Mốc 10/4/2027: nhà cung cấp chữ ký số và phần mềm ký số phải nâng cấp gì, doanh nghiệp cần làm gì

Mốc 10/4/2027 ít được nhắc tới vì nó không nằm trong một văn bản mới, mà nằm ở điều khoản chuyển tiếp của Nghị định 23/2025/NĐ-CP về chữ ký điện tử và dịch vụ tin cậy. Bài này đọc từ bản Nghị định đăng trên Công báo, tách rõ việc của nhà cung cấp chữ ký số, việc của đơn vị làm phần mềm và việc của doanh nghiệp đang dùng chữ ký số.

Vì sao là ngày 10/4/2027?

Khoản 1 Điều 46 Nghị định 23/2025/NĐ-CP quy định Nghị định có hiệu lực thi hành từ ngày 10 tháng 4 năm 2025. Khoản 4 và khoản 6 Điều 47 cùng dùng cụm "trong vòng 02 năm kể từ ngày Nghị định này có hiệu lực thi hành". Cộng 02 năm từ 10/4/2025, thời hạn chuyển tiếp kết thúc ngày 10/4/2027.

Các phần mềm ứng dụng có tích hợp phần mềm ký số, phần mềm kiểm tra chữ ký số trong vòng 02 năm kể từ ngày Nghị định này có hiệu lực, phải được rà soát, nâng cấp đáp ứng quy định tại Điều 17 Nghị định này.

— Khoản 6 Điều 47 Nghị định 23/2025/NĐ-CP

Nhà cung cấp chữ ký số (CA) phải nâng cấp gì?

Khoản 4 Điều 47 yêu cầu CA đang hoạt động nâng cấp hệ thống thông tin và đội ngũ nhân lực đáp ứng Nghị định 23/2025. Phần yêu cầu kỹ thuật cụ thể nằm ở hai quy chuẩn do Bộ Khoa học và Công nghệ ban hành ngày 31/12/2025, cùng có hiệu lực từ 01/7/2026:

• QCVN 137:2025/BKHCN về yêu cầu đối với dịch vụ chứng thực chữ ký số công cộng, ban hành kèm Thông tư 50/2025/TT-BKHCN. Quy chuẩn có nhóm yêu cầu riêng cho từng mô hình ký số, trong đó có ký số từ xa: hệ thống quản lý khoá, thiết bị HSM, xác thực và ghi vết.
• QCVN 138:2025/BKHCN về dịch vụ cấp dấu thời gian, ban hành kèm Thông tư 51/2025/TT-BKHCN.

Việc đáp ứng hai quy chuẩn này là nghĩa vụ của nhà cung cấp, không phải của doanh nghiệp mua chứng thư. Doanh nghiệp không cần tự kiểm tra hệ thống của CA, nhưng có quyền hỏi nhà cung cấp về lộ trình đáp ứng, nhất là khi đang chọn mua hoặc gia hạn chứng thư trong giai đoạn 2026–2027.

Phần mềm ký số phải đáp ứng những gì theo Điều 17?

Điều 17 Nghị định 23/2025/NĐ-CP đặt chức năng tối thiểu cho hai loại phần mềm: phần mềm ký số (dùng để ký) và phần mềm kiểm tra chữ ký số (dùng để xác minh). Khoản 1 Điều 17 còn cấm dùng rào cản kỹ thuật, công nghệ để hạn chế việc kiểm tra hiệu lực chữ ký số.

Khoản 4 Điều 17 giao Bộ trưởng quy định yêu cầu kỹ thuật cho các chức năng này. Văn bản đó là Thông tư 15/2025/TT-BKHCN ngày 15/8/2025 của Bộ Khoa học và Công nghệ, có hiệu lực từ ngày ký và thay thế Thông tư 22/2020/TT-BTTTT. Thông tư quy định yêu cầu kỹ thuật đối với phần mềm ký số, phần mềm kiểm tra chữ ký số và Cổng kết nối dịch vụ chứng thực chữ ký số công cộng (gọi tắt là Cổng eSign).

Theo phần giới thiệu Thông tư 15/2025/TT-BKHCN của Bộ Khoa học và Công nghệ và Báo Chính phủ, phần mềm ký số phải kiểm tra thông tin chủ thể ký và hiệu lực chứng thư trước khi cho phép ký, hỗ trợ gắn dấu thời gian khi pháp luật yêu cầu, và bảo đảm toàn vẹn dữ liệu sau khi ký. Phần mềm kiểm tra chữ ký số phải kiểm tra theo đường dẫn tin cậy về chứng thư gốc của Trung tâm Chứng thực điện tử quốc gia (NEAC) hoặc danh sách tin cậy nước ngoài được công nhận, và hiển thị kết quả bằng tiếng Việt. Thông tư cũng nêu độ dài khoá tối thiểu RSA 2048 bit, ECDSA 256 bit, và các định dạng chữ ký PAdES (PDF), XAdES (XML), CAdES.

