Quy định về hoạt động kinh doanh sản phẩm, dịch vụ an ninh mạng

Ngày 19/8/2026, Chính phủ đã ban hành Nghị định số 332/2026/NĐ-CP quy định về hoạt động kinh doanh sản phẩm, dịch vụ an ninh mạng.

Nghị định này quy định chi tiết khoản 3 Điều 28, khoản 3 Điều 29 Luật An ninh mạng số 116/2025/QH15 gồm: Sản phẩm, dịch vụ an ninh mạng; Việc kinh doanh sản phẩm, dịch vụ an ninh mạng: Điều kiện kinh doanh sản phẩm, dịch vụ an ninh mạng; cấp, cấp đổi, cấp lại, gia hạn, tạm đình chỉ, thu hồi giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng; Việc nhập khẩu, xuất khẩu sản phẩm an ninh mạng: Điều kiện cấp, thu hồi giấy phép xuất khẩu, nhập khẩu sản phẩm an ninh mạng; Kiểm tra việc kinh doanh sản phẩm, dịch vụ an ninh mạng; xuất khẩu, nhập khẩu sản phẩm an ninh mạng; Trách nhiệm của cơ quan, tổ chức, doanh nghiệp, cá nhân có liên quan đến hoạt động kinh doanh sản phẩm, dịch vụ an ninh mạng.

Nghị định này áp dụng đối với: Tổ chức, doanh nghiệp kinh doanh sản phẩm, dịch vụ an ninh mạng; Cơ quan cấp phép, quản lý hoạt động kinh doanh sản phẩm, dịch vụ an ninh mạng; Cơ quan, tổ chức, cá nhân có liên quan đến hoạt động kinh doanh sản phẩm, dịch vụ an ninh mạng.

Sản phẩm an ninh mạng được quy định trong Nghị định này gồm:

Sản phẩm kiểm tra, đánh giá an ninh mạng là các thiết bị phần cứng, phần mềm có các tính năng hoặc được thiết kế để tích hợp các tính năng sau: Rà quét, kiểm tra, phân tích cấu hình, hiện trạng, dữ liệu nhật ký của hệ thống thông tin, thiết bị điện tử; phát hiện lỗ hổng, điểm yếu; đưa ra đánh giá rủi ro an ninh mạng.

Sản phẩm giám sát an ninh mạng là các thiết bị phần cứng, phần mềm có các tính năng hoặc được thiết kế để tích hợp các tính năng sau: Giám sát, phân tích dữ liệu, địa chỉ mạng, lưu lượng mạng; thu thập, phân tích dữ liệu nhật ký theo thời gian thực; phát hiện và đưa ra cảnh báo sự kiện bất thường, có nguy cơ gây mất an ninh mạng.

Sản phẩm chống tấn công, xâm nhập là các thiết bị phần cứng, phần mềm có tính năng hoặc được thiết kế để tích hợp các tính năng ngăn chặn tấn công, xâm nhập vào hệ thống thông tin.

Sản phẩm an ninh mạng khác thuộc một trong các sản phẩm sau:

- Sản phẩm bí mật thu thập thông tin, bao gồm: Các thiết bị phần cứng, phần mềm có tính năng bí mật thu thập thông tin trên không gian mạng, trong các phương tiện, thiết bị điện tử;

- Sản phẩm chế áp thông tin mạng, bao gồm: Các thiết bị phần cứng, phần mềm chuyên dụng để ngăn chặn, chèn, gây nhiễu, phá đường truyền Internet không dây tại các khu vực, mục tiêu cần bảo vệ;

- Sản phẩm pháp y số, điều tra số, bao gồm: Các thiết bị phần cứng, phần mềm chuyên dụng thu thập, trích xuất, phục hồi, phân tích dữ liệu điện tử và giám định kỹ thuật số từ nguồn dữ liệu điện tử;

- Sản phẩm chế áp hệ thống mạng, bao gồm: Các thiết bị phần cứng, phần mềm chuyên dụng để chế áp hoặc thay đổi hoạt động của mạng viễn thông, mạng Internet, mạng máy tính, hệ thống thông tin, hệ thống xử lý và điều khiển thông tin, cơ sở dữ liệu, phương tiện điện tử;

- Sản phẩm che giấu địa chỉ IP là sản phẩm kết nối mạng giữa thiết bị và không gian mạng thông qua máy chủ từ xa nhằm che giấu địa chỉ IP thật của thiết bị trên không gian mạng.

