Mục 2 Chương 3 Nghị định 23/2025/NĐ-CP quy định về chữ ký điện tử và dịch vụ tin cậy

1. Gắn thời gian vào thông điệp dữ liệu; thời gian được gắn vào thông điệp dữ liệu là ngày và thời gian mà tổ chức cung cấp dịch vụ cấp dấu thời gian nhận được thông điệp dữ liệu đó.

2. Cung cấp thông tin cần thiết để giúp chứng thực thông điệp dữ liệu đó của thuê bao đã gắn ngày, tháng, năm và thời gian trên thông điệp dữ liệu.

3. Thực hiện việc lưu trữ, quản lý thông tin người sử dụng dịch vụ.

4. Cấp, gia hạn, tạm dừng, phục hồi và thu hồi tài khoản của thuê bao.

5. Duy trì trực tuyến dữ liệu về thông tin người sử dụng dịch vụ, dấu thời gian đã cấp.

1. Dịch vụ chứng thực thông điệp dữ liệu gồm:

2. Dịch vụ lưu trữ và xác nhận tính toàn vẹn của thông điệp dữ liệu bao gồm các hoạt động sau:

3. Dịch vụ gửi, nhận thông điệp dữ liệu bảo đảm bao gồm các hoạt động sau:

1. Dịch vụ chứng thực chữ ký số công cộng là dịch vụ do tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng cung cấp để xác thực chủ thể ký số trên thông điệp dữ liệu, bảo đảm tính chống chối bỏ của chủ thể ký với thông điệp dữ liệu và bảo đảm tính toàn vẹn của thông điệp dữ liệu được ký. Dịch vụ chứng thực chữ ký số công cộng gồm:

2. Dịch vụ chứng thực chữ ký số công cộng do tổ chức cung cấp dịch vụ tin cậy cung cấp bao gồm các hoạt động quy định tại các Điều 35, 36, 37, 38, 39, 40, 41, 42, 43 và 44 của Nghị định này.

1. Kiểm toán kỹ thuật là hoạt động đánh giá độc lập, khách quan đối với hệ thống thông tin, quy trình cung cấp dịch vụ nhằm xác định việc đáp ứng tiêu chuẩn kỹ thuật bắt buộc áp dụng, quy chuẩn kỹ thuật, yêu cầu kỹ thuật của chữ ký điện tử bảo đảm an toàn, chứng thư chữ ký điện tử bảo đảm an toàn, chữ ký số, chứng thư chữ ký số và dịch vụ tin cậy.

2. Bộ Thông tin và Truyền thông quy định kiểm toán kỹ thuật theo quy định tại khoản 1 Điều này phù hợp với pháp luật về tiêu chuẩn, quy chuẩn kỹ thuật.

1. Mã quản lý thiết bị là một dãy số hoặc chữ hoặc ký hiệu được sử dụng để định danh thiết bị trong hệ thống thông tin dịch vụ tin cậy theo quy định tại khoản 2 Điều này phục vụ công tác quản lý nhà nước.

Mã quản lý bao gồm các trường thông tin: tên, cấu hình, số sê-ri của thiết bị; địa điểm đặt thiết bị và chức năng của thiết bị.

2. Các thiết bị trong hệ thống thông tin cung cấp dịch vụ tin cậy phải gắn mã bao gồm: máy chủ; thiết bị thuộc thành phần quản lý vòng đời chứng thư chữ ký số; thiết bị lưu khóa bí mật; thiết bị lưu trữ; thiết bị mạng và bảo mật.

3. Cấp mã quản lý

4. Tổ chức cung cấp dịch vụ tin cậy có trách nhiệm đăng ký và gắn mã được cấp tự động vào thiết bị theo quy định tại khoản 2 và khoản 3 Điều này.

1. Quy chế chứng thực mẫu bao gồm tối thiểu các nội dung về chính sách chứng thư chữ ký điện tử, phạm vi, mục đích sử dụng, đối tượng được cấp, phát hành, yêu cầu đối với vòng đời hoạt động của chứng thư chữ ký điện tử/chứng thư chữ ký số.

2. Bộ Thông tin và Truyền thông ban hành quy chế chứng thực mẫu theo quy định tại khoản 1 Điều này.

3. Tổ chức cung cấp dịch vụ chứng thực điện tử quốc gia, tổ chức cung cấp dịch vụ tin cậy và tổ chức tạo lập chữ ký điện tử chuyên dùng bảo đảm an toàn có trách nhiệm xây dựng, công khai, thực hiện quy chế chứng thực trên cơ sở quy chế chứng thực mẫu. Khi có sự thay đổi thông tin trong quy chế chứng thực phải thông báo bằng văn bản đến Bộ Thông tin và Truyền thông (Trung tâm Chứng thực điện tử quốc gia).

1. Hệ thống thông tin phải bảo đảm cho việc kiểm tra trạng thái chứng thư chữ ký điện tử, chứng thư chữ ký số và kiểm tra hiệu lực chữ ký số.

2. Hệ thống thông tin phải có công cụ, biện pháp để bảo vệ dữ liệu và xác thực dữ liệu trong quá trình kết nối liên thông.

3. Các điều kiện kỹ thuật phục vụ liên thông, kết nối cung cấp thông tin để kiểm tra trạng thái chứng thư chữ ký điện tử, chứng thư chữ ký số và kiểm tra hiệu lực chữ ký số.

1. Thực hiện trách nhiệm theo quy định tại Điều 30 Luật Giao dịch điện tử, quy định pháp luật về an toàn thông tin mạng, an ninh mạng, bảo vệ dữ liệu cá nhân.

