Nghị định 130/2018/NĐ-CP: Hướng dẫn Luật giao dịch điện tử về chữ ký số

CHÍNH PHỦ
——-

CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM
Độc lập – Tự do – Hạnh phúc
—————

Số: 130/2018/NĐ-CP

Hà Nội, ngày 27 tháng 9 năm 2018

 

NGHỊ ĐỊNH

QUY ĐỊNH CHI TIẾT THI HÀNH LUẬT GIAO DỊCH ĐIỆN TỬ VỀ CHỮ KÝ SỐ VÀ DỊCH VỤ CHỨNG THỰC CHỮ KÝ SỐ

Căn cứ Luật tổ chức Chính phủ ngày 19 tháng 6 năm 2015;

Căn cứ Luật giao dịch điện tử ngày 29 tháng 11 năm 2005;

Căn cứ Luật công nghệ thông tin ngày 29 tháng 6 năm 2006;

Căn cứ Luật phí và lệ phí ngày 25 tháng 11 năm 2015;

Theo đề nghị của Bộ trưởng Bộ Thông tin và Truyền thông;

Chính phủ ban hành Nghị định quy định chi tiết thi hành Luật giao dịch điện tử về chữ ký số và dịch vụ chứng thực chữ ký số.

Chương I

NHỮNG QUY ĐỊNH CHUNG

Điều 1. Phạm vi điều chỉnh

Nghị định này quy định chi tiết về chữ ký số và chứng thư số; việc quản lý, cung cấp và sử dụng chữ ký số, chứng thư số và dịch vụ chứng thực chữ ký số.

Điều 2. Đối tượng áp dụng

Nghị định này áp dụng đối với cơ quan, tổ chức quản lý, cung cấp dịch vụ chứng thực chữ ký số; cơ quan, tổ chức, cá nhân sử dụng chữ ký số, chứng thư số và dịch vụ chứng thực chữ ký số trong giao dịch điện tử.

Điều 3. Giải thích từ ngữ

Trong Nghị định này, các từ ngữ dưới đây được hiểu như sau:

1. “Khóa” là một chuỗi các số nhị phân (0 và 1) dùng trong các hệ thống mật mã.

2. “Hệ thống mật mã không đối xứng” là hệ thống mật mã có khả năng tạo được cặp khóa bao gồm khóa bí mật và khóa công khai.

3. “Khóa bí mật” là một khóa trong cặp khóa thuộc hệ thống mật mã không đối xứng, được dùng để tạo chữ ký số.

4. “Khóa công khai” là một khóa trong cặp khóa thuộc hệ thống mật mã không đối xứng, được sử dụng để kiểm tra chữ ký số được tạo bởi khóa bí mật tương ứng trong cặp khóa.

5. “Ký số” là việc đưa khóa bí mật vào một chương trình phần mềm để tự động tạo và gắn chữ ký số vào thông điệp dữ liệu.

6. “Chữ ký số” là một dạng chữ ký điện tử được tạo ra bằng sự biến đổi một thông điệp dữ liệu sử dụng hệ thống mật mã không đối xứng, theo đó, người có được thông điệp dữ liệu ban đầu và khóa công khai của người ký có thể xác định được chính xác:

a) Việc biến đổi nêu trên được tạo ra bằng đúng khóa bí mật tương ứng với khóa công khai trong cùng một cặp khóa;

b) Sự toàn vẹn nội dung của thông điệp dữ liệu kể từ khi thực hiện việc biến đổi nêu trên.

7. “Chứng thư số” là một dạng chứng thư điện tử do tổ chức cung cấp dịch vụ chứng thực chữ ký số cấp nhằm cung cấp thông tin định danh cho khóa công khai của một cơ quan, tổ chức, cá nhân, từ đó xác nhận cơ quan, tổ chức, cá nhân là người ký chữ ký số bằng việc sử dụng khóa bí mật tương ứng.

8. “Chứng thư số có hiệu lực” là chứng thư số chưa hết hạn, không bị tạm dừng hoặc bị thu hồi.

9. “Chứng thư số công cộng” là chứng thư số do tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng cấp.

10. “Chứng thư số nước ngoài” là chứng thư số do tổ chức cung cấp dịch vụ chứng thực chữ ký số nước ngoài cấp.

11. “Thuê bao” là cơ quan, tổ chức, cá nhân được cấp chứng thư số, chấp nhận chứng thư số và giữ khóa bí mật tương ứng với khóa công khai ghi trên chứng thư số được cấp đó.

12. “Người ký” là thuê bao dùng khóa bí mật của mình để ký số vào một thông điệp dữ liệu dưới tên của mình.

