Chữ ký số là gì? Cách hoạt động, ký số từ xa và pháp lý 2026

Mục lục

1. Chữ ký số là gì?
2. Văn bản pháp luật nào đang quy định về chữ ký số năm 2026?
3. Chữ ký điện tử và chữ ký số khác nhau thế nào?
4. Chữ ký số hoạt động như thế nào?
5. Có những loại chữ ký số nào?
6. Chữ ký số có giá trị pháp lý như thế nào?
7. Chữ ký số dùng để làm gì trong doanh nghiệp?
8. Quy trình đăng ký và sử dụng chữ ký số gồm những bước nào?
9. Dùng chữ ký số có rủi ro gì và bảo quản khoá bí mật thế nào?
10. Câu hỏi thường gặp

Chữ ký số là gì?

Để trả lời chính xác câu hỏi chữ ký số là gì, nên bắt đầu từ định nghĩa trong luật. Chữ ký số (digital signature) là chữ ký điện tử được tạo bằng thuật toán mật mã khoá bất đối xứng. Khoản 12 Điều 3 Luật Giao dịch điện tử số 20/2023/QH15 định nghĩa: chữ ký số là “chữ ký điện tử sử dụng thuật toán khóa không đối xứng, gồm khóa bí mật và khóa công khai, trong đó khóa bí mật được dùng để ký số và khóa công khai được dùng để kiểm tra chữ ký số”.

Cùng khoản này nêu rõ chữ ký số bảo đảm ba tính chất: tính xác thực, tính toàn vẹn và tính chống chối bỏ. Luật cũng nói thẳng rằng chữ ký số không bảo đảm tính bí mật của thông điệp dữ liệu. Nói cách khác, người khác vẫn đọc được tài liệu bạn đã ký. Muốn giữ kín nội dung, bạn cần thêm biện pháp mã hoá riêng.

Ba tính chất trên có thể hiểu đơn giản như sau:

• Xác thực: biết chắc tài liệu do ai ký, vì chỉ người giữ khoá bí mật mới tạo được chữ ký khớp với khoá công khai của họ.
• Toàn vẹn: chỉ cần sửa một dấu phẩy sau khi ký, việc kiểm tra sẽ báo chữ ký không hợp lệ.
• Chống chối bỏ: người ký khó phủ nhận việc mình đã ký, vì chữ ký gắn với chứng thư mang danh tính của họ.

Viện Tiêu chuẩn và Công nghệ Quốc gia Hoa Kỳ (NIST) mô tả chữ ký số theo cùng hướng trong tiêu chuẩn FIPS 186-5 (công bố ngày 03/02/2023): chữ ký số dùng để phát hiện chỉnh sửa trái phép, xác thực người ký và giúp chứng minh với bên thứ ba rằng chữ ký do đúng người đó tạo ra.

Chữ ký số không phải là ảnh chữ ký

Đây là hiểu lầm phổ biến nhất. Nhiều phần mềm cho phép hiện một hình chữ ký hoặc con dấu trên trang PDF sau khi ký số. Hình đó chỉ để người đọc dễ nhận biết. Giá trị thật nằm ở dữ liệu mật mã ẩn bên trong tệp. Ngược lại, nếu bạn chụp chữ ký tay rồi chèn vào Word hay PDF, đó chỉ là một hình ảnh, ai cũng sao chép được, không phải chữ ký số.

Các thuật ngữ cần biết

• Khoá bí mật (private key): chuỗi dữ liệu dùng để ký. Chỉ chủ thể ký được nắm giữ.
• Khoá công khai (public key): chuỗi dữ liệu đi cặp với khoá bí mật, dùng để kiểm tra chữ ký. Được công bố rộng rãi trong chứng thư.
• Ký số: Nghị định 23/2025/NĐ-CP định nghĩa là việc đưa khoá bí mật vào một chương trình phần mềm để tự động tạo và gắn chữ ký số vào thông điệp dữ liệu.
• Chứng thư chữ ký số: “giấy chứng minh” điện tử gắn khoá công khai với danh tính người ký. Luật 2005 gọi là “chứng thư số”, từ Luật 2023 gọi là chứng thư chữ ký số.
• Thuê bao: cá nhân, tổ chức ký hợp đồng sử dụng dịch vụ với nhà cung cấp.
• Tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng (CA, Certificate Authority): doanh nghiệp được cấp phép phát hành, quản lý chứng thư cho thuê bao.
• Trung tâm Chứng thực điện tử quốc gia (NEAC): tổ chức cung cấp dịch vụ chứng thực điện tử quốc gia, nắm chứng thư gốc. Hiện NEAC trực thuộc Bộ Khoa học và Công nghệ.

Văn bản pháp luật nào đang quy định về chữ ký số năm 2026?

