Doanh nghiệp nhập khẩu
Cần kiểm tra cả phạm vi kinh doanh sản phẩm an ninh mạng và thủ tục nhập khẩu của chính sản phẩm đó.
Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng là giấy phép doanh nghiệp cần kiểm tra khi trực tiếp kinh doanh các sản phẩm hoặc dịch vụ thuộc phạm vi Luật An ninh mạng 116/2025/QH15. Từ ngày 01/07/2026, pháp luật đã chuyển sang tên gọi “sản phẩm, dịch vụ an ninh mạng”, nhưng Cổng Dịch vụ công Bộ Công an vẫn đang công bố một số thủ tục với tên gọi “an toàn thông tin mạng”. Vì vậy, doanh nghiệp cần đồng thời đối chiếu Luật mới và thủ tục hành chính đang được hệ thống tiếp nhận tại thời điểm nộp.
Giấy phép an ninh mạng 2026: doanh nghiệp cần nhớ 5 điểm
1. Không phải mọi công ty cybersecurity đều xin cùng một thủ tục. Phải xem doanh nghiệp trực tiếp bán sản phẩm/dịch vụ gì.
2. Thủ tục 3.000339 và 3.000340 hiện vẫn đang được Cổng Dịch vụ công Bộ Công an công bố trong giai đoạn chuyển tiếp.
3. Giấy phép cũ cấp trước 01/07/2026 không tự mất hiệu lực. Luật 116/2025/QH15 cho phép tiếp tục sử dụng đến hết thời hạn ghi trên giấy phép.
4. Giấy phép kinh doanh không thay thế giấy phép nhập khẩu hoặc giấy phép mật mã dân sự nếu sản phẩm thuộc phạm vi phải thực hiện thêm các thủ tục này.
5. Sau khi được cấp giấy phép, doanh nghiệp vẫn phải duy trì nhân sự, hệ thống, chất lượng dịch vụ và nghĩa vụ bảo mật thông tin khách hàng.
1. Ai phải xin Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng?
Điều 29 Luật An ninh mạng 116/2025/QH15 quy định doanh nghiệp kinh doanh sản phẩm, dịch vụ an ninh mạng phải có giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng.
Điểm quan trọng là phải xác định theo hoạt động thực tế. Tên thương mại như “SOC service”, “cybersecurity platform”, “managed security”, “penetration testing” hay “security solution” chưa đủ để kết luận doanh nghiệp thuộc loại giấy phép nào.
Doanh nghiệp sản xuất
Cần chứng minh năng lực sản xuất, công nghệ, kiểm thử, nhân sự và kiểm soát chất lượng.
Doanh nghiệp cung cấp dịch vụ
Cần xác định phạm vi dịch vụ, quyền truy cập hệ thống khách hàng, công cụ, nhân sự và cách bảo mật dữ liệu.
Doanh nghiệp tích hợp/phân phối
Cần xem doanh nghiệp chỉ bán sản phẩm hay còn trực tiếp triển khai, vận hành, đánh giá hoặc giám sát an ninh mạng cho khách hàng.
2. Phân biệt an ninh mạng, an toàn thông tin mạng và mật mã dân sự
| Khái niệm | Cách hiểu trong năm 2026 | Điểm doanh nghiệp cần lưu ý |
|---|---|---|
| An ninh mạng | Là thuật ngữ được Luật An ninh mạng 116/2025/QH15 sử dụng làm khung pháp lý mới từ 01/07/2026. | Doanh nghiệp cần phân loại sản phẩm/dịch vụ theo Điều 28 Luật mới. |
| An toàn thông tin mạng | Vẫn xuất hiện trong tên giấy phép cũ, thủ tục hành chính chuyển tiếp và các văn bản trước đây. | Không nên chỉ nhìn tên cũ/mới; phải kiểm tra thủ tục đang được Bộ Công an tiếp nhận tại ngày nộp. |
| Mật mã dân sự | Là một nhánh quản lý riêng đối với sản phẩm, dịch vụ sử dụng mật mã không thuộc bí mật nhà nước. | Giấy phép an ninh mạng không thay thế giấy phép mật mã dân sự nếu sản phẩm/dịch vụ thuộc diện quản lý riêng. |
Trong giai đoạn chuyển tiếp, tên gọi trên luật và tên gọi trên Cổng Dịch vụ công có thể chưa hoàn toàn giống nhau. Khi nộp hồ sơ, doanh nghiệp nên dùng đúng tên, mã thủ tục và thành phần hồ sơ mà hệ thống Bộ Công an đang công bố.
