Nghị định quy định chi tiết khoản 3 Điều 28 và khoản 3 Điều 29 Luật An ninh mạng số 116/2025/QH15, gồm các nội dung về sản phẩm, dịch vụ an ninh mạng; điều kiện kinh doanh và việc cấp, cấp đổi, cấp lại, gia hạn, tạm đình chỉ, thu hồi giấy phép kinh doanh; điều kiện cấp, thu hồi giấy phép xuất khẩu, nhập khẩu sản phẩm an ninh mạng; kiểm tra hoạt động kinh doanh, xuất khẩu, nhập khẩu và trách nhiệm của các cơ quan, tổ chức, doanh nghiệp, cá nhân có liên quan.
Đối tượng áp dụng
Nghị định áp dụng đối với tổ chức, doanh nghiệp kinh doanh sản phẩm, dịch vụ an ninh mạng; cơ quan cấp phép, quản lý hoạt động kinh doanh sản phẩm, dịch vụ an ninh mạng và các cơ quan, tổ chức, cá nhân có liên quan.
Bộ Quốc phòng quản lý về an ninh mạng đối với nhiệm vụ quân sự, quốc phòng. Bộ Công an quản lý về an ninh mạng đối với các đơn vị quân đội có hoạt động dân sự, kinh tế theo thẩm quyền. Đối với các nội dung giao thoa (nếu có), Bộ Công an và Bộ Quốc phòng thống nhất quy chế phối hợp.
 |
| Doanh nghiệp kinh doanh sản phẩm, dịch vụ an ninh mạng phải có hệ thống trang thiết bị, cơ sở vật chất và công nghệ phù hợp với hoạt động đầu tư, kinh doanh và loại hình sản phẩm, dịch vụ an ninh mạng đăng ký. Ảnh minh hoạ: VGP. |
Các sản phẩm an ninh mạng
Nghị định quy định các nhóm sản phẩm an ninh mạng gồm:
Sản phẩm kiểm tra, đánh giá an ninh mạng là thiết bị phần cứng, phần mềm có tính năng hoặc được thiết kế để tích hợp các tính năng rà quét, kiểm tra, phân tích cấu hình, hiện trạng, dữ liệu nhật ký của hệ thống thông tin, thiết bị điện tử; phát hiện lỗ hổng, điểm yếu và đưa ra đánh giá rủi ro an ninh mạng.
Sản phẩm giám sát an ninh mạng là thiết bị phần cứng, phần mềm có tính năng hoặc được thiết kế để tích hợp các tính năng giám sát, phân tích dữ liệu, địa chỉ mạng, lưu lượng mạng; thu thập, phân tích dữ liệu nhật ký theo thời gian thực; phát hiện và cảnh báo các sự kiện bất thường, có nguy cơ gây mất an ninh mạng.
Sản phẩm chống tấn công, xâm nhập là thiết bị phần cứng, phần mềm có tính năng hoặc được thiết kế để tích hợp các tính năng ngăn chặn tấn công, xâm nhập vào hệ thống thông tin.
Ngoài ra, nhóm sản phẩm an ninh mạng khác gồm sản phẩm bí mật thu thập thông tin; sản phẩm chế áp thông tin mạng; sản phẩm pháp y số, điều tra số; sản phẩm chế áp hệ thống mạng; sản phẩm che giấu địa chỉ IP.
Các dịch vụ an ninh mạng
Nghị định quy định các nhóm dịch vụ an ninh mạng gồm:
Dịch vụ kiểm tra, đánh giá an ninh mạng là dịch vụ rà quét, kiểm tra, phân tích cấu hình, hiện trạng, dữ liệu nhật ký của hệ thống thông tin; phát hiện lỗ hổng, điểm yếu và đưa ra đánh giá rủi ro mất an ninh mạng.
Dịch vụ bảo mật thông tin không sử dụng mật mã dân sự là dịch vụ hỗ trợ người sử dụng bảo đảm tính bí mật của thông tin, hệ thống thông tin mà không sử dụng sản phẩm mật mã dân sự.
Dịch vụ tư vấn an ninh mạng là dịch vụ hỗ trợ tư vấn, kiểm tra, đánh giá, triển khai, thiết kế, xây dựng các giải pháp bảo đảm an ninh mạng.
