Kiểm tra, đánh giá an toàn thông tin
Thiết bị hoặc phần mềm có chức năng rà quét, phân tích cấu hình, phát hiện lỗ hổng, điểm yếu hoặc đánh giá rủi ro của hệ thống thông tin.
Giấy phép an toàn thông tin mạng là điều kiện pháp lý cần được rà soát trước khi doanh nghiệp sản xuất, nhập khẩu hoặc cung cấp các sản phẩm, dịch vụ như giám sát an toàn thông tin, chống tấn công, ứng cứu sự cố, khôi phục dữ liệu, kiểm tra lỗ hổng và đánh giá hệ thống. Việc xác định đúng phạm vi cấp phép giúp doanh nghiệp tránh chuẩn bị thừa hồ sơ hoặc triển khai hoạt động khi chưa đủ điều kiện.
Thủ tục xin giấy phép an toàn thông tin mạng không áp dụng giống nhau cho mọi mô hình. Doanh nghiệp cần phân biệt thủ tục thông thường với thủ tục dành cho dịch vụ kiểm tra, đánh giá an toàn thông tin hoặc bảo mật thông tin không sử dụng mật mã dân sự. Bài viết dưới đây trình bày điều kiện, hồ sơ, quy trình, thời gian, chi phí và nghĩa vụ sau cấp phép theo quy định đang áp dụng trong năm 2026.

Giấy phép an toàn thông tin mạng là cách gọi phổ biến của Giấy phép kinh doanh sản phẩm, dịch vụ an toàn thông tin mạng, có thời hạn 10 năm.
Doanh nghiệp cần xác định đúng một trong hai thủ tục: 3.000340 cho nhóm kinh doanh thông thường và 3.000339 cho dịch vụ kiểm tra, đánh giá an toàn thông tin hoặc bảo mật thông tin không sử dụng mật mã dân sự.
Cơ quan thực hiện hiện nay là Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao thuộc Bộ Công an. Thời hạn đang được công bố là 12 ngày làm việc từ hồ sơ hợp lệ; trường hợp phải xác minh thêm không quá 15 ngày.
Phí nhà nước: 8.000.000 đồng cho loại hình sản phẩm hoặc dịch vụ đầu tiên và 2.000.000 đồng cho mỗi loại hình bổ sung.
Giấy phép kinh doanh sản phẩm, dịch vụ an toàn thông tin mạng là văn bản ghi nhận doanh nghiệp được phép kinh doanh một hoặc nhiều loại sản phẩm, dịch vụ thuộc phạm vi pháp luật chuyên ngành. Giấy phép không cấp chung cho mọi hoạt động “cybersecurity”; nội dung trên giấy phép xác định cụ thể loại hình mà doanh nghiệp được triển khai.
Giấy phép có thời hạn 10 năm. Trong thời gian hiệu lực, doanh nghiệp phải duy trì điều kiện về pháp nhân, nhân sự, hệ thống kỹ thuật, cơ sở vật chất, phương án kinh doanh và bảo mật thông tin khách hàng. Khi bổ sung loại sản phẩm, dịch vụ hoặc thay đổi thông tin quan trọng, doanh nghiệp cần rà soát thủ tục sửa đổi, bổ sung trước khi mở rộng hoạt động.
Không nên xác định nghĩa vụ chỉ từ tên thương mại như SOC, pentest, managed security, firewall, EDR hoặc data recovery. Doanh nghiệp cần xem chức năng thực tế, cách cung cấp, đối tượng khách hàng và vai trò của mình trong chuỗi cung ứng.
Thiết bị hoặc phần mềm có chức năng rà quét, phân tích cấu hình, phát hiện lỗ hổng, điểm yếu hoặc đánh giá rủi ro của hệ thống thông tin.
Thiết bị hoặc phần mềm giám sát lưu lượng, phân tích dữ liệu nhật ký theo thời gian thực và cảnh báo các sự kiện bất thường.
Thiết bị hoặc phần mềm có chức năng phát hiện, ngăn chặn hành vi tấn công, xâm nhập trái phép vào hệ thống thông tin.
Nếu mã hóa hoặc mật mã là chức năng trọng yếu, doanh nghiệp cần kiểm tra đồng thời cơ chế quản lý sản phẩm, dịch vụ mật mã dân sự.
