Nhận được thông báo về cập nhật chứng thư chữ ký số, nhiều doanh nghiệp lập tức lo quy trình ký hợp đồng, hóa đơn hoặc hồ sơ điện tử sẽ phải thay đổi toàn bộ. Việc cần làm trước tiên không phải là đổi thiết bị, mà là xác định chữ ký số đang xuất hiện ở đâu trong hệ thống của doanh nghiệp và ai phụ trách từng điểm đó.
Thông tư 28/2025/TT-BKHCN có hiệu lực từ ngày 01/01/2026, quy định định dạng thông tin trên chứng thư chữ ký số. Bài viết này giúp bộ phận CNTT, pháp chế và vận hành nhìn đúng phạm vi tác động, chuẩn bị cuộc trao đổi hiệu quả với nhà cung cấp và tránh gián đoạn không cần thiết.
Thông tư 28/2025 thay đổi điều gì, và không thay đổi điều gì?
Thông tư quy định định dạng thông tin trên chứng thư chữ ký số cho năm nhóm: dịch vụ chứng thực chữ ký số công cộng, cấp dấu thời gian, chứng thực thông điệp dữ liệu, danh sách chứng thư chữ ký số công cộng và chứng thư chữ ký số gốc tin cậy. Đây là quy định chi tiết Điều 8 Nghị định 23/2025/NĐ-CP.
Điểm doanh nghiệp cần hiểu đúng là: điều khoản chuyển tiếp đặt trách nhiệm rà soát, cập nhật định dạng đối với tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng đang hoạt động hợp pháp. Vì vậy, một doanh nghiệp sử dụng dịch vụ không nên tự kết luận rằng phải thay toàn bộ chứng thư hoặc thiết bị ngay ngày 01/01/2026.
Tuy nhiên, doanh nghiệp có ứng dụng tự phát triển, cổng giao dịch, hệ thống hợp đồng điện tử hoặc luồng kiểm tra chữ ký riêng vẫn nên chủ động hỏi nhà cung cấp về phạm vi ảnh hưởng. Chính các điểm tích hợp này thường quyết định việc cập nhật diễn ra êm hay phát sinh lỗi khi hồ sơ đã đi vào vận hành.
Khoanh vùng những nơi dễ phát sinh phụ thuộc trong quy trình ký số
Chứng thư chữ ký số, chữ ký số và phần mềm ký không phải là một. Chứng thư cung cấp thông tin để nhận diện và kiểm tra chữ ký; chữ ký số được tạo trên dữ liệu; còn phần mềm ký hoặc nền tảng hợp đồng điện tử tổ chức các bước phê duyệt, gửi ký, lưu vết và kết nối nghiệp vụ.
- Liệt kê nơi doanh nghiệp đang ký hoặc kiểm tra chữ ký: hóa đơn điện tử, kê khai, hợp đồng, hồ sơ nhân sự, cổng khách hàng và ứng dụng nội bộ.
- Xác định hệ thống nào do nhà cung cấp vận hành trọn gói, hệ thống nào do đội CNTT hoặc đối tác phát triển cấu hình.
- Ghi rõ đầu mối sở hữu mỗi luồng: nghiệp vụ, kỹ thuật, pháp chế và nhà cung cấp.
Cách làm này giúp cuộc trao đổi với nhà cung cấp đi thẳng vào điểm cần kiểm tra. Thay vì chỉ hỏi “token có còn dùng được không”, doanh nghiệp có thể hỏi hệ thống nào cần cập nhật cấu hình, có cần thử lại việc ký hoặc xác minh hồ sơ hay không, và đầu mối hỗ trợ khi có sự cố là ai.
Xem thêm hướng dẫn lựa chọn và triển khai chữ ký số cho doanh nghiệp để đối chiếu mô hình sử dụng hiện tại.
Chuẩn bị cuộc làm việc với nhà cung cấp theo một checklist ngắn
- Thay đổi có ảnh hưởng đến loại dịch vụ doanh nghiệp đang sử dụng không?
- Thời điểm áp dụng, thời gian bảo trì dự kiến và cách thông báo là gì?
- Hệ thống tích hợp có tài liệu kỹ thuật hoặc môi trường kiểm thử để đối chiếu không?
- Doanh nghiệp cần chuẩn bị hồ sơ mẫu, đầu mối kỹ thuật và đầu mối nghiệp vụ nào?
