05/08/2026 | Chia sẻ

Phân Biệt Giấy Phép Mật Mã Dân Sự Và An Toàn Thông Tin Mạng

Ngày đăng: Tác giả: Cập nhật:

Giấy phép mật mã dân sự và Giấy phép an toàn thông tin mạng không thể phân biệt chỉ bằng tên sản phẩm. Firewall, VPN, HSM, token, phần mềm giám sát hoặc giải pháp bảo mật đều có thể chứa nhiều chức năng khác nhau. Điều quyết định là chức năng chính, cách sử dụng mật mã, loại hình sản phẩm – dịch vụ và hoạt động thực tế của doanh nghiệp.

Từ ngày 01/07/2026, Luật An ninh mạng số 116/2025/QH15 sử dụng khái niệm rộng hơn là sản phẩm, dịch vụ an ninh mạng, trong đó sản phẩm và dịch vụ mật mã dân sự là một nhóm thành phần. Tuy vậy, lộ trình quản lý mật mã dân sự vẫn có quy định chuyên ngành, cơ quan tiếp nhận và hồ sơ riêng.

Hiểu theo cách thực tế, đây không phải hai thế giới hoàn toàn tách biệt. Mật mã dân sự nằm trong hệ thống pháp luật an ninh mạng, nhưng doanh nghiệp vẫn phải xác định đúng nhánh thủ tục trước khi chuẩn bị hồ sơ hoặc nhập khẩu sản phẩm.

Quan trọng: bài viết sử dụng cụm “Giấy phép an toàn thông tin mạng” theo cách doanh nghiệp thường tìm kiếm và theo tên đang hiển thị trên một số thủ tục hành chính. Khi triển khai hồ sơ sau ngày 01/07/2026, cần đối chiếu thêm Luật An ninh mạng 2025 và thủ tục đang được cơ quan có thẩm quyền công bố tại thời điểm nộp.

Phân biệt nhanh Giấy phép mật mã dân sự và an toàn thông tin mạng

Tiêu chí Mật mã dân sự An toàn/an ninh mạng
Trọng tâm kỹ thuật Bảo mật hoặc xác thực thông tin bằng kỹ thuật mật mã; chú trọng thuật toán, khóa, mã hóa – giải mã và tham số mật mã. Kiểm tra, đánh giá, giám sát, phòng chống tấn công, bảo vệ hệ thống, dữ liệu và hoạt động trên không gian mạng.
Nhóm sản phẩm, dịch vụ Đối chiếu Danh mục sản phẩm, dịch vụ mật mã dân sự và các trường hợp loại trừ. Đối chiếu nhóm sản phẩm, dịch vụ an ninh mạng và loại hình kinh doanh theo pháp luật hiện hành.
Điểm đọc tài liệu Chức năng chính, thuật toán, quản lý khóa, dữ liệu được mã hóa, model và license. Loại hình sản phẩm – dịch vụ, năng lực kiểm tra/giám sát/phòng chống tấn công, hệ thống kỹ thuật và quy trình cung cấp.
Cơ quan chuyên ngành Ban Cơ yếu Chính phủ trong phạm vi quản lý mật mã dân sự. Cơ quan chuyên trách thuộc Bộ Công an theo thủ tục an toàn thông tin, an ninh mạng đang được công bố.
Nhập khẩu Kiểm tra Phụ lục II, mã HS, mô tả hàng hóa, đặc tính kỹ thuật mật mã, hợp quy và giấy phép liên quan. Kiểm tra danh mục, điều kiện và thủ tục nhập khẩu sản phẩm an toàn/an ninh mạng tương ứng.
Có thay thế nhau không? Không nên mặc định một giấy phép thay thế giấy phép còn lại. Sản phẩm có chức năng giao thoa phải được rà soát theo từng lớp nghĩa vụ.

Nếu cần ghi nhớ một câu, có thể hiểu như sau: mật mã dân sự tập trung vào cách sản phẩm dùng mật mã để bảo vệ hoặc xác thực thông tin; an toàn/an ninh mạng tập trung rộng hơn vào việc bảo vệ hệ thống, dữ liệu và hoạt động trên môi trường mạng.