Trong thực tế, một hợp đồng có thể kết hợp nhiều loại hình. Ví dụ, doanh nghiệp vừa rà quét lỗ hổng, vừa giám sát nhật ký và trực ứng cứu sự cố. Hồ sơ cần phân tách đúng từng dịch vụ để điều kiện, nhân sự, công cụ và quy trình được trình bày nhất quán với phạm vi đề nghị cấp phép.
| Cơ chế | Phạm vi chính | Điểm cần kiểm tra |
|---|---|---|
| An toàn thông tin mạng | Sản xuất, nhập khẩu và cung cấp sản phẩm, dịch vụ thuộc Luật An toàn thông tin mạng 2015. | Loại hình trên giấy phép, nhân sự, hệ thống kỹ thuật và thủ tục nhập khẩu từng model. |
| Mật mã dân sự | Sản phẩm hoặc dịch vụ có chức năng mật mã dân sự thuộc danh mục quản lý. | Chức năng mã hóa, catalogue, giấy phép kinh doanh và giấy phép xuất nhập khẩu khi áp dụng. |
| An ninh mạng | Cơ chế riêng theo Luật An ninh mạng số 116/2025/QH15, có hiệu lực từ ngày 01/07/2026. | Văn bản hướng dẫn và phạm vi cấp phép tại thời điểm doanh nghiệp triển khai. |
Một sản phẩm có thể đồng thời phát sinh nhiều lớp nghĩa vụ. Doanh nghiệp nên phân loại từ chức năng kỹ thuật, cách cung cấp, model và mã HS thay vì chỉ dựa trên tên thương mại như firewall, SOC, pentest hoặc EDR.
Quy trình xin giấy phép an toàn thông tin mạng cần được chuẩn bị theo đúng loại thủ tục, bởi điều kiện và thành phần hồ sơ của thủ tục 3.000339 khác với thủ tục 3.000340.
| Tiêu chí | Thủ tục 3.000340 | Thủ tục 3.000339 |
|---|---|---|
| Phạm vi | Các trường hợp sản xuất, nhập khẩu sản phẩm để kinh doanh hoặc cung cấp dịch vụ an toàn thông tin mạng thông thường. | Dịch vụ kiểm tra, đánh giá an toàn thông tin hoặc dịch vụ bảo mật thông tin không sử dụng mật mã dân sự. |
| Điều kiện chung | Pháp nhân, thiết bị – cơ sở vật chất, nhân sự chuyên môn và phương án kinh doanh phù hợp. | Đáp ứng điều kiện chung và các yêu cầu chặt chẽ hơn về chủ thể, quốc tịch nhân sự, phương án kỹ thuật và bảo mật khách hàng. |
| Hồ sơ bổ sung | Không yêu cầu bộ tài liệu chuyên sâu dành riêng cho hai dịch vụ đặc thù. | Có phiếu lý lịch tư pháp, phương án kỹ thuật và phương án bảo mật thông tin khách hàng. |
| Thời hạn công bố | 12 ngày làm việc; tối đa 15 ngày nếu cần xác minh thêm. | 12 ngày làm việc; tối đa 15 ngày nếu cần xác minh thêm. |
| Phí nhà nước | 8.000.000 đồng cho loại hình đầu tiên; 2.000.000 đồng cho mỗi loại hình bổ sung. | Cùng mức phí đang được công bố. |
Để được cấp giấy phép an toàn thông tin mạng, doanh nghiệp phải đáp ứng đồng thời các điều kiện về pháp nhân, nhân sự, hệ thống kỹ thuật, cơ sở vật chất và phương án kinh doanh phù hợp với loại hình đề nghị cấp phép.
Chủ thể đề nghị cấp phép phải là doanh nghiệp được thành lập và hoạt động hợp pháp tại Việt Nam. Thông tin đăng ký doanh nghiệp, đăng ký đầu tư, người đại diện và ngành nghề phải thống nhất với hoạt động dự kiến triển khai.
Doanh nghiệp cần chứng minh có phần cứng, phần mềm, công cụ, hạ tầng lưu trữ, môi trường thử nghiệm và cơ chế quản lý truy cập phù hợp với từng loại hình. Bản thuyết minh nên giải thích công dụng của từng nhóm thiết bị, không chỉ liệt kê tên sản phẩm.
Nhân sự quản lý, điều hành và kỹ thuật phải có văn bằng hoặc chứng chỉ phù hợp về an toàn thông tin, công nghệ thông tin hoặc điện tử – viễn thông. Hồ sơ cần thể hiện vị trí, nhiệm vụ và mối liên hệ của từng nhân sự với dịch vụ xin phép.
