Thông tư số 19/2025/TT-BKHCNQuy định kiểm toán kỹ thuật đối với chữ ký điện tử và dịch vụ tin cậy

BỘ KHOA HỌC VÀ CÔNG NGHỆ

CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM

Độc lập – Tự do – Hạnh phúc

Số: 19/2025/TT-BKHCN

Hà Nội, ngày 06 tháng 10 năm 2025

THÔNG TƯ

Quy định kiểm tóan kỹ thuật đối với chữ ký điện tử và dịch vụ tin cậy

Căn cứ Luật Giao dịch điện tử số 20/2023/QH15 ngày 22 tháng 6 năm 2023;

Căn cứ Nghị định số 23/2025/NĐ-CP ngày 21 tháng 02 năm 2025 của Chính phủ quy định về chữ ký điện tử và dịch vụ tin cậy;

Căn cứ Nghị định số 127/2007/NĐ-CP ngày 01 tháng 8 năm 2007 của Chính phủ quy định chi tiết thi hành một số điều Luật tiêu chuẩn và quy chuẩn kỹ thuật; Nghị định số 78/2018/NĐ-CP ngày 16 tháng 5 năm 2018 của Chính phủ sửa đổi, bổ sung một số điều của Nghị định số 127/2007/NĐ-CP ;

Căn cứ Nghị định số 132/2008/NĐ-CP ngày 31 tháng 12 năm 2008 của Chính phủ quy định chi tiết thi hành một số điều của Luật Chất lượng sản phẩm, hàng hóa; Nghị định số 74/2018/NĐ-CP ngày 15 tháng 5 năm 2018 của Chính phủ sửa đổi, bổ sung một số điều của Nghị định số 132/2008/NĐ-CP ;

Căn cứ Nghị định số 55/2025/NĐ-CP ngày 02 tháng 3 năm 2025 của Chính phủ quy định chức năng, nhiệm vụ, quyền hạn và cơ cấu tổ chức của Bộ Khoa học và Công nghệ;

Theo đề nghị của Giám đốc Trung tâm Chứng thực điện tử quốc gia; Bộ trưởng Bộ Khoa học và Công nghệ ban hành Thông tư quy định kiểm tóan kỹ thuật đối với chữ ký điện tử và dịch vụ tin cậy.

Chương I NHỮNG QUY ĐỊNH CHUNG

Điều 1. Phạm vi điều chỉnh Thông tư này quy định chi tiết về họat động kiểm tóan kỹ thuật được quy định tại khỏan 2 Điều 27 Nghị định số 23/2025/NĐ-CP ngày 21/02/2025 của Chính phủ quy định về chữ ký điện tử và dịch vụ tin cậy.

Điều 2. Đối tượng áp dụng 1. Thông tư này áp dụng đối với các tổ chức, cá nhân tham gia hoặc có liên quan đến họat động kiểm tóan kỹ thuật đối với hệ thống thông tin, quy trình cung cấp dịch vụ chữ ký điện tử bảo đảm an tòan, chứng thư chữ ký điện tử bảo đảm an tòan, chữ ký số, chứng thư chữ ký số và dịch vụ tin cậy.

2. Cơ quan, tổ chức tạo lập, sử dụng chữ ký điện tử bảo đảm an tòan và chứng thư chữ ký điện tử bảo đảm an tòan được chủ động thực hiện kiểm tóan kỹ thuật quy định tại Thông tư này để đánh giá hệ thống thông tin và quy trình cung cấp dịch vụ.

Điều 3. Giải thích từ ngữ Trong Thông tư này, các từ ngữ dưới đây được hiểu như sau:

1. "Kiểm tóan kỹ thuật" là họat động đánh giá độc lập, khách quan đối với hệ thống thông tin, quy trình cung cấp dịch vụ nhằm xác định việc đáp ứng tiêu chuẩn kỹ thuật bắt buộc áp dụng, quy chuẩn kỹ thuật, yêu cầu kỹ thuật của chữ ký điện tử bảo đảm an tòan, chứng thư chữ ký điện tử bảo đảm an tòan, chữ ký số, chứng thư chữ ký số và dịch vụ tin cậy. Trong đó, tiêu chuẩn kỹ thuật bắt buộc áp dụng khi được viện dẫn trong quy chuẩn kỹ thuật hoặc văn bản quy phạm pháp luật.