Nhiều bài viết trên mạng vẫn dẫn Luật Giao dịch điện tử 2005 và Nghị định 130/2018/NĐ-CP. Cả hai đã hết hiệu lực. Tính đến tháng 10/2026, các văn bản chính gồm:

Văn bản	Ngày ban hành, hiệu lực	Nội dung chính liên quan chữ ký số
Luật Giao dịch điện tử số 20/2023/QH15	Thông qua 22/06/2023, hiệu lực 01/07/2024	Định nghĩa chữ ký điện tử, chữ ký số, chứng thư chữ ký số; phân loại chữ ký điện tử; điều kiện của chữ ký số; giá trị pháp lý; dịch vụ tin cậy. Thay thế Luật Giao dịch điện tử 2005.
Nghị định 23/2025/NĐ-CP về chữ ký điện tử và dịch vụ tin cậy	Ban hành 21/02/2025, hiệu lực 10/04/2025	Nội dung, thời hạn chứng thư; nghĩa vụ người ký, người nhận; hồ sơ phát hành chứng thư; ba mô hình ký số; quyền và trách nhiệm thuê bao. Thay thế Nghị định 130/2018/NĐ-CP và Nghị định 48/2024/NĐ-CP.
Các thông tư của Bộ Khoa học và Công nghệ năm 2025	Từ tháng 8 đến tháng 12/2025	Thông tư 15/2025/TT-BKHCN (yêu cầu kỹ thuật với phần mềm ký số, phần mềm kiểm tra chữ ký số), 16/2025 (quy chế chứng thực mẫu), 17/2025 (liên thông với NEAC), 19/2025 (kiểm toán kỹ thuật), 28/2025 (định dạng thông tin trên chứng thư), 50/2025 (quy chuẩn kỹ thuật quốc gia cho dịch vụ chứng thực chữ ký số công cộng).
Thông tư 13/2025/TT-BTC	Ban hành 19/03/2025	Phí dịch vụ duy trì hệ thống kiểm tra trạng thái chứng thư chữ ký số.

Văn bản hợp nhất Luật Giao dịch điện tử do Văn phòng Quốc hội công bố đầu năm 2026 cho thấy luật đã được sửa đổi bởi Luật Dữ liệu, Luật An ninh mạng 2025 và Luật Chuyển đổi số 2025. Tuy vậy, các quy định cốt lõi về chữ ký số (định nghĩa, điều kiện, giá trị pháp lý) vẫn giữ nguyên. Thay đổi đáng kể nhất là cụm từ “an toàn thông tin mạng” trong điều kiện kinh doanh dịch vụ tin cậy được thay bằng “an ninh mạng”, có hiệu lực từ 01/07/2026.

Lưu ý: Nghị định 23/2025/NĐ-CP không điều chỉnh chữ ký số chuyên dùng công vụ. Loại chữ ký này dùng trong hoạt động công vụ của cơ quan nhà nước và được quản lý theo pháp luật về giao dịch điện tử và pháp luật về cơ yếu (Điều 24 Luật Giao dịch điện tử).

Chữ ký điện tử và chữ ký số khác nhau thế nào?

Khoản 11 Điều 3 Luật Giao dịch điện tử 2023 định nghĩa chữ ký điện tử là chữ ký được tạo lập dưới dạng dữ liệu điện tử, gắn liền hoặc kết hợp một cách lô gíc với thông điệp dữ liệu để xác nhận chủ thể ký và khẳng định sự chấp thuận của chủ thể đó. Đây là khái niệm rộng. Chữ ký số là một loại chữ ký điện tử, đáp ứng thêm các yêu cầu kỹ thuật và pháp lý chặt hơn.

Điều 22 của luật chia chữ ký điện tử theo phạm vi sử dụng thành ba loại:

• Chữ ký điện tử chuyên dùng: do cơ quan, tổ chức tự tạo lập, dùng riêng cho hoạt động của mình. Có thể không dùng mật mã khoá bất đối xứng.
• Chữ ký số công cộng: dùng trong hoạt động công cộng, được bảo đảm bởi chứng thư chữ ký số công cộng. Đây là loại doanh nghiệp, người dân dùng phổ biến nhất.
• Chữ ký số chuyên dùng công vụ: dùng trong hoạt động công vụ, được bảo đảm bởi chứng thư chữ ký số chuyên dùng công vụ.

Ngoài ra, khoản 4 Điều 22 tách riêng “các hình thức xác nhận khác bằng phương tiện điện tử” không phải là chữ ký điện tử, chẳng hạn bấm nút đồng ý hay nhập mã OTP. Giá trị của các hình thức này do pháp luật chuyên ngành quy định.

Tiêu chí	Chữ ký điện tử (nói chung)	Chữ ký số
Phạm vi khái niệm	Rộng: mọi dữ liệu điện tử gắn với tài liệu để xác nhận người ký	Hẹp hơn: một loại chữ ký điện tử dùng cặp khoá bất đối xứng
Công nghệ	Đa dạng: ảnh chữ ký, nét ký trên màn hình, tên gõ cuối email, mật khẩu	Mật mã khoá công khai, hàm băm, chứng thư chữ ký số
Xác định người ký	Tuỳ cách làm, thường dựa vào tài khoản hoặc thoả thuận của các bên	Dựa vào chứng thư do tổ chức được cấp phép phát hành sau khi xác minh danh tính
Phát hiện sửa đổi sau khi ký	Không phải loại nào cũng làm được	Bắt buộc: mọi thay đổi sau thời điểm ký đều có thể bị phát hiện
Bên thứ ba bảo đảm	Không bắt buộc	Bắt buộc có chứng thư chữ ký số của tổ chức cung cấp dịch vụ
Giá trị pháp lý	Không bị phủ nhận chỉ vì ở dạng điện tử; giá trị cụ thể cần chứng minh	Tương đương chữ ký tay trên văn bản giấy (khoản 2 Điều 23)
Ví dụ	Ảnh chữ ký chèn vào PDF, ký tay bằng bút cảm ứng trên máy tính bảng	Tờ khai thuế, hoá đơn điện tử, hợp đồng được ký bằng USB token hoặc ký số từ xa

