Kinh doanh mật mã dân sự theo Nghị định 341/2026: điều kiện, giấy phép 10 năm, sản phẩm được loại trừ

Doanh nghiệp bán thiết bị mã hóa đường truyền, phần mềm bảo mật dữ liệu, thiết bị quản lý khóa (HSM) hay cung cấp dịch vụ bảo vệ thông tin bằng mã hóa đang áp dụng văn bản mới. Nghị định 341/2026/NĐ-CP ngày 01/9/2026 quy định chi tiết Luật An ninh mạng số 116/2025/QH15 về hoạt động mật mã dân sự, có hiệu lực từ ngày ký. Cơ quan cấp phép là Ban Cơ yếu Chính phủ thuộc Bộ Quốc phòng.

Kinh doanh sản phẩm, dịch vụ thuộc Phụ lục I phải có giấy phép của Ban Cơ yếu Chính phủ, thời hạn 10 năm. Doanh nghiệp cần tối thiểu 02 cán bộ kỹ thuật và 01 cán bộ quản lý có bằng đại học phù hợp, cùng phương án kỹ thuật. Hồ sơ được thẩm định trong 12 ngày. Sản phẩm phải được chứng nhận hợp quy trước khi lưu thông. Hệ điều hành, trình duyệt, điện thoại di động không mã hóa đầu cuối và 9 nhóm sản phẩm phổ thông khác không thuộc diện cấp phép.

Căn cứ pháp lý & ngày rà soát: Nghị định số 341/2026/NĐ-CP ngày 01/9/2026 của Chính phủ quy định chi tiết một số điều và biện pháp thi hành Luật An ninh mạng về hoạt động mật mã dân sự, đăng Công báo số 506 ngày 11/9/2026, hiệu lực từ 01/9/2026 (Điều 3 đến Điều 12, Điều 17, Điều 18, Phụ lục I, II). Rà soát ngày 02/10/2026.

Lưu ý: Nội dung mang tính tham khảo. Mức phí thẩm định cấp giấy phép do văn bản về phí, lệ phí quy định. Danh mục mã HS sản phẩm xuất nhập khẩu theo giấy phép ở Phụ lục II; chỉ áp dụng khi cả mã HS, mô tả hàng hóa và mô tả đặc tính kỹ thuật cùng trùng với danh mục.

Sản phẩm, dịch vụ nào phải có giấy phép

Sản phẩm mật mã dân sự là phần cứng, phần mềm, tài liệu, trang thiết bị kỹ thuật dùng để bảo vệ thông tin không phải thông tin mật nhà nước (khoản 1 Điều 3). Phụ lục I liệt kê:

Nhóm	Danh mục	Căn cứ
Sản phẩm	(1) Sinh, quản lý hoặc lưu trữ khóa mã; (2) bảo vệ dữ liệu lưu giữ; (3) bảo vệ dữ liệu trao đổi trên mạng; (4) bảo vệ luồng IP; (5) bảo vệ thoại tương tự và thoại số; (6) bảo vệ thông tin vô tuyến; (7) bảo vệ fax, điện báo	mục I Phụ lục I
Dịch vụ	Bảo vệ thông tin sử dụng sản phẩm mật mã dân sự; đánh giá sản phẩm mật mã dân sự; tư vấn bảo mật, an toàn thông tin mạng sử dụng sản phẩm mật mã dân sự	mục II Phụ lục I; khoản 2 Điều 3

Sản phẩm lưỡng dụng vừa có tính năng mật mã dân sự vừa có tính năng an ninh mạng do Bộ Công an cấp giấy phép kinh doanh và giấy phép xuất nhập khẩu, sau khi lấy ý kiến Ban Cơ yếu Chính phủ (khoản 5 Điều 4, khoản 4 Điều 9). Quy định về sản phẩm an ninh mạng được tổng hợp trong Nghị định 332/2026.

12 nhóm sản phẩm không thuộc diện kinh doanh có điều kiện

Phần giải thích của Phụ lục I loại trừ các sản phẩm sau:

STT	Sản phẩm được loại trừ
1	Hệ điều hành, trình duyệt, phần mềm tích hợp sẵn thành phần mã hóa (mã hóa không phải chức năng chính), dùng rộng rãi, người dùng tự cài
2	Máy tính bảng, máy ảnh số, camera và thiết bị điện tử dân dụng tương tự có mã hóa cài sẵn không phải chức năng chính
3	Điện thoại di động không có khả năng mã hóa đầu cuối
4	Thẻ thông minh và đầu đọc chỉ dùng để truy cập chung, chỉ bảo vệ thông tin cá nhân
5	Sản phẩm bảo vệ bản quyền (chống sao chép phần mềm, bảo vệ nội dung âm thanh, video)
6	Sản phẩm chỉ dùng để xác thực định danh, không có chức năng mã hóa
7	Sản phẩm dùng kỹ thuật mã hóa để truy cập từ xa, quản trị thiết bị
8	Ổ cứng tự mã hóa SED dùng rộng rãi
9	Sản phẩm dùng kỹ thuật mã hóa để giám sát, ngăn chặn, phát hiện tấn công mạng
10	Mạch tích hợp TPM để nhận dạng thiết bị, xác thực, bảo vệ mật khẩu
11	Sản phẩm dùng kỹ thuật mã hóa để bảo vệ truy cập không dây
12	Sản phẩm thiết kế riêng cho đầu cuối trong lĩnh vực y tế

Doanh nghiệp phân phối laptop, điện thoại, camera, ổ cứng SED thông thường vì vậy không cần giấy phép kinh doanh mật mã dân sự cho các sản phẩm này, nhưng vẫn phải kiểm tra danh mục xuất nhập khẩu theo giấy phép ở Phụ lục II nếu nhập khẩu.

