Giấy phép mật mã dân sự và Giấy phép an toàn thông tin mạng không thể phân biệt chỉ bằng tên sản phẩm. Firewall, VPN, HSM, token, phần mềm giám sát hoặc giải pháp bảo mật đều có thể chứa nhiều chức năng khác nhau. Điều quyết định là chức năng chính, cách sử dụng mật mã, loại hình sản phẩm – dịch vụ và hoạt động thực tế của doanh nghiệp.
Từ ngày 01/07/2026, Luật An ninh mạng số 116/2025/QH15 sử dụng khái niệm rộng hơn là sản phẩm, dịch vụ an ninh mạng, trong đó sản phẩm và dịch vụ mật mã dân sự là một nhóm thành phần. Tuy vậy, lộ trình quản lý mật mã dân sự vẫn có quy định chuyên ngành, cơ quan tiếp nhận và hồ sơ riêng.
Hiểu theo cách thực tế, đây không phải hai thế giới hoàn toàn tách biệt. Mật mã dân sự nằm trong hệ thống pháp luật an ninh mạng, nhưng doanh nghiệp vẫn phải xác định đúng nhánh thủ tục trước khi chuẩn bị hồ sơ hoặc nhập khẩu sản phẩm.
Quan trọng: bài viết sử dụng cụm “Giấy phép an toàn thông tin mạng” theo cách doanh nghiệp thường tìm kiếm và theo tên đang hiển thị trên một số thủ tục hành chính. Khi triển khai hồ sơ sau ngày 01/07/2026, cần đối chiếu thêm Luật An ninh mạng 2025 và thủ tục đang được cơ quan có thẩm quyền công bố tại thời điểm nộp.
Phân biệt nhanh Giấy phép mật mã dân sự và an toàn thông tin mạng
| Tiêu chí | Mật mã dân sự | An toàn/an ninh mạng |
|---|---|---|
| Trọng tâm kỹ thuật | Bảo mật hoặc xác thực thông tin bằng kỹ thuật mật mã; chú trọng thuật toán, khóa, mã hóa – giải mã và tham số mật mã. | Kiểm tra, đánh giá, giám sát, phòng chống tấn công, bảo vệ hệ thống, dữ liệu và hoạt động trên không gian mạng. |
| Nhóm sản phẩm, dịch vụ | Đối chiếu Danh mục sản phẩm, dịch vụ mật mã dân sự và các trường hợp loại trừ. | Đối chiếu nhóm sản phẩm, dịch vụ an ninh mạng và loại hình kinh doanh theo pháp luật hiện hành. |
| Điểm đọc tài liệu | Chức năng chính, thuật toán, quản lý khóa, dữ liệu được mã hóa, model và license. | Loại hình sản phẩm – dịch vụ, năng lực kiểm tra/giám sát/phòng chống tấn công, hệ thống kỹ thuật và quy trình cung cấp. |
| Cơ quan chuyên ngành | Ban Cơ yếu Chính phủ trong phạm vi quản lý mật mã dân sự. | Cơ quan chuyên trách thuộc Bộ Công an theo thủ tục an toàn thông tin, an ninh mạng đang được công bố. |
| Nhập khẩu | Kiểm tra Phụ lục II, mã HS, mô tả hàng hóa, đặc tính kỹ thuật mật mã, hợp quy và giấy phép liên quan. | Kiểm tra danh mục, điều kiện và thủ tục nhập khẩu sản phẩm an toàn/an ninh mạng tương ứng. |
| Sản phẩm lưỡng dụng | Với sản phẩm đồng thời có tính năng mật mã dân sự và an ninh mạng, Bộ Công an cấp Giấy phép kinh doanh và Giấy phép xuất khẩu, nhập khẩu sản phẩm an ninh mạng theo quy định; lấy ý kiến bằng văn bản của Ban Cơ yếu Chính phủ về tính năng mật mã dân sự trước khi cấp phép. Cần phân loại đúng chức năng và cấu hình theo Nghị định 341/2026/NĐ-CP. | |
Nếu cần ghi nhớ một câu, có thể hiểu như sau: mật mã dân sự tập trung vào cách sản phẩm dùng mật mã để bảo vệ hoặc xác thực thông tin; an toàn/an ninh mạng tập trung rộng hơn vào việc bảo vệ hệ thống, dữ liệu và hoạt động trên môi trường mạng.
