Doanh nghiệp kinh doanh an ninh mạng phải đáp ứng những điều kiện nào?

Chính phủ đã thiết lập khung điều kiện riêng đối với hoạt động kinh doanh sản phẩm, dịch vụ an ninh mạng, trong đó doanh nghiệp phải đáp ứng đồng thời yêu cầu về tư cách pháp lý, nhân sự và năng lực kỹ thuật trước khi được cấp giấy phép.

Nghị định số 332/2026/NĐ-CP do Phó Thủ tướng Thường trực Chính phủ Phạm Gia Túc ký ngày 19/8/2026, có hiệu lực từ chính ngày ban hành, quy định hoạt động kinh doanh sản phẩm, dịch vụ an ninh mạng. Văn bản gồm 4 chương, 22 điều.

Doanh nghiệp phải có giấy phép kinh doanh

Theo Nghị định, tổ chức, doanh nghiệp kinh doanh sản phẩm, dịch vụ an ninh mạng được cấp giấy phép khi đáp ứng các điều kiện chung.

Doanh nghiệp cung cấp dịch vụ kiểm tra an ninh mạng hoặc dịch vụ tư vấn an ninh mạng phải có ít nhất 5 nhân sự kỹ thuật có trình độ đại học hoặc chứng chỉ về an ninh mạng trở lên, có địa chỉ cư trú cụ thể tại Việt Nam. Người đại diện theo pháp luật phải là người có quốc tịch Việt Nam.

Trước hết, doanh nghiệp phải được thành lập theo pháp luật Việt Nam và không vi phạm quy định về kinh doanh sản phẩm, dịch vụ an ninh mạng. Với tổ chức kinh tế có vốn đầu tư nước ngoài, thời hạn đầu tư tại Việt Nam phải còn hơn 5 năm kể từ ngày được cấp giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng.

Điều kiện về nhân sự cũng được quy định cụ thể.

Người đại diện theo pháp luật, người quản lý hoặc người được ủy quyền không thuộc những trường hợp bị hạn chế theo Nghị định, trong đó có người Việt Nam đang bị khởi tố hình sự và đang bị điều tra, truy tố, xét xử; có tiền án về một số tội theo quy định mà chưa được xóa án tích; đang chấp hành các biện pháp hạn chế, quản chế hoặc một số quyết định của Tòa án, cơ quan có thẩm quyền.

Người Việt Nam định cư ở nước ngoài mang hộ chiếu nước ngoài và người nước ngoài chưa được cơ quan có thẩm quyền của Việt Nam cấp phép cư trú, lao động tại Việt Nam cũng thuộc trường hợp không đáp ứng điều kiện nêu trên.

Bên cạnh đó, doanh nghiệp phải có nhân sự chịu trách nhiệm kỹ thuật phù hợp với loại hình sản phẩm, dịch vụ đăng ký kinh doanh. Người này phải có bằng đại học trở lên hoặc chứng chỉ chuyên ngành về an ninh mạng, an toàn thông tin, công nghệ thông tin hoặc điện tử viễn thông.

Về kỹ thuật, doanh nghiệp phải có hệ thống trang thiết bị, cơ sở vật chất và công nghệ phù hợp với hoạt động đầu tư, kinh doanh cũng như loại hình sản phẩm, dịch vụ an ninh mạng đăng ký.

Điều kiện thay đổi theo loại sản phẩm

Nghị định không áp dụng một bộ điều kiện giống nhau cho mọi hoạt động.

Sản phẩm an ninh mạng được chia thành nhiều nhóm, gồm sản phẩm kiểm tra, đánh giá an ninh mạng; sản phẩm giám sát an ninh mạng; sản phẩm chống tấn công, xâm nhập và một số nhóm sản phẩm đặc thù như pháp y số, điều tra số, chế áp thông tin mạng, chế áp hệ thống mạng, che giấu địa chỉ IP.

Đối với doanh nghiệp sản xuất sản phẩm an ninh mạng, ngoài điều kiện chung còn phải bảo đảm chủng loại, quy mô sản xuất phù hợp với chiến lược phát triển ngành công nghiệp an ninh mạng; có phương án kinh doanh thể hiện phạm vi, đối tượng cung cấp, loại hình sản phẩm, tiêu chuẩn, quy chuẩn kỹ thuật và các tính năng kỹ thuật cơ bản.

