Sau khi được cấp phép, tổ chức cung cấp dịch vụ chứng thực phải duy trì liên tục mọi điều kiện đã dùng để xin phép, vận hành đúng quy chế chứng thực đã công bố, công bố trạng thái chứng thư cho bất kỳ ai tra cứu, lưu trữ hồ sơ thuê bao, báo cáo cơ quan quản lý và có phương án chuyển giao khách hàng nếu ngừng dịch vụ. Phần lớn rủi ro bị thu hồi phép không đến từ sự cố lớn, mà từ những điều kiện lặng lẽ không còn đủ: một kỹ sư chủ chốt nghỉ việc, khoản ký quỹ không bổ sung, quy chế không cập nhật.
Bài này viết cho người quản lý ở doanh nghiệp vừa có giấy phép, hoặc đang cân nhắc vào ngành, để thấy trước khối nghĩa vụ thường xuyên. Tần suất báo cáo, nội dung biểu mẫu và thời hạn lưu trữ cụ thể do nghị định và thông tư hướng dẫn quy định, có thể thay đổi; bạn đối chiếu văn bản hiện hành của Bộ Khoa học và Công nghệ, cơ quan đang quản lý lĩnh vực này.
Nghĩa vụ với thuê bao trong từng ngày vận hành
Với thuê bao, nghĩa vụ của nhà cung cấp trải dài từ trước khi cấp đến sau khi chứng thư hết hạn. Những việc dưới đây là phần xương sống mà quy chế chứng thực nào cũng phải thể hiện.
- Xác minh thông tin trước khi cấp: kiểm danh tính cá nhân, tư cách tổ chức và quyền của người đại diện theo đúng quy trình đã công bố; thông tin sai trên chứng thư là trách nhiệm của bên cấp nếu do khâu xác minh làm sai.
- Bảo đảm cặp khoá được sinh và giao an toàn: khoá bí mật của thuê bao không được lộ trong quá trình tạo và bàn giao, dù trên token hay trên hệ thống ký số từ xa.
- Công khai điều khoản: thuê bao phải được biết quyền, nghĩa vụ, giới hạn trách nhiệm và cách khiếu nại trước khi ký hợp đồng.
- Tạm dừng, thu hồi kịp thời: khi thuê bao yêu cầu hoặc khi có căn cứ theo quy định, nhà cung cấp phải xử lý và cập nhật trạng thái ngay, có kênh tiếp nhận ngoài giờ hành chính.
- Bảo mật thông tin thuê bao: dữ liệu cá nhân thu được khi xác minh chỉ dùng đúng mục đích, tuân theo quy định về bảo vệ dữ liệu cá nhân.
- Thông báo trước những thay đổi: đổi quy chế, đổi giá, nâng cấp hệ thống gây gián đoạn đều phải báo trước theo thời hạn đã cam kết.
Danh sách này nghe đơn giản, nhưng mỗi dòng đòi một quy trình có người chịu trách nhiệm cụ thể và có bằng chứng làm thật. Khi thanh tra hoặc khi có tranh chấp, câu hỏi luôn là "bằng chứng đâu", không phải "quy trình có ghi không".
Công bố trạng thái chứng thư: nghĩa vụ với cả những người không phải khách hàng
Điểm đặc biệt của ngành này là nhà cung cấp có nghĩa vụ với cả người không hề ký hợp đồng với mình. Một ngân hàng nhận hợp đồng do khách của bạn ký, một cơ quan thuế nhận tờ khai, một đối tác nhận hoá đơn: tất cả đều cần biết chứng thư đó có còn hiệu lực vào lúc ký hay không. Vì vậy danh sách chứng thư bị thu hồi và dịch vụ kiểm tra trạng thái trực tuyến phải hoạt động liên tục, được cập nhật ngay sau mỗi lần tạm dừng hay thu hồi.
Sự cố ở phần này gây hậu quả dây chuyền. Nếu dịch vụ trạng thái ngừng trả lời, nhiều phần mềm sẽ báo chữ ký "không xác định", người nhận từ chối hồ sơ, còn thuê bao của bạn thì gọi đến tổng đài hàng loạt. Nếu cập nhật chậm, một chứng thư đã bị báo mất vẫn được coi là hợp lệ thêm vài giờ, đủ để người nhặt được token ký một văn bản gây thiệt hại.
Vì thế các nhà cung cấp có kinh nghiệm thường tách riêng hạ tầng công bố trạng thái khỏi hệ thống phát hành, đặt ngưỡng cảnh báo khi thời gian phản hồi tăng, và ghi nhật ký đầy đủ mọi lần cập nhật để chứng minh thời điểm thu hồi khi có tranh chấp. Thời điểm chính xác đến từng phút có thể là điểm mấu chốt quyết định ai chịu thiệt hại.
