Doanh nghiệp trước Nghị định 341/2026/NĐ-CP: Khi nào bắt buộc xin phép Mật mã dân sự và 12 nhóm thiết bị được nới lỏng?

Nhiều doanh nghiệp kinh doanh các sản phẩm về an ninh mạng trong một số tình huống sẽ có sự lúng túng trước câu hỏi thực tế: Thiết bị này có thuộc trường hợp phải xin giấy phép kinh doanh hay không? Sản phẩm có yếu tố mật mã dân sự? Và trên thực tế không ít lô hàng máy chủ, thiết bị định tuyến hay phần cứng lưu trữ từng bị ách tắc tại hải quan chỉ vì tài liệu kỹ thuật có xuất hiện các thuật toán mã hóa (như AES, RSA, IPsec), khiến doanh nghiệp lúng túng không rõ sản phẩm thuộc thẩm quyền quản lý của Ban Cơ yếu Chính phủ, Bộ Công an hay hoàn toàn được miễn trừ. Ngược lại, nhiều đơn vị lại mất nhiều tháng làm thủ tục xin giấy phép cho những thiết bị vốn dĩ chỉ phục vụ nhu cầu CNTT thông dụng.

Chính thức có hiệu lực từ ngày 01/09/2026, Nghị định 341/2026/NĐ-CP bóc tách một hành lang kỹ thuật rành mạch: Thiết lập ranh giới cứng cho 07 nhóm sản phẩm MMDS chuyên dụng bắt buộc phải có giấy phép, chính thức giải phóng gánh nặng hành chính cho 12 nhóm sản phẩm CNTT thông dụng, đồng thời quy định hành lang pháp lý cho nhóm sản phẩm lưỡng dụng khi có cả yếu tố an ninh mạng và mật mã dân sự trong cùng 1 sản phẩm.

1. Khái niệm cốt lõi & điều kiện kinh doanh chung

Khái niệm Sản phẩm Mật mã dân sự (MMDS): Là phần cứng, phần mềm, trang thiết bị kỹ thuật hoặc tài liệu nghiệp vụ dùng kỹ thuật mật mã (thuật toán đối xứng hoặc bất đối xứng) để bảo vệ thông tin không thuộc bí mật nhà nước (Điều 3.1).

Quy định cấp phép bắt buộc:

Điều kiện kinh doanh: Doanh nghiệp kinh doanh sản phẩm, dịch vụ mật mã dân sự thuộc phạm vi điều chỉnh phải đáp ứng các điều kiện theo quy định và được Ban Cơ yếu Chính phủ cấp Giấy phép kinh doanh. Giấy phép có thời hạn đến 10 năm theo quy định.

Điều kiện đối với sản phẩm: Sản phẩm thuộc phạm vi quản lý phải đáp ứng các yêu cầu về chất lượng, tiêu chuẩn, quy chuẩn kỹ thuật và công bố/chứng nhận hợp quy theo quy định trước khi đưa vào kinh doanh, lưu thông trên thị trường.

2. 07 nhóm sản phẩm MMDS thuộc diện quản lý chuyên ngành (phụ lục I)

Phụ lục I xác định các nhóm sản phẩm, thiết bị và phần mềm sử dụng kỹ thuật mật mã thuộc phạm vi quản lý, theo đó doanh nghiệp kinh doanh phải đáp ứng điều kiện và thực hiện thủ tục cấp phép theo quy định:

• Nhóm 1: Sản phẩm sinh khóa mật mã, quản lý hoặc lưu trữ khóa mật mã: Mô-đun phần cứng HSM, PKI USB Token, Smartcard PKI, SIM PKI.
• Nhóm 2: Sản phẩm bảo mật dữ liệu lưu giữ: Thiết bị, thẻ thông minh, USB, chip nhớ hoặc giải pháp đám mây mã hóa/giải mã dữ liệu tĩnh.
• Nhóm 3: Sản phẩm bảo mật dữ liệu trao đổi trên mạng: Thiết bị/phần mềm mã hóa, ký số truyền nhận trên đường truyền (ngoài nhóm luồng IP).
• Nhóm 4: Sản phẩm bảo mật luồng IP: Thiết bị và phần mềm tạo mạng riêng ảo bảo mật như IPsec VPN, TLS VPN, MACsec.
• Nhóm 5: Sản phẩm bảo mật thoại tương tự và thoại số: Thiết bị/phần mềm mã hóa âm thanh, hình ảnh qua giao thức ZRTP, SRTP, WebRTC, SIPS.
• Nhóm 6: Sản phẩm bảo mật thông tin vô tuyến: Thiết bị truyền dẫn/thu phát vô tuyến có thuật toán mã hóa.
• Nhóm 7: Sản phẩm bảo mật fax và điện báo: Máy in/copy/fax tích hợp mã hóa dữ liệu tại chỗ hoặc trên đường truyền.