13. “Người nhận” là tổ chức, cá nhân nhận được thông điệp dữ liệu được ký số bởi người ký, sử dụng chứng thư số của người ký đó để kiểm tra chữ ký số trong thông điệp dữ liệu nhận được.

14. “Ứng dụng sử dụng chữ ký số” là các ứng dụng công nghệ thông tin cho phép tích hợp và sử dụng chữ ký số để xác thực.

15. “Tổ chức cung cấp dịch vụ chứng thực chữ ký số” là tổ chức cung cấp dịch vụ chứng thực chữ ký điện tử thực hiện hoạt động cung cấp dịch vụ chứng thực chữ ký số.

16. “Tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng” là tổ chức cung cấp dịch vụ chứng thực chữ ký số cho cơ quan, tổ chức, cá nhân sử dụng trong các hoạt động công cộng. Hoạt động cung cấp dịch vụ chứng thực chữ ký số của các tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng là hoạt động kinh doanh có điều kiện theo quy định của pháp luật.

17. “Tổ chức cung cấp dịch vụ chứng thực chữ ký số chuyên dùng” là tổ chức cung cấp dịch vụ chứng thực chữ ký số cho các cơ quan, tổ chức, cá nhân sử dụng trong các hoạt động chuyên ngành hoặc lĩnh vực, có cùng tính chất hoạt động hoặc mục đích công việc và được liên kết với nhau thông qua điều lệ hoạt động hoặc văn bản quy phạm pháp luật quy định cơ cấu tổ chức chung hoặc hình thức liên kết, hoạt động chung. Hoạt động của tổ chức cung cấp dịch vụ chứng thực chữ ký số chuyên dùng không nhằm mục đích kinh doanh. Tổ chức cung cấp dịch vụ chứng thực chữ ký số chuyên dùng bao gồm:

a) Tổ chức cung cấp dịch vụ chứng thực chữ ký số chuyên dùng Chính phủ cung cấp dịch vụ chứng thực chữ ký số cho các cơ quan Đảng, Nhà nước;

b) Tổ chức cung cấp dịch vụ chứng thực chữ ký số chuyên dùng của cơ quan, tổ chức. Hoạt động cung cấp dịch vụ chứng thực chữ ký số chuyên dùng của cơ quan, tổ chức phải được đăng ký với cơ quan quản lý nhà nước về dịch vụ chứng thực chữ ký số theo quy định của pháp luật.

18. “Đại lý dịch vụ chứng thực chữ ký số công cộng” là thương nhân hỗ trợ tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng trong việc cung ứng dịch vụ chứng thực chữ ký số tới thuê bao theo hợp đồng đại lý để hưởng thù lao.

19. “Quy chế chứng thực” là quy chế của các tổ chức cung cấp dịch vụ chứng thực chữ ký số về quy trình, thủ tục cấp, quản lý chứng thư số, sử dụng chứng thư số của thuê bao và mối quan hệ giữa tổ chức cung cấp dịch vụ chứng thực chữ ký số với đại lý và thuê bao của mình.

20. “Phí dịch vụ duy trì hệ thống kiểm tra trạng thái chứng thư số” là khoản tiền mà các tổ chức cung cấp dịch vụ chứng thực chữ ký số phải trả khi được Tổ chức cung cấp dịch vụ chứng thực chữ ký số quốc gia (quy định tại Chương VI Nghị định này) duy trì trực tuyến cơ sở dữ liệu về chứng thư số và các thông tin khác phục vụ việc kiểm tra trạng thái chứng thư số, hiệu lực chữ ký số của các tổ chức cung cấp dịch vụ chứng thực chữ ký số.

21. “Thiết bị lưu khóa bí mật” là thiết bị vật lý chứa chứng thư số và khóa bí mật của thuê bao.

Điều 4. Dịch vụ chứng thực chữ ký số

Dịch vụ chứng thực chữ ký số là một loại hình dịch vụ chứng thực chữ ký điện tử do tổ chức cung cấp dịch vụ chứng thực chữ ký số cung cấp cho thuê bao để xác thực việc thuê bao là người đã ký số trên thông điệp dữ liệu. Dịch vụ chứng thực chữ ký số bao gồm:

1. Tạo cặp khóa hoặc hỗ trợ tạo cặp khóa bao gồm khóa công khai và khóa bí mật cho thuê bao.

2. Cấp, gia hạn, tạm dừng, phục hồi và thu hồi chứng thư số của thuê bao.

3. Duy trì trực tuyến cơ sở dữ liệu về chứng thư số.

4. Cung cấp thông tin cần thiết để giúp chứng thực chữ ký số của thuê bao đã ký số trên thông điệp dữ liệu.

Chương II

CHỮ KÝ SỐ VÀ CHỨNG THƯ SỐ

Điều 5. Nội dung của chứng thư số

Chứng thư số do Tổ chức cung cấp dịch vụ chứng thực chữ ký số quốc gia, tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng, tổ chức cung cấp dịch vụ chứng thực chữ ký số chuyên dùng Chính phủ, tổ chức cung cấp dịch vụ chứng thực chữ ký số chuyên dùng của cơ quan, tổ chức cấp phải bao gồm các nội dung sau:

1. Tên của tổ chức cung cấp dịch vụ chứng thực chữ ký số.

2. Tên của thuê bao.

3. Số hiệu chứng thư số.

4. Thời hạn có hiệu lực của chứng thư số.

5. Khóa công khai của thuê bao.

6. Chữ ký số của tổ chức cung cấp dịch vụ chứng thực chữ ký số.

7. Các hạn chế về mục đích, phạm vi sử dụng của chứng thư số.

8. Các hạn chế về trách nhiệm pháp lý của tổ chức cung cấp dịch vụ chứng thực chữ ký số.

9. Thuật toán mật mã.

10. Các nội dung cần thiết khác theo quy định của Bộ Thông tin và Truyền thông.

Điều 6. Chứng thư số của cơ quan, tổ chức và người có thẩm quyền của cơ quan, tổ chức

1. Tất cả các cơ quan, tổ chức và chức danh nhà nước, người có thẩm quyền của cơ quan, tổ chức theo quy định của pháp luật về quản lý và sử dụng con dấu đều có quyền được cấp chứng thư số có giá trị như quy định tại khoản 2 Điều 8 Nghị định này.

2. Chứng thư số cấp cho chức danh nhà nước, người có thẩm quyền của cơ quan, tổ chức phải nêu rõ chức danh và tên cơ quan, tổ chức của người đó.

3. Việc cấp chứng thư số cho cơ quan, tổ chức và chức danh nhà nước, người có thẩm quyền của cơ quan, tổ chức phải căn cứ vào các tài liệu sau:

a) Văn bản của cơ quan, tổ chức đề nghị cấp chứng thư số cho cơ quan, tổ chức, người có thẩm quyền hoặc chức danh nhà nước;

b) Bản sao hợp lệ quyết định thành lập, quyết định quy định chức năng, nhiệm vụ, quyền hạn hoặc văn bản xác nhận chức danh của người có thẩm quyền của cơ quan, tổ chức hoặc chức danh nhà nước đó.

Điều 7. Sử dụng chữ ký số và chứng thư số của cơ quan, tổ chức và người có thẩm quyền của cơ quan, tổ chức

1. Chữ ký số của đối tượng được cấp chứng thư số theo quy định tại Điều 6 Nghị định này chỉ được sử dụng để thực hiện các giao dịch theo đúng thẩm quyền của cơ quan, tổ chức và chức danh được cấp chứng thư số.

2. Việc ký thay, ký thừa lệnh theo quy định của pháp luật thực hiện bởi người có thẩm quyền sử dụng chữ ký số của mình, được hiểu căn cứ vào chức danh của người ký ghi trên chứng thư số.

Điều 8. Giá trị pháp lý của chữ ký số

1. Trong trường hợp pháp luật quy định văn bản cần có chữ ký thì yêu cầu đối với một thông điệp dữ liệu được xem là đáp ứng nếu thông điệp dữ liệu đó được ký bằng chữ ký số và chữ ký số đó được đảm bảo an toàn theo quy định tại Điều 9 Nghị định này.

2. Trong trường hợp pháp luật quy định văn bản cần được đóng dấu của cơ quan tổ chức thì yêu cầu đó đối với một thông điệp dữ liệu được xem là đáp ứng nếu thông điệp dữ liệu đó được ký bởi chữ ký số cơ quan, tổ chức và chữ ký số đó được đảm bảo an toàn theo quy định tại Điều 9 Nghị định này.

3. Chữ ký số và chứng thư số nước ngoài được cấp giấy phép sử dụng tại Việt Nam theo quy định tại Chương V Nghị định này có giá trị pháp lý và hiệu lực như chữ ký số và chứng thư số do tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng của Việt Nam cấp.

Điều 9. Điều kiện đảm bảo an toàn cho chữ ký số

Chữ ký số được xem là chữ ký điện tử an toàn khi đáp ứng các điều kiện sau:

1. Chữ ký số được tạo ra trong thời gian chứng thư số có hiệu lực và kiểm tra được bằng khóa công khai ghi trên chứng thư số đó.

