Kinh doanh mật mã ở Việt Nam có luật chơi mới: Nghị định 341/2026/NĐ-CP về mật mã dân sự

Mã hóa nằm trong hầu hết mọi thứ doanh nghiệp mua sắm ngày nay — thiết bị VPN, mô-đun bảo mật phần cứng (HSM), lưu trữ mã hóa, nhắn tin bảo mật, token PKI. Ở Việt Nam, kinh doanh các sản phẩm này đã là ngành nghề phải có giấy phép suốt một thập kỷ, nhưng đạo luật làm nền cho các giấy phép ấy — Luật An toàn thông tin mạng 2015 — đã hết hiệu lực từ ngày 1/7/2026 khi Luật An ninh mạng hợp nhất thay thế. Suốt hai tháng, cơ chế cấp phép mật mã dân sự vận hành trên một nghị định mà luật gốc không còn tồn tại. Khoảng trống đó khép lại ngày 1/9/2026 với Nghị định 341/2026/NĐ-CP, nghị định đầu tiên quy định chi tiết về mật mã dân sự theo luật an ninh mạng mới.

Văn bản này là gì

Nghị định 341/2026/NĐ-CP được Chính phủ ban hành ngày 1/9/2026 và có hiệu lực ngay trong ngày. Nghị định quy định chi tiết điểm a khoản 1, điểm c khoản 2 và khoản 3 Điều 28, cùng khoản 3 Điều 29 của Luật An ninh mạng số 116/2025/QH15 — luật được thông qua ngày 10/12/2025, có hiệu lực từ 1/7/2026, thay thế cả Luật An toàn thông tin mạng 2015 và Luật An ninh mạng 2018. Nghị định điều chỉnh: thế nào là sản phẩm, dịch vụ mật mã dân sự; điều kiện kinh doanh; xuất khẩu, nhập khẩu; và toàn bộ vòng đời của hai loại giấy phép liên quan — cấp, sửa đổi, tạm đình chỉ và thu hồi. Ba phụ lục đi kèm: Phụ lục I liệt kê sản phẩm, dịch vụ phải có giấy phép kinh doanh; Phụ lục II liệt kê sản phẩm phải có giấy phép xuất khẩu, nhập khẩu; Phụ lục III là các biểu mẫu.

Nghị định được soạn thảo từ phía quốc phòng. Ban Cơ yếu Chính phủ, trực thuộc Bộ Quốc phòng, tiếp tục là cơ quan cấp phép. Kế hoạch triển khai thi hành luật của Thủ tướng Chính phủ — Quyết định 437/QĐ-TTg ngày 16/3/2026 — từng yêu cầu Bộ Quốc phòng trình các nghị định về mật mã dân sự trước ngày 1/7/2026, nên văn bản này về đích chậm hai tháng.

Nghị định thay thế Nghị định 58/2016/NĐ-CP ngày 1/7/2016, đã được sửa đổi bởi Nghị định 53/2018/NĐ-CP và Nghị định 32/2023/NĐ-CP, vốn điều chỉnh lĩnh vực này từ khi luật năm 2015 có hiệu lực. Việc thay thế đã được chuẩn bị từ khi Ban Cơ yếu Chính phủ đề xuất vào tháng 6/2023 và Bộ Quốc phòng công bố dự thảo vào tháng 6/2024; luật an ninh mạng mới cuối cùng đã cho nó một chỗ đứng pháp lý.

Nghị định quy định gì

Định nghĩa. Sản phẩm mật mã dân sự là phần cứng, phần mềm, tài liệu, trang thiết bị kỹ thuật và kỹ thuật mật mã dùng để bảo vệ thông tin không thuộc bí mật nhà nước. Dịch vụ mật mã dân sự gồm bảo vệ thông tin bằng các sản phẩm đó, đánh giá sản phẩm và tư vấn bảo mật. Những gì bảo vệ bí mật nhà nước thuộc một cơ chế riêng, bảo mật.

Giấy phép kinh doanh. Doanh nghiệp kinh doanh sản phẩm, dịch vụ thuộc Phụ lục I phải có Giấy phép kinh doanh sản phẩm, dịch vụ mật mã dân sự, thời hạn 10 năm. Theo Điều 5, doanh nghiệp phải có ít nhất hai cán bộ kỹ thuật trình độ đại học trở lên thuộc các ngành điện tử - viễn thông, công nghệ thông tin, toán học hoặc an toàn thông tin, cùng một người quản lý có bằng thuộc một trong các ngành đó, hoặc bằng ngành khác kèm chứng chỉ đào tạo về an toàn thông tin. Doanh nghiệp còn phải có trang thiết bị, cơ sở vật chất phù hợp với quy mô kinh doanh, và phương án kỹ thuật đáp ứng tiêu chuẩn, quy chuẩn kỹ thuật áp dụng — nêu rõ đặc tính, tham số kỹ thuật của sản phẩm, tiêu chuẩn áp dụng, chỉ tiêu chất lượng, giải pháp kỹ thuật và phương án bảo hành, bảo trì.

