Mật Mã Dân Sự Theo Nghị Định 341/2026/NĐ-CP: Cấp Phép Sản Phẩm Lưỡng Dụng Và 12 Trường Hợp Miễn Trừ

Đối với các doanh nghiệp nhập khẩu thiết bị, tích hợp hệ thống hay phân phối phần cứng công nghệ, giấy phép mật mã dân sự từ lâu đã là điểm nghẽn dễ gây ách tắc nhất tại khâu thông quan hải quan. Khúc mắc thực tế lớn nhất của doanh nghiệp không nằm ở việc từ chối tuân thủ, mà ở ranh giới nhập nhằng: Một thiết bị mạng tích hợp bảo mật (như tường lửa, thiết bị định tuyến hay hạ tầng VPN) thì phải xin giấy phép an ninh mạng tại Bộ Công an hay giấy phép mật mã dân sự tại Ban Cơ yếu Chính phủ. Song song đó là nỗi lo phải xin giấy phép con cho cả những sản phẩm CNTT thông dụng chỉ vì thiết bị có chứa một vài thuật toán mã hóa phụ. Chính thức có hiệu lực từ ngày 01/09/2026, Nghị định 341/2026/NĐ-CP đã giải quyết trực diện những vướng mắc này. Văn bản mới xác lập rõ cơ chế phối hợp liên ngành một cửa đối với các “sản phẩm lưỡng dụng”, đồng thời chính thức xác định rõ cho doanh nghiệp bằng bộ lọc 12 nhóm sản phẩm CNTT thông dụng được miễn trừ hoàn toàn nghĩa vụ xin giấy phép kinh doanh.

1. Nghị định 341/2026/NĐ-CP áp dụng cho nhóm đối tượng nào?

Đối tượng chịu sự điều chỉnh: Nghị định 341/2026/NĐ-CP áp dụng đối với cơ quan, tổ chức, cá nhân Việt Nam; cơ quan, tổ chức, cá nhân nước ngoài tại Việt Nam và các chủ thể có liên quan đến hoạt động mật mã dân sự tại Việt Nam. Đối với doanh nghiệp, các hoạt động trọng tâm chịu sự điều chỉnh gồm kinh doanh sản phẩm, dịch vụ mật mã dân sự và xuất khẩu, nhập khẩu sản phẩm mật mã dân sự thuộc diện quản lý.

Lưu ý về phạm vi cấp phép: Tương tự như quy định cũ trước đây, trên thực tế không phải mọi doanh nghiệp kinh doanh thiết bị mạng, bảo mật hoặc nhập khẩu phần cứng, phần mềm CNTT đều mặc nhiên phải xin giấy phép mật mã dân sự. Nghĩa vụ cấp phép phải được xác định trên cơ sở sản phẩm, dịch vụ và hoạt động cụ thể thuộc phạm vi quản lý của Nghị định. Doanh nghiệp cần tiếp tục đối chiếu chức năng, mục đích sử dụng, đặc tính kỹ thuật và danh mục sản phẩm tại các Phụ lục để xác định nghĩa vụ pháp lý tương ứng. Theo Nghị định 341/2026/NĐ-CP, nghĩa vụ xin cấp phép chỉ phát sinh khi sản phẩm và hoạt động của doanh nghiệp thỏa mãn đồng thời các điều kiện kỹ thuật và pháp lý cụ thể sau:

• Về bản chất kỹ thuật và chức năng của sản phẩm: Sản phẩm chỉ thuộc diện điều chỉnh khi được thiết kế chuyên dụng để bảo vệ thông tin không thuộc phạm vi bí mật nhà nước bằng kỹ thuật mật mã (sử dụng thuật toán đối xứng hoặc không đối xứng). Nếu tính năng mật mã chỉ đóng vai trò phụ trợ, được tích hợp sẵn trong các thiết bị CNTT phổ thông hoặc thuộc 12 nhóm loại trừ tại Phụ lục I (như xác thực định danh không mã hóa dữ liệu, ổ cứng SED, chip TPM, công cụ chống tấn công mạng…), doanh nghiệp hoàn toàn không phải xin giấy phép kinh doanh.
• Đối với hoạt động phân phối, cung cấp thương mại (Giấy phép kinh doanh): Bắt buộc phải có Giấy phép kinh doanh (thời hạn 10 năm) do Ban Cơ yếu Chính phủ cấp nếu doanh nghiệp kinh doanh các sản phẩm thuộc 07 nhóm chuyên dụng tại Phụ lục I (như mô-đun phần cứng HSM, PKI Token, phần mềm/thiết bị mã hóa lưu trữ chuyên dụng, thiết bị bảo mật luồng IP sử dụng IPsec/MACsec VPN…) hoặc cung cấp 03 dịch vụ chuyên ngành (dịch vụ bảo vệ thông tin sử dụng MMDS, dịch vụ đánh giá sản phẩm MMDS, dịch vụ tư vấn bảo mật sử dụng MMDS).
• Đối với hoạt động thông quan Hải quan (Giấy phép Xuất nhập khẩu): Doanh nghiệp chỉ bắt buộc phải xin Giấy phép xuất khẩu, nhập khẩu (thời hạn 03 năm) khi hàng hóa thỏa mãn nguyên tắc 3 điểm trùng khớp tuyệt đối tại Phụ lục II: Trùng mã HS, Trùng tên/mô tả hàng hóa, và Trùng đặc tính kỹ thuật mật mã. Thiếu bất kỳ một trong ba yếu tố này, sản phẩm không thuộc diện điều chỉnh của giấy phép xuất nhập khẩu chuyên ngành.
• Trường hợp sản phẩm an ninh mạng tích hợp mật mã (Sản phẩm lưỡng dụng): Đối với các thiết bị mạng thế hệ mới tích hợp đồng thời cả tính năng an ninh mạng (như tường lửa, ngăn chặn xâm nhập IPS) lẫn tính năng mật mã dân sự (mã hóa đường truyền), doanh nghiệp không nộp hồ sơ xin cấp phép kinh doanh MMDS độc lập tại Ban Cơ yếu Chính phủ, mà phải thực hiện thủ tục xin Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng tại Bộ Công an; khi đó Bộ Công an sẽ chủ động lấy ý kiến thẩm định chuyên môn bằng văn bản từ Ban Cơ yếu Chính phủ trước khi cấp phép.

Trọng tâm điều chỉnh của NĐ 341/2026/NĐ-CP: Nghị định này quy định về sản phẩm, dịch vụ mật mã dân sự; điều kiện kinh doanh sản phẩm, dịch vụ mật mã dân sự; hoạt động xuất khẩu, nhập khẩu sản phẩm mật mã dân sự; đồng thời quy định thẩm quyền, hồ sơ và trình tự, thủ tục cấp, sửa đổi, bổ sung, tạm đình chỉ và thu hồi Giấy phép kinh doanh sản phẩm, dịch vụ mật mã dân sự và Giấy phép xuất khẩu, nhập khẩu sản phẩm mật mã dân sự.

Tinh thần xuyên suốt: Phân định rõ cơ chế cấp phép liên ngành, rút ngắn thời gian xử lý thủ tục hành chính và chính thức quy định cụ thể tại Phụ lục I các sản phẩm công nghệ được miễn trừ cấp phép kinh doanh.

• Phân định rõ cơ chế cấp phép liên ngành: Ban Cơ yếu Chính phủ chủ trì cấp phép đối với hoạt động mật mã dân sự. Với sản phẩm/dịch vụ lưỡng dụng liên quan cả mật mã dân sự và an ninh mạng, Bộ Công an cấp phép sau khi lấy ý kiến Ban Cơ yếu Chính phủ.
• Rút ngắn và cụ thể hóa thủ tục hành chính: Nghị định 341/2026/NĐ-CP quy định rõ thời hạn giải quyết từng thủ tục. Hồ sơ cấp mới Giấy phép kinh doanh sản phẩm, dịch vụ mật mã dân sự được kiểm tra tính hợp lệ trong 01 ngày làm việc và thẩm định, cấp phép trong 12 ngày kể từ khi nhận đủ hồ sơ hợp lệ. Trường hợp sửa đổi do thay đổi tên hoặc người đại diện theo pháp luật, thời hạn giải quyết là 05 ngày làm việc. Đối với Giấy phép xuất khẩu, nhập khẩu, thời hạn giải quyết tối đa 06 ngày làm việc.
• Danh mục sản phẩm được xác định cụ thể: Nghị định ban hành Phụ lục I về danh mục sản phẩm, dịch vụ mật mã dân sự và Phụ lục II về sản phẩm xuất nhập khẩu theo giấy phép. Doanh nghiệp chỉ phải xin phép đối với sản phẩm thuộc danh mục; việc xác định dựa trên mã HS, mô tả hàng hóa và đặc tính kỹ thuật mật mã, giúp doanh nghiệp xác định rõ phạm vi và nghĩa vụ cấp phép.

