Một bệnh viện tuyến huyện chuẩn bị ngân sách triển khai chữ ký số bệnh án điện tử vào đầu năm nay, dựa theo tài liệu tham khảo từ một dự án EMR cũ: mua chữ ký số PKI cho toàn bộ hơn 40 bác sĩ, cộng phí duy trì chứng thư hàng năm. Khi trình dự toán, phòng Kế hoạch tổng hợp mới phát hiện quy định đã thay đổi từ giữa năm 2025 - Thông tư 13/2025/TT-BYT không còn bắt buộc chỉ dùng chữ ký số cho hồ sơ bệnh án điện tử. Khoản chi tưởng như cố định hóa ra có thể co giãn theo lựa chọn hạ tầng, nhưng đọc sai một điều khoản cũng đủ khiến dự toán lệch hàng trăm triệu đồng. Câu hỏi đặt ra không còn là có dùng chữ ký số cho hồ sơ điện tử hay không, mà là chọn hình thức nào cho phù hợp với quy mô và loại hình cơ sở.
Quy định hiện hành: ba hình thức ký, xác nhận điện tử
Điều 3 Thông tư 13/2025/TT-BYT (ban hành 06/6/2025, hiệu lực 21/7/2025) quy định việc ký, xác nhận trên hồ sơ bệnh án điện tử được thực hiện bằng một trong ba hình thức, không bắt buộc phải chọn đúng một trong số đó cho toàn bộ cơ sở:
- Chữ ký điện tử hợp pháp: bao gồm chữ ký số theo hạ tầng khóa công khai (PKI), là hình thức phổ biến nhất hiện nay vì phần lớn phần mềm HIS/EMR đã có sẵn module tích hợp.
- Kỹ thuật sinh trắc học: xác thực bằng vân tay, khuôn mặt hoặc đặc điểm sinh học khác của người ký, gắn trực tiếp với danh tính cá nhân thay vì một thiết bị hay chứng thư.
- Hình thức xác nhận điện tử khác theo khoản 4 Điều 22 Luật Giao dịch điện tử 20/2023/QH15: nhóm mở, cho phép cơ sở áp dụng phương thức xác nhận phù hợp với hạ tầng sẵn có, miễn đáp ứng yêu cầu về tính toàn vẹn và xác định được người ký.
Đây là điểm nới lỏng rõ rệt so với Thông tư 46/2018/TT-BYT trước đây - văn bản đã hết hiệu lực từ 06/6/2025, thay bằng Thông tư 13/2025/TT-BYT. Quy định cũ gần như mặc định chữ ký số là con đường duy nhất; quy định hiện hành coi đó là một trong ba lựa chọn ngang hàng.
Lưu ý khi đọc tài liệu cũ: Nhiều slide đào tạo, báo giá hay bài viết tư vấn về bệnh án điện tử soạn trước tháng 7/2025 vẫn ghi "bắt buộc chữ ký số". Trước khi duyệt ngân sách hay ký hợp đồng dựa trên tài liệu đó, cần đối chiếu lại với Điều 3 Thông tư 13/2025/TT-BYT hiện hành.
Vì sao chữ ký số vẫn là lựa chọn phổ biến dù không còn bắt buộc
Được nới lỏng không có nghĩa chữ ký số mất vai trò. Trên thực tế, phần lớn bệnh viện đã triển khai bệnh án điện tử vẫn chọn chữ ký số làm hình thức chính, vì ba lý do vận hành cụ thể:
- Tính chống chối bỏ (non-repudiation): chữ ký số ràng buộc danh tính người ký với nội dung đã ký bằng cơ chế mã hóa, khó phủ nhận hơn xác nhận bằng mã OTP hay mật khẩu đơn thuần - quan trọng với hồ sơ có thể bị tranh chấp pháp lý sau này.
- Dấu thời gian và toàn vẹn nội dung: mỗi lần ký gắn kèm mốc thời gian xác thực, hồ sơ bị chỉnh sửa sau khi ký sẽ làm sai lệch chữ ký, dễ phát hiện khi đối soát.