Quyết định nhanh hơn. Ban Cơ yếu Chính phủ kiểm tra tính đầy đủ của hồ sơ trong một ngày làm việc và phải quyết định cấp giấy phép kinh doanh trong 12 ngày kể từ khi nhận đủ hồ sơ. Luật năm 2015 cho phép tới 30 ngày. Giấy phép xuất khẩu, nhập khẩu được quyết định trong 6 ngày làm việc.

Xuất khẩu, nhập khẩu. Sản phẩm thuộc Phụ lục II phải có Giấy phép xuất khẩu, nhập khẩu sản phẩm mật mã dân sự, thời hạn 3 năm. Yêu cầu giấy phép chỉ áp dụng khi mã HS, mô tả hàng hóa và đặc tính mật mã của sản phẩm cùng khớp một mục trong danh mục, nên khâu phân loại rất quan trọng. Sản phẩm vừa có tính năng mật mã vừa có tính năng an ninh mạng được coi là lưỡng dụng: hồ sơ chuyển Bộ Công an phê duyệt, Ban Cơ yếu Chính phủ cho ý kiến về phần mật mã.

Hợp quy trước đã. Điều 4 khẳng định lại: sản phẩm mật mã dân sự phải được kiểm định, chứng nhận hợp quy trước khi lưu thông trên thị trường.

Tạm đình chỉ và thu hồi. Điều 8 cho phép tạm đình chỉ tối đa sáu tháng khi không tuân thủ, và thu hồi khi giấy phép được cấp bằng hồ sơ giả mạo, đã hết hạn, hoặc khi doanh nghiệp không thực tế triển khai cung cấp trong vòng một năm mà không có lý do chính đáng.

Nghĩa vụ của doanh nghiệp có giấy phép. Doanh nghiệp phải bảo đảm chất lượng sản phẩm, bảo mật thông tin của khách hàng, từ chối cung cấp sản phẩm, dịch vụ khi phát hiện chúng bị sử dụng vào mục đích vi phạm pháp luật, và báo cáo Ban Cơ yếu Chính phủ trước ngày 31/12 hằng năm.

Người dùng cũng có nghĩa vụ. Theo Điều 12, tổ chức, cá nhân sử dụng sản phẩm mật mã dân sự không do doanh nghiệp được cấp phép cung cấp phải khai báo với Ban Cơ yếu Chính phủ. Cơ quan đại diện ngoại giao, cơ quan lãnh sự và tổ chức quốc tế tại Việt Nam được miễn.

Chuyển tiếp. Điều 18 giữ nguyên hiệu lực các giấy phép cấp trước ngày 1/7/2026 đến hết thời hạn ghi trên giấy phép, nên không doanh nghiệp nào đang hoạt động phải xin cấp lại.

Điều gì thực sự thay đổi

Các điều kiện về nhân sự sẽ rất quen thuộc với ai từng có giấy phép theo Nghị định 58/2016: quy tắc hai cán bộ kỹ thuật và một người quản lý gần như được giữ nguyên từng chữ, thời hạn giấy phép 10 năm không đổi. Phần cải cách thực chất nằm ở thủ tục và cấu trúc. Thời hạn quyết định rút từ 30 ngày xuống 12 ngày; khâu kiểm tra tính đầy đủ có đồng hồ một ngày cố định; việc thu hồi vì “có phép mà không kinh doanh” được quy định rõ; sản phẩm lưỡng dụng có lộ trình hai cơ quan tường minh; và toàn bộ cơ chế giờ neo vào luật an ninh mạng thay vì một luật an toàn thông tin đã bị bãi bỏ. Chi tiết thực sự nằm ở danh mục sản phẩm trong các phụ lục — dự thảo năm 2024 từng đề xuất gom sản phẩm thành bảy nhóm với mười hai loại được loại trừ — nên doanh nghiệp cần đọc danh mục mới thay vì mặc định danh mục cũ được giữ nguyên.