2. "Tổ chức kiểm tóan kỹ thuật" là tổ chức chứng nhận được chỉ định theo quy định của pháp luật về tiêu chuẩn, quy chuẩn kỹ thuật, chất lượng sản phẩm, hàng hóa.

3. "Mẫu địa điểm đại diện" là một hoặc một số địa điểm trong số các địa điểm đăng ký họat động của tổ chức được kiểm tóan kỹ thuật, được lựa chọn để tiến hành đánh giá, nhằm đảm bảo hiệu quả, tiết kiệm nguồn lực và vẫn phản ánh khách quan mức độ tuân thủ của tòan bộ hệ thống.

Điều 4.

Căn cứ đánh giá và chu kỳ kiểm tóan kỹ thuật 1.

Căn cứ đánh giá của kiểm tóan kỹ thuật là các yêu cầu cụ thể đối với hệ thống thông tin, quy trình cung cấp dịch vụ quy định tại quy chuẩn kỹ thuật, tiêu chuẩn kỹ thuật, yêu cầu kỹ thuật áp dụng đối với chữ ký điện tử bảo đảm an tòan, chứng thư chữ ký điện tử bảo đảm an tòan, chữ ký số, chứng thư chữ ký số và dịch vụ tin cậy.

2. Kiểm tóan kỹ thuật được thực hiện định kỳ 02 năm/lần.

3. Trong thời gian tối đa 01 (một) năm kể từ ngày được cấp chứng thư chữ ký số, tổ chức cung cấp dịch vụ tin cậy phải hòan thành kiểm tóan kỹ thuật lần đầu, trừ trường hợp quy định tại khỏan 2 Điều 15 của Thông tư này.

Điều 5. Phương pháp kiểm tóan kỹ thuật theo mẫu địa điểm đại diện Đối với các tổ chức được kiểm tóan kỹ thuật có nhiều địa điểm họat động, việc kiểm tóan kỹ thuật phải được thực hiện đánh giá tại trụ sở chính của tổ chức được kiểm tóan kỹ thuật và có thể lựa chọn mẫu đại diện đối với các địa điểm còn lại nhằm đảm bảo tính tòan diện, độc lập, khách quan và hiệu quả của cuộc kiểm tóan kỹ thuật. Khi sử dụng phương pháp kiểm tóan kỹ thuật theo mẫu địa điểm đại diện, tổ chức kiểm tóan kỹ thuật cần đảm bảo những nội dung sau:

1. Số lượng mẫu địa điểm đại diện được quy định trong hợp đồng cung cấp dịch vụ kiểm tóan kỹ thuật;

2. Việc lựa chọn mẫu địa điểm đại diện dựa trên các yếu tố sau:

a) Kết quả của việc xem xét chính sách bảo mật thông tin;

b) Sự khác biệt về quy mô của các địa điểm đặt hệ thống thông tin;

c) Sự khác biệt về mục đích họat động của các địa điểm;

d) Mức độ phức tạp của các hệ thống thông tin tại các địa điểm khác nhau;

đ) Sự khác biệt về chính sách quản lý và phương pháp làm việc giữa các địa điểm;

e) Rủi ro tiềm ẩn về mất an tòan đối với các hệ thống thông tin, quy trình cung cấp dịch vụ giữa các địa điểm;

g) Địa điểm đặt hệ thống thông tin được vận hành bởi các bên khác nhau.

3. Việc lựa chọn mẫu phải kết hợp giữa phương pháp lựa chọn có chủ đích (dựa trên các tiêu chí tại khỏan 2 Điều này) và phương pháp lựa chọn ngẫu nhiên;

4. Trong trường hợp phát hiện thấy sự không phù hợp tại một trong các mẫu địa điểm đại diện, hành động khắc phục phải được áp dụng cho tất cả các địa điểm họat động của tổ chức được kiểm tóan kỹ thuật;

5. Tổ chức kiểm tóan kỹ thuật phải lập hồ sơ, lưu giữ tài liệu về việc lựa chọn địa điểm đánh giá theo mẫu đại diện.

Điều 6. Xem xét hành động khắc phục Việc thực hiện, xem xét hành động khắc phục (nếu có) và cấp giấy chứng nhận theo các nội dung như sau:

1. Bước 1: Lập báo cáo đánh giá sơ bộ và yêu cầu khắc phục Tổ chức kiểm tóan kỹ thuật lập báo cáo đánh giá sơ bộ sau khi thực hiện các nội dung kiểm tóan kỹ thuật được quy định tại Điều 9, Điều 10 và Điều 11 Thông tư này, trong đó nêu rõ các vấn đề cần khắc phục và gửi cho tổ chức được kiểm tóan kỹ thuật để yêu cầu lập kế họach khắc phục.

