Nghị định 332/2026/NĐ-CP Về kinh doanh sản phẩm, dịch vụ an ninh mạng

1. Nghị định này quy định chi tiết khoản 3 Điều 28, khoản 3 Điều 29 Luật An ninh mạng số 116/2025/QH15 gồm:

2. Nghị định này không điều chỉnh hoạt động kinh doanh sản phẩm, dịch vụ mật mã dân sự.

1. Nghị định này áp dụng đối với tổ chức, doanh nghiệp kinh doanh sản phẩm, dịch vụ an ninh mạng; cơ quan cấp phép, quản lý hoạt động kinh doanh sản phẩm, dịch vụ an ninh mạng; cơ quan, tổ chức, cá nhân có liên quan đến hoạt động kinh doanh sản phẩm, dịch vụ an ninh mạng.

2. Bộ Quốc phòng quản lý về an ninh mạng đối với nhiệm vụ quân sự, quốc phòng; Bộ Công an quản lý về an ninh mạng đối với các đơn vị Quân đội có hoạt động dân sự, kinh tế theo thẩm quyền; đối với các nội dung giao thoa (nếu có), Bộ Công an và Bộ Quốc phòng thống nhất quy chế phối hợp.

1. Sản phẩm kiểm tra, đánh giá an ninh mạng là các thiết bị phần cứng, phần mềm có các tính năng hoặc được thiết kế để tích hợp các tính năng sau: Rà quét, kiểm tra, phân tích cấu hình, hiện trạng, dữ liệu nhật ký của hệ thống thông tin, thiết bị điện tử; phát hiện lỗ hổng, điểm yếu; đưa ra đánh giá rủi ro an ninh mạng.

2. Sản phẩm giám sát an ninh mạng là các thiết bị phần cứng, phần mềm có các tính năng hoặc được thiết kế để tích hợp các tính năng sau: Giám sát, phân tích dữ liệu, địa chỉ mạng, lưu lượng mạng; thu thập, phân tích dữ liệu nhật ký theo thời gian thực; phát hiện và đưa ra cảnh báo sự kiện bất thường, có nguy cơ gây mất an ninh mạng.

3. Sản phẩm chống tấn công, xâm nhập là các thiết bị phần cứng, phần mềm có tính năng hoặc được thiết kế để tích hợp các tính năng ngăn chặn tấn công, xâm nhập vào hệ thống thông tin.

4. Sản phẩm an ninh mạng khác thuộc một trong các sản phẩm sau:

1. Dịch vụ kiểm tra, đánh giá an ninh mạng là dịch vụ rà quét, kiểm tra, phân tích cấu hình, hiện trạng, dữ liệu nhật ký của hệ thống thông tin; phát hiện lỗ hổng, điểm yếu; đưa ra đánh giá rủi ro mất an ninh mạng.

2. Dịch vụ bảo mật thông tin không sử dụng mật mã dân sự là dịch vụ hỗ trợ người sử dụng đảm bảo tính bí mật của thông tin, hệ thống thông tin mà không sử dụng sản phẩm mật mã dân sự.

3. Dịch vụ tư vấn an ninh mạng là dịch vụ hỗ trợ tư vấn, kiểm tra, đánh giá, triển khai, thiết kế, xây dựng các giải pháp bảo đảm an ninh mạng.

4. Dịch vụ giám sát an ninh mạng là dịch vụ giám sát, phân tích lưu lượng dữ liệu truyền trên hệ thống thông tin; thu thập, phân tích dữ liệu nhật ký theo thời gian thực; phát hiện và đưa ra cảnh báo sự kiện bất thường, có nguy cơ gây mất an ninh mạng.

5. Dịch vụ ứng cứu sự cố an ninh mạng là dịch vụ xử lý, khắc phục kịp thời sự cố gây mất an ninh mạng đối với hệ thống thông tin.

6. Dịch vụ khôi phục dữ liệu là dịch vụ phục hồi dữ liệu trong thiết bị điện tử, hệ thống thông tin đã bị xóa hoặc hư hỏng.

7. Dịch vụ phòng ngừa, chống tấn công mạng là dịch vụ ngăn chặn các hành vi tấn công, xâm nhập vào hệ thống thông tin thông qua việc giám sát, thu thập, phân tích các sự kiện đang xảy ra trên hệ thống thông tin.

8. Dịch vụ an ninh mạng khác gồm:

1. Tổ chức, doanh nghiệp phải có Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng khi kinh doanh sản phẩm, dịch vụ an ninh mạng thuộc Điều 3, Điều 4 Nghị định này.

2. Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng có thời hạn 10 năm.

3. Tổ chức, doanh nghiệp nộp hồ sơ đề nghị cấp Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng phải nộp phí theo quy định của pháp luật về phí và lệ phí.

1. Được thành lập theo quy định của pháp luật Việt Nam, không vi phạm quy định của pháp luật về kinh doanh sản phẩm, dịch vụ an ninh mạng. Đối với các tổ chức kinh tế có vốn đầu tư nước ngoài, thời hạn đầu tư tại Việt Nam phải còn nhiều hơn 05 năm kể từ ngày được cấp Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng.

2. Điều kiện về nhân sự:

3. Điều kiện về kỹ thuật: Có hệ thống trang thiết bị, cơ sở vật chất và công nghệ phù hợp với hoạt động đầu tư, kinh doanh và loại hình sản phẩm, dịch vụ an ninh mạng đăng ký kinh doanh.

1. Tổ chức, doanh nghiệp sản xuất sản phẩm an ninh mạng phải đáp ứng các điều kiện quy định tại Điều 6 Nghị định này và các điều kiện sau:

2. Tổ chức, doanh nghiệp mua bán, trao đổi, nhập khẩu, xuất khẩu sản phẩm an ninh mạng phải đáp ứng các điều kiện quy định tại Điều 6 Nghị định này và các điều kiện sau:

1. Đối với dịch vụ kiểm tra an ninh mạng, dịch vụ tư vấn an ninh mạng, đội ngũ nhân sự kỹ thuật phải có ít nhất 05 người có trình độ đại học hoặc chứng chỉ về an ninh mạng trở lên, có địa chỉ cư trú cụ thể tại Việt Nam, người đại diện theo pháp luật phải là người có quốc tịch Việt Nam.

2. Đối với dịch vụ giám sát an ninh mạng, phải có ít nhất 12 người có trình độ đại học hoặc chứng chỉ về an ninh mạng trở lên và có nhân sự chịu trách nhiệm quản trị hệ thống, bảo mật thông tin; người đại diện theo pháp luật phải là người có quốc tịch Việt Nam.

3. Có phương án kỹ thuật đáp ứng các yêu cầu bảo vệ an ninh mạng theo loại hình dịch vụ cung cấp theo Mẫu số 07 tại Phụ lục I ban hành kèm theo Nghị định này.

4. Có phương án dự phòng bảo đảm duy trì hoạt động an toàn, liên tục và khắc phục khi có sự cố xảy ra.

5. Có mô tả tổng thể tính năng kỹ thuật hệ thống giám sát an ninh mạng; quy trình vận hành giám sát an ninh mạng.

6. Có phương án kinh doanh phù hợp và bao gồm các nội dung: Phạm vi, đối tượng cung cấp dịch vụ, loại hình dịch vụ dự kiến cung cấp, phương án bảo mật thông tin của khách hàng, phương án bảo đảm chất lượng dịch vụ.

1. Tổ chức, doanh nghiệp được cấp giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng khi đáp ứng các điều kiện được quy định tại Điều 6, Điều 7, Điều 8 Nghị định này.

2. Hồ sơ đề nghị cấp giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng gồm:

3. Hồ sơ đề nghị cấp giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng lập thành 01 bộ, nộp trực tiếp hoặc qua hệ thống bưu chính hoặc dịch vụ công trực tuyến đến Bộ Công an. Hồ sơ phải làm bằng tiếng Việt, gồm 01 bộ hồ sơ gốc. Trường hợp nộp trực tiếp hoặc qua dịch vụ bưu chính, bộ hồ sơ gốc phải có đủ chữ ký, dấu xác nhận của tổ chức, doanh nghiệp, các tài liệu do tổ chức, doanh nghiệp, cá nhân lập nếu có từ 02 tờ văn bản trở lên phải có dấu giáp lai. Đơn vị nộp hồ sơ và người nộp hồ sơ chịu trách nhiệm về tính hợp pháp của tài liệu hồ sơ. Trường hợp nộp qua dịch vụ công trực tuyến, tổ chức, doanh nghiệp phải ký số theo quy định của pháp luật về ký số.

