Từ ngày 19/08/2026, Nghị định 332/2026/NĐ-CP đã quy định trực tiếp về hoạt động kinh doanh sản phẩm, dịch vụ an ninh mạng. Vì vậy, doanh nghiệp không nên tiếp tục xác định nghĩa vụ chỉ theo tên gọi “giấy phép an toàn thông tin mạng” hoặc các mã thủ tục cũ. Việc có phải xin giấy phép hay không cần dựa trên loại sản phẩm, dịch vụ thực tế, vai trò của doanh nghiệp và phạm vi hoạt động tại Việt Nam.
Ai phải xin giấy phép an ninh mạng? 5 điểm cần nhớ trong năm 2026
1. Doanh nghiệp kinh doanh sản phẩm, dịch vụ thuộc phạm vi Nghị định 332/2026/NĐ-CP phải có Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng.
2. Không thể kết luận chỉ từ tên thương mại. Một sản phẩm có chữ “security”, “cyber”, “firewall”, “VPN” hoặc một dịch vụ được gọi là “SOC”, “pentest” vẫn phải được đối chiếu theo chức năng và cách doanh nghiệp cung cấp.
3. Giấy phép kinh doanh và giấy phép xuất khẩu, nhập khẩu là hai thủ tục khác nhau. Doanh nghiệp nhập khẩu sản phẩm thuộc danh mục quản lý phải kiểm tra thêm giấy phép theo lô hàng.
4. Sản phẩm, dịch vụ có chức năng mật mã dân sự phải rà soát thêm Nghị định 341/2026/NĐ-CP.
5. Giấy phép an toàn thông tin mạng, mật mã dân sự được cấp trước ngày 01/07/2026 tiếp tục có giá trị đến hết thời hạn ghi trên giấy phép.
1. Giấy phép an ninh mạng là gì?
Luật An ninh mạng 116/2025/QH15 có hiệu lực từ ngày 01/07/2026 quy định doanh nghiệp kinh doanh sản phẩm, dịch vụ an ninh mạng phải có giấy phép. Từ ngày 19/08/2026, Nghị định 332/2026/NĐ-CP quy định cụ thể loại sản phẩm, dịch vụ, điều kiện kinh doanh, hồ sơ, cấp đổi, cấp lại, gia hạn và hoạt động xuất khẩu, nhập khẩu.
Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng có thời hạn 10 năm. Doanh nghiệp được cấp phép phải hoạt động đúng loại sản phẩm, dịch vụ ghi trên giấy phép và duy trì các điều kiện tương ứng trong suốt quá trình kinh doanh.
Nếu doanh nghiệp chưa xác định mình thuộc thủ tục nào: xem trang Tổng quan giấy phép an ninh mạng và mật mã dân sự để phân loại giữa kinh doanh sản phẩm, dịch vụ; xuất khẩu, nhập khẩu; mật mã dân sự và các nghĩa vụ liên quan.
2. Ai phải xin Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng?
Không phải mọi doanh nghiệp sử dụng phần mềm bảo mật đều phải xin giấy phép. Nghĩa vụ cấp phép phát sinh khi tổ chức, doanh nghiệp kinh doanh các sản phẩm, dịch vụ thuộc Điều 3 và Điều 4 Nghị định 332/2026/NĐ-CP.
Doanh nghiệp sản xuất sản phẩm
Cần kiểm tra chức năng sản phẩm, quy mô sản xuất, tiêu chuẩn – quy chuẩn áp dụng, hệ thống kiểm tra chất lượng và phạm vi sản phẩm dự kiến đưa ra thị trường.
Doanh nghiệp mua bán, phân phối
Cần xác định sản phẩm có thuộc nhóm sản phẩm an ninh mạng được quản lý hay không và doanh nghiệp có đáp ứng điều kiện về nhân sự, kỹ thuật, cơ sở vật chất hay không.
Doanh nghiệp xuất khẩu, nhập khẩu
Ngoài giấy phép kinh doanh, một số sản phẩm còn phải có Giấy phép xuất khẩu, nhập khẩu sản phẩm an ninh mạng theo danh mục kèm Nghị định 332/2026/NĐ-CP.