Điều kiện cấp giấy phép kinh doanh

Điều kiện	Nội dung	Căn cứ
Cán bộ kỹ thuật	Tối thiểu 02 người có bằng đại học trở lên ngành điện tử viễn thông, công nghệ thông tin, toán học hoặc an toàn thông tin	điểm a khoản 1 Điều 5
Cán bộ quản lý, điều hành	01 người có bằng đại học thuộc các ngành nêu trên, hoặc đại học ngành khác kèm chứng chỉ đào tạo về bảo mật, an toàn thông tin	điểm a khoản 1 Điều 5
Cơ sở vật chất	Trang thiết bị phù hợp phạm vi, đối tượng, lĩnh vực cung cấp	điểm b khoản 1 Điều 5
Phương án kỹ thuật	Phù hợp tiêu chuẩn, quy chuẩn kỹ thuật	điểm c khoản 1 Điều 5
Chất lượng sản phẩm	Kiểm tra, chứng nhận hợp quy trước khi lưu thông	khoản 2 Điều 4

Hồ sơ và thời hạn

Hồ sơ cấp mới gồm đơn Mẫu số 01, bản sao văn bằng, chứng chỉ của đội ngũ quản lý và kỹ thuật, và phương án kỹ thuật Mẫu số 03 (đặc tính, tham số kỹ thuật, tiêu chuẩn sản phẩm, chất lượng dịch vụ, phương án bảo hành, bảo trì). Hồ sơ nộp trực tiếp, qua bưu chính hoặc Cổng dịch vụ công quốc gia; nộp trực tuyến phải ký số (khoản 2, 3 Điều 5).

Thủ tục	Kiểm tra hồ sơ	Doanh nghiệp bổ sung	Thẩm định, cấp	Căn cứ
Cấp mới	01 ngày làm việc	03 ngày làm việc	12 ngày	khoản 4 Điều 5
Sửa đổi (đổi tên, đổi người đại diện)	01 ngày làm việc	02 ngày làm việc	05 ngày làm việc; nộp lại bản chính giấy phép cũ trong 02 ngày làm việc	Điều 6
Bổ sung sản phẩm, dịch vụ	01 ngày làm việc	02 ngày làm việc	09 ngày làm việc	Điều 7
Giấy phép xuất khẩu, nhập khẩu	01 ngày làm việc	01 ngày làm việc	06 ngày làm việc	Điều 10

Thời hạn 12 ngày cho cấp mới được Nghị định ghi là "12 ngày", không ghi "ngày làm việc" như các thủ tục còn lại (khoản 4 Điều 5).

Xuất khẩu, nhập khẩu sản phẩm mật mã dân sự

Nội dung	Quy định	Căn cứ
Khi nào cần giấy phép	Sản phẩm thuộc Phụ lục II, trùng cả mã HS, mô tả hàng hóa và đặc tính kỹ thuật	khoản 1, điểm a khoản 3 Điều 9
Thời hạn giấy phép	03 năm	khoản 2 Điều 9
Điều kiện	Có giấy phép kinh doanh mật mã dân sự; sản phẩm nhập khẩu đã chứng nhận, công bố hợp quy; mục đích sử dụng không phương hại quốc phòng, an ninh	khoản 1 Điều 10
Hồ sơ	Đơn Mẫu số 05	khoản 2 Điều 10
Thu hồi	Giả mạo hồ sơ; hết quyền phân phối từ nhà sản xuất; sản phẩm hết thời hạn lưu hành hoặc có lỗi không khắc phục được; không xuất nhập khẩu trong thời hạn giấy phép; bị thu hồi giấy phép kinh doanh	khoản 1 Điều 11

Nghĩa vụ của doanh nghiệp và người sử dụng

Chủ thể	Nghĩa vụ	Căn cứ
Doanh nghiệp kinh doanh	Lập, lưu giữ và bảo mật thông tin khách hàng, loại, số lượng, mục đích sử dụng sản phẩm	điểm c khoản 1 Điều 12
Doanh nghiệp kinh doanh	Từ chối cung cấp khi phát hiện khách hàng vi phạm pháp luật hoặc cam kết sử dụng	điểm d khoản 1 Điều 12
Doanh nghiệp kinh doanh	Báo cáo Ban Cơ yếu Chính phủ hằng năm trước ngày 31/12 theo Mẫu số 07	điểm e khoản 1 Điều 12
Người sử dụng	Tuân thủ cam kết về quản lý khóa mã, chuyển nhượng, sửa chữa, tiêu hủy; cung cấp thông tin liên quan tới khóa mã khi cơ quan có thẩm quyền yêu cầu	điểm a, b khoản 2 Điều 12
Người sử dụng sản phẩm không do doanh nghiệp được cấp phép cung cấp	Khai báo với Ban Cơ yếu Chính phủ theo Mẫu số 08 (trừ cơ quan ngoại giao, lãnh sự, tổ chức quốc tế liên Chính phủ)	điểm d khoản 2 Điều 12