Điểm mới cần hiểu từ ngày 01/07/2026
Luật An ninh mạng 2025 hợp nhất và kế thừa nhiều nội dung của Luật An ninh mạng 2018 và Luật An toàn thông tin mạng 2015. Theo Điều 28, sản phẩm an ninh mạng bao gồm cả sản phẩm mật mã dân sự; dịch vụ an ninh mạng cũng bao gồm dịch vụ mật mã dân sự.
Điều này dễ khiến doanh nghiệp đặt câu hỏi: “Nếu mật mã dân sự đã nằm trong sản phẩm, dịch vụ an ninh mạng thì còn cần phân biệt hai giấy phép hay không?”.
Câu trả lời thực tế là vẫn cần phân biệt, vì:
- Mật mã dân sự có hệ thống danh mục, điều kiện, hồ sơ kỹ thuật và hoạt động xuất nhập khẩu chuyên biệt.
- Ban Cơ yếu Chính phủ tiếp tục công bố thủ tục cấp mới và xuất nhập khẩu sản phẩm mật mã dân sự.
- Hoạt động kinh doanh sản phẩm, dịch vụ an ninh mạng hiện được điều chỉnh trực tiếp bởi Nghị định 332/2026/NĐ-CP; cơ quan có thẩm quyền thuộc Bộ Công an thực hiện theo phạm vi thủ tục tương ứng.
- Đối với giấy phép mật mã dân sự đã được cấp trước ngày 01/07/2026, Nghị định 341/2026/NĐ-CP cho phép tiếp tục sử dụng đến hết thời hạn ghi trên giấy phép.
Hiểu theo một cách khác: Luật mới đặt các nhóm sản phẩm, dịch vụ trong một hệ thống an ninh mạng thống nhất, nhưng việc chuẩn bị hồ sơ vẫn phải đi theo đúng nhánh chuyên ngành. Doanh nghiệp không nên lấy hồ sơ an toàn thông tin mạng để thay cho hồ sơ mật mã dân sự hoặc ngược lại.
Khi nào cần ưu tiên rà soát theo hướng mật mã dân sự?
Một sản phẩm hoặc dịch vụ nên được rà soát theo hướng mật mã dân sự khi chức năng bảo mật bằng kỹ thuật mật mã giữ vai trò chính hoặc có ảnh hưởng trực tiếp đến cách sản phẩm bảo vệ thông tin.
Luật Dương Trí thường bắt đầu từ datasheet theo model, security guide, tài liệu quản lý khóa và sơ đồ triển khai. Chỉ thấy từ “encrypted”, “AES” hoặc “VPN” trong brochure vẫn chưa đủ để kết luận.
Xem hướng dẫn sâu hơn tại bài Sản phẩm có mã hóa có phải xin Giấy phép mật mã dân sự?.
Khi nào cần ưu tiên rà soát theo hướng an toàn/an ninh mạng?
Nhánh an toàn/an ninh mạng thường được đặt ra khi sản phẩm hoặc dịch vụ tập trung vào kiểm tra, đánh giá, giám sát, phát hiện, ứng cứu hoặc phòng chống tấn công mạng.
Điểm dễ nhầm: một sản phẩm có thể vừa giám sát, ngăn chặn tấn công, vừa có chức năng VPN hoặc mã hóa. Khi đó, không nên chọn giấy phép theo tính năng được quảng cáo nổi bật nhất; cần xác định chức năng chính và các module thực tế được doanh nghiệp cung cấp.