- Hạ tầng có sẵn từ đơn thuốc điện tử: cơ sở nào đã triển khai kê đơn thuốc điện tử theo Thông tư 26/2025/TT-BYT thì đã có sẵn chữ ký số và chứng thư cho bác sĩ (quy định này bắt buộc, xem phần dưới) - tận dụng lại hạ tầng đó cho bệnh án điện tử thường rẻ hơn xây một cơ chế xác nhận mới từ đầu.
Nói cách khác, chữ ký số không còn là nghĩa vụ pháp lý bắt buộc, nhưng vẫn là lựa chọn hợp lý về chi phí biên với cơ sở đã có sẵn hạ tầng PKI.
Xác thực bằng sinh trắc học là một trong ba hình thức được Điều 3 Thông tư 13/2025/TT-BYT chấp nhận
Hai khung pháp lý chữ ký số chạy song song
Khi đã quyết định dùng chữ ký số, cơ sở y tế cần chọn đúng loại chứng thư theo mô hình sở hữu, vì có hai nghị định điều chỉnh hai nhóm khác nhau, không nghị định nào thay thế nghị định nào:
| Tiêu chí | Chữ ký số công cộng | Chữ ký số chuyên dùng công vụ |
|---|---|---|
| Căn cứ pháp lý | Nghị định 23/2025/NĐ-CP (21/02/2025, hiệu lực 10/4/2025) | Nghị định 68/2024/NĐ-CP (25/6/2024, hiệu lực 15/8/2024) |
| Đơn vị cấp | Tổ chức cung cấp dịch vụ tin cậy được cấp phép | Ban Cơ yếu Chính phủ |
| Đối tượng áp dụng | Cơ sở khám bệnh, chữa bệnh tư nhân, doanh nghiệp | Cơ sở khám bệnh, chữa bệnh công lập |
Nghị định 23/2025/NĐ-CP thay thế Nghị định 130/2018/NĐ-CP và Nghị định 48/2024/NĐ-CP, nhưng loại trừ rõ chữ ký số chuyên dùng công vụ khỏi phạm vi điều chỉnh - nhóm này vẫn theo Nghị định 68/2024/NĐ-CP. Bệnh viện công lập cần làm việc với đơn vị quản lý cơ yếu tại địa phương để cấp chứng thư cho bác sĩ, khác hẳn quy trình mua dịch vụ thương mại của cơ sở tư nhân.
Đừng nhầm với chữ ký số bắt buộc của đơn thuốc điện tử
Đây là điểm dễ nhầm nhất khi một cơ sở vừa triển khai bệnh án điện tử vừa kê đơn thuốc điện tử: hai quy định về ký, xác nhận điện tử không giống nhau, dù cùng nằm trong hồ sơ khám chữa bệnh của một người bệnh.
| Bệnh án điện tử | Đơn thuốc điện tử | |
|---|---|---|
| Căn cứ | Điều 3 Thông tư 13/2025/TT-BYT | Điều 10 Thông tư 26/2025/TT-BYT |
| Hình thức ký | 3 lựa chọn: chữ ký điện tử hợp pháp / sinh trắc học / hình thức xác nhận điện tử khác | Chỉ một hình thức: ký số |
| Có được đổi sang sinh trắc học không | Có | Không - thông tư chỉ ghi "ký số" |
Nói cách khác, một bệnh viện có thể bỏ chữ ký số cho bệnh án điện tử và chuyển sang xác thực vân tay, nhưng vẫn phải giữ chữ ký số riêng cho khâu kê đơn thuốc điện tử liên thông lên Hệ thống đơn thuốc quốc gia. Gộp chung hai quy định này khi lập kế hoạch triển khai là sai lầm thường gặp, dẫn tới việc cắt bỏ nhầm hạ tầng chữ ký số vẫn đang bắt buộc dùng cho đơn thuốc.
Quy trình triển khai chữ ký số trong bệnh án điện tử
Với cơ sở chọn chữ ký số làm hình thức xác nhận chính, trình tự triển khai thường đi theo các bước sau:
- Xác định loại hình cơ sở (công lập hay tư nhân) để chọn đúng căn cứ pháp lý - Nghị định 68/2024/NĐ-CP hay Nghị định 23/2025/NĐ-CP - trước khi liên hệ đơn vị cấp chứng thư.