Giấy phép kinh doanh bị tạm đình chỉ tối đa 06 tháng nếu cung cấp sản phẩm khác nội dung giấy phép hoặc không còn đủ điều kiện tại khoản 1 Điều 5. Giấy phép bị thu hồi khi giả mạo hồ sơ, không triển khai cung cấp dịch vụ trong 01 năm từ ngày cấp mà không có lý do chính đáng, hết thời hạn tạm đình chỉ mà không khắc phục, hoặc ngừng kinh doanh (Điều 8).

Chuyển tiếp

Giấy phép kinh doanh và giấy phép xuất nhập khẩu mật mã dân sự cấp trước 01/7/2026 tiếp tục có giá trị đến hết thời hạn ghi trên giấy phép. Hồ sơ tiếp nhận trước 01/7/2026 chưa giải quyết, và hồ sơ nộp từ 01/7/2026 đến trước 01/9/2026, được giải quyết theo Nghị định 341 (Điều 18).

Ví dụ tự lập

Công ty D phân phối thiết bị mã hóa luồng IP cho ngân hàng và ổ cứng SED cho văn phòng.

• Thiết bị mã hóa luồng IP thuộc nhóm (4) mục I Phụ lục I. Công ty D cần giấy phép kinh doanh mật mã dân sự, tối thiểu 02 kỹ sư công nghệ thông tin hoặc điện tử viễn thông và 01 người quản lý đủ chuẩn.
• Thiết bị phải có chứng nhận hợp quy trước khi bán (khoản 2 Điều 4). Nếu nhập khẩu và mã HS, mô tả, đặc tính kỹ thuật trùng Phụ lục II, công ty xin thêm giấy phép nhập khẩu thời hạn 03 năm.
• Ổ cứng SED dùng rộng rãi thuộc nhóm loại trừ số 8, không cần giấy phép kinh doanh mật mã dân sự.
• Hằng năm, trước 31/12, công ty D gửi báo cáo Mẫu số 07 kèm tổng hợp thông tin khách hàng.

Checklist

• Phân loại từng sản phẩm: thuộc 7 nhóm Phụ lục I hay thuộc 12 nhóm loại trừ.
• Xác định sản phẩm lưỡng dụng (vừa mã hóa vừa an ninh mạng) để nộp hồ sơ đúng cơ quan.
• Chuẩn bị bằng cấp của 02 cán bộ kỹ thuật và 01 cán bộ quản lý.
• Lập phương án kỹ thuật Mẫu số 03 và kế hoạch chứng nhận hợp quy.
• Đối chiếu mã HS, mô tả và đặc tính kỹ thuật với Phụ lục II trước khi nhập khẩu.
• Lưu sổ khách hàng, mục đích sử dụng; nộp báo cáo năm trước 31/12.
• Đọc thêm nghĩa vụ doanh nghiệp theo Luật An ninh mạng 2025 và danh mục ngành nghề kinh doanh có điều kiện.

Câu hỏi thường gặp

Nghị định 341/2026/NĐ-CP có hiệu lực từ khi nào?

Từ ngày 01/9/2026 (Điều 17).

Cơ quan nào cấp giấy phép kinh doanh mật mã dân sự?

Ban Cơ yếu Chính phủ. Riêng sản phẩm lưỡng dụng có cả tính năng mật mã dân sự và an ninh mạng do Bộ Công an cấp phép sau khi lấy ý kiến Ban Cơ yếu Chính phủ (Điều 4, Điều 5).

Giấy phép kinh doanh mật mã dân sự có thời hạn bao lâu?

10 năm (khoản 3 Điều 4). Giấy phép xuất khẩu, nhập khẩu sản phẩm mật mã dân sự có thời hạn 03 năm (khoản 2 Điều 9).

Bán điện thoại, laptop có cần giấy phép mật mã dân sự không?

Điện thoại di động không có khả năng mã hóa đầu cuối, hệ điều hành, trình duyệt, máy tính bảng và thiết bị dân dụng có mã hóa không phải chức năng chính thuộc nhóm loại trừ tại Phụ lục I.

Doanh nghiệp cần bao nhiêu nhân sự để xin giấy phép?

Tối thiểu 02 cán bộ kỹ thuật và 01 cán bộ quản lý, điều hành có bằng đại học phù hợp (điểm a khoản 1 Điều 5).

Giấy phép cấp trước tháng 7/2026 còn dùng được không?

Có, đến hết thời hạn ghi trên giấy phép (khoản 1 Điều 18).