Giấy phép mật mã dân sự và Giấy phép an toàn thông tin mạng không thể phân biệt chỉ bằng tên sản phẩm. Firewall, VPN, HSM, token, phần mềm giám sát hoặc giải pháp bảo mật đều có thể chứa nhiều chức năng khác nhau. Điều quyết định là chức năng chính, cách sử dụng mật mã, loại hình sản phẩm – dịch vụ và hoạt động thực tế của doanh nghiệp.
Từ ngày 01/07/2026, Luật An ninh mạng số 116/2025/QH15 sử dụng khái niệm rộng hơn là sản phẩm, dịch vụ an ninh mạng, trong đó sản phẩm và dịch vụ mật mã dân sự là một nhóm thành phần. Tuy vậy, lộ trình quản lý mật mã dân sự vẫn có quy định chuyên ngành, cơ quan tiếp nhận và hồ sơ riêng.
Hiểu theo cách thực tế, đây không phải hai thế giới hoàn toàn tách biệt. Mật mã dân sự nằm trong hệ thống pháp luật an ninh mạng, nhưng doanh nghiệp vẫn phải xác định đúng nhánh thủ tục trước khi chuẩn bị hồ sơ hoặc nhập khẩu sản phẩm.

Phân biệt nhanh Giấy phép mật mã dân sự và an toàn thông tin mạng
| Tiêu chí | Mật mã dân sự | An toàn/an ninh mạng |
|---|---|---|
| Trọng tâm kỹ thuật | Bảo mật hoặc xác thực thông tin bằng kỹ thuật mật mã; chú trọng thuật toán, khóa, mã hóa – giải mã và tham số mật mã. | Kiểm tra, đánh giá, giám sát, phòng chống tấn công, bảo vệ hệ thống, dữ liệu và hoạt động trên không gian mạng. |
| Nhóm sản phẩm, dịch vụ | Đối chiếu Danh mục sản phẩm, dịch vụ mật mã dân sự và các trường hợp loại trừ. | Đối chiếu nhóm sản phẩm, dịch vụ an ninh mạng và loại hình kinh doanh theo pháp luật hiện hành. |
| Điểm đọc tài liệu | Chức năng chính, thuật toán, quản lý khóa, dữ liệu được mã hóa, model và license. | Loại hình sản phẩm – dịch vụ, năng lực kiểm tra/giám sát/phòng chống tấn công, hệ thống kỹ thuật và quy trình cung cấp. |
| Cơ quan chuyên ngành | Ban Cơ yếu Chính phủ trong phạm vi quản lý mật mã dân sự. | Cơ quan chuyên trách thuộc Bộ Công an theo thủ tục an toàn thông tin, an ninh mạng đang được công bố. |
| Nhập khẩu | Kiểm tra Phụ lục II, mã HS, mô tả hàng hóa, đặc tính kỹ thuật mật mã, hợp quy và giấy phép liên quan. | Kiểm tra danh mục, điều kiện và thủ tục nhập khẩu sản phẩm an toàn/an ninh mạng tương ứng. |
| Có thay thế nhau không? | Không nên mặc định một giấy phép thay thế giấy phép còn lại. Sản phẩm có chức năng giao thoa phải được rà soát theo từng lớp nghĩa vụ. | |
Nếu cần ghi nhớ một câu, có thể hiểu như sau: mật mã dân sự tập trung vào cách sản phẩm dùng mật mã để bảo vệ hoặc xác thực thông tin; an toàn/an ninh mạng tập trung rộng hơn vào việc bảo vệ hệ thống, dữ liệu và hoạt động trên môi trường mạng.
Điểm mới cần hiểu từ ngày 01/07/2026
Luật An ninh mạng 2025 hợp nhất và kế thừa nhiều nội dung của Luật An ninh mạng 2018 và Luật An toàn thông tin mạng 2015. Theo Điều 28, sản phẩm an ninh mạng bao gồm cả sản phẩm mật mã dân sự; dịch vụ an ninh mạng cũng bao gồm dịch vụ mật mã dân sự.
Điều này dễ khiến doanh nghiệp đặt câu hỏi: “Nếu mật mã dân sự đã nằm trong sản phẩm, dịch vụ an ninh mạng thì còn cần phân biệt hai giấy phép hay không?”.
Câu trả lời thực tế là vẫn cần phân biệt, vì:
- Mật mã dân sự có hệ thống danh mục, điều kiện, hồ sơ kỹ thuật và hoạt động xuất nhập khẩu chuyên biệt.
- Ban Cơ yếu Chính phủ tiếp tục công bố thủ tục cấp mới và xuất nhập khẩu sản phẩm mật mã dân sự.
