Danh Mục Sản Phẩm, Dịch Vụ Mật Mã Dân Sự 2026

Danh mục sản phẩm, dịch vụ mật mã dân sự là căn cứ đầu tiên để doanh nghiệp xác định thiết bị, phần mềm hoặc dịch vụ có thuộc phạm vi kinh doanh có điều kiện hay không. Theo Phụ lục I Nghị định 211/2025/NĐ-CP, danh mục hiện gồm 07 nhóm sản phẩm và 03 nhóm dịch vụ; đồng thời quy định 12 nhóm sản phẩm không thuộc danh mục kinh doanh có điều kiện.

Việc phân loại không nên chỉ dựa trên tên thương mại như firewall, VPN, HSM, token, phần mềm mã hóa hoặc giải pháp cloud security. Cùng một tên gọi nhưng khác model, chức năng chính, thuật toán, cơ chế quản lý khóa, mục đích sử dụng hoặc cách cung cấp có thể dẫn đến kết luận pháp lý khác nhau.

Danh mục sản phẩm, dịch vụ mật mã dân sự là gì?

Danh mục sản phẩm, dịch vụ mật mã dân sự được ban hành tại Phụ lục I kèm theo Nghị định 211/2025/NĐ-CP. Đây là danh mục chuyên ngành dùng để xác định phạm vi sản phẩm, dịch vụ mật mã dân sự thuộc hoạt động kinh doanh có điều kiện.

Từ ngày 01/07/2026, Luật An ninh mạng 2025 xác định sản phẩm mật mã dân sự là một nhóm sản phẩm an ninh mạng và dịch vụ mật mã dân sự là một nhóm dịch vụ an ninh mạng. Tại thời điểm cập nhật bài viết, Nghị định 211/2025/NĐ-CP vẫn còn hiệu lực và là văn bản trực tiếp chứa danh mục chi tiết để doanh nghiệp đối chiếu.

Tiêu chí nhận diện một sản phẩm mật mã dân sự

Theo phần giải thích của Phụ lục I, sản phẩm mật mã dân sự được mô tả là hệ thống, thiết bị, mô-đun, mạch tích hợp hoặc phần mềm được thiết kế chuyên dụng để bảo vệ thông tin bằng kỹ thuật mật mã sử dụng thuật toán mật mã đối xứng hoặc thuật toán mật mã không đối xứng.

Bốn yếu tố cần đọc cùng nhau

Không nên kết luận từ một dòng catalogue

Các cụm “encrypted”, “secure”, “VPN”, “authentication”, “zero trust” hoặc “data protection” chỉ là dấu hiệu cần kiểm tra. Doanh nghiệp còn phải xem sản phẩm mã hóa loại dữ liệu nào, khóa được sinh và lưu ở đâu, người dùng có thể cấu hình thuật toán hay không, chức năng mã hóa có phải giá trị cốt lõi của sản phẩm và sản phẩm được triển khai trong môi trường nào.

Danh mục 07 nhóm sản phẩm mật mã dân sự

Phụ lục I chia sản phẩm mật mã dân sự thành 07 nhóm theo đối tượng thông tin và chức năng bảo vệ. Bảng dưới đây giữ nguyên tên nhóm pháp lý và bổ sung hướng đọc thực tế để doanh nghiệp dễ chuẩn bị tài liệu.

Nhóm 01: Sinh, quản lý hoặc lưu trữ khóa mật mã

Đây là nhóm thường được nhận diện rõ nhất khi chức năng cốt lõi của sản phẩm là sinh, lưu giữ, bảo vệ hoặc quản trị khóa. Phụ lục II nêu cụ thể HSM và PKI Token trong hệ thống PKI có thể thực hiện chức năng quản lý khóa, chứng thư số, ký và kiểm tra chữ ký số. Hệ thống quản lý khóa tập trung hoặc sản phẩm quản lý khóa ngoài hệ thống PKI vẫn cần được rà soát theo đúng model và tài liệu kỹ thuật. Thẻ thông minh chỉ dùng cho truy cập chung và chỉ có khả năng bảo vệ thông tin cá nhân có thể thuộc trường hợp loại trừ nếu đáp ứng đầy đủ mô tả.