Khi nào cần ưu tiên rà soát theo hướng mật mã dân sự?

Một sản phẩm hoặc dịch vụ nên được rà soát theo hướng mật mã dân sự khi chức năng bảo mật bằng kỹ thuật mật mã giữ vai trò chính hoặc có ảnh hưởng trực tiếp đến cách sản phẩm bảo vệ thông tin.

Sinh, lưu trữ hoặc quản lý khóaHSM, thiết bị hoặc phần mềm quản lý vòng đời khóa, module bảo vệ khóa và môi trường ký.
Mã hóa dữ liệu lưu trữGiải pháp chuyên dụng bảo vệ dữ liệu trên thiết bị, máy chủ, cơ sở dữ liệu hoặc hệ thống lưu trữ.
Mã hóa dữ liệu truyền nhậnThiết bị hoặc phần mềm được thiết kế chuyên dụng để bảo vệ dữ liệu trao đổi qua mạng.
Bảo mật luồng IPVPN gateway hoặc giải pháp mà chức năng cốt lõi là mã hóa và bảo vệ luồng IP.
Dịch vụ sử dụng sản phẩm mật mãDịch vụ bảo vệ thông tin bằng sản phẩm mật mã dân sự hoặc hoạt động liên quan được quản lý.
Xuất nhập khẩu model thuộc danh mụcModel có mã HS, mô tả hàng hóa và đặc tính kỹ thuật phù hợp với Phụ lục II.

Luật Dương Trí thường bắt đầu từ datasheet theo model, security guide, tài liệu quản lý khóa và sơ đồ triển khai. Chỉ thấy từ “encrypted”, “AES” hoặc “VPN” trong brochure vẫn chưa đủ để kết luận.

Xem hướng dẫn sâu hơn tại bài Sản phẩm có mã hóa có phải xin Giấy phép mật mã dân sự?.

Khi nào cần ưu tiên rà soát theo hướng an toàn/an ninh mạng?

Nhánh an toàn/an ninh mạng thường được đặt ra khi sản phẩm hoặc dịch vụ tập trung vào kiểm tra, đánh giá, giám sát, phát hiện, ứng cứu hoặc phòng chống tấn công mạng.

Kiểm tra, đánh giá hệ thốngDịch vụ đánh giá lỗ hổng, kiểm thử xâm nhập, đánh giá cấu hình hoặc mức độ an toàn của hệ thống.
Giám sát an ninh mạngSOC, SIEM, nền tảng thu thập – phân tích cảnh báo và giám sát trạng thái an ninh.
Phòng chống tấn công, xâm nhậpIDS/IPS, EDR, anti-DDoS hoặc sản phẩm có mục đích chính là ngăn chặn và xử lý tấn công.
Ứng cứu sự cốDịch vụ điều tra, cô lập, khắc phục, phục hồi hoặc hỗ trợ doanh nghiệp xử lý sự cố mạng.
Tư vấn và vận hành an ninh mạngDịch vụ tư vấn, thiết kế, giám sát hoặc vận hành giải pháp bảo vệ hệ thống.
Bảo mật không sử dụng mật mã dân sựDịch vụ bảo mật thông tin mà giải pháp chính không dựa trên sản phẩm mật mã dân sự.
Điểm dễ nhầm: một sản phẩm có thể vừa giám sát, ngăn chặn tấn công, vừa có chức năng VPN hoặc mã hóa. Khi đó, không nên chọn giấy phép theo tính năng được quảng cáo nổi bật nhất; cần xác định chức năng chính và các module thực tế được doanh nghiệp cung cấp.