3. Những sản phẩm, dịch vụ nào phải kiểm tra giấy phép?
Điều 28 Luật An ninh mạng 116/2025/QH15 phân nhóm như sau:
| Nhóm | Loại sản phẩm/dịch vụ |
|---|---|
| Sản phẩm an ninh mạng | Sản phẩm mật mã dân sự; sản phẩm kiểm tra, đánh giá an ninh mạng; sản phẩm giám sát an ninh mạng; sản phẩm chống tấn công, xâm nhập; và sản phẩm an ninh mạng khác. |
| Dịch vụ an ninh mạng | Dịch vụ kiểm tra, đánh giá; bảo mật thông tin không sử dụng mật mã dân sự; mật mã dân sự; tư vấn; giám sát; ứng cứu sự cố; khôi phục dữ liệu; phòng ngừa, chống tấn công mạng; và dịch vụ an ninh mạng khác. |
Danh sách trên giúp doanh nghiệp định hướng ban đầu, nhưng vẫn cần đối chiếu chức năng thực tế của sản phẩm, hợp đồng, catalogue, quyền truy cập hệ thống và trách nhiệm mà doanh nghiệp nhận với khách hàng.
4. Điều kiện cấp Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng
Trong giai đoạn hiện tại, doanh nghiệp vẫn phải đối chiếu điều kiện và thành phần hồ sơ đang được Cổng Dịch vụ công Bộ Công an công bố, đồng thời cập nhật các thay đổi từ Luật An ninh mạng 116/2025/QH15 và Nghị quyết 22/2026/NQ-CP.
Pháp nhân và phạm vi hoạt động
Thông tin đăng ký doanh nghiệp/đăng ký đầu tư phải phù hợp với hoạt động sản xuất, nhập khẩu hoặc cung cấp dịch vụ mà doanh nghiệp đề nghị cấp phép.
Nhân sự
Cần có quản lý, điều hành và nhân sự kỹ thuật phù hợp với loại hình; hồ sơ chuyên môn phải gắn với vai trò thực tế của từng người.
Thiết bị và công cụ
Doanh nghiệp phải mô tả được hệ thống, phần mềm, công cụ, quyền sử dụng và vai trò của từng thành phần trong quá trình cung cấp sản phẩm/dịch vụ.
Phương án hoạt động
Phương án kinh doanh, kỹ thuật và bảo mật phải phản ánh đúng khách hàng, quy trình triển khai, quyền truy cập và cách bảo đảm chất lượng.
5. Chọn thủ tục 3.000339 hay 3.000340?
Hai mã dưới đây là mã thủ tục hành chính hiện đang được Cổng Dịch vụ công Bộ Công an công bố trong giai đoạn chuyển tiếp. Doanh nghiệp nên kiểm tra lại tại ngày nộp.
Thủ tục 3.000340
Được sử dụng cho các loại hình sản phẩm, dịch vụ thông thường theo phạm vi thủ tục đang công bố. Hồ sơ tập trung vào pháp nhân, nhân sự, thiết bị và phương án kinh doanh.
Thủ tục 3.000339
Được rà soát trước đối với dịch vụ kiểm tra, đánh giá hoặc bảo mật thông tin không sử dụng mật mã dân sự. Hồ sơ có thêm yêu cầu về phương án kỹ thuật, bảo mật khách hàng và tài liệu nhân sự chuyên sâu.
Nếu doanh nghiệp trực tiếp penetration testing, truy cập hệ thống, thu thập bằng chứng, xử lý dữ liệu hoặc có quyền quản trị trên hệ thống khách hàng, cần đặc biệt rà soát xem hoạt động có thuộc lộ trình 3.000339 hay không.