Nhóm 02: Bảo mật dữ liệu lưu giữ

Doanh nghiệp cần phân biệt giải pháp mã hóa dữ liệu chuyên dụng với ổ cứng SED được sử dụng rộng rãi. Ổ tự mã hóa SED là một nhóm loại trừ được nêu riêng; trong khi phần mềm hoặc thiết bị chuyên dụng để mã hóa cơ sở dữ liệu, file, volume hoặc dữ liệu lưu trữ có thể vẫn thuộc nhóm cần giấy phép.

Nhóm 03 và 04: Dữ liệu trao đổi trên mạng và luồng IP

Hai nhóm này dễ bị gộp chung trong catalogue. Nhóm bảo mật dữ liệu trao đổi trên mạng tập trung vào dữ liệu truyền nhận trên môi trường mạng; nhóm bảo mật luồng IP được Phụ lục II mô tả cụ thể hơn qua công nghệ VPN có bảo mật như IPSec VPN hoặc TLS VPN, sử dụng thuật toán mã hóa, ký số và hàm băm để bảo mật, xác thực thông tin trên mạng IP. Tuy nhiên, nếu kỹ thuật mật mã chỉ nhằm truy cập từ xa hoặc quản trị thiết bị thì phải đối chiếu trường hợp loại trừ số 07.

Nhóm 06 và thiết bị bảo vệ truy cập không dây

Không phải mọi thiết bị Wi-Fi hoặc thiết bị sử dụng WPA, WPA2, WPA3 đều thuộc nhóm bảo mật thông tin vô tuyến. Nếu kỹ thuật mật mã chỉ nhằm bảo vệ truy cập không dây, sản phẩm cần được đối chiếu trước với trường hợp loại trừ số 11. Chỉ khi chức năng và thiết kế của model vượt ra ngoài mục đích bảo vệ truy cập không dây mới tiếp tục đánh giá theo nhóm sản phẩm tương ứng.

Danh mục 03 nhóm dịch vụ mật mã dân sự

Dịch vụ được phân loại theo nội dung doanh nghiệp thực sự cung cấp trong hợp đồng, không chỉ theo tên ngành nghề hoặc tên gói dịch vụ.

Dịch vụ tích hợp hệ thống có mặc nhiên là dịch vụ mật mã dân sự không?

Không. Cần xem doanh nghiệp chỉ cài đặt một sản phẩm do bên khác cung cấp, phân phối sản phẩm, cung cấp dịch vụ bảo vệ thông tin hay trực tiếp tư vấn bằng sản phẩm mật mã dân sự. Hợp đồng, phạm vi công việc, quyền truy cập hệ thống, trách nhiệm bảo hành và bên xuất hóa đơn là các dữ liệu quan trọng.

Dịch vụ cloud có thuộc danh mục không?

Tên “cloud security”, “KMS as a service” hoặc “encryption service” chưa đủ để kết luận. Cần xác định vị trí tạo và giữ khóa, chủ thể kiểm soát khóa, dữ liệu được mã hóa, dịch vụ có dùng sản phẩm thuộc danh mục hay không và doanh nghiệp Việt Nam đóng vai trò nhà cung cấp, đại lý hay người sử dụng cuối.

12 nhóm sản phẩm không thuộc danh mục kinh doanh có điều kiện

Phần loại trừ là nội dung quan trọng nhất khi rà soát. Một sản phẩm có thành phần mật mã vẫn có thể không thuộc danh mục kinh doanh có điều kiện nếu đáp ứng đúng mô tả loại trừ.

Các sản phẩm thường dễ phân loại nhầm

Vì sao firewall không thể kết luận từ tên gọi?

Một firewall có thể chỉ sử dụng chứng thư hoặc mã hóa để quản trị, cập nhật hoặc giám sát; trường hợp này có thể liên quan nhóm loại trừ. Một model khác có thể tích hợp VPN gateway chuyên dụng, quản lý khóa và bảo vệ luồng IP với phạm vi chức năng chính rõ ràng. Kết luận phải dựa trên model và license feature thực tế.

Vì sao phần mềm phổ biến vẫn cần đọc kỹ?

Phần mềm có thư viện TLS, mã hóa mật khẩu hoặc cơ chế bảo vệ phiên không đương nhiên là sản phẩm mật mã dân sự. Nếu thành phần mật mã có sẵn, không phải chức năng chính, được sử dụng rộng rãi và người dùng tự cài đặt không cần hỗ trợ, sản phẩm có thể thuộc loại trừ số 01.

