Bài viết được tổng hợp từ Luật An ninh mạng 2025, Nghị định 174/2026/NĐ-CP (Chương VI, Mục 3 – Vi phạm về mật mã dân sự), Văn bản hợp nhất 03/VBHN-BQP, kết hợp kinh nghiệm thực tiễn của đội ngũ SmartSign trong việc hỗ trợ doanh nghiệp triển khai và sử dụng sản phẩm mật mã dân sự đúng quy định.
Đối tượng áp dụng checklist này
Checklist này dành cho các doanh nghiệp, tổ chức sử dụng sản phẩm mật mã dân sự trong hoạt động nội bộ hoặc trong sản phẩm/dịch vụ của mình – bao gồm: doanh nghiệp triển khai chữ ký số, tổ chức dùng phần mềm mã hóa dữ liệu, đơn vị tích hợp tính năng bảo mật vào ứng dụng, cơ quan sử dụng thiết bị mã hóa đường truyền.
Checklist này không áp dụng cho đơn vị kinh doanh (bán/phân phối) sản phẩm mật mã dân sự. Xem thêm: Checklist dành cho Doanh nghiệp kinh doanh và Checklist dành cho Đại lý.
Nhóm 1: Xác định sản phẩm mật mã dân sự đang sử dụng có thuộc Danh mục kiểm soát không
- Liệt kê toàn bộ sản phẩm, phần mềm, thiết bị có tính năng mã hóa đang sử dụng trong doanh nghiệp (chữ ký số, phần mềm VPN, thiết bị mã hóa đường truyền, HSM, ứng dụng mã hóa dữ liệu...)
- Đối chiếu với Danh mục sản phẩm, dịch vụ mật mã dân sự do Ban Cơ yếu Chính phủ ban hành để xác định sản phẩm nào thuộc phạm vi điều chỉnh
- Với mỗi sản phẩm thuộc Danh mục: xác nhận sản phẩm đó đã được Ban Cơ yếu Chính phủ phê duyệt danh mục hoặc xác nhận công bố hợp quy chưa
SmartSign lưu ý: Doanh nghiệp sử dụng sản phẩm mật mã dân sự chưa được phê duyệt hoặc chưa hợp quy có thể bị liên đới trách nhiệm, đặc biệt nếu sản phẩm đó được tích hợp vào dịch vụ cung cấp cho khách hàng. Ưu tiên chọn sản phẩm đã có đầy đủ giấy tờ từ nhà cung cấp được cấp phép.
Nhóm 2: Kiểm tra nguồn gốc và tính hợp pháp của sản phẩm đang dùng
- Sản phẩm mật mã dân sự đang sử dụng được mua/cấp phép từ đơn vị có Giấy phép kinh doanh mật mã dân sự do Ban Cơ yếu Chính phủ cấp không?
- Có hợp đồng, hóa đơn, chứng từ mua sản phẩm hợp lệ không? Lưu trữ đầy đủ hồ sơ này.
- Nếu sản phẩm được nhập khẩu trực tiếp từ nước ngoài (không qua nhà phân phối trong nước): đã xác nhận sản phẩm có trong danh mục được phép nhập khẩu và hoàn thành thủ tục hải quan chưa? (Nhập khẩu không khai báo: phạt 20–50 triệu đồng)
Nhóm 3: Sử dụng đúng phạm vi và mục đích
- Sản phẩm mật mã dân sự được sử dụng đúng mục đích dân sự, không sử dụng cho các hoạt động thuộc phạm vi bí mật nhà nước hoặc quốc phòng – an ninh
- Không tự ý sửa đổi, can thiệp vào thuật toán hoặc cơ chế mã hóa của sản phẩm ngoài phạm vi được nhà cung cấp cho phép
- Nếu tích hợp sản phẩm mật mã dân sự vào ứng dụng/dịch vụ để cung cấp cho khách hàng: lúc này doanh nghiệp có thể chuyển sang vai trò cung cấp dịch vụ mật mã dân sự và cần rà soát xem có phải xin Giấy phép kinh doanh không
SmartSign lưu ý: Ranh giới giữa "sử dụng nội bộ" và "cung cấp dịch vụ" đôi khi mờ nhạt. Ví dụ: một doanh nghiệp SaaS tích hợp chữ ký số vào nền tảng và cho phép khách hàng ký tài liệu qua nền tảng đó – lúc này đang cung cấp dịch vụ mật mã dân sự, không chỉ sử dụng nội bộ. Cần tham vấn pháp lý để phân loại đúng.
Nhóm 4: Phần mềm nội bộ tích hợp tính năng mã hóa
- Phần mềm nội bộ do doanh nghiệp tự phát triển có tích hợp tính năng mã hóa dữ liệu không? Nếu có, đã xác định xem tính năng đó có thuộc phạm vi điều chỉnh của quy định mật mã dân sự không?
- Thư viện mã hóa bên thứ ba (OpenSSL, BouncyCastle, LibreSSL...) được sử dụng có phải là sản phẩm thuộc Danh mục mật mã dân sự không? Nếu có, cần xác nhận tính hợp lệ.
- Nếu phần mềm nội bộ chỉ dùng trong nội bộ doanh nghiệp và không cung cấp cho bên ngoài: tham vấn pháp lý để xác định có phải đăng ký với Ban Cơ yếu không.
Nhóm 5: Lưu trữ hồ sơ và ứng phó khi có thanh tra
- Lưu trữ đầy đủ: hợp đồng mua sản phẩm mật mã dân sự, hóa đơn, tài liệu kỹ thuật, giấy phép/chứng nhận hợp quy của sản phẩm
- Có thể cung cấp ngay hồ sơ chứng minh sản phẩm mật mã dân sự đang sử dụng là hợp pháp khi cơ quan có thẩm quyền yêu cầu?
- Theo dõi khi Ban Cơ yếu Chính phủ cập nhật Danh mục sản phẩm mật mã dân sự để kịp thời rà soát lại danh sách sản phẩm đang dùng
Tóm tắt: Nghĩa vụ chính của doanh nghiệp sử dụng mật mã dân sự
| Tình huống | Nghĩa vụ |
|---|---|
| Dùng chữ ký số để ký hợp đồng, hóa đơn nội bộ | Mua từ đơn vị có giấy phép, lưu hồ sơ |
| Dùng phần mềm mã hóa file/email nội bộ | Xác nhận sản phẩm hợp quy, lưu chứng từ |
| Nhập khẩu thiết bị mã hóa để dùng nội bộ | Khai báo hải quan + Ban Cơ yếu, kiểm định chất lượng |
| Tích hợp mã hóa vào sản phẩm/dịch vụ cho khách hàng | Rà soát xem có phải xin Giấy phép kinh doanh |
| Tự phát triển phần mềm có tính năng mã hóa nội bộ | Tham vấn pháp lý để xác định nghĩa vụ |
Nguồn tham khảo: Luật An ninh mạng 2025; Nghị định 174/2026/NĐ-CP ngày 15/5/2026, Chương VI, Mục 3 (Vi phạm về mật mã dân sự); Văn bản hợp nhất 03/VBHN-BQP về kinh doanh sản phẩm, dịch vụ mật mã dân sự.
Liên hệ SmartSign để được tư vấn miễn phí về việc sử dụng sản phẩm mật mã dân sự đúng quy định: 19006276 | info@smartsign.com.vn | mmds.vn