Doanh nghiệp cung cấp dịch vụ
Cần rà soát loại dịch vụ, nhân sự kỹ thuật, hệ thống, phương án kỹ thuật, phương án dự phòng, bảo mật thông tin khách hàng và quy trình vận hành.
Việc doanh nghiệp chỉ mua giải pháp bảo mật để sử dụng nội bộ khác với việc bán, phân phối, triển khai hoặc trực tiếp cung cấp dịch vụ an ninh mạng cho khách hàng.
3. Những sản phẩm, dịch vụ nào cần kiểm tra giấy phép?
Nghị định 332/2026/NĐ-CP mô tả cụ thể các nhóm sản phẩm và dịch vụ an ninh mạng. Doanh nghiệp nên phân loại theo chức năng kỹ thuật thực tế, không chỉ theo tên sản phẩm hoặc mô tả marketing.
| Nhóm cần rà soát | Ví dụ về chức năng, hoạt động | Điểm cần kiểm tra |
|---|---|---|
| Sản phẩm kiểm tra, đánh giá | Rà quét, kiểm tra cấu hình, phân tích log, phát hiện lỗ hổng và đánh giá rủi ro. | Chức năng chính, cách triển khai, đối tượng sử dụng và tài liệu kỹ thuật. |
| Sản phẩm giám sát | Giám sát lưu lượng, sự kiện, log; phát hiện và cảnh báo hành vi bất thường. | Khả năng thu thập dữ liệu, phạm vi giám sát và kiến trúc hệ thống. |
| Sản phẩm chống tấn công, xâm nhập | Phòng ngừa, ngăn chặn, phát hiện hoặc xử lý hành vi tấn công mạng. | Tính năng bảo vệ, tiêu chuẩn kỹ thuật và mục đích sử dụng. |
| Dịch vụ kiểm tra, tư vấn | Kiểm tra an ninh mạng, đánh giá hệ thống, tư vấn giải pháp và phương án bảo vệ. | Nhân sự kỹ thuật, quy trình, công cụ và phạm vi được khách hàng ủy quyền. |
| Dịch vụ giám sát, ứng cứu | SOC, giám sát sự kiện, ứng cứu sự cố, khôi phục dữ liệu, phòng ngừa và chống tấn công. | Hạ tầng vận hành, nhân sự, bảo mật dữ liệu và khả năng duy trì dịch vụ liên tục. |
| Dịch vụ khác | Một số nền tảng bảo vệ an ninh mạng, huấn luyện – diễn tập, dịch vụ che giấu IP, săn tìm và báo cáo lỗ hổng. | Cần đọc đúng định nghĩa và phạm vi tại Nghị định 332/2026/NĐ-CP. |
Firewall, VPN, HSM, gateway, SIEM, EDR, appliance tích hợp nhiều chức năng không nên được kết luận chỉ từ tên model. Catalogue, datasheet, mô tả chức năng, mã hàng và cách doanh nghiệp kinh doanh là các tài liệu quan trọng để phân loại.
4. Vì sao vẫn còn cụm từ “giấy phép an toàn thông tin mạng”?
Trước ngày 01/07/2026, nhiều giấy phép, hồ sơ, tài liệu và nội dung trên thị trường sử dụng thuật ngữ “an toàn thông tin mạng”. Sau khi Luật An ninh mạng 116/2025/QH15 có hiệu lực, thuật ngữ pháp lý trong hoạt động kinh doanh chuyển sang “sản phẩm, dịch vụ an ninh mạng”.
Do đó, khi đọc giấy phép cũ, hợp đồng cũ hoặc kết quả tìm kiếm trên Internet, doanh nghiệp có thể gặp cả hai cách gọi. Điều quan trọng là xác định thời điểm cấp giấy phép, thời hạn còn lại và quy định đang có hiệu lực tại thời điểm thực hiện thủ tục mới.
Không nên đổi tên giấy phép cũ bằng suy luận. Giấy phép đã được cấp trước ngày 01/07/2026 vẫn được sử dụng theo nội dung và thời hạn ghi trên giấy phép; khi phát sinh cấp mới, cấp đổi, gia hạn hoặc mở rộng phạm vi cần đối chiếu pháp luật hiện hành.
