Thông tư 19/2025/TT-BKHCN Quy định kiểm toán kỹ thuật chữ ký điện tử

1. Thông tư này áp dụng đối với các tổ chức, cá nhân tham gia hoặc có liên quan đến hoạt động kiểm toán kỹ thuật đối với hệ thống thông tin, quy trình cung cấp dịch vụ chữ ký điện tử bảo đảm an toàn, chứng thư chữ ký điện tử bảo đảm an toàn, chữ ký số, chứng thư chữ ký số và dịch vụ tin cậy.

2. Cơ quan, tổ chức tạo lập, sử dụng chữ ký điện tử bảo đảm an toàn và chứng thư chữ ký điện tử bảo đảm an toàn được chủ động thực hiện kiểm toán kỹ thuật quy định tại Thông tư này để đánh giá hệ thống thông tin và quy trình cung cấp dịch vụ.

1. “Kiểm toán kỹ thuật” là hoạt động đánh giá độc lập, khách quan đối với hệ thống thông tin, quy trình cung cấp dịch vụ nhằm xác định việc đáp ứng tiêu chuẩn kỹ thuật bắt buộc áp dụng, quy chuẩn kỹ thuật, yêu cầu kỹ thuật của chữ ký điện tử bảo đảm an toàn, chứng thư chữ ký điện tử bảo đảm an toàn, chữ ký số, chứng thư chữ ký số và dịch vụ tin cậy. Trong đó, tiêu chuẩn kỹ thuật bắt buộc áp dụng khi được viện dẫn trong quy chuẩn kỹ thuật hoặc văn bản quy phạm pháp luật.

2. “Tổ chức kiểm toán kỹ thuật” là tổ chức chứng nhận được chỉ định theo quy định của pháp luật về tiêu chuẩn, quy chuẩn kỹ thuật, chất lượng sản phẩm, hàng hóa.

3. “Mẫu địa điểm đại diện” là một hoặc một số địa điểm trong số các địa điểm đăng ký hoạt động của tổ chức được kiểm toán kỹ thuật, được lựa chọn để tiến hành đánh giá, nhằm đảm bảo hiệu quả, tiết kiệm nguồn lực và vẫn phản ánh khách quan mức độ tuân thủ của toàn bộ hệ thống.

1. Căn cứ đánh giá của kiểm toán kỹ thuật là các yêu cầu cụ thể đối với hệ thống thông tin, quy trình cung cấp dịch vụ quy định tại quy chuẩn kỹ thuật, tiêu chuẩn kỹ thuật, yêu cầu kỹ thuật áp dụng đối với chữ ký điện tử bảo đảm an toàn, chứng thư chữ ký điện tử bảo đảm an toàn, chữ ký số, chứng thư chữ ký số và dịch vụ tin cậy.

2. Kiểm toán kỹ thuật được thực hiện định kỳ 02 năm/lần.

3. Trong thời gian tối đa 01 (một) năm kể từ ngày được cấp chứng thư chữ ký số, tổ chức cung cấp dịch vụ tin cậy phải hoàn thành kiểm toán kỹ thuật lần đầu, trừ trường hợp quy định tại khoản 2 Điều 15 của Thông tư này.

1. Số lượng mẫu địa điểm đại diện được quy định trong hợp đồng cung cấp dịch vụ kiểm toán kỹ thuật;

2. Việc lựa chọn mẫu địa điểm đại diện dựa trên các yếu tố sau:

3. Việc lựa chọn mẫu phải kết hợp giữa phương pháp lựa chọn có chủ đích (dựa trên các tiêu chí tại khoản 2 Điều này) và phương pháp lựa chọn ngẫu nhiên;

4. Trong trường hợp phát hiện thấy sự không phù hợp tại một trong các mẫu địa điểm đại diện, hành động khắc phục phải được áp dụng cho tất cả các địa điểm hoạt động của tổ chức được kiểm toán kỹ thuật;

5. Tổ chức kiểm toán kỹ thuật phải lập hồ sơ, lưu giữ tài liệu về việc lựa chọn địa điểm đánh giá theo mẫu đại diện.

1. Bước 1: Lập báo cáo đánh giá sơ bộ và yêu cầu khắc phục

2. Bước 2: Xây dựng kế hoạch khắc phục

3. Bước 3: Gửi kết quả khắc phục và bằng chứng

4. Bước 4: Đánh giá kết quả khắc phục

5. Bước 5: Cấp giấy chứng nhận

1. Thông tin chung về cuộc kiểm toán kỹ thuật:

2. Đánh giá rủi ro bảo mật thông tin của tổ chức được kiểm toán kỹ thuật;

3. Thời gian thực hiện các nội dung kiểm toán kỹ thuật và tổng thời gian kiểm toán kỹ thuật;

4. Phương thức kiểm toán kỹ thuật được sử dụng trong quá trình đánh giá;

5. Các thông tin phục vụ việc ra quyết định chứng nhận bao gồm:

6. Báo cáo kiểm toán kỹ thuật được trưởng đoàn kiểm toán kỹ thuật ký và tổ chức kiểm toán kỹ thuật đóng dấu. Trường hợp báo cáo kiểm toán kỹ thuật được thiết lập dưới dạng thông điệp dữ liệu phải được ký số bởi trưởng đoàn kiểm toán kỹ thuật và tổ chức kiểm toán kỹ thuật.