Ai chịu tác động

Nhà cung cấp, nhà phân phối phần cứng và phần mềm mã hóa tại Việt Nam — từ đại lý HSM, thiết bị VPN đến nhà cung cấp dịch vụ nhắn tin bảo mật, PKI — vẫn là ngành kinh doanh có điều kiện cấp phép, nay với lộ trình xin phép ngắn hơn. Đơn vị nhập khẩu và tích hợp hệ thống đưa thiết bị mạng có mã hóa về nước phải đối chiếu mã HS với Phụ lục II và có giấy phép 3 năm khi thuộc diện. Hãng nước ngoài bán vào Việt Nam cần kênh phân phối trong nước có giấy phép, vì giấy phép gắn với doanh nghiệp thành lập tại Việt Nam. Doanh nghiệp tự trang bị sản phẩm mã hóa — ngân hàng nhập HSM trực tiếp, công ty triển khai công cụ mua ở nước ngoài — thuộc diện khai báo theo Điều 12. Đội ngũ bảo mật cần biết nghĩa vụ này tồn tại, dù bản thân việc sử dụng sản phẩm là hợp pháp.

Hàm ý thực tiễn

Với doanh nghiệp đang có giấy phép, việc trước mắt là rà soát chứ không phải xin lại: giấy phép cũ vẫn còn hiệu lực, nhưng báo cáo hằng năm gửi Ban Cơ yếu Chính phủ nay có hạn chót cố định vào cuối năm. Với doanh nghiệp mới gia nhập, bài toán trở nên khả thi hơn — quyết định trong 12 ngày cho phép xin giấy phép ngay trong một chu kỳ mua sắm bình thường. Với đơn vị nhập khẩu, việc chính là phân loại: đối chiếu mã HS, mô tả và đặc tính mật mã với Phụ lục II, và nhận diện sớm những sản phẩm có cả tính năng mật mã lẫn an ninh mạng, vì nhóm này cần thêm phê duyệt của Bộ Công an. Với bên mua, nghĩa vụ khai báo đồng nghĩa bộ phận mua sắm và bảo mật nên lưu hồ sơ: sản phẩm mã hóa đến từ đâu, nhà cung cấp có giấy phép hay không.

Một nghị định song hành trong cùng tuần

Ba ngày sau, ngày 4/9/2026, Báo Chính phủ đưa tin về Nghị định 343/2026/NĐ-CP, quy định chi tiết phần Luật An ninh mạng thuộc phạm vi quản lý của Bộ Quốc phòng và quy định việc tiếp nhận, xử lý “xung đột thông tin trên không gian mạng”. Nghị định giao chủ quản hệ thống thông tin trách nhiệm tiếp nhận, xử lý xung đột ảnh hưởng đến hệ thống của mình và phối hợp với lực lượng chuyên trách an ninh mạng; giao các lực lượng này chủ trì phân tích xung đột giữa chủ thể trong nước và nước ngoài; và chỉ cho phép doanh nghiệp viễn thông, Internet chặn lưu lượng khi đã xác định được nguồn, đã xác minh yêu cầu của bên bị ảnh hưởng, và có lệnh bằng văn bản hoặc do hệ thống tạo ra từ lực lượng có thẩm quyền. Văn bản tiền nhiệm là Nghị định 142/2016/NĐ-CP ngày 14/10/2016. Các nguồn tin hiện có chưa nêu ngày hiệu lực, nên hãy coi thông tin này là chưa được xác nhận.

Những câu hỏi còn bỏ ngỏ

Các bản tóm tắt đã công bố không trích điều khoản bãi bỏ nêu đích danh Nghị định 58/2016/NĐ-CP, nên số phận chính thức của nghị định cũ và các danh mục sản phẩm của nó cần được đọc từ toàn văn. Nghĩa vụ khai báo phía người dùng đặt ra những câu hỏi thực tế mà nghị định chưa trả lời — áp dụng thế nào với mã hóa nhúng trong dịch vụ đám mây, với công cụ mã nguồn mở không có nhà cung cấp nào, hay với tính năng mã hóa ổ đĩa tích hợp sẵn trong laptop. Biểu phí và nội dung cụ thể của Phụ lục I, II sẽ quyết định cơ chế này nặng nhẹ ra sao trên thực tế. Và lộ trình hai cơ quan cho sản phẩm lưỡng dụng đòi hỏi sự phối hợp giữa Ban Cơ yếu Chính phủ và Bộ Công an — cơ quan đang song song xây dựng cơ chế cấp phép riêng cho sản phẩm an ninh mạng theo Chương V của cùng đạo luật, qua các nghị định như Nghị định 333/2026/NĐ-CP.

Bài viết mang tính thông tin, không phải tư vấn pháp lý.