5. Điều kiện cấp giấy phép năm 2026 có những điểm nào đáng chú ý?
Nghị định 332/2026/NĐ-CP chia điều kiện thành điều kiện chung và điều kiện theo hoạt động cụ thể. Các nội dung dưới đây giúp doanh nghiệp tự kiểm tra ban đầu; hồ sơ cụ thể cần được xây dựng theo loại sản phẩm, dịch vụ thực tế.
Pháp nhân tại Việt Nam
Tổ chức, doanh nghiệp phải được thành lập theo pháp luật Việt Nam. Với tổ chức kinh tế có vốn đầu tư nước ngoài, thời hạn đầu tư tại Việt Nam phải còn trên 05 năm kể từ ngày được cấp giấy phép.
Nhân sự phù hợp
Phải có nhân sự chịu trách nhiệm kỹ thuật có trình độ hoặc chứng chỉ phù hợp. Một số dịch vụ có yêu cầu riêng về số lượng nhân sự và quốc tịch của người đại diện theo pháp luật.
Hệ thống và công nghệ
Trang thiết bị, cơ sở vật chất và công nghệ phải phù hợp với hoạt động đầu tư, kinh doanh và loại hình sản phẩm, dịch vụ đăng ký.
Phương án hoạt động
Tùy trường hợp phải có phương án kinh doanh, phương án kỹ thuật, phương án dự phòng, bảo mật thông tin khách hàng và tài liệu mô tả quy trình vận hành.
Ví dụ, đối với dịch vụ kiểm tra an ninh mạng và dịch vụ tư vấn an ninh mạng, Nghị định 332/2026/NĐ-CP đặt yêu cầu riêng về đội ngũ kỹ thuật; dịch vụ giám sát an ninh mạng có yêu cầu nhân sự và vận hành cao hơn.
Doanh nghiệp cần chuẩn bị hồ sơ thực tế có thể xem chi tiết tại Dịch vụ xin Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng.
6. Hồ sơ và thời hạn cấp mới được quy định thế nào?
Điều 9 Nghị định 332/2026/NĐ-CP quy định hồ sơ cấp mới theo hệ thống biểu mẫu riêng. Hồ sơ tập trung vào thông tin doanh nghiệp, người đại diện và người quản lý, nhân sự kỹ thuật, hệ thống trang thiết bị – cơ sở vật chất – công nghệ, phương án kỹ thuật và phương án kinh doanh.
Sau khi hồ sơ hợp lệ, Bộ Công an thẩm định và xem xét cấp giấy phép trong thời hạn 28 ngày làm việc. Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng được cấp có thời hạn 10 năm.
Thời hạn 28 ngày không bao gồm thời gian doanh nghiệp tự hoàn thiện điều kiện trước khi nộp. Nếu nhân sự, thiết bị, phương án hoặc tài liệu kỹ thuật chưa phù hợp, giai đoạn chuẩn bị có thể dài hơn đáng kể so với thời gian cơ quan nhà nước thẩm định hồ sơ hợp lệ.
7. Kinh doanh và nhập khẩu sản phẩm an ninh mạng có phải cùng một giấy phép?
Không. Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng và Giấy phép xuất khẩu, nhập khẩu sản phẩm an ninh mạng là hai cơ chế khác nhau.
Theo Điều 13 Nghị định 332/2026/NĐ-CP, khi xuất khẩu hoặc nhập khẩu sản phẩm thuộc danh mục phải có giấy phép, tổ chức, doanh nghiệp phải xin giấy phép do Bộ Công an cấp. Giấy phép xuất khẩu, nhập khẩu được cấp theo lô và có thời hạn theo quy định của Nghị định.
Nếu chưa xác định sản phẩm thuộc nhánh nào, doanh nghiệp nên phân loại trước khi ký hợp đồng nhập khẩu hoặc chốt lịch đưa hàng về Việt Nam.
8. Sản phẩm có chức năng mã hóa có chỉ cần giấy phép an ninh mạng không?
Không nên mặc định như vậy. Từ ngày 01/09/2026, Nghị định 341/2026/NĐ-CP quy định chi tiết hoạt động mật mã dân sự.
