Kinh doanh sản phẩm, dịch vụ an ninh mạng theo Nghị định 332/2026: giấy phép 10 năm, điều kiện nhân sự
Công ty cung cấp tường lửa, phần mềm rà quét lỗ hổng, dịch vụ giám sát SOC, kiểm thử xâm nhập hay khôi phục dữ liệu đang chuyển sang một giấy phép mới. Nghị định 332/2026/NĐ-CP ngày 19/8/2026 hướng dẫn Luật An ninh mạng số 116/2025/QH15, có hiệu lực ngay từ ngày ký. Từ đây, việc kinh doanh sản phẩm, dịch vụ an ninh mạng do Bộ Công an cấp phép và quản lý.
Doanh nghiệp kinh doanh sản phẩm, dịch vụ thuộc Điều 3, Điều 4 phải có Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng, thời hạn 10 năm, được gia hạn một lần tối đa 03 năm. Dịch vụ kiểm tra, tư vấn cần ít nhất 05 nhân sự kỹ thuật; dịch vụ giám sát cần ít nhất 12 nhân sự kỹ thuật. Với hai loại dịch vụ này, người đại diện theo pháp luật phải có quốc tịch Việt Nam. Giấy phép an toàn thông tin mạng cũ được cấp đổi theo bảng quy đổi tại Điều 10.
Căn cứ pháp lý & ngày rà soát: Nghị định số 332/2026/NĐ-CP ngày 19/8/2026 của Chính phủ quy định về hoạt động kinh doanh sản phẩm, dịch vụ an ninh mạng, đăng Công báo số 497 ngày 03/9/2026, hiệu lực từ 19/8/2026 (Điều 3 đến Điều 16, Điều 19 đến Điều 21). Rà soát ngày 02/10/2026.
Lưu ý: Nội dung mang tính tham khảo. Mức phí thẩm định cấp giấy phép và lệ phí cấp giấy phép xuất nhập khẩu do văn bản về phí, lệ phí quy định, không có trong Nghị định 332. Danh mục mã HS sản phẩm xuất nhập khẩu theo giấy phép nằm ở Phụ lục II.
Sản phẩm và dịch vụ nào thuộc diện cấp phép
| Nhóm | Gồm | Căn cứ |
|---|---|---|
| Sản phẩm kiểm tra, đánh giá | Phần cứng, phần mềm rà quét, phân tích cấu hình, nhật ký, phát hiện lỗ hổng, đánh giá rủi ro | khoản 1 Điều 3 |
| Sản phẩm giám sát | Giám sát lưu lượng, phân tích nhật ký theo thời gian thực, cảnh báo sự kiện bất thường | khoản 2 Điều 3 |
| Sản phẩm chống tấn công, xâm nhập | Thiết bị, phần mềm ngăn chặn tấn công vào hệ thống thông tin | khoản 3 Điều 3 |
| Sản phẩm đặc thù | Thiết bị thu thập thông tin không công khai, chế áp thông tin mạng, pháp y số, chế áp hệ thống mạng, che giấu địa chỉ IP | khoản 4 Điều 3 |
| Dịch vụ | Kiểm tra, đánh giá; bảo mật thông tin không sử dụng mật mã dân sự; tư vấn; giám sát; ứng cứu sự cố; khôi phục dữ liệu; phòng, chống tấn công mạng | khoản 1 đến 7 Điều 4 |
| Dịch vụ khác | Nền tảng kết nối chuyên gia bảo vệ an ninh mạng; huấn luyện, diễn tập; che giấu địa chỉ IP; săn tìm và báo cáo lỗ hổng bảo mật (bug bounty) | khoản 8 Điều 4 |
Bốn loại sản phẩm đặc thù tại các điểm a, b, c, d khoản 4 Điều 3 chỉ được sản xuất, mua bán, xuất nhập khẩu bởi tổ chức của Bộ Công an, Bộ Quốc phòng hoặc có hợp đồng, đặt hàng với cơ quan có thẩm quyền của hai Bộ này (điểm d khoản 1, điểm d khoản 2 Điều 7). Sản phẩm, dịch vụ che giấu địa chỉ IP không thuộc nhóm hạn chế đó nhưng vẫn phải có giấy phép.