Dịch vụ an ninh mạng được quy định trong Nghị định này gồm:

- Dịch vụ kiểm tra, đánh giá an ninh mạng: Dịch vụ rà quét, kiểm tra, phân tích cấu hình, hiện trạng, dữ liệu nhật ký của hệ thống thông tin; phát hiện lỗ hổng, điểm yếu; đưa ra đánh giá rủi ro mất an ninh mạng.

- Dịch vụ bảo mật thông tin không sử dụng mật mã dân sự: Dịch vụ hỗ trợ người sử dụng đảm bảo tính bí mật của thông tin, hệ thống thông tin mà không sử dụng sản phẩm mật mã dân sự.

- Dịch vụ tư vấn an ninh mạng: Dịch vụ hỗ trợ tư vấn, kiểm tra, đánh giá, triển khai, thiết kế, xây dựng các giải pháp bảo đảm an ninh mạng.

- Dịch vụ giám sát an ninh mạng: Dịch vụ giám sát, phân tích lưu lượng dữ liệu truyền trên hệ thống thông tin; thu thập, phân tích dữ liệu nhật ký theo thời gian thực; phát hiện và đưa ra cảnh báo sự kiện bất thường, có nguy cơ gây mất an ninh mạng.

- Dịch vụ ứng cứu sự cố an ninh mạng: Dịch vụ xử lý, khắc phục kịp thời sự cố gây mất an ninh mạng đối với hệ thống thông tin.

- Dịch vụ khôi phục dữ liệu: Dịch vụ phục hồi dữ liệu trong thiết bị điện tử, hệ thống thông tin đã bị xóa hoặc hư hỏng.

- Dịch vụ phòng ngừa, chống tấn công mạng: Dịch vụ ngăn chặn các hành vi tấn công, xâm nhập vào hệ thống thông tin thông qua việc giám sát, thu thập, phân tích các sự kiện đang xảy ra trên hệ thống thông tin.

- Dịch vụ an ninh mạng khác.

Tổ chức, doanh nghiệp kinh doanh sản phẩm, dịch vụ an ninh mạng được cấp Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng khi đáp ứng đủ điều kiện sau đây:

Được thành lập theo quy định của pháp luật Việt Nam, không vi phạm quy định của pháp luật về kinh doanh sản phẩm, dịch vụ an ninh mạng. Đối với các tổ chức kinh tế có vốn đầu tư nước ngoài, thời hạn đầu tư tại Việt Nam phải còn nhiều hơn 05 năm kể từ ngày được cấp Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng.

Điều kiện về nhân sự:

- Người đại diện theo pháp luật, người quản lý hoặc người được người đại diện theo pháp luật, người quản lý ủy quyền không thuộc một trong các trường hợp sau đây:

Người Việt Nam đã bị khởi tố hình sự mà các cơ quan tiến hành tố tụng của Việt Nam hoặc của nước ngoài đang tiến hành điều tra, truy tố, xét xử hoặc có tiền án về các tội xâm phạm an ninh quốc gia hoặc được cơ quan có thẩm quyền xác định là có hoạt động xâm phạm an ninh quốc gia hoặc các tội khác do lỗi cố ý, chưa được xóa án tích; đang trong thời gian được tạm hoãn chấp hành hình phạt tù; đang bị quản chế, cấm cư trú, cấm đảm nhiệm chức vụ, cấm kinh doanh ngành, nghề kinh doanh có điều kiện về an ninh, trật tự theo quyết định của Tòa án hoặc đang bị áp dụng biện pháp giáo dục tại xã, phường, đặc khu; đang được tạm hoãn, tạm đình chỉ chấp hành quyết định đưa vào cơ sở giáo dục bắt buộc hoặc đưa vào cơ sở cai nghiện bắt buộc.

