Giấy phép kinh doanh an ninh mạng: kiểm tra nhà cung cấp thế nào

Từ ngày 19/8/2026, kinh doanh sản phẩm, dịch vụ an ninh mạng tại Việt Nam phải có giấy phép, và việc nhập khẩu nhiều thiết bị bảo mật được cấp phép theo từng lô hàng theo Nghị định 332/2026/NĐ-CP. Với bên mua, điều này có nghĩa trước khi ký hợp đồng tường lửa, phần mềm bảo vệ máy chủ hay dịch vụ chống DDoS, nên yêu cầu nhà cung cấp xuất trình giấy phép còn hiệu lực và chứng từ nhập khẩu hợp lệ. Bài viết liệt kê những gì cần kiểm tra và lý do nó quan trọng với chính doanh nghiệp mua hàng.

Nghị định 332/2026 quy định những gì

Theo bài tổng hợp đăng trên Trung tâm WTO và Hội nhập ngày 24/8/2026 (nguồn Tạp chí Kinh tế - Tài chính), Chính phủ ban hành Nghị định 332/2026/NĐ-CP ngày 19/8/2026, có hiệu lực từ ngày ký. Các điểm chính:

• Điều kiện kinh doanh: ngoài điều kiện chung, doanh nghiệp phải có phương án kinh doanh nêu rõ mục đích nhập khẩu, phạm vi, đối tượng cung cấp và khả năng đáp ứng tiêu chuẩn, quy chuẩn kỹ thuật; bảo đảm điều kiện bảo quản và cam kết không gây phương hại an ninh quốc gia.
• Cấp phép xuất nhập khẩu theo lô (Điều 13): áp dụng cho sản phẩm trong Phụ lục II, do Bộ Công an cấp, mỗi giấy phép gắn với một lô hàng và có thời hạn 2 năm. Muốn xin phép nhập khẩu, doanh nghiệp phải đang có Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng còn hiệu lực.
• Thời gian xử lý: 5 ngày làm việc kể từ khi nhận hồ sơ hợp lệ; từ chối phải trả lời bằng văn bản nêu lý do.
• Báo cáo năm: doanh nghiệp được cấp phép báo cáo tình hình kinh doanh, gồm cả xuất nhập khẩu, với kỳ số liệu 1/1 đến 31/12 và hạn nộp trước 31/1 năm sau.

Những sản phẩm nằm trong danh mục cấp phép

Phụ lục II liệt kê 25 sản phẩm, chia năm nhóm: thiết bị đầu cuối, lớp mạng, lớp ứng dụng, bảo vệ dữ liệu và nhóm khác, mỗi sản phẩm gắn mã HS cụ thể. Bài tổng hợp nêu ví dụ gồm sản phẩm bảo vệ máy tính, máy chủ, thiết bị di động; tường lửa; hệ thống phát hiện và ngăn chặn xâm nhập; chống DDoS; mạng riêng ảo (VPN); bảo mật thư điện tử; phòng chống thất thoát dữ liệu.

Nhìn vào danh sách, gần như mọi hạng mục trong một dự án bảo mật điển hình của doanh nghiệp vừa đều có mặt. Bài viết về bảo mật thiết bị đầu cuối và phòng thủ DDoS bằng WAF trên site mô tả chính các nhóm sản phẩm này.

Vì sao bên mua cũng phải quan tâm

Giấy phép là nghĩa vụ của người bán, nhưng hậu quả có thể rơi vào người mua theo nhiều cách:

1. Giấy phép bị thu hồi giữa chừng. Nghị định nêu các trường hợp thu hồi: hồ sơ giả mạo, cấp sai thẩm quyền, doanh nghiệp không còn đủ điều kiện, hoặc sản phẩm hết thời hạn lưu hành gây hệ quả không khắc phục được. Khi đó doanh nghiệp phải tái xuất sản phẩm theo quyết định và không được tiếp tục xuất nhập khẩu sản phẩm đó. Hợp đồng gia hạn bản quyền hoặc bảo hành của bạn có thể bị gián đoạn.
2. Nghĩa vụ kiểm tra của chính bạn. Phân tích của luật sư Công ty Luật HM&P trên Tạp chí Luật sư Việt Nam (29/3/2026) dẫn khoản 2 Điều 28 Luật An ninh mạng 2025: nhà cung cấp dịch vụ phải kiểm tra dịch vụ an ninh mạng mình sử dụng có được phép và đạt tiêu chuẩn kỹ thuật của Bộ Công an hay không.
3. Hồ sơ kiểm tra, đánh giá. Khi hệ thống thông tin được đánh giá theo cấp độ, chứng từ nguồn gốc thiết bị bảo mật là một phần bằng chứng tuân thủ.

Danh sách kiểm tra khi chọn nhà cung cấp

Ba dòng đầu dựa trên nội dung Nghị định 332/2026 theo bài tổng hợp nêu trên; dòng cuối là gợi ý soạn hợp đồng.

Riêng với dịch vụ: pentest, SOC, tư vấn

Không chỉ phần cứng, dịch vụ an ninh mạng cũng nằm trong diện kinh doanh có điều kiện. Khi thuê kiểm thử xâm nhập, giám sát an ninh hay ứng cứu sự cố, ngoài giấy phép, bên mua nên xem thêm:

• Phạm vi công việc và giới hạn được phép tác động, ký bằng văn bản trước khi bắt đầu.
• Cam kết bảo mật dữ liệu thu được trong quá trình kiểm thử, cách lưu trữ và hủy.
• Danh sách nhân sự tham gia, chứng chỉ chuyên môn liên quan.
• Quy trình báo cáo và thời hạn khắc phục sau kiểm thử.

Bài có nên thuê pentest bên ngoài phân tích ưu nhược của việc thuê ngoài; yếu tố giấy phép theo nghị định mới giờ là một tiêu chí bắt buộc trong bảng chấm điểm đó.

Mốc 31/1/2027 và điều bên mua có thể tận dụng

Năm 2026 là năm đầu nghị định áp dụng, nên báo cáo năm đầu tiên của các nhà cung cấp được cấp phép có hạn trước 31/1/2027. Đây là thời điểm hợp lý để bộ phận mua hàng rà lại danh sách nhà cung cấp bảo mật đang dùng, cập nhật hồ sơ pháp lý của từng bên, và đưa điều khoản về giấy phép vào các hợp đồng gia hạn đầu năm.

Bối cảnh rộng hơn cũng đáng lưu ý: bài tổng hợp cho biết đề án nâng cao năng lực lực lượng bảo vệ an ninh mạng quốc gia đã được phê duyệt tháng 3/2026, với mục tiêu đến năm 2045 đưa công nghiệp an ninh mạng thành ngành kinh tế - kỹ thuật mũi nhọn, và hiện có 3 doanh nghiệp an ninh mạng Việt Nam thuộc nhóm 50 doanh nghiệp dẫn đầu toàn cầu. Lựa chọn nhà cung cấp trong nước vì thế không còn bị giới hạn như trước, nhưng tiêu chí giấy phép và năng lực kỹ thuật vẫn phải áp dụng như nhau cho mọi bên.