6. Hồ sơ cần chuẩn bị
Thành phần và số lượng dưới đây là nội dung đang được thủ tục hành chính công bố tại thời điểm cập nhật. Doanh nghiệp nên kiểm tra lại Cổng Dịch vụ công Bộ Công an ngay trước ngày nộp.
Thủ tục 3.000340
| Thành phần | Số lượng đang được công bố | Điểm cần kiểm tra |
|---|---|---|
| Đơn đề nghị cấp giấy phép | 01 bản chính | Loại hình đề nghị phải thống nhất với phương án kinh doanh. |
| Giấy chứng nhận đăng ký doanh nghiệp, đăng ký đầu tư hoặc giấy tờ tương đương | 05 bản sao | Kiểm tra tên, địa chỉ, người đại diện, ngành nghề và mục tiêu dự án. |
| Bản thuyết minh hệ thống thiết bị kỹ thuật | 01 bản chính | Mô tả công cụ, phần mềm, hạ tầng và quyền sử dụng. |
| Phương án kinh doanh | 01 bản chính | Nêu phạm vi, khách hàng, tiêu chuẩn chất lượng và nguồn lực. |
| Văn bằng hoặc chứng chỉ chuyên môn | 05 bản sao | Phù hợp với vai trò thực tế của quản lý và nhân sự kỹ thuật. |
Thủ tục 3.000339
| Thành phần | Số lượng đang được công bố |
|---|---|
| Đơn đề nghị cấp giấy phép | 01 bản chính |
| Giấy chứng nhận đăng ký doanh nghiệp, đăng ký đầu tư hoặc giấy tờ tương đương | 01 bản sao |
| Bản thuyết minh hệ thống thiết bị kỹ thuật | 01 bản chính |
| Phương án kinh doanh | 01 bản chính |
| Phương án kỹ thuật | 01 bản chính |
| Phương án bảo mật thông tin khách hàng | 01 bản chính |
| Phiếu lý lịch tư pháp | 01 bản chính |
| Văn bằng hoặc chứng chỉ chuyên môn | 05 bản sao |
Không phải tài liệu nào dùng để rà soát cũng là thành phần bắt buộc phải nộp. Hợp đồng lao động, hợp đồng thuê địa điểm, catalogue, datasheet, sơ đồ hệ thống, license công cụ hoặc hợp đồng mẫu thường rất hữu ích để xây dựng và chứng minh phương án, nhưng chỉ nộp khi thủ tục hoặc cơ quan tiếp nhận có yêu cầu phù hợp.
7. Phương án kinh doanh, kỹ thuật và bảo mật cần thể hiện gì?
Phương án kinh doanh
- Loại sản phẩm/dịch vụ và phạm vi đề nghị cấp phép.
- Nhóm khách hàng và lĩnh vực sử dụng.
- Nguồn sản phẩm, quyền phân phối hoặc năng lực tự phát triển.
- Quy trình cung cấp, nghiệm thu và hỗ trợ sau bán.
- Nhân sự, công cụ và hệ thống phục vụ khách hàng.
Phương án kỹ thuật
- Phạm vi được khách hàng ủy quyền.
- Quy trình khảo sát, triển khai, kiểm thử và bàn giao.
- Công cụ, tiêu chuẩn và phương pháp đánh giá.
- Vai trò, trách nhiệm và cơ chế kiểm soát nhân sự.
- Cách ghi nhận bằng chứng và xử lý sự cố.
Phương án bảo mật thông tin khách hàng
- Loại dữ liệu và hệ thống được tiếp cận.
- Phân quyền theo vai trò và nguyên tắc tối thiểu cần thiết.
- Cơ chế lưu nhật ký, sao lưu và giám sát truy cập.
- Thời hạn lưu trữ, bàn giao, xóa hoặc tiêu hủy dữ liệu.
- Cơ chế ứng phó sự cố và thông báo khách hàng.
- Cam kết bảo mật với nhân sự, nhà thầu phụ và đối tác.
Doanh nghiệp có thể chuẩn bị đủ tên giấy tờ nhưng vẫn phải bổ sung nếu phương án kinh doanh, nhân sự và hệ thống thiết bị không phản ánh đúng hoạt động thực tế. Cách kiểm tra tốt nhất là chọn một dự án mẫu và đi xuyên suốt từ lúc nhận yêu cầu đến lúc bàn giao, lưu trữ và xóa dữ liệu.
