Khi Nào Doanh Nghiệp Bắt Buộc Phải Xin Giấy Phép Mật Mã Dân Sự?

Trong bối cảnh bùng nổ của nền kinh tế số, việc bảo vệ an toàn dữ liệu không chỉ là nhu cầu tự thân mà còn là nghĩa vụ pháp lý bắt buộc đối với mọi doanh nghiệp. Với sự kiện Luật An ninh mạng 2025 (Luật số 116/2025/QH15) chính thức có hiệu lực thi hành từ ngày 01/07/2026, khung pháp lý về quản lý rủi ro trên không gian mạng tại Việt Nam đã được hoàn thiện và thắt chặt hơn. Một trong những trọng tâm quản lý khắt khe nhất hiện nay chính là lĩnh vực Mật mã dân sự (‘MMDS’). Đây tiếp tục được xác định là ngành nghề kinh doanh có điều kiện, đòi hỏi sự tuân thủ nghiêm ngặt từ các tổ chức, doanh nghiệp tham gia sản xuất, kinh doanh và xuất nhập khẩu.

Nghị định 211/2025/NĐ-CP đã cập nhật chi tiết danh mục sản phẩm MMDS thuộc diện quản lý chuyên ngành cũng như các quy định mới về cấp phép. Trên thực tế, nhiều doanh nghiệp đặc biệt trong các lĩnh vực công nghệ phần mềm, viễn thông,… vẫn lúng túng trong việc xác định ranh giới giữa một sản phẩm thông thường và một sản phẩm thuộc diện quản lý, từ đó tiềm ẩn nguy cơ vi phạm hành chính và phải đối mặt với các chế tài xử phạt theo quy định pháp luật.

Vậy theo các văn bản pháp lý mới nhất, khái niệm MMDS được hiểu như thế nào? Và quan trọng hơn, Khi nào doanh nghiệp bắt buộc phải xin Giấy phép kinh doanh sản phẩm, dịch vụ MMDS? Bài viết dưới đây sẽ phân tích chi tiết quy định pháp luật hiện hành, nhằm giúp doanh nghiệp có cái nhìn toàn diện và triển khai kinh doanh đúng pháp luật.

1. Mật mã dân sự là gì?

Dưới góc độ pháp lý, theo quy định mới nhất tại khoản 20 Điều 2 Luật An ninh mạng 2025 (Luật số 116/2025/QH15), thuật ngữ này được định nghĩa rõ như sau:

“Mật mã dân sự là kỹ thuật mật mã và sản phẩm mật mã được sử dụng để bảo mật hoặc xác thực đối với thông tin không thuộc phạm vi bí mật nhà nước nhằm bảo đảm an ninh thông tin cho cơ quan, tổ chức, cá nhân.”

2. Giấy phép kinh doanh sản phẩm, dịch vụ MMDS

Giấy phép kinh doanh sản phẩm, dịch vụ mật mã dân sự là loại giấy phép kinh doanh có điều kiện do Ban Cơ yếu Chính phủ cấp để quản lý việc kinh doanh các sản phẩm mật mã dân sự và dịch vụ mật mã dân sự. Doanh nghiệp được cấp Giấy phép kinh doanh sản phẩm, dịch vụ mật mã dân sự khi đáp ứng đủ các điều kiện quy định về cơ sở vật chất, đội ngũ kỹ thuật, cán bộ quản lý, hạ tầng kỹ thuật, phương án kinh doanh, phương án bảo hành và phương án kỹ thuật cho sản phẩm MMDS.

Theo đó, Cơ quan tiếp nhận và thụ lý hồ sơ xin cấp phép kinh doanh, nhập khẩu sản phẩm mật mã dân sự là Cục Quản lý mật mã dân sự và Kiểm định sản phẩm mật mã – Ban Cơ yếu Chính phủ.

3. Sản phẩm MMDS, Dịch vụ MMDS và Danh mục sản phẩm, dịch vụ MMDS

Để xác định chính xác nghĩa vụ xin giấy phép, doanh nghiệp trước tiên cần nắm rõ các khái niệm và phân loại danh mục hàng hóa, dịch vụ theo quy định tại Nghị định 211/2025/NĐ-CP.