2. Cơ chế cấp phép đối với “Sản Phẩm Lưỡng Dụng” (An Ninh Mạng Và Mật Mã Dân Sự)

Khái niệm sản phẩm lưỡng dụng: Các thiết bị, phần mềm tích hợp đồng thời tính năng an ninh mạng (như tường lửa, giám sát/phòng ngừa tấn công mạng) và tính năng mật mã dân sự (mã hóa đường truyền, mã hóa dữ liệu).

Cơ chế “Một cửa” tại Bộ Công an:

• Bộ Công an là cơ quan đầu mối tiếp nhận hồ sơ, thẩm định và cấp Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng cũng như Giấy phép xuất khẩu, nhập khẩu đối với nhóm sản phẩm lưỡng dụng thuộc phạm vi quy định.
• Trách nhiệm phối hợp liên ngành: Trước khi cấp phép, Bộ Công an bắt buộc phải lấy ý kiến thẩm định bằng văn bản của Ban Cơ yếu Chính phủ về tính năng mật mã dân sự.

Như vậy, cơ chế “một cửa” chỉ đơn giản hóa đầu mối thủ tục, chứ không loại bỏ yêu cầu thẩm định chuyên ngành về mật mã. Nếu như trước kia nhóm sản phẩm có tính năng mật mã dân sự là tính năng chính, trọng yếu thì sẽ được xử lý tại Ban cơ yếu chính phủ, còn các sản phẩm còn lại sẽ được xem xét tại Bộ Công An, thì hiện nay chúng ta có thêm khái niệm sản phẩm lưỡng dụng, và đầu mối xem xét giải quyết sẽ được thực hiện trực tiếp từ phía Bộ Công An.

Điều kiện kỹ thuật bắt buộc: Dù được cấp phép bởi Bộ Công an, các tính năng mật mã dân sự trên sản phẩm lưỡng dụng vẫn bắt buộc phải đáp ứng đầy đủ tiêu chuẩn, quy chuẩn kỹ thuật chuyên ngành về mật mã dân sự.

Trước khi Bộ Công an cấp phép, Ban Cơ yếu Chính phủ có trách nhiệm cho ý kiến bằng văn bản về tính năng mật mã dân sự của sản phẩm. Cơ chế này giúp đơn giản và tạo thuận lợi về thủ tục nhưng vẫn bảo đảm việc kiểm soát chuyên môn đối với chức năng mật mã của sản phẩm.

3. Bộ Lọc 12 Nhóm Sản Phẩm CNTT Được Loại Trừ Khỏi Diện Cấp Phép Kinh Doanh (Phụ Lục I)

Nghị định số 341/2026/NĐ-CP quy định cụ thể 12 nhóm sản phẩm công nghệ thông tin có sử dụng kỹ thuật mật mã nhưng không thuộc phạm vi sản phẩm, dịch vụ mật mã dân sự kinh doanh có điều kiện, đã làm rõ danh mục các sản phẩm dù sử dụng kỹ thuật mật mã nhưng không bị coi là sản phẩm kinh doanh có điều kiện, giúp doanh nghiệp tránh xin cấp phép thừa hoặc tắc nghẽn thông quan:

Nhóm 1: Sản phẩm tiêu dùng và phần mềm thương mại phổ thông

• Hệ điều hành, trình duyệt Internet, phần mềm tích hợp mật mã có sẵn (chức năng mật mã không phải chức năng chính), do người dùng tự cài đặt. Các sản phẩm đã tích hợp sẵn thành phần mật mã nhưng chức năng bảo vệ thông tin bằng kỹ thuật mật mã không phải chức năng chính, được sử dụng rộng rãi và cho phép người dùng tự cài đặt mà không cần hỗ trợ từ nhà cung cấp
• Sản phẩm CNTT phổ thông có tính năng mật mã phụ: Máy tính bảng, DVD player, máy ảnh kỹ thuật số, camera, sản phẩm điện tử dân dụng tương ứng khác, trong đó chức năng mật mã không phải chức năng chính.
• Điện thoại di động không có khả năng mã hóa đầu cuối: Điện thoại di động không có khả năng End-to-End Encryption được loại trừ khỏi danh mục sản phẩm mật mã dân sự kinh doanh có điều kiện.

Nhóm 2: Hạ tầng mạng, thiết bị quản trị và an ninh mạng thông dụng

• Sản phẩm chỉ có chức năng xác thực định danh (Authentication), hoàn toàn không có chức năng mã hóa dữ liệu.
• Sản phẩm sử dụng kỹ thuật mật mã chỉ nhằm mục đích giám sát, ngăn chặn, phát hiện tấn công mạng.
• Thiết bị/giải pháp dùng kỹ thuật mật mã nhằm mục đích truy cập từ xa, quản trị thiết bị nội bộ.
• Thiết bị/giải pháp sử dụng kỹ thuật mật mã để bảo vệ truy cập mạng không dây (Wi-Fi).

Nhóm 3: Phần cứng lưu trữ và linh kiện tích hợp

• Ổ cứng lưu trữ tích hợp công nghệ tự mã hóa SED (Self-Encrypting Drive) được sử dụng rộng rãi.
• Mạch tích hợp sử dụng công nghệ TPM (Trusted Platform Module) để nhận dạng thiết bị, xác thực thông tin, bảo vệ mật khẩu.

Nhóm 4: Ứng dụng bản quyền, thẻ và y tế chuyên biệt

• Thẻ thông minh (Smart card) và đầu đọc/ghi chỉ dùng để truy cập chung, chỉ bảo vệ thông tin cá nhân.
• Sản phẩm bảo vệ bản quyền và sở hữu trí tuệ (DRM chống sao chép phần mềm, media).
• Sản phẩm được thiết kế đặc biệt chỉ để sử dụng phía đầu cuối trong lĩnh vực y tế.

Nghị định chuyển từ việc tiếp cận quản lý theo việc sản phẩm có sử dụng kỹ thuật mật mã sang xác định theo mục đích, chức năng chính và phạm vi sử dụng của sản phẩm, góp phần bảo đảm quản lý đúng đối tượng, giảm chi phí tuân thủ và tạo thuận lợi cho hoạt động kinh doanh, lưu thông sản phẩm.

4. Điều kiện kinh doanh sản phẩm mật mã dân sự theo nghị định mới

Doanh nghiệp buộc phải được cấp quyền kinh doanh, sau đó quyền nhập khẩu đối với đối tượng sản phẩm mật mã dân sự. Trong đó giấy phép kinh doanh được xem là điều kiện tiên quyết và Giấy phép xuất khẩu – nhập khẩu được hiểu là điều kiện đủ, hiện nay Nghị định 341/2026/NĐ-CP đang quy định thời hạn hiệu lực của giấy phép kinh doanh sản phẩm, dịch vụ mật mã dân sự có thời hạn lên đến 10 năm, Giấy phép xuất khẩu, nhập khẩu sản phẩm mật mã dân sự có thời hạn 03 năm.

So với quy định trước đây, Nghị định 341/2026/NĐ-CP cụ thể hóa điều kiện nhân sự theo hướng định lượng rõ số lượng, vị trí và trình độ chuyên môn, giúp doanh nghiệp dễ dàng xác định và chứng minh khả năng đáp ứng điều kiện cấp phép, theo đó:

• Tối thiểu 02 cán bộ kỹ thuật: Bằng tốt nghiệp đại học trở lên ngành điện tử – viễn thông, CNTT, toán học hoặc an toàn thông tin.
• Tối thiểu 01 cán bộ quản lý, điều hành: Tốt nghiệp đại học một trong các chuyên ngành trên, hoặc tốt nghiệp đại học chuyên ngành khác kèm theo chứng chỉ đào tạo về bảo mật, an toàn thông tin.

