Cấp chứng thư số cho người khác là ngành kinh doanh có điều kiện: doanh nghiệp phải được cơ quan quản lý cấp giấy phép cung cấp dịch vụ tin cậy, cụ thể là dịch vụ chứng thực chữ ký số công cộng, trước khi phát hành chứng thư đầu tiên. Điều kiện xoay quanh năm nhóm: tư cách pháp lý, năng lực tài chính, con người, hệ thống kỹ thuật và quy trình vận hành. Thiếu một nhóm là hồ sơ dừng lại, dù các nhóm khác đã rất tốt.
Luật Giao dịch điện tử 2023, có hiệu lực từ 1/7/2024, gom dịch vụ chứng thực chữ ký số công cộng cùng dịch vụ cấp dấu thời gian và dịch vụ chứng thực thông điệp dữ liệu vào một nhóm gọi là dịch vụ tin cậy. Chi tiết điều kiện, thành phần hồ sơ và thời hạn thẩm định nằm trong nghị định hướng dẫn, và đã thay đổi so với giai đoạn trước. Bài này giúp bạn hình dung khối lượng việc và thứ tự làm; con số cụ thể như mức ký quỹ hay số nhân sự tối thiểu, bạn đối chiếu văn bản hiện hành trước khi lập kế hoạch.
Ai cần giấy phép, ai không cần
Giấy phép đặt ra cho bên phát hành chứng thư số cho công chúng, tức là cho những người và tổ chức không thuộc nội bộ của mình. Một công ty phần mềm muốn bán chữ ký số cho doanh nghiệp khác, một ngân hàng muốn tự cấp chứng thư cho khách hàng cá nhân ký hợp đồng, một nhà cung cấp hạ tầng muốn chạy dịch vụ ký số từ xa: tất cả đều là cung cấp dịch vụ chứng thực chữ ký số công cộng và cần giấy phép.
Ngược lại, có ba trường hợp hay bị nhầm. Thứ nhất, doanh nghiệp chỉ bán lại chữ ký số của một nhà cung cấp đã có phép thì là đại lý, không tự phát hành chứng thư, nên không xin giấy phép dịch vụ tin cậy; quyền và giới hạn của đại lý được bàn ở bài riêng. Thứ hai, tổ chức tự dựng hệ thống chữ ký điện tử dùng trong nội bộ, chỉ để nhân viên của mình ký với nhau, thuộc loại chữ ký điện tử chuyên dùng; luật có quy định riêng về điều kiện bảo đảm an toàn và chứng nhận cho loại này, khác với giấy phép công cộng. Thứ ba, chữ ký số chuyên dùng công vụ của cơ quan nhà nước do Ban Cơ yếu Chính phủ quản lý, doanh nghiệp không tham gia.
Cũng cần tách bạch với phần mềm ký. Viết một ứng dụng giúp người dùng ký tài liệu bằng chứng thư do nhà cung cấp khác cấp thì không phải là cung cấp dịch vụ chứng thực. Ranh giới nằm ở chỗ ai phát hành và chịu trách nhiệm về chứng thư.
Năm nhóm điều kiện và ý nghĩa thực tế
Văn bản hướng dẫn chia điều kiện theo nhiều điều khoản, nhưng khi lập kế hoạch, gom thành năm nhóm sau sẽ dễ phân việc cho từng bộ phận hơn.