Ví dụ minh hoạ: một hợp đồng PDF có ảnh chữ ký của giám đốc vẫn có thể bị sửa giá trị hợp đồng mà không để lại dấu vết. Nếu hợp đồng đó được ký số, chỉ cần sửa một con số, phần mềm đọc PDF sẽ báo chữ ký không còn hợp lệ.

Chữ ký số hoạt động như thế nào?

Chữ ký số dựa trên ba thành phần kỹ thuật: cặp khoá bất đối xứng, hàm băm và chứng thư chữ ký số. Tiêu chuẩn FIPS 186-5 của NIST hiện phê duyệt các họ thuật toán chữ ký RSA, ECDSA và EdDSA.

Cặp khoá bí mật và khoá công khai

Hai khoá được sinh ra cùng lúc và có quan hệ toán học với nhau. Thứ được ký bằng khoá bí mật chỉ có thể được kiểm tra đúng bằng khoá công khai cùng cặp. Điểm then chốt: biết khoá công khai cũng không tính ngược ra được khoá bí mật trong thời gian thực tế. Vì vậy khoá công khai có thể gửi cho bất kỳ ai, còn khoá bí mật phải được giữ tuyệt đối. Cơ chế cặp khoá này cũng là nền tảng để xác nhận chủ sở hữu giao dịch trong công nghệ blockchain.

Vai trò của hàm băm

Ký trực tiếp lên một tệp lớn sẽ chậm. Vì thế phần mềm ký trước hết đưa tài liệu qua một hàm băm (hash) như SHA-256 để tạo ra một “dấu vân tay” ngắn, cố định độ dài. Chỉ cần đổi một ký tự trong tài liệu, dấu vân tay đổi gần như hoàn toàn. Chữ ký số thực chất được tạo trên dấu vân tay này. Hàm băm cũ như SHA-1 đã bị NIST cấm dùng cho chữ ký số từ cuối năm 2013, MD5 cũng không còn được chấp nhận.

Quy trình ký và kiểm tra

Phía người ký:

1. Phần mềm ký số tính giá trị băm của tài liệu.
2. Khoá bí mật được dùng để tạo chữ ký từ giá trị băm đó. Bước này diễn ra bên trong thiết bị lưu khoá (USB token, SIM hoặc HSM), khoá bí mật không rời khỏi thiết bị.
3. Chữ ký số được gắn vào tài liệu, kèm chứng thư chữ ký số của người ký và thường kèm dấu thời gian.

Phía người nhận:

1. Phần mềm kiểm tra tính lại giá trị băm của tài liệu nhận được, dùng đúng thuật toán băm như người ký.
2. Dùng khoá công khai trong chứng thư để kiểm tra chữ ký với giá trị băm mới. Khớp nghĩa là tài liệu chưa bị sửa và được ký bằng đúng khoá bí mật tương ứng.
3. Kiểm tra trạng thái chứng thư: còn thời hạn, không bị tạm dừng hay thu hồi, và do tổ chức hợp lệ phát hành. Việc kiểm tra thu hồi dùng danh sách chứng thư bị thu hồi (CRL) hoặc giao thức OCSP (theo RFC 6960, công bố tháng 6/2013).

Chứng thư chữ ký số ghi những gì?

Khoá công khai chỉ là một chuỗi số. Chứng thư chữ ký số là thứ cho biết chuỗi số đó thuộc về ai. Theo khoản 3 Điều 6 Nghị định 23/2025/NĐ-CP, chứng thư chữ ký số công cộng gồm: tên tổ chức phát hành; tên thuê bao; số hiệu chứng thư; thời hạn hiệu lực; khoá công khai của thuê bao; chữ ký số của tổ chức phát hành; mục đích, phạm vi sử dụng; trách nhiệm pháp lý của tổ chức cung cấp dịch vụ; thuật toán khoá không đối xứng.

Về định dạng, chứng thư trên thế giới phổ biến theo chuẩn X.509 phiên bản 3, được hồ sơ hoá trong RFC 5280 (tháng 5/2008). Tại Việt Nam, định dạng thông tin trên chứng thư chữ ký số được quy định tại Thông tư 28/2025/TT-BKHCN.

Tổ chức chứng thực (CA) và chuỗi tin cậy

Người nhận tin chứng thư vì nó được một CA ký. CA lại được NEAC cấp chứng thư. Chứng thư gốc của NEAC là điểm tin cậy cao nhất. Điều 7 Nghị định 23/2025/NĐ-CP quy định thời hạn tối đa cho từng tầng như sơ đồ dưới đây.

Dấu thời gian để làm gì?