2. Chữ ký số được tạo ra bằng việc sử dụng khóa bí mật tương ứng với khóa công khai ghi trên chứng thư số do một trong các tổ chức sau đây cấp:

a) Tổ chức cung cấp dịch vụ chứng thực chữ ký số quốc gia;

b) Tổ chức cung cấp dịch vụ chứng thực chữ ký số chuyên dùng Chính phủ;

c) Tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng;

d) Tổ chức cung cấp dịch vụ chứng thực chữ ký số chuyên dùng của các cơ quan, tổ chức được cấp giấy chứng nhận đủ điều kiện đảm bảo an toàn cho chữ ký số chuyên dùng được quy định tại Điều 40 của Nghị định này.

3. Khóa bí mật chỉ thuộc sự kiểm soát của người ký tại thời điểm ký.

Điều 10. Quy định về định dạng chứng thư số

Khi cấp chứng thư số, các tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng và các tổ chức cung cấp dịch vụ chứng thực chữ ký số chuyên dùng của cơ quan, tổ chức được cấp giấy chứng nhận đủ điều kiện đảm bảo an toàn cho chữ ký số chuyên dùng phải tuân thủ quy định về định dạng chứng thư số theo quy chế chứng thực của Tổ chức cung cấp dịch vụ chứng thực chữ ký số quốc gia.

Chương III

DỊCH VỤ CHỨNG THỰC CHỮ KÝ SỐ CÔNG CỘNG

Mục 1: CẤP PHÉP CUNG CẤP DỊCH VỤ CHỨNG THỰC CHỮ KÝ SỐ CÔNG CỘNG

Điều 11. Điều kiện hoạt động

Tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng được cung cấp dịch vụ khi đáp ứng các điều kiện sau:

1. Có giấy phép cung cấp dịch vụ chứng thực chữ ký số công cộng do Bộ Thông tin và Truyền thông cấp.

2. Có chứng thư số do Tổ chức cung cấp dịch vụ chứng thực chữ ký số quốc gia cấp.

Điều 12. Thời hạn giấy phép

Giấy phép cấp cho tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng có thời hạn 10 năm.

Điều 13. Điều kiện cấp phép

1. Điều kiện về chủ thể:

Là doanh nghiệp thành lập theo pháp luật Việt Nam.

2. Điều kiện về tài chính:

a) Ký quỹ tại một ngân hàng thương mại hoạt động tại Việt Nam không dưới 05 (năm) tỷ đồng để giải quyết các rủi ro và các khoản đền bù có thể xảy ra trong quá trình cung cấp dịch vụ do lỗi của tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng và thanh toán chi phí tiếp nhận và duy trì cơ sở dữ liệu của doanh nghiệp trong trường hợp bị thu hồi giấy phép;

b) Nộp phí dịch vụ duy trì hệ thống kiểm tra trạng thái chứng thư số đầy đủ (trong trường hợp cấp lại giấy phép).

3. Điều kiện về nhân sự:

a) Doanh nghiệp phải có nhân sự chịu trách nhiệm: Quản trị hệ thống, vận hành hệ thống và cấp chứng thư số, bảo đảm an toàn thông tin của hệ thống;

b) Nhân sự quy định tại điểm a khoản này phải có bằng đại học trở lên, chuyên ngành an toàn thông tin hoặc công nghệ thông tin hoặc điện tử viễn thông.

4. Điều kiện về kỹ thuật:

a) Thiết lập hệ thống thiết bị kỹ thuật đảm bảo các yêu cầu sau:

– Lưu trữ đầy đủ, chính xác và cập nhật thông tin của thuê bao phục vụ việc cấp chứng thư số trong suốt thời gian chứng thư số có hiệu lực;

– Lưu trữ đầy đủ, chính xác, cập nhật danh sách các chứng thư số có hiệu lực, đang tạm dừng và đã hết hiệu lực và cho phép và hướng dẫn người sử dụng Internet truy nhập trực tuyến 24 giờ trong ngày và 7 ngày trong tuần;

– Đảm bảo tạo cặp khóa chỉ cho phép mỗi cặp khóa được tạo ra ngẫu nhiên và đúng một lần duy nhất; có tính năng đảm bảo khóa bí mật không bị phát hiện khi có khóa công khai tương ứng;

– Có tính năng cảnh báo, ngăn chặn và phát hiện truy nhập bất hợp pháp trên môi trường mạng;

– Được thiết kế theo xu hướng giảm thiểu tối đa sự tiếp xúc trực tiếp với môi trường Internet;

– Hệ thống phân phối khóa cho thuê bao phải đảm bảo sự toàn vẹn và bảo mật của cặp khóa. Trong trường hợp phân phối khóa thông qua môi trường mạng máy tính thì hệ thống phân phối khóa phải sử dụng các giao thức bảo mật đảm bảo không lộ thông tin trên đường truyền.

b) Có phương án kỹ thuật đáp ứng các yêu cầu đảm bảo an toàn hệ thống thông tin và các quy chuẩn kỹ thuật và tiêu chuẩn