- Bộ Công an đang công bố các thủ tục kinh doanh sản phẩm, dịch vụ an toàn thông tin mạng thuộc lĩnh vực bảo đảm an toàn thông tin, an ninh mạng.
- Giấy phép đã được cấp trước ngày 01/07/2026 tiếp tục có giá trị đến hết thời hạn ghi trên giấy phép.
Khi nào cần ưu tiên rà soát theo hướng mật mã dân sự?
Một sản phẩm hoặc dịch vụ nên được rà soát theo hướng mật mã dân sự khi chức năng bảo mật bằng kỹ thuật mật mã giữ vai trò chính hoặc có ảnh hưởng trực tiếp đến cách sản phẩm bảo vệ thông tin.
Luật Dương Trí thường bắt đầu từ datasheet theo model, security guide, tài liệu quản lý khóa và sơ đồ triển khai. Chỉ thấy từ “encrypted”, “AES” hoặc “VPN” trong brochure vẫn chưa đủ để kết luận.
Xem hướng dẫn sâu hơn tại bài Sản phẩm có mã hóa có phải xin Giấy phép mật mã dân sự?.
Khi nào cần ưu tiên rà soát theo hướng an toàn/an ninh mạng?
Nhánh an toàn/an ninh mạng thường được đặt ra khi sản phẩm hoặc dịch vụ tập trung vào kiểm tra, đánh giá, giám sát, phát hiện, ứng cứu hoặc phòng chống tấn công mạng.
So sánh đối tượng, điều kiện và hồ sơ
| Nội dung | Hồ sơ mật mã dân sự | Hồ sơ an toàn/an ninh mạng |
|---|---|---|
| Phạm vi đề nghị | Nhóm sản phẩm, dịch vụ mật mã dân sự gắn với model, chức năng và phạm vi kinh doanh. | Loại hình sản phẩm, dịch vụ kiểm tra, giám sát, bảo mật, phòng chống tấn công hoặc nhóm khác theo thủ tục áp dụng. |
| Nhân sự | Nhân sự quản lý, điều hành và kỹ thuật có chuyên môn phù hợp; quy định chuyên ngành có yêu cầu tối thiểu đối với cán bộ kỹ thuật. | Nhân sự quản lý, điều hành và kỹ thuật phù hợp với loại hình, quy mô và phương án cung cấp sản phẩm, dịch vụ. |
| Phương án kỹ thuật | Thuật toán, tham số, quản lý khóa, mô hình triển khai, bảo hành, bảo trì và đặc tính kỹ thuật của sản phẩm. | Hệ thống thiết bị, công nghệ, quy trình kỹ thuật, phương án bảo mật khách hàng và chất lượng dịch vụ. |
| Phương án kinh doanh | Phạm vi, đối tượng, số lượng sản phẩm, dịch vụ, hệ thống hỗ trợ và bảo đảm kỹ thuật. | Loại hình, đối tượng cung cấp, tiêu chuẩn, chất lượng, quy mô và cách tổ chức cung cấp. |
| Tài liệu sản phẩm | Datasheet theo model, security guide, tài liệu mật mã và quản lý khóa. | Tài liệu chức năng bảo vệ, giám sát, đánh giá, ứng cứu hoặc phòng chống tấn công. |
| Điểm thường bị bổ sung | Model không rõ, phạm vi xin quá rộng, mô tả thuật toán hoặc quản lý khóa chưa đủ. | Loại hình dịch vụ chưa rõ, nhân sự và hệ thống kỹ thuật chưa khớp với phương án kinh doanh. |
Ta thấy rằng cả hai hồ sơ đều cần nhân sự, cơ sở vật chất và phương án kinh doanh – kỹ thuật. Điểm khác nằm ở việc doanh nghiệp phải chứng minh năng lực cho loại chức năng nào.
Khác nhau thế nào khi doanh nghiệp nhập khẩu sản phẩm?
Đây là khu vực dễ nhầm nhất vì cả hai nhóm đều có thể phát sinh thủ tục nhập khẩu.
Đối với sản phẩm mật mã dân sự
Nghị định 211/2025/NĐ-CP yêu cầu đối chiếu đồng thời mã HS, mô tả hàng hóa và mô tả đặc tính kỹ thuật mật mã. Chỉ trùng mã HS chưa đủ để kết luận sản phẩm thuộc Phụ lục II.
Hồ sơ nhập khẩu mật mã dân sự còn gắn với Giấy phép kinh doanh, yêu cầu chứng nhận – công bố hợp quy khi áp dụng và mục đích sử dụng sản phẩm.