So sánh đối tượng, điều kiện và hồ sơ

Nội dung Hồ sơ mật mã dân sự Hồ sơ an toàn/an ninh mạng
Phạm vi đề nghị Nhóm sản phẩm, dịch vụ mật mã dân sự gắn với model, chức năng và phạm vi kinh doanh. Loại hình sản phẩm, dịch vụ kiểm tra, giám sát, bảo mật, phòng chống tấn công hoặc nhóm khác theo thủ tục áp dụng.
Nhân sự Nhân sự quản lý, điều hành và kỹ thuật có chuyên môn phù hợp; quy định chuyên ngành có yêu cầu tối thiểu đối với cán bộ kỹ thuật. Nhân sự quản lý, điều hành và kỹ thuật phù hợp với loại hình, quy mô và phương án cung cấp sản phẩm, dịch vụ.
Phương án kỹ thuật Thuật toán, tham số, quản lý khóa, mô hình triển khai, bảo hành, bảo trì và đặc tính kỹ thuật của sản phẩm. Hệ thống thiết bị, công nghệ, quy trình kỹ thuật, phương án bảo mật khách hàng và chất lượng dịch vụ.
Phương án kinh doanh Phạm vi, đối tượng, số lượng sản phẩm, dịch vụ, hệ thống hỗ trợ và bảo đảm kỹ thuật. Loại hình, đối tượng cung cấp, tiêu chuẩn, chất lượng, quy mô và cách tổ chức cung cấp.
Tài liệu sản phẩm Datasheet theo model, security guide, tài liệu mật mã và quản lý khóa. Tài liệu chức năng bảo vệ, giám sát, đánh giá, ứng cứu hoặc phòng chống tấn công.
Điểm thường bị bổ sung Model không rõ, phạm vi xin quá rộng, mô tả thuật toán hoặc quản lý khóa chưa đủ. Loại hình dịch vụ chưa rõ, nhân sự và hệ thống kỹ thuật chưa khớp với phương án kinh doanh.

Ta thấy rằng cả hai hồ sơ đều cần nhân sự, cơ sở vật chất và phương án kinh doanh – kỹ thuật. Điểm khác nằm ở việc doanh nghiệp phải chứng minh năng lực cho loại chức năng nào.

Khác nhau thế nào khi doanh nghiệp nhập khẩu sản phẩm?

Đây là khu vực dễ nhầm nhất vì cả hai nhóm đều có thể phát sinh thủ tục nhập khẩu.

Đối với sản phẩm mật mã dân sự

Nghị định 211/2025/NĐ-CP yêu cầu đối chiếu đồng thời mã HS, mô tả hàng hóa và mô tả đặc tính kỹ thuật mật mã. Chỉ trùng mã HS chưa đủ để kết luận sản phẩm thuộc Phụ lục II.

Hồ sơ nhập khẩu mật mã dân sự còn gắn với Giấy phép kinh doanh, yêu cầu chứng nhận – công bố hợp quy khi áp dụng và mục đích sử dụng sản phẩm.

Đối với sản phẩm an toàn/an ninh mạng

Doanh nghiệp cần kiểm tra sản phẩm có thuộc danh mục nhập khẩu theo giấy phép của nhánh an toàn/an ninh mạng hay không, đồng thời đối chiếu điều kiện kinh doanh và tài liệu hàng hóa theo thủ tục đang được công bố.

Mẹo nhỏ: nên lập một bảng gồm model, mã HS dự kiến, mô tả hàng hóa, chức năng chính, chức năng mật mã và mục đích nhập khẩu. Bảng này giúp nhận ra sớm sản phẩm chỉ thuộc một nhánh hay có dấu hiệu phải rà soát cả hai.

Một sản phẩm có thể liên quan đến cả hai nhóm không?

Có thể. Luật An ninh mạng 2025 đã cho thấy mật mã dân sự là một thành phần trong nhóm sản phẩm, dịch vụ an ninh mạng. Trong thực tế, một giải pháp có thể vừa sử dụng mật mã chuyên dụng, vừa thực hiện giám sát hoặc phòng chống tấn công.