- Lập danh sách người ký theo vai trò: bác sĩ điều trị ký hồ sơ bệnh án, trưởng khoa ký duyệt các trường hợp đặc biệt, dược sĩ ký xác nhận cấp phát. Mỗi vai trò cần phân quyền ký riêng trên phần mềm HIS/EMR, không dùng chung một tài khoản ký.
- Tích hợp module ký số với phần mềm đang dùng, qua API hoặc SDK do nhà cung cấp chứng thư hỗ trợ - bước này quyết định thời gian bác sĩ mất cho mỗi lần ký, nên cần kiểm thử kỹ trước khi áp dụng đại trà.
- Đào tạo bác sĩ và điều dưỡng thao tác ký, đặc biệt lưu ý bước rà soát nội dung trước khi ký - chữ ký số không thay thế trách nhiệm kiểm tra thông tin lâm sàng của người ký.
- Thiết lập cơ chế theo dõi hạn chứng thư số cho từng người ký, nhắc gia hạn trước khoảng 30 ngày để tránh gián đoạn kê đơn hoặc đóng hồ sơ bệnh án khi chứng thư hết hạn.
Bộ phận CNTT cần thiết lập cơ chế theo dõi hạn chứng thư số riêng cho từng người ký
Sai lầm thường gặp: Mua chữ ký số cho toàn bộ bác sĩ ngay từ đầu mà chưa kiểm thử tích hợp với phần mềm HIS/EMR đang dùng. Một số nền tảng cũ chỉ hỗ trợ ký từng hồ sơ một qua token USB, khiến bác sĩ ở khoa đông người bệnh mất thêm vài phút mỗi ca ký thủ công - nhân với hàng chục lượt khám mỗi ngày, đây là điểm nghẽn thực tế chứ không phải chi tiết nhỏ.
Chọn hình thức xác nhận phù hợp với hạ tầng của cơ sở
Không có hình thức nào đúng cho mọi cơ sở. Quyết định nên dựa trên ba câu hỏi thực tế trước khi ký hợp đồng với bất kỳ nhà cung cấp nào:
- Cơ sở đã kê đơn thuốc điện tử chưa? Nếu đã có, giữ nguyên chữ ký số cho cả hai luồng (bệnh án và đơn thuốc) thường tiết kiệm chi phí hạ tầng hơn triển khai thêm một cơ chế xác nhận riêng.
- Số lượng hồ sơ cần ký mỗi ngày là bao nhiêu? Cơ sở có lưu lượng khám lớn nên ưu tiên hình thức ký nhanh (sinh trắc học tích hợp sẵn trên máy trạm) để tránh token USB trở thành nút thắt cổ chai.
- Cơ sở là công lập hay tư nhân? Quyết định trực tiếp việc làm việc với Ban Cơ yếu Chính phủ theo Nghị định 68/2024/NĐ-CP hay chọn nhà cung cấp dịch vụ tin cậy thương mại theo Nghị định 23/2025/NĐ-CP.
Đưa chữ ký số vào dự toán triển khai đúng cách
Chi phí chữ ký số không nên tách rời khỏi bức tranh tổng thể của dự án bệnh án điện tử. Khi lập dự toán triển khai bệnh án điện tử, khoản này thuộc nhóm an toàn thông tin và giá trị pháp lý - cần tính cả phí chứng thư ban đầu lẫn phí gia hạn hàng năm, không chỉ nhìn vào giá license phần mềm. Song song đó, việc chọn hình thức ký cũng nằm trong checklist điều kiện triển khai bệnh án điện tử mà ban dự án cần rà soát trước khi khởi động, cùng với hạ tầng mạng, máy chủ và nhân sự vận hành.
Với cơ sở đang ở giai đoạn lập kế hoạch, bước thực tế nhất là xác định loại hình pháp lý của mình (công lập hay tư nhân), rồi đối chiếu lại Điều 3 Thông tư 13/2025/TT-BYT trước khi chốt hình thức ký trong hợp đồng phần mềm - tránh lặp lại tình huống dự toán sai vì dựa vào tài liệu tham khảo đã lỗi thời. Đây cũng là một mắt xích trong hạ tầng số hóa toàn diện mà phần mềm quản lý bệnh viện cần đáp ứng, từ khâu tiếp đón đến lưu trữ hồ sơ có giá trị pháp lý lâu dài.