Nghĩa vụ với cơ quan quản lý
Ngoài thuê bao, doanh nghiệp được cấp phép phải giữ quan hệ thường xuyên với cơ quan quản lý. Bảng dưới gom các đầu việc chính; tần suất và biểu mẫu, bạn theo văn bản hiện hành.
| Đầu việc | Nội dung | Lỗi hay gặp |
|---|---|---|
| Báo cáo định kỳ | Số chứng thư cấp, thu hồi, sự cố, tình hình hoạt động theo kỳ quy định | Nộp trễ vì không ai được giao; số liệu lệch với hệ thống |
| Báo cáo đột xuất | Sự cố an toàn thông tin, lộ khoá, gián đoạn dịch vụ lớn | Chờ khắc phục xong mới báo, trong khi quy định đòi báo sớm |
| Thông báo thay đổi | Đổi tên, trụ sở, người đại diện, quy chế chứng thực, địa điểm đặt hệ thống | Đổi xong mới nhớ báo; quy chế công bố khác bản đã gửi |
| Phối hợp kiểm tra | Kiểm tra định kỳ hoặc đột xuất về kỹ thuật và quy trình | Không tìm được nhật ký, biên bản xác minh thuê bao cũ |
| Duy trì ký quỹ | Giữ khoản ký quỹ đúng mức quy định, bổ sung khi bị trừ | Quên bổ sung sau khi đã chi trả bồi thường |
Cách giữ nhịp tốt nhất là lập một lịch tuân thủ trong năm, ghi rõ hạn và người phụ trách từng đầu việc, xem lại mỗi khi văn bản hướng dẫn thay đổi.
Lưu trữ hồ sơ: giữ gì và giữ đến bao giờ
Hồ sơ xác minh thuê bao, hợp đồng, yêu cầu tạm dừng, thu hồi, nhật ký hệ thống là bằng chứng của nhà cung cấp khi có người nói "chứng thư này không phải của mình" hay "đã báo mất từ hôm trước". Văn bản hướng dẫn quy định thời hạn lưu trữ tối thiểu sau khi chứng thư hết hiệu lực hoặc bị thu hồi; thời hạn này thường dài hơn nhiều so với vòng đời chứng thư, vì văn bản ký số có thể bị tranh chấp nhiều năm sau.
Lưu trữ đúng không chỉ là cất. Bản ghi phải tìm lại được theo tên thuê bao, mã số, số hiệu chứng thư; phải còn đọc được khi phần mềm cũ đã thay; phải có bằng chứng không bị sửa sau khi tạo. Nhiều doanh nghiệp đổi hệ thống quản lý khách hàng giữa chừng và để lại kho hồ sơ cũ không ai mở được, đến lúc thanh tra thì lúng túng.
Một thói quen nên có ngay từ năm đầu là diễn tập truy xuất: chọn ngẫu nhiên vài thuê bao đã hết hạn từ lâu, thử tìm đủ hợp đồng, bản xác minh, nhật ký thu hồi trong một thời gian giới hạn. Lần diễn tập đầu tiên thường lộ ra những khoảng trống mà không bản quy trình nào chỉ ra được, như ảnh giấy tờ lưu ở máy cá nhân của nhân viên cũ hay biên bản giao token chỉ có bản giấy chưa số hoá.
Hồ sơ có chứa dữ liệu cá nhân như ảnh giấy tờ tuỳ thân, dữ liệu xác minh khuôn mặt, nên vừa phải giữ đủ lâu theo quy định chuyên ngành, vừa phải bảo vệ đúng quy định về dữ liệu cá nhân: phân quyền truy cập, ghi nhật ký ai đã xem, huỷ đúng cách khi hết thời hạn. Hai yêu cầu này không mâu thuẫn, nhưng phải được viết rõ trong quy trình lưu trữ.
Đại lý và đối tác: nghĩa vụ không chuyển đi theo hợp đồng
Giao việc không giao trách nhiệm. Nhà cung cấp có thể dùng đại lý để tiếp nhận hồ sơ, hướng dẫn khách, giao token. Nhưng chứng thư mang tên nhà cung cấp, nên nếu đại lý xác minh ẩu, trách nhiệm với thuê bao và người thứ ba trước hết vẫn thuộc nhà cung cấp; giữa hai bên thì xử lý theo hợp đồng đại lý.
Đào tạo và kiểm tra đại lý. Quy trình xác minh danh tính phải giống nhau dù khách đến văn phòng chính hay qua đại lý ở tỉnh xa. Doanh nghiệp nên có tài liệu đào tạo, bài kiểm tra định kỳ và quyền rà soát hồ sơ do đại lý thu.