1. Bộ Khoa học và Công nghệ chỉ định tổ chức kiểm toán kỹ thuật theo quy định của pháp luật về tiêu chuẩn, quy chuẩn kỹ thuật, chất lượng sản phẩm, hàng hóa.

2. Danh sách tổ chức kiểm toán kỹ thuật được Bộ Khoa học và Công nghệ chỉ định được đăng tải công khai trên cổng thông tin điện tử của Bộ Khoa học và Công nghệ.

1. Tổ chức kiểm toán kỹ thuật có trách nhiệm thu thập thông tin nhằm mục đích làm cơ sở đề xuất kế hoạch kiểm toán kỹ thuật phù hợp với quy mô và tình hình thực tế của tổ chức được kiểm toán kỹ thuật. Các thông tin này bao gồm:

2. Kế hoạch kiểm toán kỹ thuật phải đảm bảo thể hiện rõ các yêu cầu sau:

3. Tổ chức kiểm toán kỹ thuật tổ chức họp và thống nhất bằng văn bản với tổ chức được kiểm toán kỹ thuật về các nội dung dự kiến triển khai trong kế hoạch kiểm toán kỹ thuật.

1. Trong trường hợp cần có hành động khắc phục, tổ chức được kiểm toán kỹ thuật triển khai hành động khắc phục theo quy định tại Điều 6 Thông tư này.

2. Căn cứ kết quả đánh giá của cuộc kiểm toán kỹ thuật và kết quả hành động khắc phục (nếu có), tổ chức kiểm toán kỹ thuật xem xét, quyết định cấp giấy chứng nhận kèm theo báo cáo kiểm toán kỹ thuật cho tổ chức được kiểm toán kỹ thuật; trường hợp không cấp giấy chứng nhận, tổ chức kiểm toán kỹ thuật thông báo bằng văn bản nêu rõ lý do kèm theo báo cáo kiểm toán kỹ thuật cho tổ chức được kiểm toán.

1. Thời hạn của cuộc kiểm toán kỹ thuật được tính từ ngày bắt đầu thực hiện đánh giá thông tin thu thập tới ngày ban hành báo cáo kiểm toán kỹ thuật.

2. Thời hạn cho mỗi cuộc kiểm toán kỹ thuật không quá 06 tháng.

3. Trường hợp cần thực hiện hành động khắc phục, thời gian để hoàn thành kế hoạch khắc phục do tổ chức được kiểm toán kỹ thuật đề xuất vượt quá thời hạn kiểm toán kỹ thuật nêu tại khoản 2 Điều này, tổ chức kiểm toán kỹ thuật và tổ chức được kiểm toán kỹ thuật thống nhất bằng văn bản về việc kéo dài thời hạn kiểm toán kỹ thuật nhưng không quá 45 ngày.

1. Tổ chức kiểm toán kỹ thuật có trách nhiệm:

2. Tổ chức được kiểm toán kỹ thuật có trách nhiệm:

3. Ủy ban Tiêu chuẩn Đo lường Chất lượng Quốc gia (Bộ Khoa học và Công nghệ) có trách nhiệm:

4. Trung tâm Chứng thực điện tử quốc gia (Bộ Khoa học và Công nghệ) có trách nhiệm là đầu mối tiếp nhận báo cáo kiểm toán kỹ thuật từ các tổ chức được kiểm toán kỹ thuật; tổng hợp, báo cáo Bộ trưởng Bộ Khoa học và Công nghệ phục vụ công tác quản lý nhà nước đối với hoạt động cung cấp dịch vụ tin cậy.

1. Thông tư có hiệu lực thi hành từ ngày 01 tháng 01 năm 2026.

2. Trong thời hạn 03 (ba) năm kể từ ngày Nghị định số 23/2025/NĐ-CP ngày 21/02/2025 của Chính phủ quy định về chữ ký điện tử và dịch vụ tin cậy có hiệu lực, các tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng đã được cấp phép theo Nghị định số 130/2018/NĐ-CP ngày 27/9/2018 của Chính phủ quy định chi tiết thi hành luật giao dịch điện tử về chữ ký số và dịch vụ chứng thực chữ ký số phải lập kế hoạch và hoàn thành việc kiểm toán kỹ thuật lần đầu.

3. Trong quá trình tổ chức thực hiện, nếu có khó khăn, vướng mắc, tổ chức, cá nhân có liên quan phản ánh về Bộ Khoa học và Công nghệ (Trung tâm Chứng thực điện tử quốc gia) để kịp thời giải quyết./.