4. Thời điểm nhận hồ sơ là thời điểm cán bộ tiếp nhận hồ sơ từ tổ chức, doanh nghiệp nộp hồ sơ (trường hợp nộp hồ sơ trực tiếp) hoặc nhận được hồ sơ từ nhân viên bưu chính chuyển đến (trường hợp nộp qua dịch vụ bưu chính) hoặc ngày cán bộ tiếp nhận hồ sơ ghi nhận hồ sơ trên hệ thống cổng dịch vụ công và xác nhận tiếp nhận hồ sơ với tổ chức, doanh nghiệp gửi hồ sơ (trường hợp nộp thông qua cổng dịch vụ công). Trong vòng 03 ngày làm việc kể từ thời điểm nhận được hồ sơ, cơ quan tiếp nhận hồ sơ kiểm tra, thông báo cho tổ chức, doanh nghiệp tính hợp lệ của hồ sơ:

5. Trong thời hạn 28 ngày làm việc kể từ ngày nhận đủ hồ sơ hợp lệ, Bộ Công an thẩm định hồ sơ đề nghị cấp Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng và xem xét cấp Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng theo Mẫu số 01 tại Phụ lục I ban hành kèm theo Nghị định này nếu hồ sơ đề nghị cung cấp đầy đủ thông tin xác định đủ điều kiện theo quy định tại Nghị định. Trường hợp không đủ điều kiện thì Bộ Công an có văn bản từ chối cấp Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng cho tổ chức, doanh nghiệp theo Mẫu số 12 tại Phụ lục I ban hành kèm theo Nghị định này, trong đó nêu rõ lý do.

1. Tổ chức, doanh nghiệp đề nghị cấp đổi Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng trong trường hợp sửa đổi tên tổ chức, doanh nghiệp hoặc người đại diện theo pháp luật của tổ chức, doanh nghiệp hoặc bổ sung, thay đổi sản phẩm, dịch vụ an ninh mạng; Giấy phép kinh doanh sản phẩm, dịch vụ an toàn thông tin mạng còn hiệu lực bị mất hoặc bị hư hỏng.

2. Hồ sơ đề nghị cấp đổi Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng, gồm đủ thành phần tài liệu sau đây:

3. Các sản phẩm, dịch vụ an toàn thông tin mạng được quy đổi thành sản phẩm, dịch vụ an ninh mạng như sau:

4. Hình thức nộp hồ sơ đề nghị cấp đổi Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng quy định tại khoản 3 Điều 9 Nghị định này.

5. Bộ Công an kiểm tra tính hợp lệ của hồ sơ quy định tại khoản 4 Điều 9 Nghị định này.

6. Trong thời hạn 05 ngày làm việc kể từ ngày nhận được văn bản đề nghị hợp lệ, Bộ Công an xem xét và cấp đổi Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng cho tổ chức, doanh nghiệp; trường hợp từ chối cấp thì phải thông báo bằng văn bản và nêu rõ lý do.

7. Thời hạn của Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng được giữ nguyên theo giá trị thời hạn của Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng được cấp lần đầu.

1. Tổ chức, doanh nghiệp đề nghị cấp lại Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng trong trường hợp Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng còn hiệu lực bị mất hoặc bị hư hỏng.

2. Hồ sơ đề nghị cấp lại Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng, gồm đủ thành phần tài liệu sau đây:

3. Hình thức nộp hồ sơ đề nghị cấp lại Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng quy định tại khoản 3 Điều 9 Nghị định này.

4. Bộ Công an kiểm tra tính hợp lệ của hồ sơ quy định tại khoản 4 Điều 9 Nghị định này.

5. Trong thời hạn 05 ngày làm việc kể từ ngày nhận được văn bản đề nghị hợp lệ, Bộ Công an xem xét và cấp lại Giấy phép cho tổ chức, doanh nghiệp; trường hợp từ chối cấp thì phải thông báo bằng văn bản và nêu rõ lý do.

6. Thời hạn của Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng được giữ nguyên theo giá trị thời hạn của Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng được cấp lần đầu.

1. Tổ chức, doanh nghiệp không vi phạm quy định của pháp luật về kinh doanh sản phẩm, dịch vụ an ninh mạng được gia hạn Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng một lần với thời gian gia hạn không quá 03 năm. Hồ sơ đề nghị gia hạn Giấy phép phải gửi về Bộ Công an chậm nhất là 60 ngày trước ngày Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng hết hạn.

2. Hồ sơ đề nghị gia hạn Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng, gồm:

3. Hình thức nộp hồ sơ đề nghị gia hạn Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng quy định tại khoản 3 Điều 9 Nghị định này.

4. Bộ Công an kiểm tra tính hợp lệ của hồ sơ quy định tại khoản 4 Điều 9 Nghị định này.

5. Trong thời hạn 10 ngày làm việc kể từ ngày nhận được văn bản đề nghị hợp lệ, Bộ Công an xem xét và gia hạn Giấy phép cho tổ chức, doanh nghiệp; trường hợp từ chối cấp thì phải thông báo bằng văn bản và nêu rõ lý do.