3. 12 nhóm sản phẩm CNTT được loại trừ khỏi diện cấp phép (phụ lục I)

Phụ lục I xác định cụ thể 12 nhóm sản phẩm CNTT có sử dụng kỹ thuật mật mã nhưng được loại trừ khỏi phạm vi sản phẩm, dịch vụ mật mã dân sự kinh doanh có điều kiện. Việc phân định này giúp doanh nghiệp xác định đúng nghĩa vụ cấp phép trên cơ sở chức năng, mục đích và đặc tính kỹ thuật của sản phẩm.

Nhóm thiết bị và phần mềm thương mại phổ thông:

• Hệ điều hành, trình duyệt, phần mềm có sẵn tính năng mật mã phụ, người dùng tự cài đặt.
• Thiết bị điện tử tiêu dùng đại trà: Máy tính bảng, máy ảnh kỹ thuật số, camera, đầu DVD.
• Điện thoại di động không có tính năng mã hóa đầu cuối (end-to-end).

Nhóm hạ tầng mạng, quản trị và an ninh mạng:

• Sản phẩm chỉ có chức năng xác thực định danh (Authentication), không có chức năng mã hóa dữ liệu.
• Sản phẩm sử dụng kỹ thuật mật mã chỉ nhằm mục đích giám sát, ngăn chặn, phát hiện tấn công mạng (IDS/IPS, SIEM, SOC tool…).
• Thiết bị dùng mật mã để phục vụ truy cập từ xa, quản trị thiết bị nội bộ.
• Thiết bị/giải pháp dùng mật mã để bảo vệ truy cập mạng không dây (Wi-Fi WPA2/WPA3…).

Nhóm linh kiện phần cứng & lưu trữ chuyên biệt:

• Ổ cứng lưu trữ tích hợp mã hóa tự động SED (Self-Encrypting Drive) dùng rộng rãi.
• Mạch tích hợp sử dụng công nghệ TPM (Trusted Platform Module) để xác thực bo mạch, bảo vệ mật khẩu.

Nhóm thẻ thông minh, bản quyền và y tế:

• Thẻ thông minh (Smart card) và đầu đọc chỉ dùng truy cập chung, chỉ bảo vệ thông tin cá nhân.
• Giải pháp bảo vệ bản quyền phần mềm, nội dung số (DRM, chống copy đĩa/video).
• Sản phẩm thiết kế đặc biệt chỉ dùng tại đầu cuối trong lĩnh vực y tế.

Việc quy định rõ nhóm sản phẩm loại trừ giúp doanh nghiệp phân biệt sản phẩm có sử dụng kỹ thuật mật mã với sản phẩm thuộc diện quản lý kinh doanh có điều kiện, hạn chế việc áp dụng thủ tục cấp phép không cần thiết. Theo đó, việc xác định nghĩa vụ cấp phép phải căn cứ vào chức năng chính, mục đích sử dụng và đặc tính kỹ thuật thực tế của sản phẩm, không chỉ dựa trên việc sản phẩm có tích hợp thuật toán hoặc thành phần mật mã.

4. Nguyên tắc “3 điểm trùng khớp” khi xuất nhập khẩu

Đối với hoạt động xuất khẩu, nhập khẩu, doanh nghiệp cần đối chiếu đồng thời mã HS, mô tả hàng hóa và đặc tính kỹ thuật mật mã của sản phẩm với danh mục tại Phụ lục II để xác định nghĩa vụ cấp Giấy phép xuất khẩu, nhập khẩu sản phẩm mật mã dân sự.

