Nghị định 23/2025/NĐ-CP: doanh nghiệp cần biết gì về chữ ký điện tử và dịch vụ tin cậy?

Ngày 21/02/2025, Chính phủ ban hành Nghị định 23/2025/NĐ-CP quy định về chữ ký điện tử và dịch vụ tin cậy. Nghị định có hiệu lực từ ngày 10/4/2025, thay thế Nghị định 130/2018/NĐ-CP và Nghị định 48/2024/NĐ-CP — hai văn bản mà nhiều hợp đồng, quy chế nội bộ của doanh nghiệp vẫn đang trích dẫn.

Nghị định 23/2025/NĐ-CP là văn bản hướng dẫn Luật Giao dịch điện tử 2023 ở mảng chữ ký điện tử. Bài viết tóm tắt những điểm doanh nghiệp đang dùng chữ ký số cần nắm, theo góc nhìn thực hành: chứng thư có thời hạn bao lâu, thế nào là chứng thư còn hiệu lực, có những mô hình ký số nào, và nên cập nhật gì trong quy trình nội bộ. Bài không thay thế việc đọc toàn văn nghị định.

Thông tin chung về Nghị định 23/2025/NĐ-CP

Phạm vi mở rộng: từ chữ ký số sang chữ ký điện tử và dịch vụ tin cậy

Nghị định 130/2018 chủ yếu xoay quanh chữ ký số và dịch vụ chứng thực chữ ký số. Nghị định 23/2025 mở rộng phạm vi sang chữ ký điện tử nói chung và các dịch vụ tin cậy, khớp với cách Luật Giao dịch điện tử 2023 phân loại: chữ ký điện tử chuyên dùng, chữ ký số công cộng và chữ ký số chuyên dùng công vụ (Điều 22 của Luật).

Ba dịch vụ tin cậy được quy định

• Dịch vụ cấp dấu thời gian — xác nhận một thông điệp dữ liệu đã tồn tại vào một thời điểm xác định
• Dịch vụ chứng thực thông điệp dữ liệu — chứng thực nội dung, nguồn gốc của thông điệp dữ liệu
• Dịch vụ chứng thực chữ ký số công cộng — cấp và quản lý chứng thư chữ ký số cho thuê bao; đây là dịch vụ doanh nghiệp dùng khi mua USB Token

Với phần lớn doanh nghiệp, dịch vụ chứng thực chữ ký số công cộng là phần liên quan trực tiếp nhất: chứng thư trên USB Token mà bạn dùng để ký hợp đồng, kê khai thuế hay phát hành hoá đơn đều do tổ chức cung cấp dịch vụ này cấp.

Các loại chứng thư và thời hạn hiệu lực

Nghị định phân loại chứng thư theo chủ thể cấp và mục đích sử dụng, đồng thời quy định thời hạn hiệu lực cho từng loại:

Dòng quan trọng nhất với doanh nghiệp là chứng thư cấp cho thuê bao: chứng thư trên USB Token của bạn có thời hạn tối đa 3 năm. Vì vậy cần theo dõi ngày hết hạn và gia hạn trước khi chứng thư hết hiệu lực, tránh gián đoạn việc ký hợp đồng, kê khai thuế hay phát hành hoá đơn.

Chứng thư chữ ký số công cộng phải có những thông tin gì?

• Tên của tổ chức phát hành chứng thư chữ ký số
• Tên của thuê bao
• Số hiệu chứng thư chữ ký số
• Thời hạn có hiệu lực của chứng thư
• Khoá công khai của thuê bao
• Chữ ký số của tổ chức phát hành chứng thư
• Mục đích, phạm vi sử dụng của chứng thư
• Trách nhiệm pháp lý của tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng
• Thuật toán khoá không đối xứng

Ba mô hình ký số: USB Token, di động và ký số từ xa

Nghị định ghi nhận ba mô hình cung cấp dịch vụ chứng thực chữ ký số công cộng. Khác biệt cốt lõi giữa chúng là khoá bí mật được lưu ở đâu và người ký kích hoạt khoá bằng cách nào.

Cả ba mô hình đều hợp pháp khi được cung cấp bởi tổ chức được cấp phép. Doanh nghiệp chọn mô hình theo cách làm việc: USB Token quen thuộc và chủ động về thiết bị; ký số từ xa hợp với người ký thường xuyên di chuyển. GoSign hiện hỗ trợ ký số bằng chứng thư trên USB Token/SmartCard thông qua ứng dụng GoSign Desktop Signer cài trên máy tính Windows.