Điều kiện chung để được cấp phép
| Điều kiện | Nội dung | Căn cứ |
|---|---|---|
| Pháp lý | Thành lập theo pháp luật Việt Nam; doanh nghiệp FDI phải còn thời hạn đầu tư hơn 05 năm tính từ ngày được cấp giấy phép | khoản 1 Điều 6 |
| Người đại diện, người quản lý | Không thuộc các trường hợp bị khởi tố, có tiền án về tội xâm phạm an ninh quốc gia, đang bị cấm kinh doanh ngành nghề có điều kiện về an ninh, trật tự...; người nước ngoài phải có phép cư trú, lao động tại Việt Nam | điểm a khoản 2 Điều 6 |
| Nhân sự kỹ thuật | Có người chịu trách nhiệm kỹ thuật, bằng đại học trở lên hoặc chứng chỉ chuyên ngành an ninh mạng, an toàn thông tin, công nghệ thông tin, điện tử viễn thông | điểm b khoản 2 Điều 6 |
| Kỹ thuật | Trang thiết bị, cơ sở vật chất, công nghệ phù hợp loại hình đăng ký | khoản 3 Điều 6 |
Điều kiện riêng theo loại hình
| Loại hình | Điều kiện bổ sung | Căn cứ |
|---|---|---|
| Dịch vụ kiểm tra, tư vấn an ninh mạng | Ít nhất 05 người trình độ đại học hoặc có chứng chỉ an ninh mạng, có địa chỉ cư trú tại Việt Nam; người đại diện theo pháp luật quốc tịch Việt Nam | khoản 1 Điều 8 |
| Dịch vụ giám sát an ninh mạng | Ít nhất 12 người trình độ đại học hoặc có chứng chỉ an ninh mạng; có nhân sự quản trị hệ thống, bảo mật thông tin; người đại diện theo pháp luật quốc tịch Việt Nam | khoản 2 Điều 8 |
| Mọi dịch vụ | Phương án kỹ thuật (Mẫu số 07), phương án dự phòng, mô tả hệ thống và quy trình giám sát, phương án kinh doanh gồm cả bảo mật thông tin khách hàng | khoản 3 đến 6 Điều 8 |
| Sản xuất sản phẩm | Phương án kinh doanh nêu tiêu chuẩn, quy chuẩn và tính năng sản phẩm; có thiết bị kiểm tra chất lượng trong sản xuất | khoản 1 Điều 7 |
| Mua bán, xuất nhập khẩu sản phẩm | Phương án nêu mục đích nhập khẩu, đối tượng cung cấp; có phương tiện bảo quản; cam kết không gây phương hại an ninh quốc gia | khoản 2 Điều 7 |
Doanh nghiệp giám sát an ninh mạng còn phải duy trì kết nối, trao đổi thông tin giám sát với hệ thống bảo vệ an ninh mạng quốc gia của Bộ Công an trong suốt quá trình cung cấp dịch vụ (khoản 1 Điều 16).
Hồ sơ và thời hạn cấp phép
Hồ sơ gồm (khoản 2 Điều 9):
- văn bản đề nghị Mẫu số 03;
- bản khai lý lịch và giấy tờ cá nhân của người đại diện, người quản lý (khi không tra cứu được trên hệ thống), bản khai nhân sự Mẫu số 05, 06;
- văn bằng, chứng chỉ chứng minh điều kiện nhân sự;
- thuyết minh trang thiết bị, cơ sở vật chất, công nghệ;
- phương án kỹ thuật Mẫu số 07 và phương án kinh doanh Mẫu số 08.
Hồ sơ lập 01 bộ bằng tiếng Việt, nộp trực tiếp, qua bưu chính hoặc dịch vụ công trực tuyến đến Bộ Công an. Nếu nộp trực tuyến, doanh nghiệp phải ký số (khoản 3 Điều 9).