So sánh đối tượng, điều kiện và hồ sơ
| Nội dung | Hồ sơ mật mã dân sự | Hồ sơ an toàn/an ninh mạng |
|---|---|---|
| Phạm vi đề nghị | Nhóm sản phẩm, dịch vụ mật mã dân sự gắn với model, chức năng và phạm vi kinh doanh. | Loại hình sản phẩm, dịch vụ kiểm tra, giám sát, bảo mật, phòng chống tấn công hoặc nhóm khác theo thủ tục áp dụng. |
| Nhân sự | Nhân sự quản lý, điều hành và kỹ thuật có chuyên môn phù hợp; quy định chuyên ngành có yêu cầu tối thiểu đối với cán bộ kỹ thuật. | Nhân sự quản lý, điều hành và kỹ thuật phù hợp với loại hình, quy mô và phương án cung cấp sản phẩm, dịch vụ. |
| Phương án kỹ thuật | Thuật toán, tham số, quản lý khóa, mô hình triển khai, bảo hành, bảo trì và đặc tính kỹ thuật của sản phẩm. | Hệ thống thiết bị, công nghệ, quy trình kỹ thuật, phương án bảo mật khách hàng và chất lượng dịch vụ. |
| Phạm vi và mô hình cung cấp | Phạm vi sản phẩm, dịch vụ phải thống nhất với Mẫu số 01 và phương án kỹ thuật; đây không phải điều kiện độc lập theo Nghị định 341/2026/NĐ-CP. | Loại hình, đối tượng cung cấp, tiêu chuẩn, chất lượng, quy mô và cách tổ chức cung cấp. |
| Tài liệu sản phẩm | Datasheet theo model, security guide, tài liệu mật mã và quản lý khóa. | Tài liệu chức năng bảo vệ, giám sát, đánh giá, ứng cứu hoặc phòng chống tấn công. |
| Điểm thường bị bổ sung | Model không rõ, phạm vi xin quá rộng, mô tả thuật toán hoặc quản lý khóa chưa đủ. | Loại hình dịch vụ chưa rõ, nhân sự và hệ thống kỹ thuật chưa khớp với phương án kinh doanh. |
Hai nhánh đều cần chứng minh năng lực phù hợp, nhưng riêng mật mã dân sự theo Nghị định 341/2026/NĐ-CP tập trung vào nhân sự, hệ thống trang thiết bị/cơ sở vật chất và phương án kỹ thuật. Điểm khác nằm ở việc doanh nghiệp phải chứng minh năng lực cho loại chức năng nào.
Khác nhau thế nào khi doanh nghiệp nhập khẩu sản phẩm?
Đây là khu vực dễ nhầm nhất vì cả hai nhóm đều có thể phát sinh thủ tục nhập khẩu.
Đối với sản phẩm mật mã dân sự
Nghị định 341/2026/NĐ-CP yêu cầu đối chiếu đồng thời mã HS, mô tả hàng hóa và mô tả đặc tính kỹ thuật mật mã. Chỉ trùng mã HS chưa đủ để kết luận sản phẩm thuộc Phụ lục II.
Hồ sơ nhập khẩu mật mã dân sự còn gắn với Giấy phép kinh doanh, yêu cầu chứng nhận – công bố hợp quy khi áp dụng và mục đích sử dụng sản phẩm.
Đối với sản phẩm an toàn/an ninh mạng
Doanh nghiệp cần kiểm tra sản phẩm có thuộc danh mục nhập khẩu theo giấy phép của nhánh an toàn/an ninh mạng hay không, đồng thời đối chiếu điều kiện kinh doanh và tài liệu hàng hóa theo thủ tục đang được công bố.
Mẹo nhỏ: nên lập một bảng gồm model, mã HS dự kiến, mô tả hàng hóa, chức năng chính, chức năng mật mã và mục đích nhập khẩu. Bảng này giúp nhận ra sớm sản phẩm chỉ thuộc một nhánh hay có dấu hiệu phải rà soát cả hai.
Một sản phẩm có thể liên quan đến cả hai nhóm không?
Có thể. Luật An ninh mạng 2025 đã cho thấy mật mã dân sự là một thành phần trong nhóm sản phẩm, dịch vụ an ninh mạng. Trong thực tế, một giải pháp có thể vừa sử dụng mật mã chuyên dụng, vừa thực hiện giám sát hoặc phòng chống tấn công.
Tuy nhiên, “có giao thoa” không đồng nghĩa mọi sản phẩm đều phải thực hiện hai bộ thủ tục. Cần xem:
- Chức năng chính của model là gì.
- Module mật mã có được kích hoạt trong cấu hình bán tại Việt Nam hay không.
- Doanh nghiệp bán sản phẩm, tích hợp giải pháp hay cung cấp dịch vụ.
- Phạm vi đã được ghi nhận trên giấy phép hiện có.
- Model có thuộc danh mục xuất nhập khẩu chuyên ngành hay không.
- Quy định chuyển tiếp và thủ tục đang được công bố tại thời điểm nộp.
