通知

对第50/2024/TT-NHNN号通知的部分条款进行修改和补充
关于银行业提供在线服务的安全和保密规定
银行业

 

根据《越南国家银行法》第46/2010/QH12号；

|||

根据《网络安全法》（2015年第86号国会法令）；

根据《电子交易法》第20/2023/QH15号；

根据经第96/2025/QH15号法律修改补充的第32/2024/QH15号法律《组织信用机构法》；

根据政府第26/2025/NĐ-CP号法令关于越南国家银行职能、任务、权限和组织结构的规定；

根据信息技术局局长的建议；

根据《网络信息法》（2018年第24号国会法令）；      

国家银行行长发布关于修改和补充第50/2024/TT-NHNN号通知的部分条款的通知，该通知规定了银行业提供在线服务的安全和保密措施。

第一条 修改、补充第一条的若干点、款

1. 增加第一条第一款的d项如下：

“d) 移动支付服务活动；”

2. 修改、补充第一条第二款如下：

“2. 适用对象

本通知适用于各信贷组织、外国银行分行、提供支付中介服务的组织、提供移动支付服务的组织以及信用信息服务公司（以下统称单位）。"

“11. 第二条 增加第二条第十一条 新成立的组织客户

是指在一年内新注册成立或与单位建立关系并在一年内被单位进行风险评估，并确定对这些客户实施生物识别信息或安全电子签名匹配所需的时间。本规定不包括：

a) 各国家机关、公立事业单位；

b) 各信贷组织、外国银行分行；

c) 按照《证券法》规定上市的组织；

d) 福布斯杂志公布的全球500强企业名单中的组织；

đ) 在越南从事间接投资业务的非居民境外投资者开设结算账户；

e) 单位选择的其他组织，单位需对其选择承担全部责任。单位必须确保对客户的准确核实并对其客户识别工作承担全部责任。”

第三条 修改、补充第三条第三款a项

“a) 至少采用本通知第11条第三款、第四款、第五款、第七款、第八款、第九款规定的确认方式之一来变更客户身份信息。

对于个人客户或新成立的组织客户变更身份证件（包括个人客户的身份证、护照或合法代表人的身份证、电子身份证）或用于登记和使用交易确认方式（至少包括电话号码或电子邮件地址或电子签名）的信息时，应结合本通知第11条第五款规定的确认方式之一，与其他确认方式之一。”

第四条 修改、补充第七条的若干点、款

1. 修改、补充第七条第三款c项如下：

“c) 评估、扫描发现技术漏洞和弱点。评估防止漏洞、弱点和攻击类型的能力，至少满足以下要求：

(i) 对于通过网页平台提供的网上银行应用程序软件，必须防范由OWASP组织发布的十大常见漏洞（OWASP Top Ten）。

(ii) 对于移动银行应用程序软件，至少满足OWASP组织发布的移动应用安全要求（OWASP Mobile Application Security）。

(iii) 应用的OWASP Top Ten或OWASP Mobile Application Security版本是最新版本或最近六个月发布的版本。”

2. 修改、补充第七条第六款g项如下：

“g) 对于组织客户，应用程序设计应确保在线支付交易（不包括通过支付接受机构处理的在线卡支付）至少包含两个步骤：创建和批准交易。

对于个体工商户或微型企业采用简易会计制度的情况，执行交易无需将创建和批准交易分开进行；”

3. 修改、补充第七条第八款b项如下：

条5. 修改、补充若干条款第八条

1. 补充第八条第1a款如下：

“1a. 对移动银行应用程序发布的安装版本进行控制：

a) 单位应至少每三个月一次，评估客户可以安装和使用的软件应用版本的安全性和保密性，以确定安全漏洞并评估遭受网络犯罪干预的可能性。

b) 如果客户在新设备上激活或重新激活移动银行应用程序，客户必须安装和使用最新版本或最接近的版本，确保符合规定的安全和保密要求。单位必须采取措施，在这种情况下不允许降级到使用较低版本。

c) 当发现被评估为高风险或严重级别的安全漏洞时，单位必须采取检查措施，禁止执行交易或采取控制措施以防止犯罪分子利用安全漏洞进行网络攻击，实施欺诈交易，盗取财产；同时，单位必须立即按照本通知第十四条第6款规定的时间处理、修复并更新新版本。”