1. Khi xuất khẩu, nhập khẩu sản phẩm an ninh mạng thuộc danh mục sản phẩm an ninh mạng xuất khẩu, nhập khẩu theo giấy phép tại Phụ lục kèm theo Nghị định này, tổ chức, doanh nghiệp phải có Giấy phép xuất khẩu, nhập khẩu sản phẩm an ninh mạng do Bộ Công an cấp. Giấy phép xuất khẩu, nhập khẩu sản phẩm an ninh mạng được cấp theo lô xuất khẩu, nhập khẩu, có thời hạn 02 năm. Tổ chức, doanh nghiệp đề nghị cấp Giấy phép xuất khẩu, nhập khẩu sản phẩm an ninh mạng phải có Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng và phải nộp lệ phí theo quy định.

2. Điều kiện cấp Giấy phép xuất khẩu, nhập khẩu sản phẩm an ninh mạng

3. Hồ sơ đề nghị cấp Giấy phép xuất khẩu, nhập khẩu sản phẩm an ninh mạng quy định tại Điều 3 Nghị định này gồm:

4. Danh mục sản phẩm an ninh mạng xuất khẩu, nhập khẩu kèm theo mã HS sản phẩm được quy định tại Phụ lục II Nghị định này.

5. Hình thức nộp hồ sơ đề nghị cấp Giấy phép xuất khẩu, nhập khẩu sản phẩm an ninh mạng quy định tại khoản 3 Điều 9 Nghị định này.

6. Bộ Công an kiểm tra tính hợp lệ của hồ sơ quy định tại khoản 4 Điều 9 Nghị định này.

7. Trong thời hạn 05 ngày làm việc kể từ ngày nhận được văn bản đề nghị hợp lệ, Bộ Công an xem xét và cấp Giấy phép cho tổ chức, doanh nghiệp; trường hợp từ chối cấp thì phải thông báo bằng văn bản và nêu rõ lý do theo Mẫu số 12 tại Phụ lục I ban hành kèm theo Nghị định này.

1. Các trường hợp thu hồi không có thời hạn:

2. Các trường hợp tạm đình chỉ sử dụng giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng có thời hạn từ 03 tháng đến 06 tháng:

3. Trong quá trình kiểm tra, nếu phát hiện tổ chức, doanh nghiệp thuộc một trong các trường hợp thu hồi, tạm đình chỉ Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng thuộc khoản 1, khoản 2 Điều này thì cơ quan thực hiện việc kiểm tra, lập biên bản, gửi về Bộ Công an. Trong thời gian 15 ngày làm việc kể từ ngày nhận được biên bản, Bộ Công an xem xét, quyết định việc thu hồi, tạm đình chỉ Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng. Quyết định thu hồi, tạm đình chỉ được gửi cho cơ quan đăng ký kinh doanh, cơ quan hải quan.

4. Trong trường hợp thu hồi, tạm đình chỉ Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng thì Giấy phép xuất khẩu, nhập khẩu sản phẩm an ninh mạng không có hiệu lực.

1. Tổ chức, doanh nghiệp bị thu hồi Giấy phép xuất khẩu, nhập khẩu sản phẩm an ninh mạng nếu thuộc một trong các trường hợp sau đây:

2. Trong quá trình kiểm tra, nếu phát hiện tổ chức, doanh nghiệp thuộc một trong các trường hợp thu hồi Giấy phép xuất khẩu, nhập khẩu sản phẩm an ninh mạng thuộc khoản 1 Điều này thì cơ quan thực hiện việc kiểm tra, lập biên bản, gửi về cơ quan Công an có thẩm quyền cấp phép. Trong thời gian 05 ngày làm việc kể từ ngày nhận được biên bản, Bộ Công an xem xét, quyết định việc thu hồi Giấy phép xuất khẩu, nhập khẩu sản phẩm an ninh mạng. Quyết định thu hồi được gửi cho cơ quan hải quan. Sau khi có quyết định thu hồi Giấy phép xuất khẩu, nhập khẩu sản phẩm an ninh mạng, tổ chức, doanh nghiệp có trách nhiệm thu hồi sản phẩm an ninh mạng được ghi trong quyết định thu hồi và không được tiếp tục nhập khẩu, xuất khẩu sản phẩm đó.