Đối với sản phẩm an toàn/an ninh mạng
Doanh nghiệp cần kiểm tra sản phẩm có thuộc danh mục nhập khẩu theo giấy phép của nhánh an toàn/an ninh mạng hay không, đồng thời đối chiếu điều kiện kinh doanh và tài liệu hàng hóa theo thủ tục đang được công bố.
Một sản phẩm có thể liên quan đến cả hai nhóm không?
Có thể. Luật An ninh mạng 2025 đã cho thấy mật mã dân sự là một thành phần trong nhóm sản phẩm, dịch vụ an ninh mạng. Trong thực tế, một giải pháp có thể vừa sử dụng mật mã chuyên dụng, vừa thực hiện giám sát hoặc phòng chống tấn công.
Tuy nhiên, “có giao thoa” không đồng nghĩa mọi sản phẩm đều phải thực hiện hai bộ thủ tục. Cần xem:
- Chức năng chính của model là gì.
- Module mật mã có được kích hoạt trong cấu hình bán tại Việt Nam hay không.
- Doanh nghiệp bán sản phẩm, tích hợp giải pháp hay cung cấp dịch vụ.
- Phạm vi đã được ghi nhận trên giấy phép hiện có.
- Model có thuộc danh mục xuất nhập khẩu chuyên ngành hay không.
- Quy định chuyển tiếp và thủ tục đang được công bố tại thời điểm nộp.
6 bước xác định doanh nghiệp nên đi theo hướng nào
Ví dụ phân biệt theo tình huống thực tế
| Tình huống | Điểm cần kiểm tra | Hướng rà soát ban đầu |
|---|---|---|
| HSM quản lý khóa | Sinh, lưu trữ, bảo vệ khóa; ký số; thuật toán và module mật mã. | Ưu tiên nhánh mật mã dân sự; nếu có nhập khẩu, kiểm tra thêm Phụ lục II và hợp quy. |
| Dịch vụ pentest | Phạm vi kiểm tra, đánh giá hệ thống; công cụ sử dụng; dữ liệu khách hàng. | Ưu tiên nhánh dịch vụ kiểm tra, đánh giá an toàn/an ninh mạng. |
| VPN gateway | Chức năng cốt lõi là bảo mật luồng IP hay chỉ hỗ trợ truy cập quản trị từ xa. | Cần rà model và trường hợp loại trừ; có thể nghiêng về mật mã dân sự hoặc phát sinh giao thoa. |
| Firewall có IPS và VPN | Tính năng chính, license được kích hoạt, chức năng mã hóa và mục đích thương mại. | Không kết luận theo tên firewall; cần tách module giám sát/chống xâm nhập với module VPN. |
| Nền tảng SOC/SIEM | Thu thập log, phân tích cảnh báo, giám sát, phản ứng sự cố; chức năng mã hóa chỉ hỗ trợ hay chuyên dụng. | Thường ưu tiên nhánh an toàn/an ninh mạng, nhưng vẫn kiểm tra module mật mã nếu có. |
| Ổ lưu trữ tự mã hóa | Mã hóa có phải chức năng chính, cơ chế quản lý khóa và khả năng thuộc trường hợp loại trừ. | Rà theo nhánh mật mã dân sự trước khi kết luận; không mặc nhiên phải xin phép. |
| Dịch vụ bảo mật dùng thiết bị mật mã | Dịch vụ cung cấp là gì, sản phẩm mật mã nào được sử dụng, ai quản lý khóa và vận hành. | Có thể cần rà đồng thời loại hình dịch vụ an ninh mạng và nghĩa vụ mật mã dân sự. |
Các ví dụ trên chỉ minh họa cách đặt câu hỏi. Kết luận cuối cùng vẫn phải dựa trên model, tài liệu kỹ thuật và cách doanh nghiệp triển khai thực tế.
Tài liệu cần chuẩn bị để phân loại đúng nghĩa vụ
7 lỗi thường gặp khi phân biệt hai nhóm giấy phép
4 hướng kết luận sau khi rà soát
Kết quả “cần rà soát cả hai” không đồng nghĩa chắc chắn phải xin hai giấy phép. Đây là tín hiệu để kiểm tra sâu hơn phạm vi pháp lý, giấy phép hiện có và hướng dẫn đang áp dụng tại thời điểm doanh nghiệp nộp hồ sơ.
Câu hỏi thường gặp
1. Giấy phép mật mã dân sự có phải là Giấy phép an ninh mạng không?
Từ ngày 01/07/2026, Luật An ninh mạng 2025 xếp sản phẩm và dịch vụ mật mã dân sự vào nhóm sản phẩm, dịch vụ an ninh mạng. Tuy nhiên, mật mã dân sự vẫn có nhánh quản lý và thủ tục chuyên ngành riêng.