Chứng thư thuê bao chỉ sống tối đa 3 năm, nhưng hợp đồng có thể cần lưu 10 năm. Dấu thời gian (timestamp) giúp chứng minh tài liệu được ký vào lúc chứng thư còn hiệu lực. Theo Điều 31 Luật Giao dịch điện tử 2023, dấu thời gian được tạo ra dưới dạng chữ ký số, ghi thời điểm tổ chức cung cấp dịch vụ nhận được thông điệp dữ liệu, và nguồn thời gian phải theo nguồn thời gian chuẩn quốc gia. Dịch vụ cấp dấu thời gian là một trong ba dịch vụ tin cậy theo Điều 28 của luật.

Có những loại chữ ký số nào?

Có thể chia chữ ký số theo ba góc nhìn: phạm vi pháp lý, đối tượng sử dụng và nơi lưu khoá bí mật.

Theo đối tượng sử dụng

• Chữ ký số cá nhân: cấp cho một người, dùng ký hợp đồng lao động, khai thuế thu nhập cá nhân, giao dịch ngân hàng, dịch vụ công.
• Chữ ký số của tổ chức, doanh nghiệp: đóng vai trò như con dấu trong môi trường điện tử. Điều 13 Nghị định 23/2025/NĐ-CP khẳng định mọi cơ quan, tổ chức thành lập và hoạt động hợp pháp đều có quyền được cấp chứng thư chữ ký số.
• Chữ ký số của người có thẩm quyền trong tổ chức: chứng thư phải ghi rõ chức danh và tên tổ chức của người đó, và chỉ được dùng đúng thẩm quyền của chức danh ghi trên chứng thư (Điều 13, Điều 14 Nghị định 23/2025/NĐ-CP).

Theo mô hình lưu khoá: ba mô hình được pháp luật công nhận

Khoản 1 Điều 26 Nghị định 23/2025/NĐ-CP chia dịch vụ chứng thực chữ ký số công cộng thành ba mô hình: ký số trên phương tiện lưu khoá bí mật bằng thiết bị phần cứng, ký số trên thiết bị di động và ký số từ xa. Danh sách tổ chức được cấp phép công bố trên trang của NEAC cũng ghi rõ từng doanh nghiệp được phép cung cấp loại dịch vụ nào, như USB token, ký số từ xa (remote signing), SIM PKI hay dấu thời gian.

Hình thức	Khoá bí mật nằm ở đâu	Cách ký	Phù hợp với	Cần lưu ý
USB token, thẻ thông minh	Chip trong thiết bị do thuê bao giữ	Cắm thiết bị vào máy tính, nhập mã PIN	Kế toán, doanh nghiệp ký tại văn phòng	Cần cài trình điều khiển; mất thiết bị là mất khả năng ký; dễ bị đưa cho người khác giữ hộ
HSM (Hardware Security Module)	Thiết bị bảo mật phần cứng chuyên dụng đặt tại doanh nghiệp hoặc trung tâm dữ liệu	Hệ thống phần mềm gọi HSM ký tự động	Ký số lượng lớn như phát hành hoá đơn điện tử, ký tự động trong quy trình	Đầu tư và vận hành phức tạp; phải phân quyền chặt ai được ra lệnh ký
Ký số từ xa (remote signing)	HSM của tổ chức cung cấp dịch vụ	Xác nhận lệnh ký trên ứng dụng điện thoại hoặc trình duyệt	Người làm việc di động, ký ở nhiều thiết bị	An toàn phụ thuộc tài khoản và điện thoại của người dùng; cần internet
SIM PKI (ký trên thiết bị di động)	Chip của thẻ SIM chuyên dụng	Xác nhận và nhập PIN trên điện thoại	Cá nhân cần ký nhanh trên di động	Gắn với nhà mạng và thẻ SIM; mất điện thoại hoặc SIM phải báo ngay

Chữ ký số từ xa là gì?

Chữ ký số từ xa (remote signing) là mô hình mà khoá bí mật của thuê bao không nằm trong thiết bị người dùng cầm theo, mà được lưu trong hệ thống HSM của tổ chức cung cấp dịch vụ. Khi cần ký, người dùng đăng nhập và xác nhận lệnh ký, thường qua ứng dụng trên điện thoại với mã PIN, mã xác thực hoặc sinh trắc học tuỳ nhà cung cấp. Hệ thống sau đó dùng khoá của chính người đó để tạo chữ ký.

Về pháp lý, khoản 4 Điều 37 Nghị định 23/2025/NĐ-CP cho phép tổ chức cung cấp dịch vụ theo mô hình ký số từ xa được lưu khoá bí mật của thuê bao và buộc tổ chức đó dùng phương thức an toàn để lưu trữ. Đây là điểm khác biệt quan trọng: ở các mô hình khác, nhà cung cấp chỉ được giữ bản sao khoá bí mật khi thuê bao yêu cầu bằng văn bản (khoản 3 Điều 37).