Phân biệt Phụ lục I và Phụ lục II Nghị định 211/2025/NĐ-CP

Theo Điều 4 Nghị định 211/2025/NĐ-CP, Phụ lục II chỉ áp dụng khi cả mã số HS, mô tả hàng hóa và mô tả đặc tính kỹ thuật mật mã đều trùng với thông tin tương ứng của hàng hóa trong danh mục. Nếu có sự khác biệt trong việc xác định mã số hàng hóa, mã HS được xác định theo pháp luật hải quan.

Mã HS và đặc tính kỹ thuật trong Phụ lục II

Bảng dưới đây tổng hợp các mã HS được liệt kê trong Phụ lục II để doanh nghiệp khoanh vùng kiểm tra ban đầu. Đây không phải bảng tra mã HS độc lập và không thay thế việc đọc đầy đủ mô tả hàng hóa, đặc tính kỹ thuật mật mã của từng model.

Nghĩa vụ pháp lý theo từng mô hình kinh doanh

Quy trình rà soát danh mục theo từng sản phẩm và model

Doanh nghiệp cần chuẩn bị tài liệu gì?

Catalogue thiếu thông tin mật mã xử lý thế nào?

Doanh nghiệp nên đề nghị nhà sản xuất cung cấp security datasheet, admin guide, cryptographic specification, product architecture hoặc văn bản xác nhận chức năng. Brochure marketing thường không đủ để phân biệt chức năng chính với chức năng phụ và không đủ dữ liệu để kê khai model nhập khẩu.

Có cần cung cấp mã nguồn không?

Không nên mặc định phải cung cấp mã nguồn để rà soát ban đầu. Phần lớn trường hợp có thể bắt đầu từ tài liệu kiến trúc, specification, danh sách thuật toán, chức năng quản lý khóa và cách triển khai. Mức độ tài liệu sâu hơn phụ thuộc sản phẩm và yêu cầu thẩm định cụ thể.

Cách xây dựng kết luận phân loại có thể sử dụng trong nội bộ doanh nghiệp

Một bản kết luận tốt không chỉ trả lời “có” hoặc “không” mà nên thể hiện đầy đủ căn cứ và điều kiện kèm theo.

Khi nào doanh nghiệp cần xin giấy phép mật mã dân sự?

Doanh nghiệp nên chuyển sang bước chuẩn bị giấy phép khi kết quả rà soát cho thấy sản phẩm hoặc dịch vụ thuộc Phụ lục I và hoạt động thực tế là kinh doanh, cung cấp sản phẩm hoặc dịch vụ mật mã dân sự tại Việt Nam. Đối với trường hợp xuất khẩu, nhập khẩu, cần tiếp tục đối chiếu riêng Phụ lục II.

Giấy phép kinh doanh

Giấy phép kinh doanh gắn với phạm vi sản phẩm, dịch vụ được đề nghị. Theo Nghị định 211/2025/NĐ-CP, doanh nghiệp cần đáp ứng điều kiện về nhân sự quản lý, điều hành, kỹ thuật và hệ thống phục vụ khách hàng, bảo đảm kỹ thuật; hồ sơ còn phải có phương án kỹ thuật, phương án kinh doanh và phương án bảo mật, an toàn thông tin mạng.

Giấy phép xuất khẩu, nhập khẩu

Nếu trực tiếp đưa sản phẩm qua biên giới và sản phẩm thuộc Phụ lục II, doanh nghiệp cần xin Giấy phép xuất khẩu, nhập khẩu sản phẩm mật mã dân sự. Hồ sơ cấp giấy phép này phải có Giấy phép kinh doanh sản phẩm, dịch vụ mật mã dân sự; đối với sản phẩm nhập khẩu còn phải có Giấy chứng nhận hợp quy. Vì vậy, Giấy phép kinh doanh không thay thế giấy phép xuất nhập khẩu và hợp quy không thay thế hai loại giấy phép này.

Doanh nghiệp cần triển khai thủ tục có thể xem tại dịch vụ xin Giấy phép mật mã dân sự: kinh doanh và xuất nhập khẩu.