2. 修改、补充第八条第4款如下：

“4. 实施措施以预防、打击和发现非法干预已安装在客户移动设备上的移动银行应用程序的行为。如果检测到以下任何迹象，移动银行应用程序必须自动退出或停止运行，并向客户通报原因：

a) 有调试程序（调试器）连接或正在运行调试环境；或者当应用程序在模拟器/虚拟机/仿真设备中运行；或者在允许计算机直接与Android设备通信的模式下运行（Android调试桥）；

b) 应用程序软件在运行时被外部代码注入，执行如跟踪函数运行、记录通过函数、API等的日志数据（钩子）；或者应用程序软件被干预、重新打包；

c) 设备已被破解（root/jailbreak）；或者保护机制被解锁（unlock_bootloader）。 ”

3. 修改、补充第八条第5款如下：

“5. 不允许保存访问密钥的功能，除非采用本通知第十一条第6款规定的确认形式。”

条6. 修改、补充若干项目、条款第十条

1. 修改、补充第十条第1款a项如下：

“a) 对于使用支付账户或电子钱包或移动货币账户或从借记卡、预付卡进行转账的支付交易，单位应根据本通知附件一规定的交易类型进行分类，并适用本通知附件二规定的确认形式，但不包括本款b、c、d和e项的规定；”

2. 修改、补充第十条第1款d项如下：

“d) 对于单位主动从支付账户扣款、主动从电子钱包扣款、主动从移动货币账户扣款、主动从客户的卡付款的交易，无需适用本条第1款a、c项规定的交易确认形式；”

3. 修改、补充第十条第二款如下：

“2. 对于自动从支付账户扣款、自动从电子钱包扣款、自动从移动货币账户扣款、自动从客户的卡付款的交易，单位应至少采用本通知第十一条第3、4、5、7、8、9款规定的确认形式之一。”

条7. 修改、补充若干项、款第11条

1. 修改、补充第11条第5款第c项如下：

“c) 生物特征识别信息呈现攻击检测（Presentation Attack Detection - PAD）解决方案，按照本款第a项规定，由单位自行实施或使用第三方提供的，必须获得由FIDO联盟（FIDO Alliance）认可的生物特征识别组织/实验室或者由国际标准化组织（ISO）认证机构许可确认符合标准的认证。认证机构必须由参与国际认可论坛（International Accreditation Forum – IAF Multilateral Recognition Arrangement, IAF MLA）多边互认协议的认可机构授权。”。

2. 修改、补充第11条第8款如下：

“8. PGP确认形式 （Pretty Good Privacy）是根据互联网工程任务组（Internet Engineering Task Force）发布的关于安全和验证使用的非对称加密算法标准（包括私钥和公钥，其中私钥用于数字签名，公钥用于验证数字签名）的确认形式。PGP确认形式必须满足以下要求：

a) 客户的公钥在单位注册并安全存储于单位，并与客户的电子交易账户关联；

b) 有确保与密钥相关联的身份验证方法，以及安全机制和密钥撤销机制；

c) 有关于单位和客户就通过此方式签署的交易文件的真实性、完整性和不可否认性法律责任的约定。”。

3. 修改、补充第11条第9款如下：

“9. 安全电子签名确认形式是指采用电子签名进行确认的形式，其中电子签名是根据电子签名法律法规在中国境内被认可的数字签名或外国电子签名。”。

条8. 修改、补充第21条

“条 21. 责任条款

1. 信息技术局负责跟踪、检查并与相关单位合作处理在执行本通知过程中出现的问题。

2. 银行监管局负责监督、检查本通知的执行情况，并依法处理违规行为。

3. 地区中国人民银行分行负责监督、管理本通知在辖区内各金融机构、外资银行分行、支付服务中介机构的执行情况，并依法处理违规行为。”。

条9. 在第23条第1款后增加第1a款

“1a. 自本通知生效前已签订的自动从移动电话账户扣款的交易将继续执行至协议期限届满；如协议未确定期限，则继续执行至2026年12月31日。修改、补充、延长协议须遵守本通知第10条第2款的规定。”。