- Kênh hỗ trợ và thời gian phản hồi khi việc ký hoặc xác minh gặp lỗi là gì?
Với doanh nghiệp chỉ dùng một dịch vụ tiêu chuẩn và không tích hợp riêng, danh sách kiểm tra có thể gọn: xác nhận dịch vụ đang dùng, người quản trị, thời hạn liên quan và hướng dẫn chính thức. Không nên yêu cầu nhân viên tự cài lại phần mềm hoặc thay thiết bị khi chưa có thông báo, tài liệu và đầu mối hỗ trợ rõ ràng.
Tổ chức một đợt kiểm thử nhỏ trước khi thay đổi đi vào vận hành
Nếu có phần mềm nội bộ hoặc tích hợp riêng, hãy kiểm thử trên một tập tài liệu mẫu theo đúng luồng thường dùng: tạo hồ sơ, ký, gửi, nhận và kiểm tra kết quả. Mục tiêu không phải là biến phòng CNTT thành đơn vị chứng thực, mà là phát hiện sớm điểm kết nối nào cần nhà cung cấp hoặc đối tác phần mềm hỗ trợ.
Ghi nhận tối thiểu ba nội dung: hệ thống nào được thử, kết quả xử lý và đầu mối chịu trách nhiệm nếu cần khắc phục. Sau đó, thông báo thời điểm thay đổi đến các bộ phận có hồ sơ quan trọng để họ chủ động sắp xếp công việc.
Khi nào doanh nghiệp nên chuẩn hóa quản trị chữ ký số?
Một thông báo kỹ thuật thường làm lộ ra vấn đề quản trị đã có từ trước: không có danh sách dịch vụ đang dùng, không rõ ai giữ quyền quản trị, thiếu đầu mối nhà cung cấp hoặc không có bước kiểm tra sau cập nhật. Nếu doanh nghiệp có nhiều đơn vị, nhiều người duyệt hoặc nhiều luồng ký, đây là thời điểm phù hợp để chuẩn hóa lại.
Quy trình tối thiểu nên phân biệt quyền đề nghị ký, phê duyệt, ký và quản trị kỹ thuật; đồng thời có cách xử lý khi người có thẩm quyền thay đổi. Đọc thêm cách quản lý và phân quyền sử dụng chữ ký số trong doanh nghiệp để xây dựng phần vận hành này.
DTC Digital hỗ trợ doanh nghiệp đánh giá bối cảnh sử dụng chữ ký số, xác định những điểm cần kiểm tra trong quy trình và kết nối phương án phù hợp. Liên hệ DTC Digital để trao đổi về nhu cầu ký số, ký số từ xa hoặc tích hợp với hệ thống nghiệp vụ.
Câu hỏi thường gặp
Thông tư 28/2025 có buộc doanh nghiệp đổi chữ ký số ngay không?
Không nên hiểu như vậy. Thông tư quy định định dạng thông tin trên chứng thư chữ ký số. Doanh nghiệp nên xác định phạm vi đang sử dụng và làm theo hướng dẫn chính thức của nhà cung cấp, đặc biệt khi có hệ thống tự phát triển hoặc tích hợp riêng.
Thông tư có hiệu lực từ khi nào?
Thông tư 28/2025/TT-BKHCN có hiệu lực từ ngày 01/01/2026.
Phần mềm nội bộ có cần kiểm thử không?
Nên kiểm thử nếu phần mềm có tạo, xử lý hoặc kiểm tra chữ ký số theo cấu hình riêng. Hãy làm việc với nhà cung cấp để nhận phạm vi thay đổi và hướng dẫn phù hợp.
Doanh nghiệp nên lưu thông tin gì để quản trị chữ ký số?
Nên có danh sách dịch vụ đang dùng, đầu mối quản trị, hệ thống liên quan, thông tin hỗ trợ và lịch sử thay đổi quan trọng.
Bài viết này có thay thế tư vấn pháp lý hoặc kỹ thuật không?
Không. Bài viết giúp doanh nghiệp nhận diện đầu việc vận hành. Với giao dịch hoặc hệ thống có yêu cầu đặc thù, doanh nghiệp nên làm việc trực tiếp với nhà cung cấp và chuyên gia phù hợp.
Nguồn tham khảo: Thông tư 28/2025/TT-BKHCN; Cơ sở dữ liệu quốc gia về pháp luật; Bộ Khoa học và Công nghệ.