2. Thực hiện kiểm toán kỹ thuật định kỳ 02 năm.

3. Trường hợp bị tạm đình chỉ, tổ chức cung cấp dịch vụ tin cậy có trách nhiệm duy trì hệ thống cơ sở dữ liệu liên quan đến chứng thư chữ ký số công cộng đã phát hành cho đến khi được phục hồi chứng thư chữ ký số.

4. Trường hợp bị tạm đình chỉ, tổ chức cung cấp dịch vụ tin cậy có trách nhiệm duy trì cơ sở dữ liệu thông tin liên quan đến hoạt động cung cấp dịch vụ cho đến khi được phục hồi chứng thư chữ ký số.

1. Trường hợp cần xác thực về thời gian ký thông điệp dữ liệu, người nhận kiểm tra dấu thời gian được gắn với thông điệp dữ liệu và các thông tin liên quan về dấu thời gian phải được cấp bởi tổ chức cung cấp dịch vụ tin cậy về dấu thời gian được cấp phép.

2. Người nhận sử dụng công cụ phần mềm kiểm tra và quy trình kiểm tra đáp ứng tiêu chuẩn, quy chuẩn kỹ thuật về dấu thời gian hoặc kiểm tra dấu thời gian trên cả hệ thống chứng thực dịch vụ tin cậy của tổ chức cung cấp dịch vụ chứng thực điện tử quốc gia và hệ thống thông tin của tổ chức cung cấp dịch vụ tin cậy.

3. Người nhận phải chịu trách nhiệm về việc chấp nhận dấu thời gian trong các trường hợp sau:

1. Xây dựng, quản lý, khai thác và phát triển hạ tầng chứng thực điện tử quốc gia; quản lý, cung cấp dịch vụ cho các tổ chức cung cấp dịch vụ tin cậy, các cơ quan, tổ chức được cấp chứng nhận chữ ký điện tử chuyên dùng bảo đảm an toàn, tổ chức, cá nhân sử dụng chữ ký số, chứng thư chữ ký số, các tổ chức cung cấp dịch vụ chứng thực chữ ký điện tử nước ngoài và các cơ quan, tổ chức, cá nhân sử dụng chữ ký điện tử, chứng thư chữ ký điện tử được công nhận tại Việt Nam.

2. Công bố và cập nhật trên trang thông tin điện tử https://rootca.gov.vn/ những thông tin sau: danh sách các tổ chức cung cấp dịch vụ tin cậy, các cơ quan, tổ chức được cấp chứng nhận chữ ký điện tử chuyên dùng bảo đảm an toàn, các tổ chức cung cấp dịch vụ chứng thực chữ ký điện tử nước ngoài, chữ ký điện tử nước ngoài, chứng thư chữ ký điện tử nước ngoài được công nhận tại Việt Nam; quy chế chứng thực; danh sách chứng thư chữ ký số có hiệu lực, hết hạn, bị tạm dừng, bị thu hồi và những thông tin cần thiết khác.

3. Điều phối các hoạt động xử lý sự cố liên quan đến dịch vụ chứng thực chữ ký số và xác thực điện tử, dịch vụ cấp dấu thời gian và các dịch vụ khác theo quy định pháp luật giao dịch điện tử; cập nhật, lưu trữ đầy đủ, chính xác thông tin yêu cầu chứng thực theo quy định của pháp luật.

4. Đánh giá thực tế quy trình vận hành hệ thống thông tin cung cấp dịch vụ tin cậy, quy chế chứng thực, sự phù hợp của hệ thống thông tin cung cấp dịch vụ tin cậy với hồ sơ cấp giấy phép, việc tạo lập chữ ký điện tử chuyên dùng bảo đảm an toàn và chứng kiến việc tạo cặp khóa bí mật và khóa công khai của tổ chức cung cấp dịch vụ tin cậy.

5. Tự cấp chứng thư chữ ký số, tạo cặp khóa cho mình và cấp, tạm dừng, thu hồi chứng thư chữ ký số cho các tổ chức cung cấp dịch vụ tin cậy được quy định tại Chương III Nghị định này: tổ chức cung cấp dịch vụ chứng thực điện tử quốc gia đóng vai trò và có quyền, nghĩa vụ như tổ chức cung cấp dịch vụ tin cậy theo quy định tại Chương III của Nghị định này. Các tổ chức cung cấp dịch vụ tin cậy đóng vai trò và có quyền, nghĩa vụ như thuê bao theo quy định tại Chương III của Nghị định này.

6. Tổ chức thu, quản lý và sử dụng phí dịch vụ duy trì hệ thống kiểm tra trạng thái chứng thư chữ ký số theo quy định pháp luật phí và lệ phí.

7. Nghiên cứu, xây dựng, quản lý, vận hành hệ thống thử nghiệm, kiểm tra, đánh giá, hiệu chuẩn và đo kiểm tiêu chuẩn, chất lượng sản phẩm, dịch vụ chuyên ngành liên quan đến chữ ký điện tử và dịch vụ tin cậy theo quy định pháp luật giao dịch điện tử.

8. Kiểm tra việc đáp ứng các yêu cầu đối với chữ ký điện tử chuyên dùng bảo đảm an toàn và sự tuân thủ các điều kiện kinh doanh dịch vụ tin cậy.

9. Triển khai các hoạt động hợp tác quốc tế về chữ ký điện tử và dịch vụ tin cậy; phối hợp, hỗ trợ các cơ quan, tổ chức liên quan tích hợp dịch vụ tin cậy vào các ứng dụng công nghệ thông tin nhằm bảo đảm xác thực, an toàn.