Chữ ký số từ xa do tổ chức được cấp phép cung cấp có cùng giá trị pháp lý như chữ ký trên USB token, vì cả hai đều là chữ ký số công cộng. Ưu điểm là không cần thiết bị, không cài trình điều khiển, ký được trên điện thoại. Đổi lại, tài khoản đăng nhập và điện thoại trở thành “chìa khoá”. Nếu kẻ gian chiếm được tài khoản hoặc điện thoại, họ có thể ra lệnh ký. Vì vậy bạn nên bật đầy đủ lớp xác thực mà nhà cung cấp hỗ trợ và không chia sẻ mã xác nhận cho bất kỳ ai.

HSM và chuẩn an toàn mô-đun mật mã

HSM là thiết bị phần cứng được thiết kế để sinh, lưu và dùng khoá trong môi trường chống can thiệp. Trên thế giới, HSM thường được đánh giá theo tiêu chuẩn FIPS 140 của NIST. Phiên bản FIPS 140-3 công bố ngày 22/03/2019, có bốn mức an toàn tăng dần và lần đầu dựa trên hai tiêu chuẩn quốc tế ISO/IEC 19790:2012 và ISO/IEC 24759:2014. Tại Việt Nam, hệ thống của tổ chức cung cấp dịch vụ tin cậy phải đáp ứng quy chuẩn kỹ thuật quốc gia (Thông tư 50/2025/TT-BKHCN cho dịch vụ chứng thực chữ ký số công cộng) và được kiểm toán kỹ thuật theo Thông tư 19/2025/TT-BKHCN.

Chữ ký số có giá trị pháp lý như thế nào?

Điều 23 Luật Giao dịch điện tử 2023 xác lập ba nguyên tắc:

1. Chữ ký điện tử không bị phủ nhận giá trị pháp lý chỉ vì được thể hiện dưới dạng điện tử.
2. Chữ ký điện tử chuyên dùng bảo đảm an toàn hoặc chữ ký số có giá trị pháp lý tương đương chữ ký của cá nhân đó trong văn bản giấy.
3. Khi pháp luật yêu cầu văn bản phải được cơ quan, tổ chức xác nhận, yêu cầu đó được đáp ứng nếu thông điệp dữ liệu được ký bằng chữ ký số của cơ quan, tổ chức đó. Đây là cơ sở để chữ ký số của doanh nghiệp thay cho việc ký và đóng dấu trên giấy.

Điều kiện để chữ ký số được công nhận

Khoản 3 Điều 22 luật yêu cầu chữ ký số phải đáp ứng đủ:

• Xác nhận chủ thể ký và khẳng định sự chấp thuận của chủ thể ký với thông điệp dữ liệu.
• Dữ liệu tạo chữ ký chỉ gắn duy nhất với nội dung thông điệp dữ liệu được chấp thuận.
• Dữ liệu tạo chữ ký chỉ thuộc sự kiểm soát của chủ thể ký tại thời điểm ký.
• Mọi thay đổi với thông điệp dữ liệu sau thời điểm ký đều có thể bị phát hiện.
• Được bảo đảm bởi chứng thư chữ ký số của tổ chức cung cấp dịch vụ phù hợp (công cộng hoặc chuyên dùng công vụ).
• Phương tiện tạo chữ ký bảo đảm dữ liệu tạo chữ ký không bị tiết lộ, thu thập, dùng để giả mạo, và không làm thay đổi dữ liệu cần ký.

Chứng thư phải đang có hiệu lực tại thời điểm ký, tức là chưa hết hạn, không bị tạm dừng hay thu hồi (khoản 3 Điều 3 Nghị định 23/2025/NĐ-CP).

Người nhận cũng có nghĩa vụ kiểm tra

Một điểm ít bài viết nhắc tới: Điều 16 Nghị định 23/2025/NĐ-CP buộc người nhận kiểm tra trạng thái chứng thư tại thời điểm ký, phạm vi sử dụng, giới hạn trách nhiệm và việc chữ ký được tạo bởi khoá bí mật tương ứng với khoá công khai trên chứng thư. Người nhận phải tự chịu trách nhiệm nếu chấp nhận chữ ký mà không kiểm tra, hoặc đã biết chứng thư bị tạm dừng, thu hồi, hết hạn. Người ký cũng phải kiểm tra trạng thái chứng thư của mình trước khi ký (Điều 15).

Về chứng cứ, Điều 11 luật cho phép dùng thông điệp dữ liệu làm chứng cứ. Giá trị chứng cứ được xác định dựa trên độ tin cậy của cách khởi tạo, gửi, nhận, lưu trữ và cách bảo đảm toàn vẹn dữ liệu. Chữ ký số kèm dấu thời gian là bằng chứng mạnh cho cả hai yếu tố này.

Chữ ký số nước ngoài và so sánh quốc tế

Chữ ký điện tử, chứng thư nước ngoài có thể được công nhận tại Việt Nam khi đáp ứng điều kiện tại Điều 26 luật, chi tiết theo Thông tư 06/2024/TT-BTTTT. Với giao dịch quốc tế của bên nước ngoài không hiện diện tại Việt Nam, Điều 27 cho phép các bên tự lựa chọn và chịu trách nhiệm về việc chấp nhận chữ ký nước ngoài.

Để tham khảo, Quy định eIDAS số 910/2014 của Liên minh châu Âu (ngày 23/07/2014) cũng có cách tiếp cận tương tự: chữ ký điện tử không bị từ chối giá trị chỉ vì ở dạng điện tử, và chữ ký điện tử đủ điều kiện (qualified electronic signature) có hiệu lực pháp lý tương đương chữ ký tay (Điều 25).

