Dùng SaaS nước ngoài khi Luật An ninh mạng 2025 có hiệu lực

Doanh nghiệp Việt vẫn được dùng phần mềm dịch vụ (SaaS) của nhà cung cấp nước ngoài sau khi Luật An ninh mạng 2025 có hiệu lực từ 1/7/2026. Điều thay đổi là các nhà cung cấp xuyên biên giới giờ chịu nghĩa vụ rõ ràng hơn tại Việt Nam, và nếu họ không tuân thủ, dịch vụ có thể bị hạn chế. Bên mua vì vậy cần đánh giá lại ba điểm: mức độ phụ thuộc vào từng dịch vụ, khả năng xuất dữ liệu khi cần chuyển đổi, và điều khoản hợp đồng về tuân thủ pháp luật Việt Nam.

Nghĩa vụ mới của nhà cung cấp xuyên biên giới

Luật An ninh mạng 2025 mang số 116/2025/QH15, theo Thị trường Tài chính Tiền tệ. Phân tích của các luật sư Nguyễn Văn Phúc và Lê Việt Hùng (Công ty Luật HM&P) trên Tạp chí Luật sư Việt Nam ngày 29/3/2026 tóm lược nghĩa vụ chính của nhóm doanh nghiệp này:

• Điều 25: xác thực và bảo vệ tài khoản, thông tin người dùng; cung cấp thông tin khi có yêu cầu; chặn, xử lý nội dung và dịch vụ vi phạm; tạm dừng hoặc ngừng dịch vụ khi được yêu cầu; lưu nhật ký hệ thống.
• Hiện diện tại Việt Nam: nhà cung cấp nước ngoài chỉ phải lập chi nhánh hoặc văn phòng đại diện khi Bộ Công an yêu cầu và hội đủ ba điều kiện: hoạt động trong một số lĩnh vực nhất định, dịch vụ bị dùng để vi phạm, và không tuân thủ sau ba văn bản yêu cầu trong sáu tháng. Khi có quyết định, thời hạn thực hiện là 12 tháng.
• Điều 26: nhà cung cấp thường xuyên xử lý dữ liệu trên nền tảng phải thực hiện đánh giá tác động chuyển dữ liệu.
• Xác định địa chỉ IP: dự thảo nghị định khi đó yêu cầu nhận diện chính xác IP, có hệ thống ghi và lưu dữ liệu này.

Nghị định 333/2026/NĐ-CP, ban hành ngày 19/8/2026, quy định chi tiết thêm. Theo Tạp chí Công Thương, Điều 16 áp dụng cho cả nhà cung cấp trong nước và nước ngoài, với thời hạn cung cấp thông tin 24 giờ (3 giờ nếu khẩn cấp), gỡ nội dung 24 giờ (6 giờ nếu khẩn cấp) và lưu nhật ký truy xuất được tối thiểu 12 tháng.

Một điểm cần nói rõ: bài phân tích trên Tạp chí Luật sư không đề cập yêu cầu bắt buộc lưu dữ liệu tại Việt Nam đối với mọi dịch vụ, vì vậy doanh nghiệp không nên tự suy ra rằng mọi SaaS nước ngoài đều phải đặt máy chủ trong nước.

Rủi ro thực tế cho bên sử dụng

Phần lớn SaaS doanh nghiệp như CRM, kế toán, quản lý dự án không phải mạng xã hội và ít khi rơi vào trường hợp bị yêu cầu chặn. Tuy vậy, có ba kịch bản đáng tính đến:

1. Nhà cung cấp quyết định rút khỏi thị trường vì chi phí tuân thủ, ví dụ chi phí hệ thống nhận diện IP mà bài phân tích nhắc tới. Thông báo ngừng dịch vụ có thể chỉ cho vài tháng để chuyển đổi.
2. Dịch vụ bị hạn chế do vi phạm của người dùng khác trên cùng nền tảng, đặc biệt với công cụ có nội dung công khai như nền tảng hội thảo trực tuyến, diễn đàn cộng đồng.
3. Yêu cầu xác thực tài khoản mới khiến nhân viên hoặc khách hàng của bạn phải bổ sung thông tin, gây gián đoạn nếu không chuẩn bị.

Bộ câu hỏi gửi nhà cung cấp

Trước kỳ gia hạn hợp đồng năm 2027, có thể gửi nhà cung cấp danh sách câu hỏi ngắn:

• Quý công ty có kế hoạch tuân thủ Luật An ninh mạng 2025 và Nghị định 333/2026 tại Việt Nam không? Đầu mối liên hệ là ai?
• Dữ liệu của chúng tôi được lưu ở những khu vực nào? Có tùy chọn vùng lưu trữ không?
• Quý công ty đã thực hiện đánh giá tác động chuyển dữ liệu chưa?
• Nếu ngừng cung cấp dịch vụ tại Việt Nam, thời hạn báo trước là bao lâu và hỗ trợ xuất dữ liệu ra sao?
• Khi nhận yêu cầu cung cấp thông tin người dùng từ cơ quan có thẩm quyền, quý công ty có thông báo cho khách hàng doanh nghiệp không, trong phạm vi pháp luật cho phép?

Giảm phụ thuộc: phân hạng dịch vụ theo mức quan trọng

Bảng này là gợi ý phân hạng nội bộ, không dựa trên quy định pháp luật.

Với dịch vụ trọng yếu, việc chọn lại nền tảng là quyết định lớn. Nếu đang cân nhắc CRM, bài top hệ thống CRM cho doanh nghiệp B2B có thể dùng làm danh sách khởi đầu, nhưng hãy thêm tiêu chí tuân thủ pháp luật Việt Nam và khả năng xuất dữ liệu vào bảng chấm điểm.

Điều khoản hợp đồng nên bổ sung

1. Nhà cung cấp cam kết tuân thủ pháp luật Việt Nam áp dụng cho dịch vụ.
2. Thời hạn báo trước tối thiểu khi ngừng dịch vụ tại Việt Nam, đủ dài để chuyển đổi.
3. Quyền xuất toàn bộ dữ liệu ở định dạng có thể đọc bằng máy, miễn phí, trong một khoảng thời gian sau khi chấm dứt.
4. Nghĩa vụ thông báo sự cố an ninh ảnh hưởng tới dữ liệu khách hàng.

Nhà cung cấp SaaS lớn thường dùng hợp đồng mẫu và ít chấp nhận sửa. Khi đó, ít nhất hãy đọc kỹ điều khoản chấm dứt và xuất dữ liệu trong bản mẫu, rồi xây phương án dự phòng phía mình.

Kế hoạch chuyển đổi khi cần

Ngay cả khi không có sự cố nào, bài tập "nếu ngày mai dịch vụ này ngừng thì sao" giúp phát hiện điểm yếu. Chọn một dịch vụ trọng yếu, xuất toàn bộ dữ liệu, thử nhập vào một công cụ thay thế trong môi trường thử nghiệm, ghi lại thời gian và các trường dữ liệu bị mất. Các nguyên tắc trong bài chiến lược di chuyển dữ liệu không mất mát áp dụng được cho cả chiều ngược lại: rời một nền tảng đám mây sang nền tảng khác.