2. Bước 2: Xây dựng kế họach khắc phục Tổ chức được kiểm tóan kỹ thuật phải xây dựng và thông báo cho tổ chức kiểm tóan kỹ thuật về kế họach khắc phục dựa trên báo cáo đánh giá sơ bộ tại Bước 1, bao gồm các hành động khắc phục tương ứng.

3. Bước 3: Gửi kết quả khắc phục và bằng chứng Sau khi hòan thành kế họach khắc phục, tổ chức được kiểm tóan kỹ thuật phải gửi văn bản báo cáo kết quả khắc phục kèm theo bằng chứng khắc phục đến tổ chức kiểm tóan kỹ thuật.

4. Bước 4: Đánh giá kết quả khắc phục Tổ chức kiểm tóan kỹ thuật đánh giá kết quả khắc phục trên cơ sở các bằng chứng được cung cấp. Trong trường hợp cần thiết, có thể yêu cầu bổ sung, làm rõ hoặc xác minh thực tế.

5. Bước 5: Cấp giấy chứng nhận Tổ chức kiểm tóan kỹ thuật xem xét việc cấp giấy chứng nhận theo quy định tại khỏan 2 Điều 12 Thông tư này.

Điều 7. Báo cáo kiểm tóan kỹ thuật Báo cáo kiểm tóan kỹ thuật phải bao gồm các nội dung cơ bản sau đây:

1. Thông tin chung về cuộc kiểm tóan kỹ thuật:

a) Mô tả thông tin chung về tổ chức được kiểm tóan kỹ thuật;

b) Mục tiêu, phạm vi, địa điểm kiểm tóan kỹ thuật;

c)

Căn cứ đánh giá được quy định tại khỏan 1 Điều 4 Thông tư này;

d) Các căn cứ pháp lý có liên quan.

2. Đánh giá rủi ro bảo mật thông tin của tổ chức được kiểm tóan kỹ thuật;

3. Thời gian thực hiện các nội dung kiểm tóan kỹ thuật và tổng thời gian kiểm tóan kỹ thuật;

4. Phương thức kiểm tóan kỹ thuật được sử dụng trong quá trình đánh giá;

5. Các thông tin phục vụ việc ra quyết định chứng nhận bao gồm:

a) Các nội dung, phạm vi, địa điểm được kiểm tóan kỹ thuật, các bằng chứng đã thu thập;

b) Các phát hiện đánh giá;

c) Thông tin chi tiết về sự không phù hợp (nếu có);

d) Kết luận về sự phù hợp của tổ chức được kiểm tóan kỹ thuật với căn cứ đánh giá được quy định tại khỏan 1 Điều 4 Thông tư này;

đ) Báo cáo đánh giá của chuyên gia đánh giá về quá trình kiểm tóan kỹ thuật;

e) Thông tin về các mẫu địa điểm đại diện được kiểm tóan kỹ thuật.

6. Báo cáo kiểm tóan kỹ thuật được trưởng đòan kiểm tóan kỹ thuật ký và tổ chức kiểm tóan kỹ thuật đóng dấu. Trường hợp báo cáo kiểm tóan kỹ thuật được thiết lập dưới dạng thông điệp dữ liệu phải được ký số bởi trưởng đòan kiểm tóan kỹ thuật và tổ chức kiểm tóan kỹ thuật.

Điều 8. Chỉ định tổ chức kiểm tóan kỹ thuật 1. Bộ Khoa học và Công nghệ chỉ định tổ chức kiểm tóan kỹ thuật theo quy định của pháp luật về tiêu chuẩn, quy chuẩn kỹ thuật, chất lượng sản phẩm, hàng hóa.

2. Danh sách tổ chức kiểm tóan kỹ thuật được Bộ Khoa học và Công nghệ chỉ định được đăng tải công khai trên Cổng thông tin điện tử của Bộ Khoa học và Công nghệ.