Dịch vụ giám sát an ninh mạng là dịch vụ giám sát, phân tích lưu lượng dữ liệu truyền trên hệ thống thông tin; thu thập, phân tích dữ liệu nhật ký theo thời gian thực; phát hiện và cảnh báo các sự kiện bất thường, có nguy cơ gây mất an ninh mạng.
Dịch vụ ứng cứu sự cố an ninh mạng là dịch vụ xử lý, khắc phục kịp thời sự cố gây mất an ninh mạng đối với hệ thống thông tin.
Dịch vụ khôi phục dữ liệu là dịch vụ phục hồi dữ liệu trong thiết bị điện tử, hệ thống thông tin đã bị xóa hoặc hư hỏng.
Dịch vụ phòng ngừa, chống tấn công mạng là dịch vụ ngăn chặn hành vi tấn công, xâm nhập vào hệ thống thông tin thông qua việc giám sát, thu thập, phân tích các sự kiện đang xảy ra trên hệ thống thông tin.
Nhóm dịch vụ an ninh mạng khác gồm dịch vụ cung cấp nền tảng kết nối bảo vệ an ninh mạng; dịch vụ huấn luyện, diễn tập bảo vệ an ninh mạng; dịch vụ che giấu địa chỉ IP trên không gian mạng; dịch vụ săn tìm và báo cáo lỗ hổng bảo mật.
Điều kiện kinh doanh sản phẩm, dịch vụ an ninh mạng
Theo nghị định, tổ chức, doanh nghiệp kinh doanh sản phẩm, dịch vụ an ninh mạng được cấp giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng khi đáp ứng đủ các điều kiện sau đây:
Doanh nghiệp, tổ chức phải được thành lập theo quy định của pháp luật Việt Nam và không vi phạm quy định của pháp luật về kinh doanh sản phẩm, dịch vụ an ninh mạng.
Đối với tổ chức kinh tế có vốn đầu tư nước ngoài, thời hạn đầu tư tại Việt Nam phải còn nhiều hơn 5 năm kể từ ngày được cấp giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng.
Về nhân sự, người đại diện theo pháp luật, người quản lý hoặc người được người đại diện theo pháp luật, người quản lý ủy quyền không thuộc các trường hợp bị loại trừ theo nghị định.
Các trường hợp này bao gồm người Việt Nam đã bị khởi tố hình sự mà đang bị cơ quan tiến hành tố tụng của Việt Nam hoặc nước ngoài điều tra, truy tố, xét xử; có tiền án về các tội xâm phạm an ninh quốc gia hoặc được cơ quan có thẩm quyền xác định có hoạt động xâm phạm an ninh quốc gia; có tiền án về tội khác do lỗi cố ý và chưa được xóa án tích; đang trong thời gian được tạm hoãn chấp hành hình phạt tù; đang bị quản chế, cấm cư trú, cấm đảm nhiệm chức vụ, cấm kinh doanh ngành, nghề kinh doanh có điều kiện về an ninh, trật tự theo quyết định của tòa án; hoặc đang bị áp dụng một số biện pháp xử lý hành chính theo quy định.
Quy định này cũng loại trừ người Việt Nam định cư ở nước ngoài mang hộ chiếu nước ngoài và người nước ngoài chưa được cơ quan có thẩm quyền của Việt Nam cấp phép cư trú, lao động tại Việt Nam.
Tổ chức, doanh nghiệp phải có nhân sự chịu trách nhiệm kỹ thuật phù hợp với loại hình sản phẩm, dịch vụ kinh doanh. Nhân sự này phải có bằng đại học trở lên hoặc chứng chỉ chuyên ngành về an ninh mạng, an toàn thông tin, công nghệ thông tin hoặc điện tử, viễn thông.
Về kỹ thuật, tổ chức, doanh nghiệp phải có hệ thống trang thiết bị, cơ sở vật chất và công nghệ phù hợp với hoạt động đầu tư, kinh doanh và loại hình sản phẩm, dịch vụ an ninh mạng đăng ký kinh doanh.
Nghị định số 332/2026/NĐ-CP có hiệu lực thi hành từ ngày 19/8/2026.