Rút ngắn thời hạn thẩm định và cấp phép theo quy định mới:

• Tiếp nhận và kiểm tra tính hợp lệ của hồ sơ: Xử lý trong vòng 01 ngày làm việc. Ban Cơ yếu Chính phủ kiểm tra thành phần, tính hợp lệ của hồ sơ trực tuyến; trường hợp chưa đầy đủ phải thông báo cụ thể nội dung cần sửa đổi, bổ sung, bảo đảm hồ sơ được xử lý kịp thời, hạn chế việc bổ sung nhiều lần.
• Cấp mới Giấy phép kinh doanh: Thẩm định và cấp phép trong 12 ngày kể từ ngày nhận đủ hồ sơ hợp lệ (thay vì thời gian kéo dài trước đây).
• Cấp Giấy phép xuất nhập khẩu: Thẩm định và cấp phép trong 06 ngày làm việc.
• Cấp sửa đổi (05 ngày làm việc), cấp bổ sung (09 ngày làm việc).

5. Nghĩa vụ hậu kiểm và trách nhiệm báo cáo của doanh nghiệp

Nghĩa vụ quản lý thông tin khách hàng: Doanh nghiệp có trách nhiệm lập, lưu giữ và bảo mật thông tin khách hàng, số lượng, loại hình và mục đích sử dụng sản phẩm mật mã dân sự cung cấp.

Báo cáo định kỳ hằng năm: Doanh nghiệp bắt buộc phải nộp Báo cáo tình hình kinh doanh, xuất nhập khẩu và tổng hợp thông tin khách hàng/người dùng cuối cho Ban Cơ yếu Chính phủ trước ngày 31 tháng 12 (theo Mẫu số 07 Phụ lục III).

Tăng cường chế tài hậu kiểm-Rủi ro đình chỉ và thu hồi giấy phép: Doanh nghiệp có thể bị tạm đình chỉ kinh doanh đến 06 tháng nếu không duy trì đủ điều kiện nhân sự/kỹ thuật; đồng thời bị thu hồi giấy phép nếu không triển khai dịch vụ trong 01 năm hoặc cung cấp thông tin sai lệch trong hồ sơ cấp phép.

Các quy định trên chuyển trọng tâm từ kiểm soát trước cấp phép sang kết hợp tiền kiểm và hậu kiểm, theo đó doanh nghiệp không chỉ phải đáp ứng điều kiện tại thời điểm cấp phép mà còn phải duy trì liên tục các điều kiện kinh doanh, bảo đảm tính chính xác của thông tin và chịu trách nhiệm trong suốt quá trình hoạt động.

📩 ĐẶT LỊCH TƯ VẤN CÙNG ĐỘI NGŨ LUẬT SƯ CDLAF

Đừng để những sai sót thủ tục làm gián đoạn kế hoạch kinh doanh. Liên hệ ngay với CDLAF để nhận đánh giá rủi ro sơ bộ từ đội ngũ Luật sư và Chuyên gia Pháp lý Thương mại Điện tử:

Hotline/Zalo: [+84 909 668 216]

Email: info@cdlaf.vn

Bạn có thể tham thảo thêm:

• Điều Chuyển Người Lao Động Làm Công Việc Khác: Những Lưu Ý Doanh Nghiệp Cần Biết
• Xử Lý Kỷ Luật Lao Động Đúng Quy Định: Quy Trình Và Những Lưu ý Doanh Nghiệp Cần Biết
• Thỏa Thuận Không Cạnh Tranh Trong Quan Hệ Lao Động: Hợp Pháp Hay Không?
• Thiệt Hại “Nghiêm Trọng” Trong Xử Lý Kỷ Luật Sa Thải Được Xác Định Như Thế Nào?