Chương II KIỂM TÓAN KỸ THUẬT

Điều 9. Chuẩn bị và thống nhất kế họach kiểm tóan kỹ thuật 1. Tổ chức kiểm tóan kỹ thuật có trách nhiệm thu thập thông tin nhằm mục đích làm cơ sở đề xuất kế họach kiểm tóan kỹ thuật phù hợp với quy mô và tình hình thực tế của tổ chức được kiểm tóan kỹ thuật. Các thông tin này bao gồm:

a) Thông tin chi tiết của tổ chức được kiểm tóan kỹ thuật;

b) Quy chế chứng thực và chính sách chứng thư chữ ký điện tử;

c) Quy trình vận hành và kiểm sóat;

d) Tài liệu kỹ thuật về hệ thống thông tin;

đ) Các điều khỏan giao kết với khách hàng;

e) Các hợp đồng, thỏa thuận với bên thứ ba (nếu có);

g) Tài liệu, hồ sơ chứng minh về tuân thủ họat động như nhật ký hệ thống, nhật ký vận hành;

h) Các báo cáo khác có liên quan nhằm phục vụ kiểm tóan kỹ thuật.

2. Kế họach kiểm tóan kỹ thuật phải đảm bảo thể hiện rõ các yêu cầu sau:

a)

Căn cứ đánh giá theo khỏan 1 Điều 4 Thông tư này;

b) Thời hạn kiểm tóan kỹ thuật theo quy định tại Điều 13 Thông tư này;

c) Các địa điểm kiểm tóan kỹ thuật. Trong trường hợp tổ chức kiểm tóan kỹ thuật cần áp dụng phương pháp kiểm tóan kỹ thuật theo mẫu địa điểm đại diện được quy định tại Điều 5 Thông tư này, tổ chức kiểm tóan kỹ thuật phải liệt kê các mẫu địa điểm đại diện và căn cứ lựa chọn trong kế họach kiểm tóan kỹ thuật.

3. Tổ chức kiểm tóan kỹ thuật tổ chức họp và thống nhất bằng văn bản với tổ chức được kiểm tóan kỹ thuật về các nội dung dự kiến triển khai trong kế họach kiểm tóan kỹ thuật.

Điều 10. Đánh giá thông tin thu thập Tổ chức kiểm tóan kỹ thuật đánh giá thông tin được cung cấp bởi tổ chức được kiểm tóan kỹ thuật theo quy định tại khỏan 1 Điều 9 Thông tư này. Kết quả đánh giá là cơ sở để triển khai kế họach đánh giá thực tế.

Điều 11. Đánh giá thực tế Tổ chức kiểm tóan kỹ thuật thực hiện đánh giá trực tiếp tại tổ chức được kiểm tóan kỹ thuật theo kế họach, nội dung đánh giá đã thống nhất.

Điều 12. Cấp giấy chứng nhận 1. Trong trường hợp cần có hành động khắc phục, tổ chức được kiểm tóan kỹ thuật triển khai hành động khắc phục theo quy định tại Điều 6 Thông tư này.

Căn cứ kết quả đánh giá của cuộc kiểm tóan kỹ thuật và kết quả hành động khắc phục (nếu có), tổ chức kiểm tóan kỹ thuật xem xét, quyết định cấp giấy chứng nhận kèm theo báo cáo kiểm tóan kỹ thuật cho tổ chức được kiểm tóan kỹ thuật; trường hợp không cấp giấy chứng nhận, tổ chức kiểm tóan kỹ thuật thông báo bằng văn bản nêu rõ lý do kèm theo báo cáo kiểm tóan kỹ thuật cho tổ chức được kiểm tóan.

Điều 13. Thời hạn kiểm tóan kỹ thuật 1. Thời hạn của cuộc kiểm tóan kỹ thuật được tính từ ngày bắt đầu thực hiện đánh giá thông tin thu thập tới ngày ban hành báo cáo kiểm tóan kỹ thuật.

2. Thời hạn cho mỗi cuộc kiểm tóan kỹ thuật không quá 06 tháng.

3. Trường hợp cần thực hiện hành động khắc phục, thời gian để hòan thành kế họach khắc phục do tổ chức được kiểm tóan kỹ thuật đề xuất vượt quá thời hạn kiểm tóan kỹ thuật nêu tại khỏan 2 Điều này, tổ chức kiểm tóan kỹ thuật và tổ chức được kiểm tóan kỹ thuật thống nhất bằng văn bản về việc kéo dài thời hạn kiểm tóan kỹ thuật nhưng không quá 45 ngày.

