An ninh mạng

Theo Luật An ninh mạng 2025, kinh doanh sản phẩm, dịch vụ an ninh mạng cần gì?

01/08/2026
1 lượt xem
0 bình luận

Phải có giấy phép. Danh mục sản phẩm gồm 5 nhóm, dịch vụ gồm 9 nhóm — rộng hơn nhiều so với hình dung thông thường, bao gồm cả tư vấn, khôi phục dữ liệu và ứng cứu sự cố.

Nhiều doanh nghiệp công nghệ tại Việt Nam đang cung cấp dịch vụ mà theo Luật An ninh mạng 116/2025/QH15 là "dịch vụ an ninh mạng" — nhưng không nhận ra vì hình dung về ngành này thường bó hẹp ở phần mềm diệt vi-rút hay tường lửa.

Điều 28 của Luật liệt kê danh mục cụ thể, và danh mục đó rộng hơn nhiều.

Năm nhóm sản phẩm an ninh mạng

Khoản 1 Điều 28 Luật 116/2025/QH15 quy định sản phẩm an ninh mạng bao gồm:

Sản phẩm mật mã dân sự;
Sản phẩm kiểm tra, đánh giá an ninh mạng;
Sản phẩm giám sát an ninh mạng;
Sản phẩm chống tấn công, xâm nhập;
Sản phẩm an ninh mạng khác.

Nhóm cuối cùng là quy định mở, cho phép bổ sung qua văn bản hướng dẫn. Khoản 3 Điều 28 giao Chính phủ quy định chi tiết Điều này.

Chín nhóm dịch vụ an ninh mạng

Khoản 2 Điều 28 liệt kê:

Dịch vụ kiểm tra, đánh giá an ninh mạng;
Dịch vụ bảo mật thông tin không sử dụng mật mã dân sự;
Dịch vụ mật mã dân sự;
Dịch vụ tư vấn an ninh mạng;
Dịch vụ giám sát an ninh mạng;
Dịch vụ ứng cứu sự cố an ninh mạng;
Dịch vụ khôi phục dữ liệu;
Dịch vụ phòng ngừa, chống tấn công mạng;
Dịch vụ an ninh mạng khác.

Ba nhóm mà doanh nghiệp hay bỏ sót

Dịch vụ tư vấn an ninh mạng. Công ty tư vấn giúp khách hàng xây dựng chính sách bảo mật, đánh giá mức độ trưởng thành, chuẩn bị hồ sơ tuân thủ — đều nằm trong nhóm này. Không cần bán phần mềm mới thuộc phạm vi.

Dịch vụ khôi phục dữ liệu. Đây là nhóm gây bất ngờ nhiều nhất. Các đơn vị làm dịch vụ cứu dữ liệu ổ cứng hỏng, khôi phục dữ liệu sau khi bị mã hóa tống tiền, đều thuộc danh mục dịch vụ an ninh mạng theo điểm g khoản 2 Điều 28.

Dịch vụ ứng cứu sự cố an ninh mạng. Các đội hỗ trợ khẩn cấp khi khách hàng bị tấn công cũng nằm trong danh mục.

Yêu cầu bắt buộc: phải có giấy phép

Khoản 1 Điều 29 Luật 116/2025/QH15 quy định ngắn gọn: doanh nghiệp kinh doanh sản phẩm, dịch vụ an ninh mạng phải có giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng.

Không có ngoại lệ theo quy mô trong chính điều luật. Một công ty hai người làm dịch vụ tư vấn an ninh mạng vẫn thuộc diện phải có giấy phép như một tập đoàn lớn.

Khoản 3 Điều 29 giao Chính phủ quy định việc cấp, tạm đình chỉ, thu hồi giấy phép; quy định việc nhập khẩu, xuất khẩu sản phẩm an ninh mạng; quy định việc kinh doanh sản phẩm, dịch vụ an ninh mạng. Điều kiện, hồ sơ và thủ tục cụ thể sẽ nằm ở nghị định.

Năm trách nhiệm của doanh nghiệp đã có giấy phép

Khoản 2 Điều 29 quy định doanh nghiệp kinh doanh sản phẩm, dịch vụ an ninh mạng có trách nhiệm:

Thực hiện đúng giấy phép; tuân thủ quy định của pháp luật về an ninh mạng và quy định khác của pháp luật có liên quan;
Bảo đảm chất lượng sản phẩm, dịch vụ đúng với tiêu chuẩn công bố áp dụng, quy chuẩn kỹ thuật tương ứng theo quy định của pháp luật về chất lượng sản phẩm hàng hóa và pháp luật về tiêu chuẩn, quy chuẩn kỹ thuật, trước khi lưu thông trên thị trường;
Lập, lưu giữ và bảo mật thông tin của khách hàng, quản lý hồ sơ, tài liệu về giải pháp kỹ thuật, công nghệ của sản phẩm, hoạt động cung cấp dịch vụ theo quy định của pháp luật;
Từ chối cung cấp sản phẩm, dịch vụ khi phát hiện tổ chức, cá nhân vi phạm pháp luật về sử dụng sản phẩm, dịch vụ an ninh mạng, hoặc vi phạm cam kết đã thỏa thuận;
Phối hợp, tạo điều kiện, thực hiện yêu cầu của lực lượng chuyên trách bảo vệ an ninh mạng để thực hiện các biện pháp bảo vệ an ninh mạng.

Nghĩa vụ từ chối khách hàng là điểm đáng chú ý

Điểm d khoản 2 Điều 29 đặt ra một nghĩa vụ khác thường trong quan hệ thương mại: doanh nghiệp phải từ chối cung cấp dịch vụ khi phát hiện khách hàng vi phạm.

Điều này có hệ quả trực tiếp tới hợp đồng: cần có điều khoản cho phép đơn phương chấm dứt khi phát hiện khách hàng sử dụng sản phẩm, dịch vụ vào mục đích vi phạm pháp luật. Nếu hợp đồng không có điều khoản đó, doanh nghiệp rơi vào thế kẹt giữa nghĩa vụ pháp luật và cam kết hợp đồng.

Vế thứ hai — "vi phạm cam kết đã thỏa thuận về sử dụng sản phẩm, dịch vụ do doanh nghiệp cung cấp" — hàm ý doanh nghiệp cần có thỏa thuận rõ ràng về phạm vi sử dụng ngay từ đầu. Không có cam kết thì không có căn cứ xác định vi phạm cam kết.

Bảo mật thông tin khách hàng

Điểm c khoản 2 Điều 29 đặt ra nghĩa vụ kép: vừa bảo mật thông tin khách hàng, vừa quản lý hồ sơ tài liệu về giải pháp kỹ thuật, công nghệ.

Với doanh nghiệp làm dịch vụ kiểm tra, đánh giá an ninh mạng, đây là điểm nhạy cảm — báo cáo đánh giá thường chứa mô tả chi tiết lỗ hổng của khách hàng. Tài liệu đó nếu rò rỉ sẽ thành bản đồ tấn công. Quy trình lưu trữ, phân quyền truy cập và tiêu hủy báo cáo cũ cần được thiết lập nghiêm túc.

Chuyển tiếp cho giấy phép và sản phẩm đã có

Điều 45 Luật 116/2025/QH15 quy định điều khoản chuyển tiếp. Theo đó, giấy phép được cấp theo Luật An toàn thông tin mạng số 86/2015/QH13 đã được sửa đổi, bổ sung theo Luật số 35/2018/QH14 trước ngày Luật này có hiệu lực thi hành thì có giá trị sử dụng đến hết thời hạn ghi trên giấy phép.

Đối với sản phẩm, dịch vụ, giải pháp, phương tiện kỹ thuật bảo đảm an toàn thông tin mạng đã được đưa vào sử dụng trước ngày Luật có hiệu lực, Điều 45 cho phép tiếp tục được sử dụng; nhưng trong thời hạn 12 tháng kể từ ngày Luật có hiệu lực thi hành thì phải bảo đảm các điều kiện an ninh mạng theo quy định của Luật này.

Mốc thời gian cần nhớ

Luật có hiệu lực từ 01/7/2026 theo Điều 44. Cộng thêm 12 tháng chuyển tiếp, mốc phải bảo đảm điều kiện theo Luật mới là khoảng giữa năm 2027 đối với sản phẩm, dịch vụ đã đưa vào sử dụng từ trước.

Với giấy phép cũ, mốc là thời hạn ghi trên chính giấy phép đó — nên mỗi doanh nghiệp có mốc riêng, cần tra lại giấy phép của mình.

Ba việc doanh nghiệp công nghệ nên làm

Đối chiếu danh mục. Rà lại toàn bộ sản phẩm và dịch vụ đang cung cấp với 5 nhóm tại khoản 1 và 9 nhóm tại khoản 2 Điều 28. Đặc biệt chú ý ba nhóm dễ bỏ sót: tư vấn, khôi phục dữ liệu, ứng cứu sự cố;
Kiểm tra giấy phép hiện có và thời hạn còn lại;
Rà soát hợp đồng mẫu để bổ sung điều khoản về phạm vi sử dụng và quyền chấm dứt khi khách hàng vi phạm, phục vụ nghĩa vụ tại điểm d khoản 2 Điều 29.