Công thức xác định: Hàng hóa chỉ thuộc diện phải xin Giấy phép Xuất nhập khẩu MMDS (thời hạn 03 năm) khi và chỉ khi thỏa mãn đồng thời cả 03 yếu tố:

• Trùng Mã HS.
• Trùng Mô tả hàng hóa.
• Trùng Mô tả đặc tính kỹ thuật mật mã.

Xử lý tình huống lệch mã HS: Ưu tiên áp dụng quy chuẩn phân loại của pháp luật Hải quan; Theo Điều 9.3, Danh mục sản phẩm xuất khẩu, nhập khẩu theo giấy phép chỉ áp dụng khi đồng thời đáp ứng cả ba tiêu chí nêu trên.

5. Cơ chế cấp phép đối với “sản phẩm lưỡng dụng” (an ninh mạng và MMDS)

Nghị định số 341/2026/NĐ-CP thiết lập cơ chế phối hợp thực hiện giúp giải quyết xung đột thẩm quyền giữa Bộ Công an và Ban Cơ yếu Chính, bảo đảm thống nhất đầu mối nhưng không làm giảm yêu cầu thẩm định chuyên ngành:

• Định danh sản phẩm: Thiết bị, phần mềm đồng thời có tính năng an ninh mạng (quản lý, giám sát, phòng thủ mạng), vừa tích hợp tính năng mật mã dân sự như quản lý, giám sát, phòng thủ mạng kết hợp mã hóa, bảo vệ dữ liệu hoặc đường truyền (Điều 4.5 & Điều 9.4).
• Thống nhất đầu mối cấp phép duy nhất: Nộp hồ sơ và nhận Giấy phép tại Bộ Công an đối với sản phẩm thuộc trường hợp quy định tại Điều 4.5 và Điều 9.4.
• Thủ tục liên ngành – Bảo đảm thẩm định chuyên ngành: Bộ Công an bắt buộc phải lấy ý kiến thẩm định bằng văn bản từ Ban Cơ yếu Chính phủ về tính năng mật mã dân sự trước khi cấp phép.

Vậy, cơ chế mới đơn giản hóa đầu mối thực hiện thủ tục nhưng vẫn duy trì cơ chế thẩm định chuyên ngành, góp phần hạn chế chồng chéo về thủ tục đồng thời bảo đảm bảo đảm hiệu lực quản lý nhà nước đối với các chức năng mật mã dân sự.

6. Checklist Cho Doanh Nghiệp Công Nghệ & Tích Hợp Hệ Thống

Bước 1. Rà soát, phân loại sản phẩm: Đối chiếu toàn bộ danh mục thiết bị, phần mềm đang kinh doanh với 12 nhóm sản phẩm được loại trừ tại Phụ lục I và nhóm sản phẩm MMDS xuất khẩu, nhập khẩu theo giấy phép tại Phụ lục II ban hành kèm theo Nghị định 341/2026/NĐ-CP, đồng thời kiểm tra chức năng, mục đích sử dụng và đặc tính kỹ thuật thực tế của từng sản phẩm.

Bước 2. Bóc tách tính năng và xác định cơ quan cấp phép: Xác định sản phẩm là mật mã dân sự thuần túy hay sản phẩm lưỡng dụng, từ đó xác định đúng cơ quan có thẩm quyền tiếp nhận và cấp phép theo quy định.

• Ban Cơ yếu Chính phủ: Áp dụng nếu sản phẩm là Mật mã dân sự thuần túy (chức năng chính là mã hóa lưu trữ, bảo mật dữ liệu hoặc cung cấp dịch vụ chữ ký số tiêu chuẩn)
• Bộ Công an: Áp dụng đối với sản phẩm lưỡng dụng có đồng thời tính năng mật mã dân sự và tính năng an ninh mạng; trước khi cấp phép, Bộ Công an lấy ý kiến Ban Cơ yếu Chính phủ bằng văn bản về tính năng mật mã dân sự.