Doanh nghiệp dùng chữ ký số có nghĩa vụ gì?

Doanh nghiệp dùng chữ ký số không phải nâng cấp hệ thống của CA, nhưng có hai nghĩa vụ trực tiếp theo Nghị định 23/2025/NĐ-CP, áp dụng ngay từ 10/4/2025 chứ không đợi đến 2027:

• Là người ký: trước khi ký phải kiểm tra trạng thái chứng thư của mình và của tổ chức phát hành; chỉ ký khi cả hai cùng có hiệu lực (khoản 1 Điều 15). Người ký phải sử dụng phần mềm ký số đáp ứng Điều 17 (khoản 2 Điều 15).
• Là người nhận: trước khi chấp nhận chữ ký số phải kiểm tra trạng thái chứng thư tại thời điểm ký, phạm vi sử dụng, giới hạn trách nhiệm và việc chữ ký được tạo bởi khoá bí mật tương ứng (Điều 16).

Khoản 2 Điều 15 là lý do mốc 10/4/2027 liên quan tới doanh nghiệp: sau mốc này, các phần mềm có tích hợp ký số mà doanh nghiệp đang dùng, gồm phần mềm hoá đơn, kế toán, khai thuế, nền tảng trình ký, đều phải đã nâng cấp đáp ứng Điều 17. Doanh nghiệp nên biết phần mềm nào của mình đã làm việc này.

Việc nên làm trước 10/4/2027

1. 1

   Lập danh sách phần mềm có ký số

   Liệt kê mọi phần mềm doanh nghiệp dùng để ký hoặc kiểm tra chữ ký số: phần mềm hoá đơn điện tử, phần mềm kế toán, công cụ khai thuế, phần mềm bảo hiểm xã hội, nền tảng trình ký, eContract. Ghi rõ đơn vị cung cấp và người phụ trách phía doanh nghiệp.

2. 2

   Hỏi từng nhà cung cấp phần mềm bằng văn bản

   Đề nghị nhà cung cấp cho biết phần mềm đã rà soát theo Điều 17 Nghị định 23/2025/NĐ-CP và Thông tư 15/2025/TT-BKHCN chưa, kế hoạch hoàn thành trước 10/4/2027 ra sao, và có cần doanh nghiệp cập nhật phiên bản hay cài lại công cụ ký không.

3. 3

   Hỏi CA về lộ trình QCVN 137

   Khi mua mới hoặc gia hạn chứng thư, hỏi nhà cung cấp chữ ký số về lộ trình đáp ứng QCVN 137:2025/BKHCN, nhất là nếu doanh nghiệp đang hoặc định dùng ký số từ xa.

4. 4

   Rà lại chứng thư đang dùng

   Kiểm tra ngày hết hạn của từng USB Token. Chứng thư công cộng có thời hạn tối đa 03 năm (khoản 3 Điều 7). Tránh để nhiều chứng thư hết hạn dồn vào quý I và quý II năm 2027, khi vừa vào mùa quyết toán thuế vừa sát mốc 10/4/2027.

5. 5

   Kiểm tra chữ ký trên file nhận được

   Tập thói quen kiểm tra chữ ký số trên hợp đồng, chứng từ đối tác gửi trước khi chấp nhận, đúng nghĩa vụ của người nhận tại Điều 16.

GoSign ở đâu trong chuyện này?

GoSign là nền tảng trình ký có tích hợp ký số bằng USB Token qua GoSign Desktop Signer, nên GoSign thuộc nhóm phần mềm tại khoản 6 Điều 47. Hộp thoại "Chọn chứng thư số" của GoSign gắn nhãn "Đang hoạt động" hoặc "Hết hạn / không hợp lệ" cho từng chứng thư đọc được, và quá trình ký báo từng bước, báo lỗi cụ thể nếu một bước không thành công. Bài này không phải bản tự công bố GoSign đáp ứng đầy đủ Điều 17 và Thông tư 15/2025/TT-BKHCN. Doanh nghiệp đang dùng GoSign có thể đề nghị chúng tôi trả lời bằng văn bản như với mọi nhà cung cấp phần mềm khác.

GoSign không phải tổ chức cung cấp dịch vụ chứng thực chữ ký số, không phát hành chứng thư số và không cấp dấu thời gian, nên các nghĩa vụ của CA tại khoản 4 Điều 47 không thuộc về GoSign.