Với VPN, HSM, token, gateway bảo mật, thiết bị hoặc phần mềm tích hợp chức năng mã hóa, doanh nghiệp cần kiểm tra liệu sản phẩm, dịch vụ có thuộc phạm vi quản lý mật mã dân sự hay không. Việc đã có giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng không tự động thay thế nghĩa vụ về mật mã dân sự.
Xem thêm dịch vụ giấy phép mật mã dân sự.
9. Giấy phép cấp trước ngày 01/07/2026 còn hiệu lực không?
Có. Quy định chuyển tiếp của Luật An ninh mạng 116/2025/QH15 cho phép các giấy phép kinh doanh sản phẩm, dịch vụ an toàn thông tin mạng và giấy phép mật mã dân sự được cấp trước ngày Luật mới có hiệu lực tiếp tục được sử dụng đến hết thời hạn ghi trên giấy phép.
| Tình huống | Hướng xử lý |
|---|---|
| Giấy phép cũ vẫn còn thời hạn | Tiếp tục sử dụng theo thời hạn ghi trên giấy phép và duy trì nghĩa vụ áp dụng. |
| Doanh nghiệp bổ sung hoặc thay đổi sản phẩm, dịch vụ | Kiểm tra thủ tục cấp đổi và điều kiện theo Nghị định 332/2026/NĐ-CP trước khi mở rộng phạm vi. |
| Giấy phép sắp hết hạn | Rà soát thủ tục gia hạn và yêu cầu hiện hành trước thời điểm hết hạn. |
| Giấy phép bị mất hoặc hư hỏng | Thực hiện thủ tục cấp lại theo trường hợp quy định tại Nghị định 332/2026/NĐ-CP. |
10. Kinh doanh sản phẩm, dịch vụ an ninh mạng không có giấy phép bị xử lý thế nào?
Từ ngày 19/08/2026, Nghị định 330/2026/NĐ-CP quy định riêng về xử phạt vi phạm trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.
Kinh doanh không có giấy phép
Điểm a khoản 4 Điều 35 quy định mức 75–100 triệu đồng đối với cá nhân kinh doanh sản phẩm, dịch vụ an ninh mạng không có giấy phép. Đối với tổ chức có cùng hành vi, mức phạt là 150–200 triệu đồng theo khoản 1 Điều 7 Nghị định 330/2026/NĐ-CP.
Không duy trì điều kiện
Có thể bị xử phạt nếu doanh nghiệp không tiếp tục đáp ứng một trong các điều kiện đã dùng để được cấp giấy phép.
Kinh doanh sai nội dung giấy phép
Cung cấp dịch vụ không đúng nội dung được cấp hoặc không thực hiện thủ tục cấp đổi khi thuộc trường hợp phải cấp đổi cũng có chế tài riêng.
Nhập khẩu không có giấy phép
Điều 36 quy định mức 75–100 triệu đồng đối với cá nhân nhập khẩu sản phẩm thuộc danh mục theo giấy phép nhưng không có giấy phép. Đối với tổ chức có cùng hành vi, mức phạt là 150–200 triệu đồng theo khoản 1 Điều 7 Nghị định 330/2026/NĐ-CP.
Mức xử lý cụ thể còn phụ thuộc chủ thể vi phạm, hành vi, tình tiết và biện pháp khắc phục được áp dụng trong từng vụ việc. Ngoài tiền phạt, một số trường hợp còn có thể bị tước quyền sử dụng giấy phép, buộc thu hồi sản phẩm hoặc buộc nộp lại số lợi bất hợp pháp.
11. Một số tình huống doanh nghiệp thường cần phân loại trước
Dịch vụ pentest
Không nên chỉ căn cứ tên hợp đồng. Cần xem phạm vi kiểm tra, quyền truy cập hệ thống, công cụ sử dụng, dữ liệu được thu thập và trách nhiệm của bên cung cấp dịch vụ.
Dịch vụ SOC / giám sát
Cần rà soát điều kiện riêng đối với dịch vụ giám sát an ninh mạng, bao gồm nhân sự, hệ thống giám sát, quy trình vận hành, bảo mật và phương án duy trì hoạt động.