(i) Sản phẩm và dịch vụ mật mã dân sự

Sản phẩm MMDS: Được mô tả là các hệ thống, thiết bị, các mô-đun và mạch tích hợp, các phần mềm được thiết kế chuyên dụng để bảo vệ thông tin bằng kỹ thuật mật mã sử dụng “thuật toán mật mã đối xứng” hoặc “thuật toán mật mã không đối xứng”. Theo đó, có thể hiểu sản phẩm MMDS là các sản phẩm có sinh khóa mật mã, hoặc bảo mật dữ liệu lưu trữ và dự liệu trao đổi trên môi trường internet bằng khóa mật mã. Sản phẩm này có thể tồn tại ở dạng phần mềm (software), hoặc phần cứng (hardware), được thiết kế để mã hóa hoặc xác thực thông tin, nhằm bảo vệ dữ liệu trong các hệ thống thông tin an toàn hơn.

Dịch vụ MMDS: Các hoạt động thương mại nhằm cung cấp dịch vụ bảo vệ thông tin sử dụng, kiểm định, đánh giá, tư vấn bảo mật, an toàn thông tin mạng sử dụng sản phẩm mật mã dân sự.

(ii) Danh mục sản phẩm, dịch vụ MMDS

Căn cứ theo Phụ lục I ban hành kèm theo Nghị định 211/2025/NĐ-CP, danh mục hàng hóa, dịch vụ bắt buộc phải có Giấy phép kinh doanh khi cung cấp ra thị trường được chia thành 02 nhóm cụ thể:

Danh mục sản phẩm MMDS: Bao gồm 07 nhóm thiết bị, phần mềm trọng yếu:

• Sản phẩm sinh khóa mật mã, quản lý hoặc lưu trữ khóa mật mã
• Sản phẩm bảo mật dữ liệu lưu giữ
• Sản phẩm bảo mật dữ liệu trao đổi trên mạng
• Sản phẩm bảo mật luồng IP
• Sản phẩm bảo mật thoại tương tự và thoại số
• Sản phẩm bảo mật thông tin vô tuyến
• Sản phẩm bảo mật fax, điện báo

Danh mục dịch vụ MMDS: Bao gồm 03 loại hình dịch vụ:

• Dịch vụ bảo vệ thông tin sử dụng sản phẩm MMDS
• Dịch vụ kiểm định, đánh giá sản phẩm MMDS
• Dịch vụ tư vấn bảo mật, an toàn thông tin mạng sử dụng sản phẩm MMDS

(iii) Bên cạnh đó, Nghị định 211/2025/NĐ-CP là đã liệt kê rõ ràng các nhóm sản phẩm công nghệ có ứng dụng tính năng mật mã nhưng không chịu sự điều chỉnh của giấy phép kinh doanh/cấp phép xuất nhập khẩu chuyên ngành. Cụ thể, các sản phẩm sau đây:

• Hệ điều hành, trình duyệt Internet, phần mềm đã được tích hợp các thành phần mật mã có sẵn (chức năng bảo vệ thông tin bằng kỹ thuật mật mã không phải là chức năng chính) và thiết bị phổ biến (như máy tính bảng, máy ảnh kỹ thuật số, đầu DVD…) có tích hợp/cài đặt sẵn tính năng mật mã. Tính năng này không phải chức năng chính và người dùng có thể tự cài đặt, sử dụng không cần nhà cung cấp hỗ trợ
• Các dòng điện thoại không có khả năng mã hóa đầu cuối
• Thẻ thông minh (smart card) và đầu đọc/ghi chỉ sử dụng để truy cập chung và được chế tạo đặc biệt, chỉ có khả năng bảo vệ các thông tin cá nhân.
• Các sản phẩm thiết kế chuyên biệt để: chống sao chép phần mềm; chống tiếp cận phương tiện lưu trữ dạng đọc hoặc mã hóa bán công khai; bảo vệ bản quyền âm thanh/video một lần
• Các sản phẩm chỉ dùng để xác thực định danh (không có mã hóa); hoặc các mạch tích hợp TPM (Trusted Platform Module) dùng để nhận dạng thiết bị, xác thực thông tin và bảo vệ mật khẩu
• Ứng dụng kỹ thuật mật mã chuyên biệt nhằm mục đích: truy cập từ xa và quản trị thiết bị; bảo vệ truy cập không dây; hoặc giám sát, ngăn chặn và phát hiện các cuộc tấn công mạng
• Ổ cứng lưu giữ sử dụng công nghệ mã hóa SED (Self-Encrypting Drive), được sử dụng rộng rãi.
• Các thiết bị thiết kế đặc biệt, chỉ giới hạn sử dụng ở phía đầu cuối trong lĩnh vực y tế.

