Theo Luật An toàn thông tin mạng số 86/2015/QH13 và Nghị định 108/2016/NĐ-CP, sản phẩm an toàn thông tin mạng được chia thành ba nhóm chính: sản phẩm kiểm tra/đánh giá an toàn thông tin, sản phẩm giám sát an toàn thông tin, và sản phẩm chống tấn công/xâm nhập. Về phía dịch vụ, phạm vi điều chỉnh rộng hơn, bao gồm bảy nhóm: giám sát, phòng chống tấn công mạng, tư vấn, ứng cứu sự cố, khôi phục dữ liệu, kiểm tra/đánh giá, và bảo mật thông tin không dùng mật mã dân sự.
Một điểm doanh nghiệp hay bỏ sót: sản phẩm phần mềm phân phối qua nền tảng đám mây cũng thuộc phạm vi cấp phép này, không riêng gì thiết bị phần cứng. Ngoài ra, nếu một thiết bị vừa có tính năng mật mã dân sự vừa có tính năng an toàn thông tin mạng (như một số dòng thiết bị tường lửa), doanh nghiệp chỉ cần xin giấy phép an toàn thông tin mạng mật mã dân sự — hai loại giấy phép này không áp dụng song song cho cùng một sản phẩm.
Lưu ý quan trọng về cơ quan quản lý: từ ngày 28/2/2025, chức năng quản lý nhà nước về an toàn thông tin mạng đã được chuyển giao từ Bộ Thông tin và Truyền thông sang Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05) thuộc Bộ Công an. Vì vậy, hồ sơ xin cấp phép hiện nay được nộp và thẩm định tại A05 thay vì Bộ TT&TT như trước.
Các điều kiện doanh nghiệp cần đáp ứng
Về nhân sự
Đây thường là điều kiện đầu tiên bị “vướng” với các doanh nghiệp mới thành lập:
- Tối thiểu 2 kỹ sư tốt nghiệp một trong các ngành điện tử – viễn thông, công nghệ thông tin, toán học, hoặc an toàn thông tin.
- Cán bộ quản lý điều hành tốt nghiệp một trong các ngành nêu trên, hoặc có chứng chỉ đào tạo về an toàn thông tin.
Yêu cầu nhân sự đối với doanh nghiệp kinh doanh dịch vụ an toàn thông tin thường khắt khe hơn so với doanh nghiệp chỉ kinh doanh sản phẩm. Riêng với hồ sơ xin cấp phép dịch vụ, người đại diện theo pháp luật và đội ngũ quản lý còn phải có phiếu lý lịch tư pháp không có tiền án, tiền sự.
Về cơ sở vật chất và phương án triển khai
- Có cơ sở vật chất, trang thiết bị tương xứng với quy mô kinh doanh dự kiến — cần mô tả cụ thể chứ không chỉ nêu chung chung.
- Có phương án kỹ thuật phù hợp với tiêu chuẩn, quy chuẩn kỹ thuật áp dụng cho loại sản phẩm/dịch vụ đăng ký.
- Có phương án kinh doanh khả thi, rõ ràng.
- Với doanh nghiệp kinh doanh dịch vụ, cần bổ sung phương án bảo mật thông tin khách hàng trong suốt quá trình cung cấp dịch vụ.
Về yếu tố sở hữu và quy hoạch cấp giấy phép
- Vì đây là lĩnh vực liên quan đến an ninh quốc gia, việc cấp phép còn phụ thuộc vào quy hoạch của cơ quan quản lý theo từng giai đoạn — không phải cứ đủ điều kiện là chắc chắn được cấp ngay.
- Doanh nghiệp có yếu tố nước ngoài (vốn đầu tư nước ngoài, hoặc người đại diện pháp luật/đội ngũ kỹ thuật là người nước ngoài) sẽ bị hạn chế ở một số nhóm dịch vụ an toàn thông tin mạng quan trọng.
Hồ sơ cần chuẩn bị
Một bộ hồ sơ xin cấp phép đầy đủ thường gồm:
- Đơn đề nghị cấp phép theo mẫu quy định
- Bản sao Giấy chứng nhận đăng ký doanh nghiệp
- Bản sao văn bằng, chứng chỉ chuyên môn của đội ngũ kỹ thuật và quản lý
- Bản thuyết minh cơ sở vật chất, trang thiết bị kỹ thuật
- Phương án kinh doanh sản phẩm, dịch vụ
- Phương án kỹ thuật (bắt buộc với hồ sơ xin phép kinh doanh dịch vụ)
- Phương án bảo mật thông tin khách hàng (bắt buộc với hồ sơ xin phép kinh doanh dịch vụ)
- Phiếu lý lịch tư pháp của người đại diện pháp luật và đội ngũ quản lý (bắt buộc với hồ sơ xin phép kinh doanh dịch vụ)
Hồ sơ thường cần chuẩn bị thành 5 bộ (1 bộ gốc, 4 bộ sao). Bằng cấp đại học nên dùng bản sao công chứng hoặc chứng thực; các chứng chỉ khác có thể dùng bản sao do doanh nghiệp tự đóng dấu xác nhận.