Tuy nhiên, “có giao thoa” không đồng nghĩa mọi sản phẩm đều phải thực hiện hai bộ thủ tục. Cần xem:

  • Chức năng chính của model là gì.
  • Module mật mã có được kích hoạt trong cấu hình bán tại Việt Nam hay không.
  • Doanh nghiệp bán sản phẩm, tích hợp giải pháp hay cung cấp dịch vụ.
  • Phạm vi đã được ghi nhận trên giấy phép hiện có.
  • Model có thuộc danh mục xuất nhập khẩu chuyên ngành hay không.
  • Quy định chuyển tiếp và thủ tục đang được công bố tại thời điểm nộp.
Quan trọng: không nên tự động kết luận rằng có Giấy phép an toàn/an ninh mạng thì không cần xử lý nhánh mật mã dân sự, hoặc ngược lại. Hai hồ sơ có thể sử dụng chung một phần tài liệu kỹ thuật, nhưng phạm vi chứng minh và cơ quan chuyên ngành không giống nhau.

6 bước xác định doanh nghiệp nên đi theo hướng nào

Khóa đúng model và cấu hìnhXác định model, firmware, module, license và chức năng thực tế sẽ cung cấp tại Việt Nam.
Xác định chức năng chínhSản phẩm chủ yếu mã hóa, quản lý khóa, giám sát, đánh giá, ứng cứu hay phòng chống tấn công?
Kiểm tra vai trò của mật mãMật mã là chức năng cốt lõi, chức năng phụ trợ hay chỉ dùng để bảo vệ kết nối quản trị?
Xác định mô hình kinh doanhDoanh nghiệp bán sản phẩm, nhập khẩu, tích hợp, vận hành hay cung cấp dịch vụ thường xuyên?
Đối chiếu danh mục và loại trừRà Phụ lục mật mã dân sự, nhóm sản phẩm – dịch vụ an ninh mạng và các trường hợp loại trừ.
Chốt một hoặc nhiều lớp nghĩa vụXác định nhánh hồ sơ chính, nghĩa vụ nhập khẩu và nội dung cần trao đổi với cơ quan có thẩm quyền.

Ví dụ phân biệt theo tình huống thực tế

Tình huống Điểm cần kiểm tra Hướng rà soát ban đầu
HSM quản lý khóa Sinh, lưu trữ, bảo vệ khóa; ký số; thuật toán và module mật mã. Ưu tiên nhánh mật mã dân sự; nếu có nhập khẩu, kiểm tra thêm Phụ lục II và hợp quy.
Dịch vụ pentest Phạm vi kiểm tra, đánh giá hệ thống; công cụ sử dụng; dữ liệu khách hàng. Ưu tiên nhánh dịch vụ kiểm tra, đánh giá an toàn/an ninh mạng.
VPN gateway Chức năng cốt lõi là bảo mật luồng IP hay chỉ hỗ trợ truy cập quản trị từ xa. Cần rà model và trường hợp loại trừ; có thể nghiêng về mật mã dân sự hoặc phát sinh giao thoa.
Firewall có IPS và VPN Tính năng chính, license được kích hoạt, chức năng mã hóa và mục đích thương mại. Không kết luận theo tên firewall; cần tách module giám sát/chống xâm nhập với module VPN.
Nền tảng SOC/SIEM Thu thập log, phân tích cảnh báo, giám sát, phản ứng sự cố; chức năng mã hóa chỉ hỗ trợ hay chuyên dụng. Thường ưu tiên nhánh an toàn/an ninh mạng, nhưng vẫn kiểm tra module mật mã nếu có.
Ổ lưu trữ tự mã hóa Mã hóa có phải chức năng chính, cơ chế quản lý khóa và khả năng thuộc trường hợp loại trừ. Rà theo nhánh mật mã dân sự trước khi kết luận; không mặc nhiên phải xin phép.
Dịch vụ bảo mật dùng thiết bị mật mã Dịch vụ cung cấp là gì, sản phẩm mật mã nào được sử dụng, ai quản lý khóa và vận hành. Có thể cần rà đồng thời loại hình dịch vụ an ninh mạng và nghĩa vụ mật mã dân sự.