Chương III TRÁCH NHIỆM CỦA CÁC CƠ QUAN, TỔ CHỨC LIÊN QUAN VÀ ĐIỀU KHỎAN THI HÀNH

Điều 14. Trách nhiệm của các cơ quan, tổ chức có liên quan 1. Tổ chức kiểm tóan kỹ thuật có trách nhiệm:

a) Thực hiện quyền và nghĩa vụ của tổ chức chứng nhận theo quy định của pháp luật về tiêu chuẩn, quy chuẩn kỹ thuật;

b) Thực hiện đầy đủ, khách quan, độc lập các họat động kiểm tóan kỹ thuật theo quy định của pháp luật về tiêu chuẩn, quy chuẩn kỹ thuật, chất lượng sản phẩm, hàng hóa và các quy định tại Thông tư này;

c) Đảm bảo quy trình kiểm tóan kỹ thuật tuân thủ theo các quy định của Thông tư này.

2. Tổ chức được kiểm tóan kỹ thuật có trách nhiệm:

a) Trong thời gian tối đa 05 (năm) ngày làm việc kể từ ngày nhận được kết quả kiểm tóan kỹ thuật, gửi kết quả kiểm tóan kỹ thuật đến Bộ Khoa học và Công nghệ (Trung tâm Chứng thực điện tử quốc gia) để phục vụ công tác quản lý;

b) Bảo đảm tính liên tục về hiệu lực của giấy chứng nhận trong quá trình cung cấp dịch vụ tin cậy.

3. Ủy ban Tiêu chuẩn Đo lường Chất lượng Quốc gia (Bộ Khoa học và Công nghệ) có trách nhiệm:

a) Là đầu mối tiếp nhận, xử lý hồ sơ đăng ký chỉ định tổ chức kiểm tóan kỹ thuật và trình Bộ trưởng Bộ Khoa học và Công nghệ ra quyết định chỉ định tổ chức kiểm tóan kỹ thuật phù hợp với pháp luật về tiêu chuẩn, quy chuẩn kỹ thuật, chất lượng sản phẩm, hàng hóa;

b) Chủ trì, phối hợp với Trung tâm Chứng thực điện tử quốc gia (Bộ Khoa học và Công nghệ) và các đơn vị liên quan trong việc rà sóat, cập nhật, hòan thiện hệ thống quy chuẩn kỹ thuật, tiêu chuẩn kỹ thuật trong lĩnh vực dịch vụ tin cậy.

4. Trung tâm Chứng thực điện tử quốc gia (Bộ Khoa học và Công nghệ) có trách nhiệm là đầu mối tiếp nhận báo cáo kiểm tóan kỹ thuật từ các tổ chức được kiểm tóan kỹ thuật; tổng hợp, báo cáo Bộ trưởng Bộ Khoa học và Công nghệ phục vụ công tác quản lý nhà nước đối với họat động cung cấp dịch vụ tin cậy.

Điều 15. Tổ chức thực hiện và Hiệu lực thi hành 1. Thông tư có hiệu lực thi hành từ ngày 01 tháng 01 năm 2026.

2. Trong thời hạn 03 (ba) năm kể từ ngày Nghị định số 23/2025/NĐ-CP ngày 21/02/2025 của Chính phủ quy định về chữ ký điện tử và dịch vụ tin cậy có hiệu lực, các tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng đã được cấp phép theo Nghị định số 130/2018/NĐ-CP ngày 27/9/2018 của Chính phủ quy định chi tiết thi hành luật giao dịch điện tử về chữ ký số và dịch vụ chứng thực chữ ký số phải lập kế họach và hòan thành việc kiểm tóan kỹ thuật lần đầu.

3. Trong quá trình tổ chức thực hiện, nếu có khó khăn, vướng mắc, tổ chức, cá nhân có liên quan phản ánh về Bộ Khoa học và Công nghệ (Trung tâm Chứng thực điện tử quốc gia) để kịp thời giải quyết./. BỘ TRƯỞNG (Đã ký) Nguyễn Mạnh Hùng