách quyết định và việc phải làm khi chuyển

Ký số từ xa ngày càng phổ biến: chữ ký số đăng ký qua VNeID là ký số từ xa, hợp đồng lao động điện tử cần người lao động có chữ ký số, và nhiều nhà cung cấp chào gói ký trên điện thoại khi doanh nghiệp đến kỳ gia hạn USB Token. Bài này không giải thích lại ký số từ xa là gì, mà giúp trả lời một câu cụ thể: doanh nghiệp của bạn có nên chuyển ở lần gia hạn tới không, và nếu chuyển thì phải làm những gì để không bị gián đoạn.

Chuyển đổi thực chất là đổi gì?

Với USB Token, khoá bí mật được tạo và nằm trong thiết bị, không xuất ra ngoài được. Với ký số từ xa, khoá bí mật được tạo và lưu tại hệ thống của tổ chức cung cấp dịch vụ chứng thực chữ ký số. Vì khoá không chuyển được từ token lên hệ thống của nhà cung cấp, chuyển sang ký từ xa thường có nghĩa là đăng ký một chứng thư mới, gắn với cặp khoá mới. Chứng thư mới có số hiệu (serial) khác chứng thư cũ, kể cả khi vẫn mua của cùng nhà cung cấp.

Số hiệu chứng thư thay đổi là điểm quan trọng nhất của việc chuyển đổi. Mọi hệ thống đã đăng ký chứng thư cũ của doanh nghiệp, từ cổng thuế, phần mềm hoá đơn đến bảo hiểm xã hội, đều phải được cập nhật sang chứng thư mới. Nếu không, chữ ký từ chứng thư mới có thể bị hệ thống đó từ chối dù hoàn toàn hợp lệ.

6 câu hỏi trước khi quyết định

Câu hỏi 1 quyết định tất cả. Ký số từ xa cần phần mềm đang ký gọi được tới hệ thống của nhà cung cấp ký từ xa, và mỗi phần mềm phải tích hợp riêng với từng dịch vụ. Một doanh nghiệp có cổng thuế và phần mềm hoá đơn hỗ trợ VNPT SmartCA, nhưng nền tảng trình ký nội bộ chỉ ký được bằng token, thì chuyển hẳn sang SmartCA sẽ làm tắc bước ký nội bộ.

Không bắt buộc chọn một trong hai

Một doanh nghiệp có thể có nhiều chứng thư số cùng lúc. Cách làm phổ biến là giữ USB Token cho nghiệp vụ mà phần mềm chỉ hỗ trợ token, và dùng thêm ký số từ xa cho người ký cần di chuyển hoặc cho cổng đã tích hợp. Chi phí sẽ cao hơn một chứng thư, nhưng không phải đổi toàn bộ hệ thống trong một lần. Khi mọi phần mềm đã hỗ trợ ký từ xa, doanh nghiệp có thể không gia hạn token ở kỳ sau.

Ký số từ xa có kém an toàn hơn USB Token không?

Ký số từ xa và USB Token an toàn theo hai cách khác nhau. Với USB Token, rủi ro chính là mất thiết bị, lộ mã PIN, hoặc token bị chuyền tay trong công ty. Với ký số từ xa, khoá nằm trong thiết bị HSM của nhà cung cấp, nên rủi ro chính chuyển sang tài khoản đăng nhập và chiếc điện thoại dùng để xác nhận lệnh ký. Thông tư 50/2025/TT-BKHCN ban hành QCVN 137:2025/BKHCN, có hiệu lực từ 01/7/2026, đặt nhóm yêu cầu riêng cho mô hình ký số từ xa: hệ thống quản lý khoá, thiết bị HSM, xác thực và ghi vết. Nhà cung cấp đang hoạt động phải đáp ứng trước ngày 10/4/2027.

Doanh nghiệp chọn ký số từ xa trong giai đoạn 2026–2027 nên hỏi nhà cung cấp về lộ trình đáp ứng QCVN 137:2025/BKHCN, cách khoá tài khoản khi mất điện thoại, và ai trong công ty được nhận thông báo mỗi lần chứng thư của doanh nghiệp được dùng để ký.

5 việc phải làm nếu quyết định chuyển

1. 1

   Chọn thời điểm

   Chuyển ở kỳ gia hạn token, cách hạn quyết toán thuế ít nhất 1 đến 2 tháng. Tránh tháng 3 và tháng 4, khi doanh nghiệp vừa cần ký nhiều vừa khó xử lý sự cố.

2. 2

   Đăng ký chứng thư mới và giữ token cũ đến hết hạn

   Đăng ký dịch vụ ký số từ xa và nhận chứng thư mới trước khi token cũ hết hạn. Giữ token cũ để ký trong lúc cập nhật các hệ thống, không yêu cầu thu hồi chứng thư cũ quá sớm.

3. 3

   Cập nhật chứng thư mới với cơ quan thuế

   Đăng ký thay đổi chữ ký điện tử theo hướng dẫn của hệ thống nơi doanh nghiệp giao dịch thuế (khoản 1 Điều 10 Thông tư 89/2026/TT-BTC), trong 03 ngày làm việc kể từ ngày có thay đổi (điểm b khoản 3 Điều 13).

4. 4

   Cập nhật các hệ thống còn lại

   Phần mềm hoá đơn điện tử, bảo hiểm xã hội, hải quan, ngân hàng điện tử, nền tảng trình ký và các cổng dịch vụ công đang dùng. Ghi lại hệ thống nào đã cập nhật, hệ thống nào chưa.

5. 5

   Ký thử trên từng hệ thống

   Ký thử một tờ khai, một hoá đơn, một văn bản nội bộ bằng chứng thư mới. Chỉ khi mọi hệ thống đều ký được mới ngừng dùng token cũ.

File đã ký bằng USB Token cũ có bị ảnh hưởng không?

Không. Chữ ký số trên các file đã ký được xét theo trạng thái chứng thư tại thời điểm ký (điểm a khoản 2 Điều 16 Nghị định 23/2025/NĐ-CP). Chứng thư cũ hết hạn sau đó không làm các file này mất giá trị. Doanh nghiệp chỉ cần lưu file gốc đã ký, không in ra hay chuyển đổi định dạng làm mất chữ ký số.

Nếu doanh nghiệp đang dùng GoSign

GoSign hiện ký số bằng USB Token hoặc SmartCard qua GoSign Desktop Signer trên Windows, và chưa hỗ trợ ký số từ xa. Doanh nghiệp đang ký số trên GoSign mà chuyển hẳn sang ký số từ xa sẽ không còn ký số được trên GoSign. Bước phê duyệt, ký nháy và ký ảnh trên GoSign vẫn dùng được. Nếu cần cả hai, giữ ít nhất một USB Token cho người ký số trên GoSign. Chúng tôi ghi tình trạng này trên bảng tương thích và sẽ cập nhật khi GoSign hỗ trợ ký số từ xa.