Rủi ro chế tài hiện hành

Từ ngày 01/07/2026, Điều 102 Nghị định 174/2026/NĐ-CP quy định mức phạt đối với tổ chức kinh doanh sản phẩm, dịch vụ mật mã dân sự không có giấy phép theo giá trị hàng hóa vi phạm, từ 50 triệu đồng đến 180 triệu đồng; tang vật, phương tiện của hành vi này có thể bị tịch thu. Điều 103 quy định hành vi xuất khẩu hoặc nhập khẩu sản phẩm mật mã dân sự không có giấy phép bị phạt từ 60 triệu đồng đến 80 triệu đồng và sản phẩm nhập khẩu vi phạm có thể bị buộc đưa ra khỏi lãnh thổ Việt Nam hoặc tái xuất. Mức phạt tiền nêu tại nghị định áp dụng đối với tổ chức; cá nhân có cùng hành vi chịu mức bằng một nửa, trừ trường hợp văn bản có quy định khác.

Phân biệt mật mã dân sự với sản phẩm, dịch vụ an ninh mạng khác

Từ ngày 01/07/2026, Luật An ninh mạng số 116/2025/QH15 xếp sản phẩm mật mã dân sự vào nhóm sản phẩm an ninh mạng và dịch vụ mật mã dân sự vào nhóm dịch vụ an ninh mạng. Tuy nhiên, việc phân loại mật mã dân sự vẫn cần đọc riêng danh mục chuyên ngành tại Nghị định 211/2025/NĐ-CP trong thời gian văn bản này còn hiệu lực và chưa có quy định thay thế.

Một giải pháp có thể gồm nhiều module thuộc các lớp pháp lý khác nhau. Doanh nghiệp cần xác định đúng loại sản phẩm, dịch vụ và phạm vi giấy phép tương ứng; không nên mặc định một giấy phép sẽ bao phủ toàn bộ các module có chức năng pháp lý khác nhau.

Giấy phép đã cấp trước ngày 01/07/2026 có còn giá trị không?

Có. Theo điều khoản chuyển tiếp của Luật An ninh mạng số 116/2025/QH15, giấy phép kinh doanh sản phẩm, dịch vụ an toàn thông tin mạng và mật mã dân sự đã được cấp trước ngày Luật có hiệu lực tiếp tục có giá trị đến hết thời hạn ghi trên giấy phép.

Phạm vi an ninh mạng có thể tham khảo tại trang Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng.

Rủi ro thường gặp khi xác định danh mục

Dịch vụ rà soát danh mục tại Luật Dương Trí

Luật Dương Trí hỗ trợ doanh nghiệp phân loại theo từng model và mô hình kinh doanh, không đưa ra kết luận chỉ từ tên sản phẩm. Kết quả rà soát giúp doanh nghiệp biết nên chuẩn bị giấy phép nào trước khi chào bán, ký hợp đồng hoặc nhập khẩu.

Với tinh thần “Luôn luôn lắng nghe – Luôn luôn có giải pháp”, Luật Dương Trí ưu tiên hiểu đúng sản phẩm, vai trò của doanh nghiệp và kế hoạch đưa hàng ra thị trường trước khi đề xuất thủ tục.

Căn cứ pháp lý áp dụng năm 2026

• Nghị định 211/2025/NĐ-CP quy định về hoạt động mật mã dân sự.
• Luật An ninh mạng số 116/2025/QH15, có hiệu lực từ ngày 01/07/2026.
• Thông tư 07/2026/TT-BQP ban hành, sửa đổi Quy chuẩn kỹ thuật quốc gia và Danh mục tiêu chuẩn kỹ thuật mật mã áp dụng bắt buộc trong lĩnh vực mật mã dân sự.
• Nghị định 174/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực bưu chính, viễn thông, tần số vô tuyến điện, giao dịch điện tử và công nghệ thông tin.

Câu hỏi thường gặp

Giải pháp pháp lý liên quan

• Dịch vụ xin Giấy phép kinh doanh và xuất nhập khẩu sản phẩm mật mã dân sự
• Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng
• Đánh giá tác động xử lý dữ liệu cá nhân
• Rà soát giấy phép và chính sách nhập khẩu chuyên ngành
• Đăng ký quyền tác giả đối với phần mềm
• Gửi model và tài liệu kỹ thuật để rà soát