Chữ ký số dùng để làm gì trong doanh nghiệp?

Luật Giao dịch điện tử 2023 tôn trọng quyền tự nguyện lựa chọn hình thức chữ ký điện tử, trừ khi luật có quy định khác (khoản 2 Điều 4). Trên thực tế, nhiều thủ tục điện tử đòi hỏi chữ ký số nên đa số doanh nghiệp đều cần ít nhất một chứng thư.

• Thuế: ký tờ khai, nộp thuế điện tử, gửi hồ sơ hoàn thuế qua hệ thống thuế điện tử. Cá nhân cũng có thể dùng chữ ký số cá nhân để quyết toán thuế thu nhập cá nhân.
• Hoá đơn điện tử: theo Nghị định 123/2020/NĐ-CP, hoá đơn điện tử ở định dạng XML gồm phần dữ liệu nghiệp vụ, phần dữ liệu chữ ký số và (với hoá đơn có mã) phần mã của cơ quan thuế. Nghị định 70/2025/NĐ-CP (ban hành 20/03/2025, hiệu lực 01/06/2025) làm rõ trường hợp thời điểm ký số khác thời điểm lập hoá đơn: hoá đơn phải được ký số và chuyển cơ quan thuế chậm nhất vào ngày làm việc tiếp theo.
• Hải quan điện tử: doanh nghiệp xuất nhập khẩu ký số tờ khai, hồ sơ trên hệ thống hải quan điện tử.
• Bảo hiểm xã hội: ký số hồ sơ kê khai, báo tăng giảm lao động gửi qua mạng.
• Hợp đồng điện tử: Chương IV Luật Giao dịch điện tử 2023 công nhận hợp đồng thiết lập dưới dạng thông điệp dữ liệu, kể cả hợp đồng giao kết giữa các hệ thống thông tin tự động. Chữ ký số giúp các bên chứng minh ai đã ký và hợp đồng không bị sửa sau đó.
• Văn bản nội bộ và lưu trữ: ký duyệt tờ trình, quyết định, chứng từ kế toán; ký xác nhận bản sao điện tử khi số hoá hồ sơ giấy để bản số có giá trị sử dụng.
• Dịch vụ công trực tuyến: nộp hồ sơ đăng ký doanh nghiệp và nhiều thủ tục hành chính khác. Đây là mắt xích quan trọng của chính phủ số, nơi hồ sơ được xử lý toàn trình trên môi trường điện tử.
• Ngân hàng, chứng khoán: ký hồ sơ mở tài khoản, lệnh giao dịch, hợp đồng tín dụng theo quy định của từng tổ chức.

Lợi ích chung là rút ngắn thời gian ký duyệt, bỏ chi phí in ấn, chuyển phát và giảm rủi ro giả mạo chữ ký, con dấu. Mức tiết kiệm cụ thể phụ thuộc quy mô và quy trình của từng doanh nghiệp.

Quy trình đăng ký và sử dụng chữ ký số gồm những bước nào?

Quy trình dưới đây là khung chung theo Nghị định 23/2025/NĐ-CP. Chi tiết thao tác do từng tổ chức cung cấp dịch vụ công bố.

1. Xác định nhu cầu. Bạn cần chứng thư cho cá nhân, tổ chức hay người có thẩm quyền trong tổ chức? Ký ít hay ký hàng nghìn hoá đơn mỗi ngày? Ký tại văn phòng hay trên điện thoại? Câu trả lời quyết định nên chọn USB token, ký số từ xa, SIM PKI hay HSM.
2. Chọn tổ chức được cấp phép. Đối chiếu danh sách tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng trên trang của NEAC, kiểm tra giấy phép còn hiệu lực và có đúng loại dịch vụ bạn cần. Nên đọc quy chế chứng thực và hợp đồng dịch vụ trước khi ký.
3. Chuẩn bị hồ sơ. Theo Điều 34 Nghị định 23/2025/NĐ-CP, cá nhân cần giấy đề nghị và một giấy tờ tuỳ thân như thẻ căn cước công dân, thẻ căn cước, căn cước điện tử, tài khoản định danh điện tử mức độ 2 hoặc hộ chiếu. Tổ chức cần quyết định thành lập hoặc giấy chứng nhận đăng ký doanh nghiệp (hoặc giấy chứng nhận đầu tư, đăng ký hộ kinh doanh) kèm giấy tờ tuỳ thân của người đại diện theo pháp luật, hoặc dùng tài khoản định danh điện tử của tổ chức. Nếu nhà cung cấp khai thác được dữ liệu từ chip căn cước hoặc tài khoản định danh mức 2, bạn không phải nộp các giấy tờ đó.
4. Xác minh danh tính. Có thể làm trực tiếp hoặc hoàn toàn trực tuyến. Khi phát hành bằng phương thức điện tử, Điều 36 yêu cầu nhà cung cấp đối chiếu dữ liệu sinh trắc học như khuôn mặt, vân tay với giấy tờ tuỳ thân và có biện pháp chống mạo danh. Về bản chất, đây là quy trình định danh khách hàng điện tử (eKYC) tương tự khi mở tài khoản ngân hàng online.
5. Tạo cặp khoá. Theo Điều 37, bạn có thể tự tạo cặp khoá bằng thiết bị đạt chuẩn hoặc yêu cầu nhà cung cấp tạo. Với ký số từ xa, khoá được tạo và lưu trong HSM của nhà cung cấp.
6. Xác nhận thông tin và nhận chứng thư. Bạn kiểm tra thông tin trên chứng thư rồi xác nhận. Nhà cung cấp công bố chứng thư chậm nhất 24 giờ sau khi có xác nhận, trừ khi có thoả thuận khác (khoản 3 Điều 38).
7. Cài đặt và đăng ký với các hệ thống. Cài phần mềm ký số, sau đó đăng ký hoặc cập nhật chứng thư trên các hệ thống bạn sẽ dùng như thuế điện tử, hoá đơn điện tử, hải quan, bảo hiểm xã hội.
8. Ký và kiểm tra. Trước mỗi lần ký, phần mềm kiểm tra trạng thái chứng thư. Khi nhận tài liệu đã ký, hãy kiểm tra chữ ký bằng phần mềm đọc tài liệu hoặc công cụ kiểm tra văn bản ký số (PDF, XML) trên trang của NEAC.
9. Gia hạn, thay đổi, tạm dừng, thu hồi. Gia hạn trước khi chứng thư hết hạn để không gián đoạn công việc. Có thể yêu cầu tạm dừng hoặc thu hồi khi mất thiết bị, khi thông tin thay đổi hoặc khi nhân sự nghỉ việc (Điều 39 đến Điều 42).