Nhập khẩu firewall, gateway
Cần xem model có thuộc danh mục nhập khẩu theo giấy phép không, đồng thời kiểm tra chức năng mã hóa và nghĩa vụ mật mã dân sự nếu có.
Phần mềm SaaS bảo mật
Cần làm rõ doanh nghiệp chỉ cấp quyền sử dụng phần mềm hay còn trực tiếp giám sát, đánh giá, ứng cứu, xử lý dữ liệu hoặc vận hành hệ thống cho khách hàng.
Công ty có vốn nước ngoài
Ngoài điều kiện chung, cần kiểm tra thời hạn dự án đầu tư, người đại diện theo pháp luật và các điều kiện riêng áp dụng cho loại dịch vụ dự kiến cung cấp.
Sản phẩm tích hợp mã hóa
Cần kiểm tra đồng thời Nghị định 332/2026/NĐ-CP và quy định mật mã dân sự thay vì chỉ xử lý một giấy phép.
Căn cứ pháp lý chính
- Luật An ninh mạng 116/2025/QH15, hiệu lực từ ngày 01/07/2026.
- Nghị định 332/2026/NĐ-CP về hoạt động kinh doanh sản phẩm, dịch vụ an ninh mạng, hiệu lực từ ngày 19/08/2026.
- Nghị định 330/2026/NĐ-CP về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân, hiệu lực từ ngày 19/08/2026.
- Nghị định 341/2026/NĐ-CP về hoạt động mật mã dân sự, hiệu lực từ ngày 01/09/2026.
Câu hỏi thường gặp
1. “Giấy phép an ninh mạng” có phải tên của một giấy phép duy nhất không?
Trong thực tế tìm kiếm, cụm từ này thường được dùng theo nghĩa rộng. Doanh nghiệp phải xác định cụ thể mình cần Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng, Giấy phép xuất khẩu – nhập khẩu sản phẩm an ninh mạng hay thủ tục mật mã dân sự.
2. Mọi công ty cybersecurity đều phải xin giấy phép không?
Không thể kết luận chỉ từ lĩnh vực kinh doanh. Phải kiểm tra sản phẩm, dịch vụ thực tế có thuộc Điều 3 và Điều 4 Nghị định 332/2026/NĐ-CP hay không.
3. Giấy phép an toàn thông tin mạng cũ có phải đổi ngay sang giấy phép an ninh mạng không?
Không. Giấy phép được cấp trước ngày 01/07/2026 tiếp tục có giá trị đến hết thời hạn ghi trên giấy phép. Việc cấp đổi được xem xét khi phát sinh trường hợp thuộc quy định cấp đổi.
4. Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng có thời hạn bao lâu?
Theo Nghị định 332/2026/NĐ-CP, giấy phép có thời hạn 10 năm.
5. Thời gian cấp mới là bao lâu?
Trong thời hạn 28 ngày làm việc kể từ ngày nhận đủ hồ sơ hợp lệ, Bộ Công an thẩm định và xem xét cấp giấy phép theo Điều 9 Nghị định 332/2026/NĐ-CP.
6. Có giấy phép kinh doanh rồi có được nhập khẩu mọi sản phẩm không?
Không. Nếu sản phẩm thuộc danh mục xuất khẩu, nhập khẩu theo giấy phép, doanh nghiệp vẫn phải thực hiện thủ tục riêng cho lô hàng.
7. Dịch vụ SOC hoặc pentest có cần giấy phép không?
Cần đối chiếu phạm vi dịch vụ thực tế với các loại dịch vụ quy định tại Nghị định 332/2026/NĐ-CP. Đây là các trường hợp nên kiểm tra kỹ về nhân sự, quy trình, quyền truy cập và hệ thống kỹ thuật trước khi triển khai.
8. Sản phẩm có mã hóa có cần thêm giấy phép mật mã dân sự không?
Có thể có. Cần kiểm tra chức năng mật mã và danh mục quản lý theo Nghị định 341/2026/NĐ-CP; giấy phép an ninh mạng không tự động thay thế thủ tục mật mã dân sự.