条 10. 修改、补充附属于第50/2024/TT-NHNN号通知的附件

用本通知附随的附件01、02、04取代第50/2024/TT-NHNN号通知发布的附件01、02、04。

条 11. 组织实施责任

国家银行越南分行各单位负责人、信贷组织、外国银行分行、支付中介服务组织、移动货币服务组织、信用信息公司负责组织实施本通知。

条 12. 实施条款

1. 本通知自2026年3月1日起生效，但第二款和第三款另有规定的除外。

2. 对于同时为个人客户和企业客户提供在线支付服务的单位，本通知第三条、第十条的规定自2026年7月1日起适用。

3. 对于仅为企业客户提供在线支付服务（不向个人客户提供服务）的单位，本通知第三条、第十条的规定自2026年10月1日起适用。

附件一
在线支付交易分类

（随同农业农村部2025年第/2025/TT-BNNMT号通知发布）        /2025/TT-NHNN发布之日       月      2025年国家银行行长

 

 

备注：

G：交易价值。

||| d.1. 应税收入总额：_ksth： 各类A、B和C2（针对新企业客户）交易类型中，每个交易类型的每张结算账户或卡（包括通过电子钱包应用从银行关联账户或卡向电子钱包转账） 或电子钱包（不包括通过电子钱包应用从银行关联账户或卡向电子钱包转账）或客户的移动电话账户在支付服务提供商或支付中介服务机构或移动电话服务提供商处，不包括主动从支付账户扣款、主动从电子钱包扣款、主动从移动电话账户扣款和主动从借记卡付款的交易。T_ksth 在每日开始时或客户当天使用C类或D类（个人客户）或C1类或D1类（新组织客户）交易形式确认后，其价值被计为零。

T：当日每种类型交易组已执行交易的总值（的一个支付账户或一张卡（包括通过电子钱包应用程序从关联银行的支付账户或卡向电子钱包转账）) 或一个电子钱包（不包括通过电子钱包应用程序从关联银行的支付账户或卡向该电子钱包转账） 或一个移动电话账户) 的客户的支付服务提供商或支付中介服务机构或移动电话服务提供商处，不包括主动从支付账户扣款、主动从电子钱包扣款、主动从移动电话账户扣款和主动从借记卡付款的交易。

（1）对于从关联银行的支付账户/卡向电子钱包转账的交易分类，依据支付账户或与电子钱包关联的卡进行。

（2）根据交易发生时的汇率计算兑换限额。

（3）对于个体工商户或微型企业采用简易会计制度的情况，交易分类与个人客户相同。

 

铁路交通车辆驾驶员招聘体检信息
网上支付交易确认

（随同农业农村部2025年第/2025/TT-BNNMT号通知发布）      /2025/TT-NHNN发布之日     月    经国务院令第一百八十四号二〇二五年七月一日修正和补充

由越南国家银行行长发布

 

备注：

- 上述确认方式详见本通知第11条。

- 对于个人客户：

+ 类型D的确认方式可以确认A、B、C类型的交易。

+ 类型C的确认方式可以确认A、B类型的交易。

+ 类型B的确认方式可以确认A类型的交易。

- 对于组织客户：

+ 类型D1的确认方式可以确认A、B、C1类型的交易。

+ 类型D2、D3的确认方式可以确认A、B、C2、C3类型的交易。

+ 类型C（包括C1、C2和C3）的确认方式可以确认A、B类型的交易。

+ 类型B的确认方式可以确认A类型的交易。

- 对于采用简易会计制度的个体工商户或微型企业，适用与个人客户相同的交易确认方式。其中，对于生物特征识别设备和 匹配正确的生物识别信息 生物特征识别 设备的生物特征识别信息，用于比对的信息是 匹配正确的生物识别信息 ）如果客户已通过电子钱包应用程序登录在线银行并匹配正确的生物特征识别设备信息，则在该登录会话期间执行交易时无需应用此确认措施。 法定代表人 或法定代表人授权的个人 （如有）.

(1网上支付卡交易确认