QUY ĐỊNH KIỂM TOÁN KỸ THUẬT ĐỐI VỚI CHỮ KÝ ĐIỆN TỬ VÀ DỊCH VỤ TIN CẬY
Thông tư 19/2025/TT-BKHCN quy định chi tiết hoạt động kiểm toán kỹ thuật đối với chữ ký điện tử và dịch vụ tin cậy. Cập nhật điểm mới và yêu cầu quan trọng.
1. Bối cảnh ban hành Thông tư 19/2025/TT-BKHCN
Ngày 06/10/2025, Bộ Khoa học và Công nghệ chính thức ban hành Thông tư số 19/2025/TT-BKHCN quy định về kiểm toán kỹ thuật đối với chữ ký điện tử và dịch vụ tin cậy.
Thông tư được xây dựng dựa trên:
+ Luật Giao dịch điện tử 2023
+ Nghị định 23/2025/NĐ-CP về chữ ký điện tử và dịch vụ tin cậy
+ Các văn bản pháp lý liên quan đến tiêu chuẩn, quy chuẩn kỹ thuật và chất lượng sản phẩm, hàng hóa.
Mục tiêu là đảm bảo tính an toàn, minh bạch và tuân thủ pháp luật trong hoạt động cung cấp dịch vụ chữ ký điện tử, chữ ký số, chứng thư số và các dịch vụ tin cậy tại Việt Nam.
2. Phạm vi và đối tượng áp dụng
2.1. Phạm vi điều chỉnh
Thông tư quy định chi tiết hoạt động kiểm toán kỹ thuật đối với:
+ Hệ thống thông tin
+ Quy trình cung cấp dịch vụ chữ ký điện tử và chứng thư chữ ký điện tử bảo đảm an toàn
+ Chữ ký số, chứng thư chữ ký số
+ Các loại dịch vụ tin cậy theo quy định pháp luật.
2.2. Đối tượng áp dụng
Bao gồm:
+ Các tổ chức cung cấp dịch vụ chữ ký điện tử, chữ ký số, chứng thư số.
+ Các tổ chức, cá nhân có liên quan đến hoạt động kiểm toán kỹ thuật.
+ Các cơ quan, đơn vị quản lý nhà nước trong lĩnh vực tiêu chuẩn – đo lường – chất lượng.
3. Kiểm toán kỹ thuật là gì?
Kiểm toán kỹ thuật là hoạt động đánh giá độc lập, khách quan hệ thống thông tin và quy trình cung cấp dịch vụ nhằm xác định mức độ tuân thủ các tiêu chuẩn, quy chuẩn và yêu cầu kỹ thuật liên quan đến chữ ký điện tử, chứng thư điện tử và dịch vụ tin cậy.
👉 Các tổ chức thực hiện kiểm toán kỹ thuật phải là tổ chức chứng nhận được Bộ KH&CN chỉ định theo quy định pháp luật.
4. Chu kỳ và phương pháp kiểm toán kỹ thuật
4.1. Chu kỳ kiểm toán
+ Kiểm toán kỹ thuật thực hiện định kỳ 02 năm/lần.
+ Tổ chức cung cấp dịch vụ tin cậy phải hoàn thành kiểm toán kỹ thuật lần đầu trong vòng 01 năm kể từ ngày được cấp chứng thư chữ ký số.
4.2. Phương pháp kiểm toán theo mẫu địa điểm đại diện
Với tổ chức có nhiều địa điểm hoạt động, kiểm toán kỹ thuật sẽ:
+ Được thực hiện tại trụ sở chính, đồng thời lựa chọn mẫu địa điểm đại diện để đánh giá.
+ Việc chọn mẫu dựa trên nhiều yếu tố như chính sách bảo mật, quy mô hệ thống, rủi ro tiềm ẩn…
+ Nếu phát hiện điểm không phù hợp ở một địa điểm mẫu, hành động khắc phục phải áp dụng cho toàn hệ thống.
5. Quy trình kiểm toán kỹ thuật
Thông tư quy định quy trình gồm 5 bước chính:
1. Lập báo cáo đánh giá sơ bộ & yêu cầu khắc phục
2. Xây dựng kế hoạch khắc phục từ phía tổ chức được kiểm toán
3. Gửi kết quả khắc phục & bằng chứng cho đơn vị kiểm toán
4. Đánh giá kết quả khắc phục và yêu cầu bổ sung nếu cần
5. Cấp giấy chứng nhận kiểm toán kỹ thuật khi đáp ứng đầy đủ yêu cầu
6. Báo cáo kiểm toán kỹ thuật
Báo cáo kiểm toán phải thể hiện:
+ Thông tin về tổ chức kiểm toán và tổ chức được kiểm toán
+ Mục tiêu, phạm vi, căn cứ pháp lý
+ Kết quả đánh giá rủi ro bảo mật, phương thức kiểm toán
+ Các phát hiện, điểm không phù hợp và kết luận về mức độ tuân thủ
+ Báo cáo của chuyên gia và danh sách địa điểm được kiểm toán.
Báo cáo có thể ở dạng giấy hoặc thông điệp dữ liệu có ký số hợp lệ.
7. Thời hạn kiểm toán kỹ thuật
+ Tổng thời gian của mỗi cuộc kiểm toán không vượt quá 06 tháng.
+ Trường hợp cần kéo dài do thực hiện hành động khắc phục, có thể gia hạn tối đa 45 ngày, nếu hai bên thống nhất bằng văn bản.
8. Trách nhiệm của các bên liên quan
Tổ chức kiểm toán kỹ thuật: Thực hiện khách quan, độc lập, tuân thủ quy định Thông tư.
Tổ chức được kiểm toán:
+ Gửi kết quả kiểm toán kỹ thuật về Bộ KH&CN (Trung tâm Chứng thực điện tử quốc gia) trong vòng 05 ngày làm việc.
+ Đảm bảo hiệu lực chứng nhận liên tục khi cung cấp dịch vụ tin cậy.
Ủy ban Tiêu chuẩn Đo lường Chất lượng Quốc gia: Đầu mối xử lý hồ sơ chỉ định tổ chức kiểm toán, hoàn thiện hệ thống tiêu chuẩn.
Trung tâm Chứng thực điện tử quốc gia: Tiếp nhận, tổng hợp báo cáo kiểm toán phục vụ công tác quản lý nhà nước.
9. Hiệu lực thi hành
Thông tư 19/2025/TT-BKHCN có hiệu lực từ ngày 01/01/2026.
Trong 03 năm kể từ ngày Nghị định 23/2025/NĐ-CP có hiệu lực, các tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng phải hoàn thành kiểm toán kỹ thuật lần đầu.
10. Kết luận và khuyến nghị cho doanh nghiệp
Thông tư 19/2025/TT-BKHCN đánh dấu một bước tiến quan trọng trong việc chuẩn hóa hoạt động kiểm toán kỹ thuật đối với chữ ký điện tử và dịch vụ tin cậy tại Việt Nam.
👉 Doanh nghiệp, tổ chức cung cấp dịch vụ tin cậy cần:
+ Chủ động chuẩn bị hệ thống kỹ thuật, quy trình nội bộ để đáp ứng yêu cầu kiểm toán.
+ Lập kế hoạch kiểm toán đúng chu kỳ, phối hợp với tổ chức kiểm toán được chỉ định.
+ Đảm bảo báo cáo, hồ sơ, chứng nhận đúng hạn để tránh gián đoạn dịch vụ.