Phương án phải làm rõ loại sản phẩm hoặc dịch vụ, khách hàng, cách cung cấp, nhân sự, hệ thống, tiêu chuẩn chất lượng, hỗ trợ kỹ thuật và bảo mật thông tin. Nội dung phải thống nhất với hợp đồng mẫu, catalogue, website và năng lực thực tế.
Dịch vụ kiểm tra, đánh giá an toàn thông tin và bảo mật thông tin không sử dụng mật mã dân sự có thể tiếp cận sâu vào cấu hình, dữ liệu nhật ký và điểm yếu hệ thống khách hàng nên áp dụng điều kiện chặt chẽ hơn.
Phương án cần thể hiện cách phân quyền, kiểm soát công cụ, tiếp nhận dữ liệu, lưu trữ, truyền nhận, xử lý sự cố và hoàn trả hoặc xóa dữ liệu sau khi hoàn thành dịch vụ.
Rà soát chức năng, hợp đồng, catalogue, phương thức cung cấp và vai trò doanh nghiệp để xác định phạm vi xin phép.
Xác định hồ sơ thuộc thủ tục 3.000340 hay 3.000339; đồng thời kiểm tra nghĩa vụ mật mã dân sự, nhập khẩu và an ninh mạng.
Kiểm tra pháp nhân, vốn đầu tư, nhân sự, văn bằng, thiết bị, cơ sở vật chất, công cụ và quy trình hiện có.
Soạn đơn, phương án kinh doanh, thuyết minh hệ thống, hồ sơ nhân sự và các phương án chuyên sâu theo thủ tục.
Doanh nghiệp có thể nộp trực tiếp, trực tuyến hoặc qua dịch vụ bưu chính. Hồ sơ trực tuyến được thực hiện trên Cổng Dịch vụ công Bộ Công an.
Cơ quan xử lý tiếp nhận và thông báo tình trạng hồ sơ trong vòng 02 ngày làm việc; doanh nghiệp bổ sung hoặc giải trình nếu được yêu cầu.
Hồ sơ hợp lệ được thẩm định trong thời hạn công bố. Sau khi hoàn thành nghĩa vụ phí, doanh nghiệp nhận giấy phép theo hình thức đã đăng ký.
Thông tin thủ tục hiện hành được công bố tại Cổng Dịch vụ công Bộ Công an.
| Hạng mục | Thời gian hoặc chi phí | Lưu ý |
|---|---|---|
| Kiểm tra tính hợp lệ | 02 ngày làm việc | Tính từ thời điểm cơ quan xử lý tiếp nhận hồ sơ. |
| Thẩm định hồ sơ hợp lệ | 12 ngày làm việc | Trường hợp cần xác minh thêm thông tin, tổng thời hạn không quá 15 ngày. |
| Phí cho loại hình đầu tiên | 8.000.000 đồng/lần | Áp dụng theo mức công bố hiện hành. |
| Phí cho mỗi loại hình bổ sung | 2.000.000 đồng/lần | Tính theo số loại hình sản phẩm hoặc dịch vụ bổ sung. |
| Thời gian chuẩn bị thực tế | Phụ thuộc hiện trạng doanh nghiệp | Không nằm trong thời hạn thẩm định; có thể kéo dài nếu thiếu nhân sự, công cụ, lý lịch tư pháp hoặc phương án chuyên sâu. |
Chi phí dịch vụ pháp lý được xác định sau khi rà soát số loại hình, thủ tục áp dụng, nhân sự, mức độ hoàn thiện của hệ thống và phạm vi đại diện giải trình. Luật Dương Trí tách rõ phí nhà nước, phí dịch vụ, chi phí chứng thực, lý lịch tư pháp và các khoản kỹ thuật phát sinh để doanh nghiệp chủ động ngân sách.
Từ ngày 01/07/2026, Nghị định 174/2026/NĐ-CP quy định tổ chức kinh doanh sản phẩm, dịch vụ an toàn thông tin mạng thuộc diện cấp phép nhưng chưa có giấy phép có thể bị phạt từ 50.000.000 đồng đến 60.000.000 đồng. Hành vi không duy trì điều kiện đã dùng để được cấp phép có thể bị phạt từ 40.000.000 đồng đến 50.000.000 đồng.