Dùng chữ ký số có rủi ro gì và bảo quản khoá bí mật thế nào?

Chữ ký số chỉ an toàn khi khoá bí mật thật sự nằm trong tầm kiểm soát của người ký. Luật cấm gian lận, giả mạo, chiếm đoạt hoặc sử dụng trái pháp luật chữ ký điện tử, chứng thư chữ ký điện tử (khoản 6 Điều 6). Còn khoản 7 Điều 45 Nghị định 23/2025/NĐ-CP coi thuê bao đã cam kết mình là người nắm giữ hợp pháp khoá bí mật. Vì vậy, nếu bạn giao USB token và mã PIN cho người khác, những gì họ ký bằng khoá của bạn vẫn mang danh nghĩa của bạn, và rủi ro pháp lý có thể quay về chính bạn.

Các rủi ro thường gặp

• Giao token và PIN cho người khác giữ hộ: thói quen phổ biến khi giám đốc giao cho kế toán hoặc đơn vị dịch vụ. Rủi ro pháp lý thuộc về chủ chứng thư.
• Mất, hỏng thiết bị hoặc điện thoại: gián đoạn khai thuế, xuất hoá đơn; nếu kèm lộ PIN thì có nguy cơ bị ký giả.
• Chiếm tài khoản ký số từ xa: lừa lấy mã xác thực, cài ứng dụng giả, chiếm quyền điện thoại.
• Mã độc trên máy tính ký: có thể đánh tráo nội dung hiển thị và nội dung thực sự được ký.
• Lừa đảo mạo danh: kẻ gian giả làm nhân viên nhà cung cấp hoặc cơ quan nhà nước, yêu cầu “gia hạn”, “cập nhật chữ ký số” qua đường link lạ để lấy thông tin, mã xác thực.
• Chứng thư hết hạn hoặc chưa cập nhật: tài liệu ký ra không được công nhận, hồ sơ bị trả lại.
• Nhân sự nghỉ việc: chứng thư của người có thẩm quyền vẫn còn hiệu lực nếu doanh nghiệp không yêu cầu thu hồi.

Danh sách kiểm tra bảo quản khoá bí mật

1. Không chia sẻ mã PIN, mã xác thực. Đổi PIN mặc định ngay khi nhận thiết bị.
2. Rút USB token khỏi máy sau khi ký, cất ở nơi có khoá.
3. Chỉ cài phần mềm ký số, trình điều khiển từ nguồn chính thức của nhà cung cấp. Cập nhật hệ điều hành và phần mềm diệt mã độc trên máy dùng để ký.
4. Đọc kỹ nội dung trước khi bấm ký, đặc biệt với lệnh ký hàng loạt.
5. Với ký số từ xa: bật đầy đủ lớp xác thực, khoá màn hình điện thoại, không xác nhận lệnh ký mà bạn không chủ động tạo ra.
6. Theo dõi thời hạn chứng thư, đặt nhắc gia hạn trước vài tuần.
7. Nếu nghi khoá bị lộ, bị đánh cắp hoặc bị dùng trái phép, báo nhà cung cấp trong vòng 24 giờ để xử lý (khoản 6 Điều 45 Nghị định 23/2025/NĐ-CP), đồng thời yêu cầu tạm dừng hoặc thu hồi chứng thư.

Doanh nghiệp nên quản trị chữ ký số thế nào?