Yêu cầu đối với phần mềm ký số

Nghị định cũng đặt ra chức năng tối thiểu cho phần mềm ký số, trong đó có việc kiểm tra hiệu lực của chứng thư trước khi ký và thông báo cho người dùng việc ký thành công hay không thành công. Nói cách khác, phần mềm ký tốt không chỉ "ký được" mà còn phải ngăn người dùng ký bằng chứng thư đã hết hạn và báo rõ kết quả.

Trên GoSign, hộp thoại "Chọn chứng thư số" gắn nhãn "Đang hoạt động" hoặc "Hết hạn / không hợp lệ" cho từng chứng thư đọc được từ thiết bị. Quá trình ký hiển thị từng bước — đọc chứng chỉ, chuẩn bị và băm tài liệu, ký bằng thiết bị (nhập PIN), ghép chữ ký — và báo lỗi cụ thể nếu một bước không thành công.

Quy chuẩn kỹ thuật mới cho nhà cung cấp dịch vụ: QCVN 137:2025/BKHCN

Ngày 31/12/2025, Bộ Khoa học và Công nghệ ban hành Thông tư 50/2025/TT-BKHCN kèm Quy chuẩn kỹ thuật quốc gia QCVN 137:2025/BKHCN về yêu cầu đối với dịch vụ chứng thực chữ ký số công cộng. Quy chuẩn có hiệu lực từ 01/7/2026; các tổ chức đang cung cấp dịch vụ phải đáp ứng trước ngày 10/4/2027. Quy chuẩn tham chiếu các tiêu chuẩn ETSI của châu Âu cho từng mô hình ký số và nhấn mạnh kiểm soát nhiều lớp, xác thực mạnh, ghi vết đầy đủ và phân quyền rõ ràng.

Đáp ứng QCVN 137:2025/BKHCN là nghĩa vụ của nhà cung cấp dịch vụ (CA), không phải của doanh nghiệp sử dụng. Tuy vậy, khi chọn hoặc gia hạn chứng thư, doanh nghiệp nên hỏi nhà cung cấp về lộ trình đáp ứng quy chuẩn mới.

Ai quản lý lĩnh vực chữ ký số hiện nay?

Từ ngày 01/3/2025, Bộ Thông tin và Truyền thông hợp nhất vào Bộ Khoa học và Công nghệ. Các nhiệm vụ quản lý nhà nước về chữ ký số và dịch vụ tin cậy trước đây của Bộ Thông tin và Truyền thông nay do Bộ Khoa học và Công nghệ đảm nhận; Trung tâm Chứng thực điện tử quốc gia (NEAC) tiếp tục là đơn vị vận hành hệ thống chứng thực điện tử quốc gia.

Doanh nghiệp nên làm gì?

1. 1

   Rà soát chứng thư đang dùng

   Lập danh sách USB Token trong doanh nghiệp: ai giữ, của nhà cung cấp nào, ngày hết hạn. Đặt lịch nhắc gia hạn trước ít nhất vài tuần.

2. 2

   Không cần vội đổi thiết bị

   Nghị định mới có hiệu lực không có nghĩa phải thay USB Token ngay. Điều quan trọng là chứng thư còn hiệu lực và nhà cung cấp đang hoạt động hợp pháp. Nếu chưa chắc, hỏi nhà cung cấp về các quy định chuyển tiếp.

3. 3

   Cập nhật căn cứ pháp lý trong văn bản mẫu

   Hợp đồng mẫu, quy chế nội bộ, điều khoản giao dịch điện tử còn trích dẫn Nghị định 130/2018 nên chuyển sang Luật Giao dịch điện tử 2023 và Nghị định 23/2025.

4. 4

   Phân định hình thức ký trong quy chế

   Ghi rõ loại văn bản nào cần chữ ký số, loại nào chỉ cần phê duyệt hoặc ký ảnh trong nội bộ, để tránh dùng sai mức độ.

5. 5

   Lập quy trình khi mất thiết bị hoặc lộ khoá

   Chỉ định đầu mối liên hệ nhà cung cấp, vì thuê bao phải thông báo trong 24 giờ khi phát hiện khoá bí mật có dấu hiệu bị lộ, bị đánh cắp hoặc bị sử dụng trái phép.