2. Có Giấy phép an toàn thông tin mạng thì có cần Giấy phép mật mã dân sự không?
Không thể trả lời chung. Cần kiểm tra phạm vi trên giấy phép, model, chức năng mật mã và hoạt động doanh nghiệp đang thực hiện. Không nên mặc định một giấy phép thay thế giấy phép còn lại.
3. Firewall thuộc giấy phép nào?
Tùy model và license. Firewall tập trung giám sát, lọc hoặc chống xâm nhập có thể nghiêng về an toàn/an ninh mạng; module VPN hoặc bảo mật luồng IP cần được rà thêm theo hướng mật mã dân sự.
4. VPN có mặc nhiên thuộc mật mã dân sự không?
Không. Cần phân biệt thiết bị bảo mật luồng IP chuyên dụng với tính năng VPN dùng cho truy cập từ xa hoặc quản trị thiết bị và kiểm tra trường hợp loại trừ.
5. Dịch vụ pentest có liên quan đến mật mã dân sự không?
Dịch vụ pentest thường được xem xét theo nhóm kiểm tra, đánh giá an toàn/an ninh mạng. Chỉ khi dịch vụ có sử dụng hoặc cung cấp sản phẩm mật mã dân sự theo cách làm phát sinh nghĩa vụ riêng mới cần rà thêm.
6. Một sản phẩm có thể phải kiểm tra hai loại giấy phép nhập khẩu không?
Có thể có dấu hiệu giao thoa. Doanh nghiệp cần đối chiếu cả danh mục mật mã dân sự và danh mục sản phẩm an toàn/an ninh mạng, nhưng kết luận phải dựa trên model, mã HS, mô tả hàng hóa và đặc tính kỹ thuật.
7. Giấy phép cũ được cấp trước ngày 01/07/2026 còn hiệu lực không?
Có. Luật An ninh mạng 2025 quy định giấy phép kinh doanh sản phẩm, dịch vụ an toàn thông tin mạng và mật mã dân sự đã được cấp trước ngày luật có hiệu lực tiếp tục có giá trị đến hết thời hạn ghi trên giấy phép.
8. Sau ngày 01/07/2026 nên dùng tên “an toàn thông tin mạng” hay “an ninh mạng”?
Luật mới sử dụng hệ thống khái niệm an ninh mạng. Tuy nhiên, một số thủ tục hành chính và giấy phép chuyển tiếp vẫn sử dụng tên an toàn thông tin mạng. Khi lập hồ sơ cần dùng đúng tên thủ tục đang được công bố.
9. Chỉ có datasheet có thể phân biệt được không?
Datasheet là tài liệu quan trọng nhưng có thể chưa đủ. Nhiều trường hợp cần thêm security guide, tài liệu quản lý khóa, danh sách license, sơ đồ triển khai và mô tả mô hình kinh doanh.
10. Nên rà soát vào thời điểm nào?
Nên thực hiện trước khi ký hợp đồng phân phối, xác nhận đơn hàng, mở rộng danh mục sản phẩm hoặc để lô hàng được vận chuyển về Việt Nam.
Nội dung liên quan theo từng nhu cầu
Căn cứ pháp lý và thủ tục cần theo dõi
- Luật An ninh mạng số 116/2025/QH15, có hiệu lực từ ngày 01/07/2026.
- Nghị định số 211/2025/NĐ-CP quy định về hoạt động mật mã dân sự.
- Nghị quyết số 24/2026/NQ-CP về cắt giảm, đơn giản hóa thủ tục hành chính trong lĩnh vực mật mã dân sự.
- Nghị định số 108/2016/NĐ-CP và thủ tục hành chính về kinh doanh sản phẩm, dịch vụ an toàn thông tin mạng trong thời gian chuyển tiếp.
- Thủ tục cấp Giấy phép kinh doanh sản phẩm, dịch vụ an toàn thông tin mạng trên Cổng Dịch vụ công Bộ Công an.
Chưa xác định sản phẩm thuộc nhánh giấy phép nào?
Doanh nghiệp có thể gửi tên hãng, model, catalogue, datasheet, danh sách license, mục đích sử dụng và kế hoạch kinh doanh hoặc nhập khẩu. Luật Dương Trí sẽ cùng doanh nghiệp xác định chức năng chính, lớp nghĩa vụ cần ưu tiên và tài liệu cần chuẩn bị cho đúng hướng hồ sơ.
Hotline: 0961 353 606 · Email: contact@luatduongtri.vn