Doanh nghiệp nên ban hành quy chế nội bộ về chữ ký số: ai được giữ thiết bị, ai được ký loại văn bản nào, ghi nhật ký mỗi lần ký, quy trình bàn giao và thu hồi chứng thư khi nhân sự thay đổi. Với nhu cầu ký tự động số lượng lớn, HSM đặt trong hạ tầng được bảo vệ tốt hơn việc cắm một USB token cố định vào máy chủ. Chữ ký số chỉ là một lớp trong bức tranh an ninh mạng tổng thể của doanh nghiệp; máy tính ký, tài khoản và con người cũng phải được bảo vệ tương xứng.

Chữ ký số trước máy tính lượng tử

NIST cảnh báo máy tính lượng tử quy mô lớn trong tương lai có thể phá nhiều hệ mật khoá công khai đang dùng, trong đó có RSA và mật mã đường cong elliptic (nền tảng của ECDSA). NIST đã công bố tiêu chuẩn FIPS 204 ngày 13/08/2024 cho thuật toán chữ ký ML-DSA, được thiết kế để an toàn ngay cả trước kẻ tấn công có máy tính lượng tử quy mô lớn. NIST dự kiến loại bỏ dần các thuật toán dễ bị tổn thương trước máy tính lượng tử vào năm 2035. Người dùng phổ thông chưa cần thay đổi gì. Doanh nghiệp cần lưu trữ tài liệu ký số rất lâu nên theo dõi lộ trình chuyển đổi của nhà cung cấp và quy chuẩn trong nước.

Câu hỏi thường gặp

Chữ ký số có thời hạn bao lâu?

Chứng thư chữ ký số công cộng cấp cho thuê bao có hiệu lực tối đa 3 năm theo khoản 3 Điều 7 Nghị định 23/2025/NĐ-CP. Thời hạn cụ thể do bạn thoả thuận với nhà cung cấp, nhưng không vượt quá 3 năm. Hết hạn phải gia hạn mới ký tiếp được.

Chữ ký điện tử và chữ ký số khác nhau ở điểm nào quan trọng nhất?

Chữ ký số luôn gắn với một chứng thư do tổ chức được cấp phép phát hành và phát hiện được mọi chỉnh sửa sau khi ký, nên có giá trị tương đương chữ ký tay theo khoản 2 Điều 23 Luật Giao dịch điện tử 2023. Chữ ký điện tử nói chung không bắt buộc các yếu tố này, nên giá trị pháp lý thường phải chứng minh thêm.

Chữ ký số từ xa có giá trị pháp lý như USB token không?

Có, nếu do tổ chức được cấp phép cung cấp dịch vụ ký số từ xa phát hành. Nghị định 23/2025/NĐ-CP công nhận ký số từ xa là một trong ba mô hình của dịch vụ chứng thực chữ ký số công cộng, bên cạnh thiết bị phần cứng và thiết bị di động.

Chữ ký số của doanh nghiệp có thay được con dấu không?

Trong môi trường điện tử thì có. Theo khoản 3 Điều 23 luật, khi văn bản cần cơ quan, tổ chức xác nhận, thông điệp dữ liệu được ký bằng chữ ký số của cơ quan, tổ chức đó được xem là đáp ứng yêu cầu.

Có được đưa chữ ký số cho người khác ký thay không?

Không nên và có thể vi phạm pháp luật. Mọi chữ ký tạo bằng khoá của bạn đều được coi là bạn ký. Việc ký thay, ký thừa lệnh phải do người được giao, uỷ quyền thực hiện bằng chữ ký số của chính họ, với chức danh ghi trên chứng thư (khoản 2 Điều 14 Nghị định 23/2025/NĐ-CP).

Làm sao biết một tài liệu đã ký số là thật?

Mở tệp bằng phần mềm hỗ trợ kiểm tra chữ ký (nhiều trình đọc PDF có sẵn chức năng này) hoặc dùng công cụ kiểm tra văn bản ký số trên trang của Trung tâm Chứng thực điện tử quốc gia. Kết quả hợp lệ cần đủ ba ý: tài liệu chưa bị sửa, chứng thư còn hiệu lực tại thời điểm ký, và chứng thư do tổ chức hợp lệ phát hành.

Chữ ký số có mã hoá, giữ bí mật nội dung tài liệu không?

Không. Khoản 12 Điều 3 Luật Giao dịch điện tử 2023 nói rõ chữ ký số không bảo đảm tính bí mật của thông điệp dữ liệu. Nếu cần giữ kín, bạn phải mã hoá tài liệu hoặc gửi qua kênh được bảo vệ.

Mất USB token thì phải làm gì?

Liên hệ ngay nhà cung cấp để yêu cầu tạm dừng hoặc thu hồi chứng thư, chậm nhất trong 24 giờ nếu có nguy cơ lộ khoá. Sau đó làm thủ tục cấp chứng thư mới và cập nhật chứng thư mới trên các hệ thống thuế, hoá đơn, hải quan, bảo hiểm xã hội.

Chứng thư số cấp theo luật cũ có phải đổi ngay không?

Không. Chứng thư số cấp trước 01/07/2024 và còn hiệu lực vào ngày đó được dùng tiếp đến hết thời hạn, có giá trị tương đương chứng thư chữ ký số theo luật mới (khoản 2 Điều 53 Luật Giao dịch điện tử 2023).