Các ví dụ trên chỉ minh họa cách đặt câu hỏi. Kết luận cuối cùng vẫn phải dựa trên model, tài liệu kỹ thuật và cách doanh nghiệp triển khai thực tế.

Tài liệu cần chuẩn bị để phân loại đúng nghĩa vụ

Catalogue và datasheet theo modelKhông dùng duy nhất brochure chung của cả dòng sản phẩm.
Security guide và tài liệu quản lý khóaLàm rõ thuật toán, khóa, xác thực, luồng dữ liệu và quyền quản trị.
Danh sách license và moduleXác định tính năng nào thực tế được kích hoạt tại Việt Nam.
Sơ đồ triển khaiCho biết vị trí sản phẩm, dữ liệu được bảo vệ, người vận hành và khách hàng sử dụng.
Mô tả sản phẩm hoặc dịch vụBán độc lập, tích hợp, giám sát, kiểm tra, ứng cứu hay cung cấp dịch vụ định kỳ.
Thông tin nhập khẩuMã HS dự kiến, mô tả hàng hóa, nước sản xuất, số lượng và cấu hình lô hàng.
Không nên suy đoán thay cho nhà sản xuất. Nếu datasheet chưa làm rõ chức năng chính, quản lý khóa hoặc khác biệt giữa các license, doanh nghiệp nên yêu cầu xác nhận kỹ thuật trước khi chọn thủ tục.

7 lỗi thường gặp khi phân biệt hai nhóm giấy phép

1. Thấy mã hóa là chọn mật mã dân sựBỏ qua việc mã hóa có thể chỉ là chức năng phụ trợ trong một sản phẩm phổ thông.
2. Thấy firewall là chọn an toàn thông tinKhông kiểm tra module VPN, quản lý khóa hoặc chức năng bảo mật luồng IP.
3. Dùng một giấy phép thay cho giấy phép còn lạiKhông rà lại phạm vi cụ thể được ghi trên giấy phép và nghĩa vụ chuyên ngành.
4. Phân loại theo tên dòng sản phẩmKhông tách model, firmware, module và license thực tế.
5. Chỉ dựa vào mã HSKhông đối chiếu mô tả hàng hóa và đặc tính kỹ thuật mật mã.
6. Bỏ qua mô hình cung cấp dịch vụCùng một sản phẩm nhưng bán thiết bị và vận hành dịch vụ có thể phát sinh nghĩa vụ khác nhau.
7. Dùng thủ tục cũ mà không kiểm tra chuyển tiếpKhông cập nhật Luật An ninh mạng 2025 và thủ tục đang được công bố sau ngày 01/07/2026.

4 hướng kết luận sau khi rà soát

Chỉ ưu tiên nhánh mật mã dân sựChức năng chính là mật mã, quản lý khóa hoặc bảo vệ thông tin bằng kỹ thuật mật mã; chưa thấy dấu hiệu của loại hình an ninh mạng khác.
Chỉ ưu tiên nhánh an toàn/an ninh mạngSản phẩm, dịch vụ tập trung vào kiểm tra, giám sát, ứng cứu hoặc phòng chống tấn công; chức năng mã hóa chỉ hỗ trợ.
Cần rà soát cả hai lớp nghĩa vụGiải pháp có chức năng mật mã chuyên dụng đồng thời cung cấp sản phẩm hoặc dịch vụ an ninh mạng khác.
Chưa đủ cơ sở kết luậnTài liệu chưa rõ model, chức năng chính, license, quản lý khóa hoặc mô hình kinh doanh.

Kết quả “cần rà soát cả hai” không đồng nghĩa chắc chắn phải xin hai giấy phép. Đây là tín hiệu để kiểm tra sâu hơn phạm vi pháp lý, giấy phép hiện có và hướng dẫn đang áp dụng tại thời điểm doanh nghiệp nộp hồ sơ.