| Thủ tục | Thời hạn | Căn cứ |
|---|---|---|
| Kiểm tra tính hợp lệ | 03 ngày làm việc từ khi nhận hồ sơ | khoản 4 Điều 9 |
| Doanh nghiệp bổ sung hồ sơ | 10 ngày làm việc từ khi nhận thông báo; quá hạn bị coi là hồ sơ không hợp lệ | điểm b khoản 4 Điều 9 |
| Cấp giấy phép mới | 28 ngày làm việc từ khi nhận đủ hồ sơ hợp lệ | khoản 5 Điều 9 |
| Cấp đổi, cấp lại | 05 ngày làm việc | Điều 10, Điều 11 |
| Gia hạn | 10 ngày làm việc; nộp chậm nhất 60 ngày trước khi giấy phép hết hạn; gia hạn một lần, tối đa 03 năm | Điều 12 |
| Giấy phép xuất khẩu, nhập khẩu sản phẩm | 05 ngày làm việc; cấp theo lô, thời hạn 02 năm | Điều 13 |
Theo Điều 5 và Điều 12, một giấy phép có thể dùng tối đa 13 năm: 10 năm ban đầu cộng một lần gia hạn tối đa 03 năm.
Cấp đổi giấy phép an toàn thông tin mạng cũ
Doanh nghiệp phải làm thủ tục cấp đổi khi đổi tên, đổi người đại diện theo pháp luật, bổ sung hoặc thay đổi sản phẩm, dịch vụ, hoặc khi giấy phép kinh doanh sản phẩm, dịch vụ an toàn thông tin mạng còn hiệu lực bị mất, hỏng (khoản 1 Điều 10). Thời hạn giấy phép sau cấp đổi giữ nguyên như lần cấp đầu (khoản 7 Điều 10).
| Loại trên giấy phép an toàn thông tin mạng | Sau cấp đổi | Căn cứ |
|---|---|---|
| Sản phẩm kiểm tra, đánh giá an toàn thông tin mạng | Sản phẩm kiểm tra, đánh giá an ninh mạng | điểm a khoản 3 Điều 10 |
| Sản phẩm giám sát an toàn thông tin mạng | Sản phẩm giám sát an ninh mạng | điểm b khoản 3 Điều 10 |
| Sản phẩm chống tấn công, xâm nhập | Giữ nguyên | điểm c khoản 3 Điều 10 |
| Sản phẩm an toàn thông tin mạng khác | Loại bỏ | điểm d khoản 3 Điều 10 |
| Dịch vụ giám sát, tư vấn, ứng cứu sự cố, kiểm tra đánh giá an toàn thông tin mạng | Đổi thành dịch vụ tương ứng về an ninh mạng | điểm đ, g, h, i khoản 3 Điều 10 |
| Dịch vụ phòng, chống tấn công mạng; khôi phục dữ liệu; bảo mật thông tin không dùng mật mã dân sự | Giữ nguyên | điểm e, k, l khoản 3 Điều 10 |
| Dịch vụ an toàn thông tin mạng khác | Loại bỏ | điểm m khoản 3 Điều 10 |
Hợp đồng ký trước 19/8/2026 vẫn được thực hiện tiếp. Hồ sơ Bộ Công an tiếp nhận trước 01/7/2026 mà chưa giải quyết thì áp dụng quy trình, điều kiện của Nghị định 332 (Điều 21).
Nghĩa vụ sau khi có giấy phép
| Nghĩa vụ | Nội dung | Căn cứ |
|---|---|---|
| Báo cáo định kỳ | Mẫu số 09, số liệu từ 01/01 đến 31/12, nộp trước 31/01 năm sau | khoản 3 Điều 16 |
| Tạm ngừng hoạt động | Thông báo cơ quan cấp phép trong 10 ngày làm việc | khoản 4 Điều 16 |
| Duy trì điều kiện | Thường xuyên, liên tục trong suốt quá trình kinh doanh | khoản 1 Điều 16 |
| Kiểm tra | Kiểm tra toàn diện không quá 01 lần mỗi năm, trừ khi có dấu hiệu vi phạm rõ ràng | khoản 1 Điều 19 |
Giấy phép bị thu hồi khi giả mạo hồ sơ, không khắc phục điều kiện trong 40 ngày sau khi được yêu cầu, không hoạt động sau 06 tháng kể từ ngày cấp, hoặc cho mượn, cho thuê, mua bán giấy phép (khoản 1 Điều 14). Giấy phép bị tạm đình chỉ 03 đến 06 tháng khi không cấp đổi lúc đổi tên hoặc đổi người đại diện, không báo cáo theo quy định, hoặc bị xử phạt từ 02 lần trở lên trong 12 tháng (khoản 2 Điều 14). Khi giấy phép kinh doanh bị thu hồi hoặc tạm đình chỉ, giấy phép xuất nhập khẩu cũng mất hiệu lực (khoản 4 Điều 14).