| Nhóm điều kiện | Nội dung thường gặp | Bộ phận lo chính |
|---|---|---|
| Tư cách pháp lý | Là doanh nghiệp thành lập theo pháp luật Việt Nam, ngành nghề phù hợp; có quy định riêng nếu có vốn nước ngoài | Pháp chế, ban giám đốc |
| Tài chính | Chứng minh năng lực tài chính và khoản ký quỹ tại ngân hàng để bảo đảm bồi thường rủi ro, chi phí khi bị thu hồi phép | Tài chính – kế toán |
| Nhân sự | Đội ngũ quản trị, vận hành hệ thống, bảo đảm an toàn thông tin có trình độ phù hợp, làm việc chính thức | Nhân sự, kỹ thuật |
| Kỹ thuật | Hệ thống phát hành và quản lý chứng thư, thiết bị bảo vệ khoá, trung tâm dữ liệu chính và dự phòng, giám sát an ninh | Kỹ thuật, an toàn thông tin |
| Quy trình | Quy chế chứng thực, quy trình xác minh thuê bao, lưu trữ, xử lý sự cố, chấm dứt dịch vụ | Vận hành, pháp chế |
Hai nhóm tốn thời gian nhất thường là kỹ thuật và quy trình, vì phải dựng xong, chạy thử và qua kiểm tra. Nhóm tài chính tuy chỉ là một khoản tiền nhưng hay làm chậm kế hoạch vì phải cân dòng tiền: khoản ký quỹ nằm im tại ngân hàng suốt thời gian hoạt động.
Tài chính và khoản ký quỹ: vì sao luật bắt giữ tiền
Người mới tìm hiểu thường thắc mắc vì sao doanh nghiệp phải ký quỹ, trong khi nhiều ngành có điều kiện khác chỉ cần vốn điều lệ. Lý do nằm ở bản chất dịch vụ. Tổ chức cung cấp dịch vụ chứng thực xác nhận với cả xã hội rằng một khoá công khai thuộc về một người cụ thể. Nếu xác nhận sai, hoặc hệ thống bị xâm nhập, thiệt hại rơi vào những người không hề ký hợp đồng với nhà cung cấp: đối tác của thuê bao, ngân hàng, cơ quan nhận hồ sơ.
Khoản ký quỹ là tiền đặt sẵn để có nguồn trả khi nhà cung cấp phải bồi thường do lỗi của mình, và để trang trải việc chuyển giao thuê bao khi giấy phép bị thu hồi hay doanh nghiệp ngừng hoạt động. Mức ký quỹ, ngân hàng được nhận ký quỹ, cách rút và bổ sung đều do nghị định quy định và có thể thay đổi, nên kế hoạch tài chính cần một dòng riêng, cập nhật theo văn bản hiện hành.
Ngoài ký quỹ, cơ quan thẩm định xem phương án kinh doanh có đủ sức nuôi hệ thống trong nhiều năm hay không. Một nhà cung cấp chứng thực đóng cửa sau hai năm để lại hàng chục nghìn chứng thư đang dùng, ảnh hưởng tới hồ sơ thuế, bảo hiểm của khách. Vì thế phương án tài chính nên trình bày chi phí vận hành, chi phí kiểm định định kỳ, chi phí dự phòng thảm hoạ, chứ không chỉ doanh thu dự kiến.
Con người và hệ thống kỹ thuật
Nhân sự phải có thật, làm việc thật. Hồ sơ thường yêu cầu danh sách người phụ trách quản trị hệ thống, vận hành, bảo đảm an toàn thông tin, kèm văn bằng và hợp đồng lao động. Mượn hồ sơ của người không làm việc tại doanh nghiệp là khai không trung thực, có thể khiến giấy phép bị thu hồi về sau.
Khoá bí mật của tổ chức cấp là tài sản quan trọng nhất. Khoá dùng để ký phát hành chứng thư cho thuê bao phải được sinh và cất trong thiết bị phần cứng chuyên dụng đạt tiêu chuẩn kỹ thuật, có quy trình nhiều người cùng tham gia mới thao tác được. Mất khoá này là mất toàn bộ niềm tin vào mọi chứng thư đã cấp.
Trung tâm dữ liệu chính và dự phòng. Hệ thống phải chạy liên tục, vì danh sách chứng thư thu hồi và dịch vụ kiểm tra trạng thái trực tuyến được người khác tra cứu mọi lúc. Cần phương án dự phòng ở địa điểm tách biệt, có diễn tập chuyển đổi.
Tuân thủ tiêu chuẩn kỹ thuật bắt buộc. Định dạng chứng thư, thuật toán, độ dài khoá, giao thức công bố trạng thái phải theo tiêu chuẩn, quy chuẩn do cơ quan quản lý ban hành, để chữ ký do thuê bao của bạn tạo ra kiểm được trên mọi phần mềm và cổng dịch vụ công.