8. Quy trình nộp hồ sơ
Xác định mô hình kinh doanh
Làm rõ doanh nghiệp sản xuất, nhập khẩu, phân phối, tích hợp hay trực tiếp cung cấp dịch vụ.
Phân loại sản phẩm/dịch vụ
Đối chiếu chức năng, catalogue, hợp đồng và trách nhiệm thực tế.
Chọn thủ tục phù hợp
Kiểm tra 3.000339 hoặc 3.000340 theo dữ liệu đang được Cổng DVC Bộ Công an công bố.
Rà điều kiện
Kiểm tra pháp nhân, nhân sự, thiết bị, cơ sở vật chất và phương án.
Hoàn thiện hồ sơ
Soạn đơn, thuyết minh và các phương án theo phạm vi đã chọn.
Nộp hồ sơ
Thực hiện trực tuyến, trực tiếp hoặc qua bưu chính theo hình thức thủ tục đang cho phép.
Xử lý yêu cầu bổ sung
Giải trình và bổ sung khi cơ quan tiếp nhận yêu cầu làm rõ.
Nộp phí và nhận kết quả
Thực hiện theo thông báo của cơ quan giải quyết.
9. Thời gian và phí Nhà nước
| Giai đoạn | Thời gian đang được công bố |
|---|---|
| Kiểm tra tính hợp lệ | Trong vòng 02 ngày làm việc. |
| Thẩm định hồ sơ hợp lệ | 12 ngày làm việc. |
| Trường hợp cần xác minh thêm | Không quá 15 ngày làm việc. |
Thời hạn trên được tính từ khi hồ sơ đã đầy đủ, hợp lệ. Thời gian doanh nghiệp chuẩn bị nhân sự, điều chỉnh thiết bị hoặc bổ sung phương án không nằm trong mốc này.
| Nội dung | Mức phí đang được hiển thị |
|---|---|
| Loại hình sản phẩm hoặc dịch vụ đầu tiên | 8.000.000 đồng/lần |
| Mỗi loại hình bổ sung | 2.000.000 đồng/loại hình |
Đây là phí thẩm định cấp giấy phép theo thủ tục đang được công bố. Doanh nghiệp nên kiểm tra lại tại thời điểm nộp vì chính sách phí và dữ liệu thủ tục có thể thay đổi trong giai đoạn chuyển tiếp.
10. Nếu doanh nghiệp nhập khẩu sản phẩm an ninh mạng thì cần thêm gì?
Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng và giấy phép nhập khẩu sản phẩm là hai thủ tục khác nhau. Nếu doanh nghiệp trực tiếp nhập khẩu sản phẩm để kinh doanh, cần kiểm tra đồng thời:
Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng.
Giấy phép nhập khẩu nếu sản phẩm thuộc danh mục phải xin phép nhập khẩu.
Yêu cầu hợp chuẩn, hợp quy nếu sản phẩm thuộc diện áp dụng.
Giấy phép mật mã dân sự nếu sản phẩm có chức năng mật mã thuộc phạm vi quản lý riêng.
Doanh nghiệp có thể xem thêm tư vấn giấy phép và chính sách nhập khẩu chuyên ngành.
11. Nếu sản phẩm có chức năng mật mã dân sự thì xử lý thế nào?
Sản phẩm như VPN, HSM, token, gateway bảo mật hoặc thiết bị mã hóa không nên được phân loại chỉ dựa vào tên thương mại. Cần kiểm tra chức năng mật mã, đối tượng sử dụng và danh mục quản lý.
Có Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng không đồng nghĩa đã đủ điều kiện kinh doanh sản phẩm, dịch vụ mật mã dân sự. Nếu thuộc phạm vi mật mã dân sự, doanh nghiệp phải thực hiện thủ tục riêng theo pháp luật chuyên ngành.
Xem thêm Giấy phép kinh doanh sản phẩm, dịch vụ mật mã dân sự.