Ví dụ tự lập
Công ty S có giấy phép kinh doanh sản phẩm, dịch vụ an toàn thông tin mạng cấp năm 2022, gồm dịch vụ giám sát và dịch vụ tư vấn. Tháng 10/2026, công ty đổi người đại diện theo pháp luật.
- Công ty phải nộp hồ sơ cấp đổi (khoản 1 Điều 10). Dịch vụ giám sát và tư vấn được đổi tên thành dịch vụ giám sát, tư vấn an ninh mạng; thời hạn giữ nguyên theo giấy phép năm 2022.
- Người đại diện mới phải có quốc tịch Việt Nam (khoản 1, 2 Điều 8).
- Công ty cần chứng minh đội kỹ thuật có ít nhất 12 người đủ chuẩn cho dịch vụ giám sát. Đội 5 người chỉ đủ cho dịch vụ tư vấn, kiểm tra.
- Nếu không làm thủ tục cấp đổi khi đổi người đại diện, giấy phép có thể bị tạm đình chỉ 03 đến 06 tháng (điểm a khoản 2 Điều 14).
Checklist
- Đối chiếu sản phẩm, dịch vụ đang bán với danh mục Điều 3, Điều 4.
- Rà soát giấy phép an toàn thông tin mạng đang có; lập hồ sơ cấp đổi khi có thay đổi.
- Đếm nhân sự kỹ thuật đủ chuẩn: 05 người cho dịch vụ kiểm tra, tư vấn; 12 người cho dịch vụ giám sát.
- Kiểm tra quốc tịch người đại diện theo pháp luật với dịch vụ kiểm tra, tư vấn, giám sát.
- Chuẩn bị phương án kỹ thuật Mẫu số 07 và phương án kinh doanh Mẫu số 08.
- Đặt lịch nộp báo cáo năm trước 31/01 và hồ sơ gia hạn trước 60 ngày.
- Xem thêm nghĩa vụ doanh nghiệp theo Luật An ninh mạng 2025, kinh doanh mật mã dân sự theo Nghị định 341/2026 và sàn dữ liệu theo Nghị định 314/2026.
Câu hỏi thường gặp
Nghị định 332/2026/NĐ-CP có hiệu lực từ ngày nào?
Từ ngày 19/8/2026 (Điều 20).
Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng có thời hạn bao lâu?
10 năm (khoản 2 Điều 5), được gia hạn một lần tối đa 03 năm nếu không vi phạm (khoản 1 Điều 12).
Cung cấp dịch vụ giám sát an ninh mạng cần bao nhiêu nhân sự?
Ít nhất 12 người có trình độ đại học hoặc chứng chỉ về an ninh mạng, cùng nhân sự quản trị hệ thống, bảo mật thông tin (khoản 2 Điều 8).
Bộ Công an cấp giấy phép trong bao lâu?
28 ngày làm việc kể từ ngày nhận đủ hồ sơ hợp lệ (khoản 5 Điều 9).
Doanh nghiệp FDI có được kinh doanh dịch vụ an ninh mạng không?
Có, nếu đáp ứng điều kiện; thời hạn đầu tư tại Việt Nam phải còn hơn 05 năm tính từ ngày được cấp giấy phép (khoản 1 Điều 6). Với dịch vụ kiểm tra, tư vấn, giám sát, người đại diện theo pháp luật phải có quốc tịch Việt Nam (Điều 8).
Giấy phép an toàn thông tin mạng đã cấp có phải xin lại không?
Doanh nghiệp làm thủ tục cấp đổi khi có thay đổi theo khoản 1 Điều 10; sản phẩm, dịch vụ được quy đổi theo khoản 3 Điều 10 và thời hạn giữ nguyên như lần cấp đầu.
Nhập khẩu thiết bị tường lửa có cần giấy phép riêng không?
Nếu sản phẩm thuộc danh mục xuất nhập khẩu theo giấy phép tại Phụ lục II, doanh nghiệp cần Giấy phép xuất khẩu, nhập khẩu sản phẩm an ninh mạng do Bộ Công an cấp theo lô, thời hạn 02 năm, và phải có giấy phép kinh doanh còn hiệu lực (Điều 13).