Tùy hành vi, doanh nghiệp còn có thể bị buộc nộp lại khoản lợi bất hợp pháp, tước quyền sử dụng giấy phép hoặc áp dụng biện pháp khắc phục khác. Việc thiếu giấy phép cũng có thể làm chậm đấu thầu, ký hợp đồng, nghiệm thu và thanh toán với khách hàng có yêu cầu kiểm soát nhà cung cấp.
| Thủ tục | Trường hợp áp dụng | Lưu ý |
|---|---|---|
| Sửa đổi, bổ sung | Thay đổi tên, người đại diện hoặc bổ sung sản phẩm, dịch vụ. | Phải chứng minh doanh nghiệp tiếp tục đáp ứng điều kiện tương ứng với nội dung thay đổi. |
| Cấp lại | Giấy phép bị mất hoặc hư hỏng. | Thời hạn công bố là 03 ngày làm việc, tối đa 05 ngày nếu cần xác minh. |
| Gia hạn | Giấy phép sắp hết hạn và doanh nghiệp không vi phạm pháp luật chuyên ngành. | Chỉ gia hạn một lần, không quá 01 năm; nộp hồ sơ chậm nhất 60 ngày trước ngày hết hạn. |
| Tạm đình chỉ hoặc thu hồi | Cung cấp sai phạm vi, không còn điều kiện, không triển khai hoạt động hoặc không khắc phục vi phạm. | Doanh nghiệp cần duy trì điều kiện trong toàn bộ thời hạn giấy phép. |
Luật Dương Trí bắt đầu từ việc lắng nghe mô hình kinh doanh, đọc tài liệu kỹ thuật và xác định đúng loại hình cần xin phép. Mỗi hồ sơ được xây dựng theo năng lực thực tế, hạn chế tình trạng soạn hồ sơ theo mẫu nhưng không thống nhất với sản phẩm, nhân sự hoặc hệ thống.
Rà soát chức năng, model, hợp đồng, nhập khẩu, mật mã dân sự và nghĩa vụ an ninh mạng liên quan.
Đối chiếu pháp nhân, vốn đầu tư, nhân sự, văn bằng, thiết bị, cơ sở vật chất và quy trình.
Soạn đơn, phương án kinh doanh, thuyết minh hệ thống và các phương án chuyên sâu theo thủ tục.
Theo dõi tiến độ, xử lý yêu cầu bổ sung, phối hợp giải trình và kiểm tra nội dung giấy phép.
Với tinh thần “Luôn luôn lắng nghe – Luôn luôn có giải pháp”, Luật Dương Trí tập trung giúp doanh nghiệp giảm rủi ro pháp lý, chủ động thời gian và xây dựng nền tảng tuân thủ ổn định cho hoạt động công nghệ.
Cần xem dịch vụ có bao gồm kiểm tra, đánh giá, triển khai giải pháp, giám sát hoặc tiếp cận hệ thống khách hàng hay không. Tên gọi “tư vấn” chưa đủ để kết luận.
Pentest thường có đặc điểm của dịch vụ kiểm tra, đánh giá an toàn thông tin mạng và cần được rà soát theo thủ tục 3.000339 cùng các điều kiện đặc thù.
Cần kiểm tra theo loại hình. Riêng dịch vụ kiểm tra, đánh giá an toàn thông tin, Luật An toàn thông tin mạng loại trừ doanh nghiệp có vốn đầu tư nước ngoài.
Không tự động. Sản phẩm thuộc danh mục quản lý còn có thể phải hợp chuẩn – hợp quy và xin giấy phép nhập khẩu theo từng model.
Giấy phép có thời hạn 10 năm. Doanh nghiệp phải duy trì điều kiện và rà soát gia hạn, sửa đổi hoặc bổ sung trước khi giấy phép hoặc phạm vi hoạt động thay đổi.
Không. Đây là thời gian xử lý hồ sơ đầy đủ, hợp lệ; thời gian hoàn thiện nhân sự, hệ thống, lý lịch tư pháp và phương án phụ thuộc hiện trạng doanh nghiệp.
Doanh nghiệp có thể gửi mô tả sản phẩm hoặc dịch vụ, hợp đồng mẫu, catalogue, danh sách nhân sự, hệ thống kỹ thuật và kế hoạch triển khai. Luật Dương Trí sẽ xác định thủ tục giấy phép an toàn thông tin mạng phù hợp, điều kiện còn thiếu và lộ trình chuẩn bị hồ sơ để doanh nghiệp chủ động thời gian, chi phí và kế hoạch kinh doanh.