Tình huống: một công ty an ninh mạng nước ngoài trúng hợp đồng kiểm thử xâm nhập cho một ngân hàng Việt Nam, cho rằng chứng chỉ toàn cầu của mình là đủ để bắt đầu làm việc. Chưa đủ: cung cấp dịch vụ an ninh mạng tại Việt Nam là ngành nghề kinh doanh có điều kiện, cần giấy phép riêng; còn ngân hàng — với tư cách đơn vị vận hành hệ thống thông tin quan trọng — chịu nghĩa vụ dữ liệu riêng theo Luật An ninh mạng 2018.
Giấy phép dịch vụ đứng trước hợp đồng
Luật An ninh mạng 24/2018/QH14 và Nghị định 53/2022/NĐ-CP quy định chi tiết đặt ra chế độ cấp phép đối với kinh doanh dịch vụ an ninh mạng. Điều kiện cấp phép hướng vào năng lực chứ không phải vốn: nhân sự có trình độ, cơ sở vật chất kỹ thuật, quy trình bảo đảm an toàn. Nhà đầu tư nên đọc đây là cổng năng lực, không phải cổng vốn — nghị định hỏi ‘anh có làm an toàn được không’, chứ không hỏi ‘anh có bao nhiêu vốn’.
Không có tỷ lệ sở hữu nước ngoài công bố riêng cho dịch vụ an ninh mạng. Nhà đầu tư nước ngoài đáp ứng điều kiện tiếp cận thị trường chung (Điều 8 Luật Đầu tư 143/2025/QH15) rồi xin cùng loại giấy phép dịch vụ như doanh nghiệp trong nước — giấy phép, chứ không phải tỷ lệ vốn, quyết định việc vào thị trường.
Mặt trận thứ hai: nghĩa vụ dữ liệu của chính khách hàng
Bẫy của nhà cung cấp ngoại là ký hợp đồng dịch vụ mà không rà soát nghĩa vụ của khách hàng. Theo khung Luật An ninh mạng, đơn vị vận hành hệ thống thông tin quan trọng chịu yêu cầu về lưu trữ dữ liệu tại Việt Nam và phối hợp với cơ quan chức năng. Hợp đồng kiểm thử, giám sát mà chuyển dữ liệu hệ thống của khách hàng ra nước ngoài có thể khiến cả hai bên vi phạm.
Kỷ luật thực tiễn: hợp đồng dịch vụ nên quy định rõ dữ liệu an ninh lưu trữ, xử lý ở đâu, ai được tiếp cận, và dữ liệu sự cố được bàn giao cho cơ quan Việt Nam thế nào khi pháp luật yêu cầu — trước khi bài kiểm thử đầu tiên bắt đầu.
Chuẩn bị gì trước khi xin cấp phép
- Hồ sơ nhân sự: trình độ, lý lịch của đội ngũ kỹ thuật trực tiếp thực hiện dịch vụ.
- Cơ sở vật chất kỹ thuật: mô tả công cụ, phòng lab, cơ sở bảo mật phục vụ cung cấp dịch vụ.
- Quy trình bảo đảm an toàn: quy định nội bộ về xử lý hệ thống và dữ liệu của khách hàng trong quá trình thực hiện.
- Hồ sơ đầu tư: tổ chức kinh tế có vốn nước ngoài đáp ứng điều kiện tiếp cận thị trường, sau đó là giấy phép dịch vụ chuyên ngành.
Câu hỏi thường gặp
1. Có giới hạn tỷ lệ vốn ngoại trong công ty dịch vụ an ninh mạng?
Không có con số công bố riêng cho ngành; cổng là giấy phép dịch vụ cộng điều kiện tiếp cận thị trường chung.
2. Cung cấp dịch vụ từ xa từ nước ngoài, không lập pháp nhân tại Việt Nam được không?
Kinh doanh dịch vụ an ninh mạng cho khách hàng Việt Nam cần cấp phép đúng quy định; cung cấp xuyên biên giới không hiện diện tại chỗ mang rủi ro pháp lý.
3. Thẩm định cấp phép tập trung vào gì?
Năng lực nhân sự, cơ sở vật chất kỹ thuật, quy trình bảo đảm an toàn — năng lực, không phải vốn.
4. Dữ liệu an ninh của khách hàng có phải lưu tại Việt Nam?
Tùy phân loại hệ thống của khách hàng và phạm vi hợp đồng; rà soát luồng dữ liệu theo khung Luật An ninh mạng trước khi ký.
5. Một giấy phép có bao trùm cả tư vấn lẫn bán sản phẩm?
Dịch vụ và mua bán sản phẩm là ngành nghề khác nhau, luồng cấp phép khác nhau; kiểm tra phạm vi giấy phép bao trùm đúng hoạt động thực tế thực hiện.
Bài viết liên quan
- Nhà đầu tư nước ngoài kinh doanh dịch vụ việc làm tại Việt Nam: đừng nhầm với xuất khẩu lao động
- Nhà đầu tư nước ngoài kinh doanh chuyển phát nhanh tại Việt Nam: trận chiến tỷ lệ vốn đã thắng từ 2012
- Nhà đầu tư nước ngoài kinh doanh nông nghiệp và thủy sản tại Việt Nam: đất đai mới là cổng
- Nhà đầu tư nước ngoài kinh doanh điện ảnh và phát hành phim tại Việt Nam: ba cổng, không phải một
- Nhà đầu tư nước ngoài kinh doanh casino tại Việt Nam: ngưỡng 2 tỷ USD