Kết nối với tổ chức chứng thực gốc quốc gia. Chứng thư của tổ chức cung cấp dịch vụ công cộng được tổ chức cung cấp dịch vụ chứng thực chữ ký số quốc gia cấp, tạo thành chuỗi tin cậy. Bước này đi sau giấy phép và có thủ tục riêng.
Quy chế chứng thực: văn bản bị xem kỹ nhất
Quy chế chứng thực là tài liệu công bố công khai, mô tả nhà cung cấp làm gì và cam kết gì với thuê bao và với người tin vào chứng thư: xác minh danh tính thế nào, loại chứng thư nào cấp cho ai, thời hạn ra sao, khi nào thu hồi, trách nhiệm và giới hạn trách nhiệm của các bên, cách lưu trữ hồ sơ. Đây là văn bản mà khi có tranh chấp, toà án và cơ quan quản lý sẽ đọc đầu tiên.
Lỗi hay gặp khi soạn là chép quy chế của nước ngoài rồi dịch lại. Văn bản dịch thường nhắc tới quy trình không có thật ở doanh nghiệp, hoặc hứa mức dịch vụ hệ thống chưa đạt. Khi thẩm định hoặc kiểm tra, sai khác giữa giấy và thực tế bị coi là không đáp ứng điều kiện. Cách làm an toàn là để bộ phận vận hành viết quy trình trước, pháp chế rà lại câu chữ sau, và mọi cam kết trong quy chế phải chỉ ra được bằng chứng vận hành tương ứng.
Quy chế còn cần nhất quán với hợp đồng mẫu ký với thuê bao và với điều khoản dành cho đại lý. Ba văn bản lệch nhau là mầm tranh chấp: thuê bao dẫn hợp đồng, đối tác dẫn quy chế, còn đại lý làm theo hướng dẫn nội bộ khác hẳn.
Hành trình chung từ ý tưởng đến ngày mở dịch vụ
Thứ tự dưới đây là khung chung để bạn ước lượng thời gian; thành phần hồ sơ và thời hạn thẩm định cụ thể, bạn kiểm trên trang của cơ quan quản lý.
- Rà tư cách doanh nghiệp: ngành nghề đăng ký, cơ cấu vốn, người đại diện; nếu có vốn nước ngoài, hỏi rõ điều kiện áp dụng riêng.
- Lập phương án kinh doanh và phương án tài chính, chốt nguồn tiền cho khoản ký quỹ và chi phí vận hành nhiều năm.
- Tuyển và ký hợp đồng với đội ngũ chủ chốt trước khi dựng hệ thống, để chính họ thiết kế quy trình.
- Dựng hệ thống kỹ thuật, trung tâm dữ liệu chính và dự phòng, thiết bị bảo vệ khoá; chạy thử nội bộ.
- Soạn quy chế chứng thực, hợp đồng mẫu với thuê bao, quy trình xác minh danh tính, quy trình xử lý sự cố.
- Nộp hồ sơ đề nghị cấp giấy phép tới cơ quan quản lý; phối hợp kiểm tra, đánh giá kỹ thuật thực tế.
- Sau khi có giấy phép, làm thủ tục để được cấp chứng thư của tổ chức chứng thực gốc quốc gia, rồi mới phát hành chứng thư cho thuê bao.
Danh mục giấy tờ chi tiết cho hồ sơ đề nghị cấp phép, bạn có thể xem hồ sơ giấy phép trên GiayPhep.com rồi đối chiếu văn bản hiện hành.
Cơ quan cấp phép sau sắp xếp bộ máy 2025
Trước đây, giấy phép dịch vụ chứng thực chữ ký số công cộng do Bộ Thông tin và Truyền thông cấp và quản lý. Từ tháng 3/2025, bộ này đã hợp nhất vào Bộ Khoa học và Công nghệ, nên chức năng quản lý chữ ký số công cộng, dịch vụ tin cậy và tổ chức chứng thực gốc quốc gia chuyển theo. Tên đơn vị tiếp nhận hồ sơ, địa chỉ nộp và cổng nộp trực tuyến có thể đã đổi; mẫu đơn cũ in tên cơ quan cũ dễ bị trả lại.