Quan trọng: không nên tự động kết luận rằng có Giấy phép an toàn/an ninh mạng thì không cần xử lý nhánh mật mã dân sự, hoặc ngược lại. Với sản phẩm lưỡng dụng, đối chiếu nhánh cấp phép tại bảng đầu bài; việc phối hợp giữa cơ quan quản lý không đồng nghĩa doanh nghiệp mặc nhiên phải xin riêng hai giấy phép kinh doanh cho cùng sản phẩm.
6 bước xác định doanh nghiệp nên đi theo hướng nào
Ví dụ phân biệt theo tình huống thực tế
| Tình huống | Điểm cần kiểm tra | Hướng rà soát ban đầu |
|---|---|---|
| HSM quản lý khóa | Sinh, lưu trữ, bảo vệ khóa; ký số; thuật toán và module mật mã. | Ưu tiên nhánh mật mã dân sự; nếu có nhập khẩu, kiểm tra thêm Phụ lục II và hợp quy. |
| Dịch vụ pentest | Phạm vi kiểm tra, đánh giá hệ thống; công cụ sử dụng; dữ liệu khách hàng. | Ưu tiên nhánh dịch vụ kiểm tra, đánh giá an toàn/an ninh mạng. |
| VPN gateway | Chức năng cốt lõi là bảo mật luồng IP hay chỉ hỗ trợ truy cập quản trị từ xa. | Cần rà model và trường hợp loại trừ; có thể nghiêng về mật mã dân sự hoặc phát sinh giao thoa. |
| Firewall có IPS và VPN | Tính năng chính, license được kích hoạt, chức năng mã hóa và mục đích thương mại. | Không kết luận theo tên firewall; cần tách module giám sát/chống xâm nhập với module VPN. |
| Nền tảng SOC/SIEM | Thu thập log, phân tích cảnh báo, giám sát, phản ứng sự cố; chức năng mã hóa chỉ hỗ trợ hay chuyên dụng. | Thường ưu tiên nhánh an toàn/an ninh mạng, nhưng vẫn kiểm tra module mật mã nếu có. |
| Ổ lưu trữ tự mã hóa | Mã hóa có phải chức năng chính, cơ chế quản lý khóa và khả năng thuộc trường hợp loại trừ. | Rà theo nhánh mật mã dân sự trước khi kết luận; không mặc nhiên phải xin phép. |
| Dịch vụ bảo mật dùng thiết bị mật mã | Dịch vụ cung cấp là gì, sản phẩm mật mã nào được sử dụng, ai quản lý khóa và vận hành. | Có thể cần rà đồng thời loại hình dịch vụ an ninh mạng và nghĩa vụ mật mã dân sự. |
Các ví dụ trên chỉ minh họa cách đặt câu hỏi. Kết luận cuối cùng vẫn phải dựa trên model, tài liệu kỹ thuật và cách doanh nghiệp triển khai thực tế.
Tài liệu cần chuẩn bị để phân loại đúng nghĩa vụ
Không nên suy đoán thay cho nhà sản xuất. Nếu datasheet chưa làm rõ chức năng chính, quản lý khóa hoặc khác biệt giữa các license, doanh nghiệp nên yêu cầu xác nhận kỹ thuật trước khi chọn thủ tục.
7 lỗi thường gặp khi phân biệt hai nhóm giấy phép
4 hướng kết luận sau khi rà soát
Kết quả “cần rà soát cả hai” không đồng nghĩa chắc chắn phải xin hai giấy phép. Đây là tín hiệu để kiểm tra sâu hơn phạm vi pháp lý, giấy phép hiện có và hướng dẫn đang áp dụng tại thời điểm doanh nghiệp nộp hồ sơ.
Câu hỏi thường gặp
1. Giấy phép mật mã dân sự có phải là Giấy phép an ninh mạng không?
Từ ngày 01/07/2026, Luật An ninh mạng 2025 xếp sản phẩm và dịch vụ mật mã dân sự vào nhóm sản phẩm, dịch vụ an ninh mạng. Tuy nhiên, mật mã dân sự vẫn có nhánh quản lý và thủ tục chuyên ngành riêng.
2. Có Giấy phép an toàn thông tin mạng thì có cần Giấy phép mật mã dân sự không?
Không thể trả lời chung. Cần kiểm tra phạm vi trên giấy phép, model, chức năng mật mã và hoạt động doanh nghiệp đang thực hiện. Không nên mặc định một giấy phép thay thế giấy phép còn lại.