Người Việt Nam định cư ở nước ngoài mang hộ chiếu nước ngoài và người nước ngoài chưa được cơ quan có thẩm quyền của Việt Nam cấp phép cư trú, lao động tại Việt Nam;

- Tổ chức, doanh nghiệp phải có nhân sự chịu trách nhiệm kỹ thuật phù hợp với loại hình sản phẩm, dịch vụ kinh doanh. Nhân sự này phải có bằng đại học trở lên hoặc có chứng chỉ chuyên ngành an ninh mạng, an toàn thông tin, công nghệ thông tin, điện tử viễn thông.

Điều kiện về kỹ thuật: Có hệ thống trang thiết bị, cơ sở vật chất và công nghệ phù hợp với hoạt động đầu tư, kinh doanh và loại hình sản phẩm, dịch vụ an ninh mạng đăng ký kinh doanh.

Hồ sơ đề nghị cấp giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng gồm:

- Văn bản đề nghị theo Mẫu số 03 tại Phụ lục I ban hành kèm theo Nghị định này;

- Bản khai lý lịch kèm theo các giấy tờ cá nhân của người đại diện theo pháp luật, người quản lý tổ chức, doanh nghiệp trong trường hợp không tra cứu được thông tin trong hệ thống thông tin gồm: Bản sao căn cước, căn cước công dân hoặc hộ chiếu, thẻ thường trú hoặc thẻ tạm trú hoặc thị thực còn thời hạn lưu trú tại Việt Nam; bản khai nhân sự của tổ chức, doanh nghiệp theo Mẫu số 05, Mẫu số 06 tại Phụ lục I ban hành kèm theo Nghị định này;

- Văn bằng, chứng chỉ hoặc tài liệu có giá trị tương đương theo quy định pháp luật về giáo dục, đào tạo chứng minh đáp ứng điều kiện về nhân sự;

- Tài liệu thuyết minh hệ thống trang thiết bị, cơ sở vật chất và công nghệ phù hợp với hoạt động và sản phẩm, dịch vụ đăng ký kinh doanh;

- Phương án kỹ thuật, phương án kinh doanh theo Mẫu số 07, Mẫu số 08 tại Phụ lục I ban hành kèm theo Nghị định này;

- Đối với tổ chức, doanh nghiệp sản xuất sản phẩm an ninh mạng quy định tại điểm a, b, c và d khoản 4 Điều 3 Nghị định này để phục vụ nhiệm vụ bảo đảm an ninh quốc gia, phải có văn bản giao nhiệm vụ, đặt hàng hoặc tổ chức, doanh nghiệp có hợp đồng với cơ quan có thẩm quyền của Bộ Công an, Bộ Quốc phòng.

Hồ sơ đề nghị cấp giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng lập thành 01 bộ, nộp trực tiếp hoặc qua hệ thống bưu chính hoặc dịch vụ công trực tuyến đến Bộ Công an. Hồ sơ phải làm bằng tiếng Việt, gồm 01 bộ hồ sơ gốc. Trường hợp nộp trực tiếp hoặc qua dịch vụ bưu chính, bộ hồ sơ gốc phải có đủ chữ ký, dấu xác nhận của tổ chức, doanh nghiệp, các tài liệu do tổ chức, doanh nghiệp, cá nhân lập nếu có từ 02 tờ văn bản trở lên phải có dấu giáp lai. Đơn vị nộp hồ sơ và người nộp hồ sơ chịu trách nhiệm về tính hợp pháp của tài liệu hồ sơ. Trường hợp nộp qua dịch vụ công trực tuyến, tổ chức, doanh nghiệp phải ký số theo quy định của pháp luật về ký số.

Nghị định này có hiệu lực thi hành kể từ ngày 19 tháng 8 năm 2026.