1. Duy trì thường xuyên, liên tục các điều kiện trong quá trình kinh doanh sản phẩm, dịch vụ an ninh mạng. Đối với doanh nghiệp cung cấp dịch vụ giám sát an ninh mạng, cần duy trì kết nối, trao đổi thông tin giám sát với hệ thống bảo vệ an ninh mạng quốc gia của Bộ Công an trong quá trình cung cấp dịch vụ giám sát an ninh mạng. Đối với sản phẩm an ninh mạng quy định tại các điểm a, b, c và d khoản 4 Điều 3 Nghị định này, cần tổ chức tiêu hủy khi bị hư hỏng, không còn sử dụng vào nhiệm vụ của Bộ Công an, Bộ Quốc phòng.

2. Nộp phí cấp Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng và lệ phí cấp Giấy phép xuất khẩu, nhập khẩu sản phẩm an ninh mạng theo quy định của pháp luật.

3. Tổ chức, doanh nghiệp được cấp Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng có trách nhiệm báo cáo đột xuất theo yêu cầu và báo cáo định kỳ hằng năm về tình hình kinh doanh sản phẩm, dịch vụ an ninh mạng đến Bộ Công an theo Mẫu số 09 tại Phụ lục I ban hành kèm theo Nghị định này. Thời gian tính số liệu báo cáo định kỳ từ ngày 01 tháng 01 đến ngày 31 tháng 12; thời gian nộp báo cáo trước ngày 31 tháng 01 năm sau.

4. Trường hợp tổ chức, doanh nghiệp tạm ngừng hoạt động thì trong thời hạn 10 ngày làm việc kể từ ngày tạm ngừng hoạt động phải có văn bản thông báo cho cơ quan có thẩm quyền cấp giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng.

5. Chấp hành việc kiểm tra và xử lý vi phạm của cơ quan Công an và cơ quan quản lý nhà nước có thẩm quyền.

1. Chủ trì, phối hợp với các bộ, ngành thực hiện quản lý hoạt động kinh doanh sản phẩm, dịch vụ an ninh mạng theo quy định tại Nghị định này và các văn bản pháp luật có liên quan; phân cấp, phân quyền quản lý hoạt động kinh doanh sản phẩm, dịch vụ an ninh mạng theo quy định của pháp luật.

2. Công bố tiêu chuẩn, quy định quy chuẩn kỹ thuật trong lĩnh vực an ninh mạng; xây dựng hệ thống cơ sở dữ liệu thông tin điện tử phục vụ công tác quản lý và thực hiện thủ tục hành chính liên quan đến hoạt động kinh doanh sản phẩm, dịch vụ an ninh mạng.

3. Chủ trì, phối hợp với các bộ, ngành thực hiện và hướng dẫn công tác kiểm tra theo quy định tại Điều 19 của Nghị định này, giải quyết khiếu nại, tố cáo, phòng ngừa, phát hiện, đấu tranh, xử lý vi phạm về kinh doanh sản phẩm, dịch vụ an ninh mạng theo quy định của pháp luật.

1. Cơ quan có thẩm quyền thực hiện kiểm tra toàn diện việc chấp hành các quy định về kinh doanh sản phẩm, dịch vụ an ninh mạng không được quá 01 lần trong năm, bao gồm cả kiểm tra liên ngành, trừ trường hợp có dấu hiệu vi phạm rõ ràng.

2. Nội dung kiểm tra:

3. Thẩm quyền kiểm tra:

4. Các hành vi vi phạm được phát hiện trong quá trình kiểm tra phải được xử lý theo quy định của pháp luật.

1. Đối với các hợp đồng kinh doanh sản phẩm, dịch vụ an ninh mạng đã được ký kết và có giá trị trước thời điểm Nghị định này có hiệu lực thi hành, doanh nghiệp vẫn tiếp tục được thực hiện các nội dung trong hợp đồng.

2. Các hồ sơ đề nghị cấp, cấp đổi, bổ sung, cấp lại, gia hạn được Bộ Công an tiếp nhận trước ngày 01 tháng 7 năm 2026, nhưng chưa được giải quyết thì thực hiện quy trình, thủ tục, điều kiện theo quy định tại Nghị định này.

1. Bộ trưởng Bộ Công an đôn đốc, kiểm tra, hướng dẫn việc thực hiện Nghị định này.

2. Bộ trưởng, Thủ trưởng cơ quan ngang bộ, Chủ tịch Ủy ban nhân dân các tỉnh, thành phố trực thuộc trung ương chịu trách nhiệm thi hành Nghị định này./.