12. Giấy phép được cấp trước ngày 01/07/2026 còn hiệu lực không?
Có. Khoản 2 Điều 29 Luật An ninh mạng 116/2025/QH15 quy định các giấy phép kinh doanh sản phẩm, dịch vụ an toàn thông tin mạng và mật mã dân sự đã được cấp trước ngày Luật mới có hiệu lực vẫn có giá trị sử dụng đến hết thời hạn ghi trên giấy phép.
Doanh nghiệp vì vậy không phải xin lại ngay chỉ vì tên gọi pháp lý chuyển từ “an toàn thông tin mạng” sang “an ninh mạng”. Tuy nhiên, nếu bổ sung loại hình, thay đổi phạm vi hoặc giấy phép sắp hết hạn thì cần kiểm tra thủ tục đang áp dụng tại thời điểm thực hiện.
Luật mới cũng quy định các sản phẩm, dịch vụ, giải pháp và phương tiện kỹ thuật đã được đưa vào sử dụng trước ngày 01/07/2026 được tiếp tục sử dụng, nhưng phải đáp ứng điều kiện an ninh mạng theo Luật mới trong thời hạn chuyển tiếp do luật quy định.
13. Nghĩa vụ sau khi được cấp giấy phép
Điều 29 Luật An ninh mạng mới không chỉ đặt yêu cầu về giấy phép mà còn yêu cầu doanh nghiệp duy trì trách nhiệm trong quá trình kinh doanh.
Kinh doanh đúng loại hình và phạm vi giấy phép.
Duy trì đội ngũ và hệ thống phù hợp với hoạt động.
Bảo đảm chất lượng sản phẩm, dịch vụ.
Lưu giữ và bảo mật thông tin của khách hàng.
Quản lý hồ sơ kỹ thuật và tài liệu liên quan.
Phối hợp với cơ quan có thẩm quyền khi có yêu cầu hợp pháp.
Nếu doanh nghiệp xử lý dữ liệu cá nhân trong quá trình cung cấp SOC, pentest, incident response, managed security hoặc khôi phục dữ liệu, cần đồng thời tuân thủ Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15, có hiệu lực từ 01/01/2026.
14. Những lỗi doanh nghiệp thường gặp
Chỉ dựa vào tên thương mại
Tên “cybersecurity platform” hoặc “SOC service” không đủ để xác định loại giấy phép; cần xem chức năng và trách nhiệm thực tế.
Chọn sai thủ tục
Dịch vụ kiểm tra, đánh giá hoặc bảo mật thông tin lại chuẩn bị theo lộ trình thông thường.
Nhân sự không gắn với vai trò
Có bằng cấp nhưng không chứng minh được ai thực hiện công việc kỹ thuật nào.
Thiết bị mô tả quá chung
Chỉ liệt kê laptop, server, tool mà không giải thích từng công cụ phục vụ loại dịch vụ nào.
Phạm vi xin phép quá rộng
Đề nghị nhiều loại hình trong khi doanh nghiệp chưa có đủ nhân sự, công cụ hoặc quy trình tương ứng.
Không tách nhập khẩu
Có giấy phép kinh doanh nhưng bỏ qua giấy phép nhập khẩu của sản phẩm thuộc diện quản lý.
Không tách mật mã dân sự
Sản phẩm có chức năng mã hóa trọng yếu nhưng chỉ chuẩn bị hồ sơ tại Bộ Công an.
Bỏ qua dữ liệu khách hàng
Phương án chưa thể hiện phân quyền, lưu trữ, bàn giao và xóa dữ liệu sau khi kết thúc dịch vụ.
Căn cứ pháp lý chính năm 2026
- Luật An ninh mạng 116/2025/QH15, có hiệu lực từ 01/07/2026.
- Nghị định 108/2016/NĐ-CP về điều kiện kinh doanh sản phẩm, dịch vụ an toàn thông tin mạng, được đối chiếu trong phạm vi thủ tục chuyển tiếp còn áp dụng.
- Nghị quyết 22/2026/NQ-CP về cắt giảm, phân cấp, đơn giản hóa thủ tục và điều kiện kinh doanh thuộc phạm vi quản lý của Bộ Công an.
- Thủ tục hành chính 3.000339 và 3.000340 đang được Cổng Dịch vụ công Bộ Công an công bố tại thời điểm cập nhật.