Đối tác công nghệ. Thuê hạ tầng, thuê dịch vụ xác minh điện tử hay mua phần mềm từ bên ngoài không làm giảm nghĩa vụ bảo đảm an toàn. Hợp đồng với đối tác nên có điều khoản phối hợp khi có kiểm tra, quyền kiểm toán và nghĩa vụ báo sự cố.
Ngừng hợp tác có kế hoạch. Khi chấm dứt với một đại lý, phải thu lại phôi token chưa phát, khoá tài khoản truy cập hệ thống và thông báo cho khách đang được đại lý đó hỗ trợ.
Tạm ngừng, chấm dứt dịch vụ hoặc bị thu hồi giấy phép
Đây là tình huống ít ai muốn nghĩ tới nhưng phải có phương án viết sẵn ngay từ đầu, vì luật đặt quyền lợi của thuê bao lên trước. Trình tự chung như sau.
- Thông báo cho cơ quan quản lý và cho toàn bộ thuê bao trước thời điểm ngừng theo thời hạn quy định, nói rõ lý do và phương án.
- Thoả thuận với một tổ chức cung cấp dịch vụ khác để nhận chuyển giao thuê bao, hoặc hướng dẫn thuê bao chuyển sang nhà cung cấp họ chọn.
- Bảo đảm thuê bao không bị gián đoạn công việc trong thời gian chuyển: lịch chuyển rõ ràng, hỗ trợ cập nhật chứng thư mới lên các hệ thống đang dùng.
- Tiếp tục duy trì công bố trạng thái của các chứng thư đã cấp trong thời gian quy định, để văn bản đã ký vẫn kiểm được.
- Bàn giao hồ sơ lưu trữ theo hướng dẫn của cơ quan quản lý; khoá bí mật của tổ chức xử lý theo quy trình có biên bản.
- Giải quyết các khoản phải trả cho thuê bao như phí dịch vụ đã thu cho thời gian chưa sử dụng, theo hợp đồng.
Khi giấy phép bị thu hồi do vi phạm, khoản ký quỹ có thể được dùng cho các việc trên. Tranh chấp với thuê bao phát sinh trong giai đoạn này thường phức tạp; nếu doanh nghiệp đang ở tình huống đó, nên có luật sư theo sát từ đầu.
Câu hỏi thường gặp
Một kỹ sư chủ chốt nghỉ việc thì có ảnh hưởng tới giấy phép không?
Có thể, nếu người đó thuộc nhóm nhân sự dùng để chứng minh điều kiện. Doanh nghiệp nên có người thay thế đủ tiêu chuẩn, cập nhật danh sách nhân sự và thông báo thay đổi cho cơ quan quản lý theo quy định, thay vì để vị trí trống đến kỳ kiểm tra.
Đổi quy chế chứng thực có phải xin phép lại không?
Thay đổi quy chế thường phải thông báo hoặc gửi cơ quan quản lý và công bố cho thuê bao trước khi áp dụng. Thay đổi lớn về loại chứng thư hay cách xác minh có thể bị xem xét như thay đổi điều kiện; bạn đối chiếu văn bản hướng dẫn hiện hành.
Thuê bao báo mất token lúc nửa đêm thì nhà cung cấp phải xử lý ngay không?
Nhà cung cấp phải có kênh tiếp nhận yêu cầu tạm dừng, thu hồi và xử lý kịp thời theo quy chế đã công bố. Kênh chỉ mở giờ hành chính là điểm yếu lớn, vì mọi chữ ký tạo ra trong khoảng chờ có thể dẫn đến tranh chấp về thời điểm báo.
Nhà cung cấp ngừng hoạt động thì chứng thư của khách có mất giá trị ngay không?
Không nên mất ngay. Quy định đặt nghĩa vụ báo trước, chuyển giao thuê bao và duy trì thông tin trạng thái để văn bản đã ký vẫn kiểm được. Thuê bao nên chủ động chuyển sang nhà cung cấp mới trong thời gian được báo trước.
Có được dùng dữ liệu thuê bao để quảng cáo sản phẩm khác không?
Dữ liệu thu được khi xác minh danh tính chỉ dùng đúng mục đích đã thông báo và được thuê bao đồng ý, theo quy định về bảo vệ dữ liệu cá nhân. Dùng vào quảng cáo khi chưa có sự đồng ý riêng là rủi ro pháp lý lớn.
Báo cáo định kỳ nộp ở đâu sau khi hợp nhất bộ?
Từ tháng 3/2025, lĩnh vực chữ ký số công cộng thuộc Bộ Khoa học và Công nghệ. Đơn vị tiếp nhận, biểu mẫu và kênh nộp có thể đã thay đổi so với trước, bạn kiểm thông báo mới nhất của cơ quan quản lý.