Bước 3. Kiểm tra điều kiện nhân sự và hệ thống trang thiết bị, cơ sở vật chất: Rà soát cơ cấu nhân sự và hệ thống trang thiết bị, cơ sở vật chất trước khi nộp hồ sơ, bảo đảm đáp ứng điều kiện theo Điều 5.1, gồm:

• Cán bộ kỹ thuật: Đảm bảo có tối thiểu 02 người có bằng tốt nghiệp đại học trở lên thuộc các chuyên ngành phù hợp theo quy định.
• Cán bộ quản lý, điều hành: Tối thiểu 01 người đáp ứng yêu cầu về trình độ chuyên môn; trường hợp tốt nghiệp đại học ngành khác phải đáp ứng thêm yêu cầu về chứng chỉ đào tạo liên quan đến bảo mật, an toàn thông tin theo quy định.
• Cơ sở vật chất và kỹ thuật: Có hệ thống trang thiết bị, cơ sở vật chất phù hợp và phương án kỹ thuật đáp ứng tiêu chuẩn, quy chuẩn kỹ thuật theo quy định.

Bước 4. Chuẩn hóa hồ sơ kỹ thuật: Chuẩn bị tài liệu mô tả sản phẩm, chức năng mật mã, mục đích sử dụng, thông số kỹ thuật và các tài liệu chứng minh điều kiện kinh doanh, bảo đảm thống nhất giữa hồ sơ pháp lý và hồ sơ kỹ thuật.

Bước 5. Rà soát nghĩa vụ sau cấp phép: Thiết lập cơ chế nội bộ để duy trì điều kiện kinh doanh, quản lý thông tin khách hàng, thực hiện chế độ báo cáo và theo dõi thời hạn giấy phép trong suốt quá trình hoạt động.

Lưu ý: Việc phân loại cần được thực hiện trên cơ sở đối chiếu chức năng, mục đích sử dụng, đặc tính kỹ thuật và danh mục sản phẩm theo các Phụ lục của Nghị định, từ đó xác định chính xác phạm vi quản lý và nghĩa vụ pháp lý tương ứng.

Nghị định số 341/2026/NĐ-CP thiết lập cơ chế quản lý theo hướng phân định rõ đối tượng chịu cấp phép, xác định cụ thể phạm vi sản phẩm được loại trừ, phân định thẩm quyền đối với sản phẩm lưỡng dụng và chuẩn hóa nghĩa vụ của doanh nghiệp trong suốt quá trình hoạt động.

Đối với doanh nghiệp công nghệ, việc xác định nghĩa vụ pháp lý cần được thực hiện trên cơ sở đối chiếu danh mục, chức năng, mục đích sử dụng, đặc tính kỹ thuật và cơ chế cấp phép tương ứng, thay vì chỉ căn cứ vào tên thương mại hoặc việc sản phẩm có tích hợp công nghệ mật mã. Đây là cơ sở để doanh nghiệp chủ động phân loại sản phẩm, xác định đúng cơ quan có thẩm quyền, chuẩn bị hồ sơ và kiểm soát nghĩa vụ tuân thủ trong hoạt động kinh doanh, xuất nhập khẩu.

📩 ĐẶT LỊCH TƯ VẤN CÙNG ĐỘI NGŨ LUẬT SƯ CDLAF

Đừng để những sai sót thủ tục làm gián đoạn kế hoạch kinh doanh. Liên hệ ngay với CDLAF để nhận đánh giá rủi ro sơ bộ từ đội ngũ Luật sư và Chuyên gia Pháp lý Thương mại Điện tử:

Hotline/Zalo: [+84 909 668 216]

Email: info@cdlaf.vn

Bạn có thể tham thảo thêm:

• Điều Chuyển Người Lao Động Làm Công Việc Khác: Những Lưu Ý Doanh Nghiệp Cần Biết
• Xử Lý Kỷ Luật Lao Động Đúng Quy Định: Quy Trình Và Những Lưu ý Doanh Nghiệp Cần Biết
• Thỏa Thuận Không Cạnh Tranh Trong Quan Hệ Lao Động: Hợp Pháp Hay Không?
• Thiệt Hại “Nghiêm Trọng” Trong Xử Lý Kỷ Luật Sa Thải Được Xác Định Như Thế Nào?