- Thông tư 269/2016/TT-BTC về phí, lệ phí trong lĩnh vực an toàn thông tin.
- Nghị định 174/2026/NĐ-CP, có hiệu lực từ 01/07/2026, về xử phạt vi phạm hành chính trong lĩnh vực công nghệ thông tin và các lĩnh vực liên quan.
- Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15, có hiệu lực từ 01/01/2026.
Nghị quyết 22/2026/NQ-CP có ý nghĩa trực tiếp với hồ sơ năm 2026 vì một số thủ tục và điều kiện kinh doanh thuộc phạm vi Bộ Công an đã được cắt giảm, phân cấp hoặc đơn giản hóa. Doanh nghiệp không nên sử dụng nguyên checklist cũ mà không đối chiếu dữ liệu thủ tục đang công bố.
Câu hỏi thường gặp
1. Doanh nghiệp phải nộp thủ tục 3.000339 hay 3.000340?
Cần căn cứ vào hoạt động thực tế. Dịch vụ kiểm tra, đánh giá hoặc bảo mật thông tin không sử dụng mật mã dân sự cần ưu tiên rà lộ trình 3.000339; các loại hình khác đối chiếu 3.000340 theo dữ liệu thủ tục đang công bố.
2. Giấy phép cũ cấp trước 01/07/2026 có phải xin lại ngay không?
Không. Theo khoản 2 Điều 29 Luật An ninh mạng 116/2025/QH15, giấy phép đã được cấp trước ngày luật mới có hiệu lực tiếp tục có giá trị đến hết thời hạn ghi trên giấy phép.
3. Có Giấy phép kinh doanh an ninh mạng rồi có được nhập khẩu sản phẩm luôn không?
Không nên mặc định. Nếu sản phẩm thuộc diện phải có giấy phép nhập khẩu, doanh nghiệp vẫn phải thực hiện thủ tục nhập khẩu riêng.
4. Có Giấy phép an ninh mạng rồi có thay thế giấy phép mật mã dân sự không?
Không. Sản phẩm hoặc dịch vụ thuộc phạm vi mật mã dân sự phải được xử lý theo pháp luật chuyên ngành tương ứng.
5. Thời hạn 12 ngày được tính từ khi nào?
Tính từ khi hồ sơ đầy đủ, hợp lệ theo thủ tục đang áp dụng. Thời gian doanh nghiệp bổ sung nhân sự, tài liệu hoặc sửa phương án không nằm trong mốc này.
6. Dịch vụ pentest có phải xin giấy phép không?
Cần xem phạm vi dịch vụ cụ thể, nhưng hoạt động kiểm tra, đánh giá hệ thống là nhóm phải được rà rất kỹ theo Điều 28 Luật An ninh mạng và thủ tục 3.000339 đang được công bố.
7. Công ty có vốn nước ngoài có thể xin giấy phép không?
Cần rà riêng mục tiêu dự án, ngành nghề, loại hình sản phẩm/dịch vụ và điều kiện chủ thể tại thời điểm nộp. Việc đã thành lập doanh nghiệp tại Việt Nam chưa đủ để kết luận mọi loại hình đều phù hợp.
8. Dịch vụ SOC có cần tuân thủ pháp luật dữ liệu cá nhân không?
Nếu doanh nghiệp được truy cập hoặc xử lý dữ liệu cá nhân của khách hàng trong quá trình giám sát, ứng cứu hoặc phân tích sự cố thì phải đồng thời tuân thủ Luật Bảo vệ dữ liệu cá nhân và thỏa thuận xử lý dữ liệu phù hợp.
Nội dung liên quan
Doanh nghiệp cần xác định đúng giấy phép trước khi nộp hồ sơ?
Doanh nghiệp có thể gửi tên sản phẩm/dịch vụ, catalogue, hợp đồng mẫu, danh sách nhân sự và hệ thống thiết bị hiện có. Luật Dương Trí sẽ rà phạm vi hoạt động để xác định thủ tục phù hợp, các điều kiện còn thiếu và việc có cần xử lý thêm nhập khẩu, mật mã dân sự hoặc nghĩa vụ dữ liệu cá nhân hay không.