Trong giai đoạn chuyển tiếp, giấy phép đã cấp trước đó vẫn có giá trị theo thời hạn ghi trên giấy, trừ khi văn bản mới yêu cầu đáp ứng lại điều kiện trong một khoảng thời gian. Doanh nghiệp đang hoạt động nên rà xem quy định chuyển tiếp có đòi bổ sung hồ sơ hay không, thay vì đợi đến lúc gia hạn phép.
Vì đây là lĩnh vực vừa mang tính kỹ thuật vừa liên quan an ninh thông tin, doanh nghiệp nên chủ động trao đổi với cơ quan quản lý ngay từ giai đoạn thiết kế hệ thống. Một buổi làm việc sớm giúp tránh dựng xong rồi mới biết thiếu một yêu cầu bắt buộc. Với phần cấu trúc vốn, hợp đồng với đối tác công nghệ nước ngoài hay trách nhiệm của người quản lý, nên có luật sư theo sát; bạn cũng có thể hỏi luật sư trên AI Cố Vấn để rà nhanh các điểm cần lưu ý.
Câu hỏi thường gặp
Công ty có vốn nước ngoài có được kinh doanh dịch vụ chứng thực chữ ký số không?
Lĩnh vực này liên quan an ninh thông tin nên có thể kèm điều kiện tiếp cận thị trường riêng cho nhà đầu tư nước ngoài. Bạn cần đối chiếu danh mục ngành nghề hạn chế tiếp cận thị trường và nghị định hướng dẫn hiện hành, tốt nhất hỏi trực tiếp cơ quan quản lý trước khi góp vốn.
Có thể xin giấy phép trước rồi mới dựng hệ thống không?
Không thực tế. Cơ quan quản lý thường kiểm tra, đánh giá hệ thống kỹ thuật và quy trình vận hành trước khi cấp phép, nên hệ thống phải dựng xong và chạy thử. Doanh nghiệp chỉ phát hành chứng thư cho thuê bao sau khi có giấy phép và chứng thư của tổ chức gốc.
Khoản ký quỹ có được dùng vào kinh doanh không?
Theo nguyên tắc chung, tiền ký quỹ bị phong toả tại ngân hàng để bảo đảm nghĩa vụ bồi thường và chi phí chuyển giao thuê bao, không dùng cho chi tiêu thường ngày. Điều kiện rút, giảm hay bổ sung ký quỹ do văn bản hướng dẫn quy định, bạn kiểm bản hiện hành.
Giấy phép dịch vụ tin cậy có thời hạn không?
Giấy phép thường có thời hạn và phải làm thủ tục gia hạn hoặc cấp lại trước khi hết hạn, kèm việc chứng minh vẫn đáp ứng điều kiện. Thời hạn cụ thể và hồ sơ gia hạn, bạn đối chiếu nghị định hướng dẫn Luật Giao dịch điện tử đang có hiệu lực.
Một doanh nghiệp có thể vừa cấp chữ ký số vừa cấp dấu thời gian không?
Có thể, nếu đáp ứng điều kiện và được cấp phép cho từng loại dịch vụ tin cậy tương ứng. Mỗi loại có yêu cầu kỹ thuật riêng, ví dụ dịch vụ dấu thời gian cần nguồn thời gian chuẩn, nên hồ sơ phải chứng minh riêng cho từng dịch vụ.
Hệ thống ký số nội bộ cho nhân viên có cần giấy phép này không?
Nếu chỉ dùng trong nội bộ tổ chức thì thường thuộc loại chữ ký điện tử chuyên dùng, không phải dịch vụ công cộng, và chịu yêu cầu riêng về bảo đảm an toàn. Khi bắt đầu cấp chứng thư cho người ngoài tổ chức, bạn đã bước sang dịch vụ công cộng và cần giấy phép.