Câu hỏi thường gặp

1. Giấy phép mật mã dân sự có phải là Giấy phép an ninh mạng không?

Từ ngày 01/07/2026, Luật An ninh mạng 2025 xếp sản phẩm và dịch vụ mật mã dân sự vào nhóm sản phẩm, dịch vụ an ninh mạng. Tuy nhiên, mật mã dân sự vẫn có nhánh quản lý và thủ tục chuyên ngành riêng.

2. Có Giấy phép an toàn thông tin mạng thì có cần Giấy phép mật mã dân sự không?

Không thể trả lời chung. Cần kiểm tra phạm vi trên giấy phép, model, chức năng mật mã và hoạt động doanh nghiệp đang thực hiện. Không nên mặc định một giấy phép thay thế giấy phép còn lại.

3. Firewall thuộc giấy phép nào?

Tùy model và license. Firewall tập trung giám sát, lọc hoặc chống xâm nhập có thể nghiêng về an toàn/an ninh mạng; module VPN hoặc bảo mật luồng IP cần được rà thêm theo hướng mật mã dân sự.

4. VPN có mặc nhiên thuộc mật mã dân sự không?

Không. Cần phân biệt thiết bị bảo mật luồng IP chuyên dụng với tính năng VPN dùng cho truy cập từ xa hoặc quản trị thiết bị và kiểm tra trường hợp loại trừ.

5. Dịch vụ pentest có liên quan đến mật mã dân sự không?

Dịch vụ pentest thường được xem xét theo nhóm kiểm tra, đánh giá an toàn/an ninh mạng. Chỉ khi dịch vụ có sử dụng hoặc cung cấp sản phẩm mật mã dân sự theo cách làm phát sinh nghĩa vụ riêng mới cần rà thêm.

6. Một sản phẩm có thể phải kiểm tra hai loại giấy phép nhập khẩu không?

Có thể có dấu hiệu giao thoa. Doanh nghiệp cần đối chiếu cả danh mục mật mã dân sự và danh mục sản phẩm an toàn/an ninh mạng, nhưng kết luận phải dựa trên model, mã HS, mô tả hàng hóa và đặc tính kỹ thuật.

7. Giấy phép cũ được cấp trước ngày 01/07/2026 còn hiệu lực không?

Có. Luật An ninh mạng 2025 quy định giấy phép kinh doanh sản phẩm, dịch vụ an toàn thông tin mạng và mật mã dân sự đã được cấp trước ngày luật có hiệu lực tiếp tục có giá trị đến hết thời hạn ghi trên giấy phép.

8. Sau ngày 01/07/2026 nên dùng tên “an toàn thông tin mạng” hay “an ninh mạng”?

Luật mới sử dụng hệ thống khái niệm an ninh mạng. Tuy nhiên, một số thủ tục hành chính và giấy phép chuyển tiếp vẫn sử dụng tên an toàn thông tin mạng. Khi lập hồ sơ cần dùng đúng tên thủ tục đang được công bố.

9. Chỉ có datasheet có thể phân biệt được không?

Datasheet là tài liệu quan trọng nhưng có thể chưa đủ. Nhiều trường hợp cần thêm security guide, tài liệu quản lý khóa, danh sách license, sơ đồ triển khai và mô tả mô hình kinh doanh.

10. Nên rà soát vào thời điểm nào?

Nên thực hiện trước khi ký hợp đồng phân phối, xác nhận đơn hàng, mở rộng danh mục sản phẩm hoặc để lô hàng được vận chuyển về Việt Nam.

Chưa xác định sản phẩm thuộc nhánh giấy phép nào?

Doanh nghiệp có thể gửi tên hãng, model, catalogue, datasheet, danh sách license, mục đích sử dụng và kế hoạch kinh doanh hoặc nhập khẩu. Luật Dương Trí sẽ cùng doanh nghiệp xác định chức năng chính, lớp nghĩa vụ cần ưu tiên và tài liệu cần chuẩn bị cho đúng hướng hồ sơ.

Hotline: 0961 353 606 · Email: contact@luatduongtri.vn

Zalo Luật Sư Hotline WhatsApp