4. Khi nào doanh nghiệp bắt buộc phải xin Giấy phép MMDS?

Theo quy định, doanh nghiệp bắt buộc phải được Ban Cơ yếu Chính phủ cấp Giấy phép kinh doanh sản phẩm, dịch vụ mật mã dân sự khi tham gia vào các hoạt động đối với nhóm đối tượng thuộc Danh mục quản lý chuyên ngành đã phân tích nêu trên. Nghĩa vụ pháp lý này phát sinh cụ thể trong hai trường hợp: (i) Thực hiện các hoạt động sản xuất, lắp ráp, phát triển thiết bị phần cứng, phần mềm có chứa tính năng mật mã, hoặc thương mại hóa các sản phẩm này trên thị trường; và (ii) Cung ứng các dịch vụ chuyên môn liên quan đến mật mã dân sự, bao gồm dịch vụ bảo vệ thông tin, kiểm định, đánh giá và tư vấn bảo mật.

Tuy nhiên, mặc dù danh mục sản phẩm và tính năng MMDS đã được quy định chi tiết tại Phụ lục I, Nghị định số 211/2025/NĐ-CP, việc phân định chính xác sản phẩm nào thuộc diện phải xin giấy phép kinh doanh trên thực tế không hề đơn giản. Do đặc thù kỹ thuật chuyên sâu của lĩnh vực mật mã, quá trình đánh giá này đòi hỏi người thực hiện phải có sự kết hợp chặt chẽ giữa kiến thức chuyên môn, kinh nghiệm thực tiễn cũng như việc nắm vững các quy định pháp luật liên quan.

5. Kết luận

Chính vì sự phức tạp này, các doanh nghiệp khi kinh doanh các thiết bị, phần mềm công nghệ thông tin hoặc cung cấp các dịch vụ có tính năng MMDS cần hết sức thận trọng trong khâu rà soát tính năng. Để tránh những rủi ro pháp lý không đáng có như bị xử phạt vi phạm hành chính, việc tham vấn sớm với các chuyên gia kỹ thuật và tổ chức tư vấn pháp lý giàu kinh nghiệm là bước chuẩn bị không thể thiếu. Sự đồng hành của các đơn vị tư vấn không chỉ giúp doanh nghiệp phân định chính xác sản phẩm theo Nghị định 211/2025/NĐ-CP, mà còn đảm bảo quá trình xin cấp phép diễn ra thuận lợi, thông suốt và tối ưu chi phí.

Về Tác giả & Hệ sinh thái: Bài viết được bảo trợ pháp lý bởi CDLAF và chuyên môn từ CFT Solutions – công ty chuyên cung cấp các dịch vụ Tài chính – Thuế – Kế toán. Chúng tôi mang đến giải pháp quản trị toàn diện, giúp doanh nghiệp kiểm soát rủi ro và tối ưu nguồn lực.

📩 ĐẶT LỊCH TƯ VẤN CÙNG ĐỘI NGŨ LUẬT SƯ CDLAF

Đừng để những sai sót thủ tục làm gián đoạn kế hoạch kinh doanh. Liên hệ ngay với CDLAF để nhận đánh giá rủi ro sơ bộ từ đội ngũ Luật sư và Chuyên gia Pháp lý Thương mại Điện tử:

Hotline/Zalo: [+84 909 668 216]

Email: info@cdlaf.vn

Bạn có thể tham thảo thêm:

• Điều Chuyển Người Lao Động Làm Công Việc Khác: Những Lưu Ý Doanh Nghiệp Cần Biết
• Xử Lý Kỷ Luật Lao Động Đúng Quy Định: Quy Trình Và Những Lưu ý Doanh Nghiệp Cần Biết
• Thỏa Thuận Không Cạnh Tranh Trong Quan Hệ Lao Động: Hợp Pháp Hay Không?
• Thiệt Hại “Nghiêm Trọng” Trong Xử Lý Kỷ Luật Sa Thải Được Xác Định Như Thế Nào?