3. Firewall thuộc giấy phép nào?
Tùy model và license. Firewall tập trung giám sát, lọc hoặc chống xâm nhập có thể nghiêng về an toàn/an ninh mạng; module VPN hoặc bảo mật luồng IP cần được rà thêm theo hướng mật mã dân sự.
4. VPN có mặc nhiên thuộc mật mã dân sự không?
Không. Cần phân biệt thiết bị bảo mật luồng IP chuyên dụng với tính năng VPN dùng cho truy cập từ xa hoặc quản trị thiết bị và kiểm tra trường hợp loại trừ.
5. Dịch vụ pentest có liên quan đến mật mã dân sự không?
Dịch vụ pentest thường được xem xét theo nhóm kiểm tra, đánh giá an toàn/an ninh mạng. Chỉ khi dịch vụ có sử dụng hoặc cung cấp sản phẩm mật mã dân sự theo cách làm phát sinh nghĩa vụ riêng mới cần rà thêm.
6. Một sản phẩm có thể phải kiểm tra hai loại giấy phép nhập khẩu không?
Có thể có dấu hiệu giao thoa. Doanh nghiệp cần đối chiếu cả danh mục mật mã dân sự và danh mục sản phẩm an toàn/an ninh mạng, nhưng kết luận phải dựa trên model, mã HS, mô tả hàng hóa và đặc tính kỹ thuật.
7. Giấy phép cũ được cấp trước ngày 01/07/2026 còn hiệu lực không?
Có. Luật An ninh mạng 2025 quy định giấy phép kinh doanh sản phẩm, dịch vụ an toàn thông tin mạng và mật mã dân sự đã được cấp trước ngày luật có hiệu lực tiếp tục có giá trị đến hết thời hạn ghi trên giấy phép.
8. Sau ngày 01/07/2026 nên dùng tên “an toàn thông tin mạng” hay “an ninh mạng”?
Luật mới sử dụng hệ thống khái niệm an ninh mạng. Tuy nhiên, một số thủ tục hành chính và giấy phép chuyển tiếp vẫn sử dụng tên an toàn thông tin mạng. Khi lập hồ sơ cần dùng đúng tên thủ tục đang được công bố.
9. Chỉ có datasheet có thể phân biệt được không?
Datasheet là tài liệu quan trọng nhưng có thể chưa đủ. Nhiều trường hợp cần thêm security guide, tài liệu quản lý khóa, danh sách license, sơ đồ triển khai và mô tả mô hình kinh doanh.
10. Nên rà soát vào thời điểm nào?
Nên thực hiện trước khi ký hợp đồng phân phối, xác nhận đơn hàng, mở rộng danh mục sản phẩm hoặc để lô hàng được vận chuyển về Việt Nam.
Nội dung liên quan theo từng nhu cầu
Căn cứ pháp lý và thủ tục cần theo dõi
- Luật An ninh mạng số 116/2025/QH15, có hiệu lực từ ngày 01/07/2026.
- Nghị định số 341/2026/NĐ-CP quy định về hoạt động mật mã dân sự.
- Quyết định số 5097/QĐ-BQP ngày 17/09/2026 công bố thủ tục hành chính hiện hành trong lĩnh vực mật mã dân sự.
- Nghị định số 332/2026/NĐ-CP ngày 19/08/2026 quy định về hoạt động kinh doanh sản phẩm, dịch vụ an ninh mạng.
- Thủ tục cấp Giấy phép kinh doanh sản phẩm, dịch vụ an toàn thông tin mạng trên Cổng Dịch vụ công Bộ Công an.
Lưu ý cập nhật: từ tháng 8-9/2026, Nghị định 332/2026/NĐ-CP và Nghị định 341/2026/NĐ-CP đã tạo hai nhánh quản lý hiện hành. Với sản phẩm lưỡng dụng đồng thời có tính năng mật mã dân sự và tính năng an ninh mạng, Nghị định 341/2026/NĐ-CP quy định Bộ Công an cấp Giấy phép kinh doanh và Giấy phép xuất khẩu, nhập khẩu sản phẩm an ninh mạng theo quy định, sau khi lấy ý kiến bằng văn bản của Ban Cơ yếu Chính phủ về tính năng mật mã dân sự.