Doanh nghiệp cũng phải có phương tiện, thiết bị phù hợp để kiểm tra, giám sát thông số kỹ thuật trong quá trình sản xuất và bảo đảm chất lượng sản phẩm.

Đáng chú ý, đối với một số sản phẩm thuộc nhóm đặc thù liên quan đến nhiệm vụ bảo đảm an ninh quốc gia, chỉ tổ chức, doanh nghiệp của Bộ Công an, Bộ Quốc phòng được giao nhiệm vụ, đặt hàng hoặc doanh nghiệp có hợp đồng với cơ quan có thẩm quyền của hai Bộ mới được sản xuất theo điều kiện tương ứng. Quy định tương tự cũng áp dụng đối với hoạt động mua bán, trao đổi, nhập khẩu, xuất khẩu các sản phẩm này.

Dịch vụ giám sát phải có ít nhất 12 nhân sự

Với dịch vụ an ninh mạng, Nghị định quy định nhiều nhóm dịch vụ như kiểm tra, đánh giá; bảo mật thông tin không sử dụng mật mã dân sự; tư vấn; giám sát; ứng cứu sự cố; khôi phục dữ liệu; phòng ngừa, chống tấn công mạng và một số dịch vụ khác.

Đáng chú ý, doanh nghiệp cung cấp dịch vụ kiểm tra an ninh mạng hoặc dịch vụ tư vấn an ninh mạng phải có ít nhất 5 nhân sự kỹ thuật có trình độ đại học hoặc chứng chỉ về an ninh mạng trở lên, có địa chỉ cư trú cụ thể tại Việt Nam. Người đại diện theo pháp luật phải là người có quốc tịch Việt Nam.

Trong khi đó, doanh nghiệp cung cấp dịch vụ giám sát an ninh mạng phải có ít nhất 12 nhân sự có trình độ đại học hoặc chứng chỉ về an ninh mạng trở lên, đồng thời phải có nhân sự chịu trách nhiệm quản trị hệ thống và bảo mật thông tin. Người đại diện theo pháp luật cũng phải là người có quốc tịch Việt Nam.

Không chỉ yêu cầu về số lượng nhân sự, doanh nghiệp còn phải có phương án kỹ thuật đáp ứng yêu cầu bảo vệ an ninh mạng, phương án dự phòng để duy trì hoạt động an toàn, liên tục và khắc phục sự cố.

Doanh nghiệp cung cấp dịch vụ cũng phải mô tả tổng thể tính năng kỹ thuật của hệ thống giám sát an ninh mạng, quy trình vận hành và xây dựng phương án kinh doanh phù hợp, trong đó có phạm vi, đối tượng cung cấp, loại hình dịch vụ, phương án bảo mật thông tin khách hàng và bảo đảm chất lượng dịch vụ.

Thị trường an ninh mạng được đặt dưới yêu cầu kiểm soát chặt chẽ

Việc quy định chi tiết từ loại sản phẩm, dịch vụ đến điều kiện gia nhập thị trường cho thấy hoạt động kinh doanh an ninh mạng được đặt trong yêu cầu kiểm soát đặc thù.

Đối với doanh nghiệp, giấy phép không chỉ là điều kiện về mặt thủ tục. Năng lực nhân sự, hạ tầng kỹ thuật, khả năng bảo đảm hoạt động liên tục và phương án bảo mật thông tin khách hàng đều trở thành những yêu cầu phải chuẩn bị trước khi cung cấp dịch vụ.

Đặc biệt, với các sản phẩm và dịch vụ có khả năng tác động trực tiếp đến hệ thống thông tin, dữ liệu và hoạt động trên không gian mạng, việc phân loại và đặt điều kiện riêng giúp xác định rõ hơn phạm vi hoạt động mà từng doanh nghiệp được phép thực hiện.

Nghị định 332/2026/NĐ-CP vì vậy tạo ra một khung quản lý tương đối toàn diện đối với thị trường sản phẩm, dịch vụ an ninh mạng, đồng thời đặt yêu cầu cao hơn về năng lực thực chất của doanh nghiệp thay vì chỉ dựa vào điều kiện đăng ký kinh doanh.