Hỏi “trung tâm dữ liệu (DC) cần chứng nhận gì” ở Việt Nam và ở Singapore sẽ nhận được hai kiểu câu trả lời khác nhau. Ở Singapore, câu trả lời bắt đầu từ cơ chế phân bổ công suất của nhà nước. Ở Việt Nam, câu trả lời bắt đầu từ dữ liệu mà DC sẽ chứa: dữ liệu thuộc nhóm nào, của ai, và có phải lưu trong nước hay không. Bài này xếp lại bài toán chứng nhận DC thành ba tầng để hai bức tranh đặt cạnh nhau được.
Tầng kỹ thuật: chuẩn thị trường chi phối, nhà nước đứng sau
Không nước nào trong hai nước cấp một “giấy phép chất lượng DC” theo nghĩa truyền thống. Tầng kỹ thuật do thị trường định chuẩn: phân hạng Tier của Uptime Institute (từ Tier I đến Tier IV theo mức dự phòng và khả năng chịu lỗi), chứng nhận thiết kế và xây dựng cơ sở, cùng bộ chuẩn ISO cho vận hành — ISO 27001 về an toàn thông tin, ISO 27017/27018 cho dịch vụ đám mây, và PCI DSS nếu DC phục vụ khách hàng thanh toán. Khách hàng doanh nghiệp lớn và nhà cung cấp đám mây toàn cầu kiểm tra các chứng nhận này trong gói thầu, nên một DC tại Việt Nam muốn đón khách quốc tế buộc phải đạt chúng bất kể pháp luật trong nước có đòi hay không. Phần nhà nước chạm vào tầng này chủ yếu qua quy chuẩn xây dựng, phòng cháy chữa cháy, môi trường cho hệ thống làm mát và máy phát, và an toàn điện — những điều kiện cần nhưng không làm nên hạng của DC.
Tầng dữ liệu tại Việt Nam: nơi pháp luật thực sự siết
Lớp pháp lý nặng nhất với DC tại Việt Nam nằm ở dữ liệu. Luật Dữ liệu 60/2024/QH15 (hiệu lực 01/7/2025) thiết lập cách phân loại dữ liệu, trong đó dữ liệu cốt lõi và dữ liệu quan trọng chịu chế độ quản lý nghiêm ngặt hơn, bao gồm yêu cầu khi chuyển ra nước ngoài. Trước đó, Luật An ninh mạng 24/2018/QH14 cùng Nghị định 53/2022/NĐ-CP đã đặt nghĩa vụ lưu trữ trong nước đối với một số loại dữ liệu của người dùng Việt Nam do doanh nghiệp thuộc diện quy định thu thập, kèm yêu cầu về hiện diện tại Việt Nam trong các trường hợp luật định. Đối với nhà vận hành DC, hệ quả là bản đồ khách hàng phải được vẽ theo dữ liệu: khách hàng thuộc nhóm phải lưu trữ nội địa là khách hàng “neo” giữ DC ở Việt Nam, còn dịch vụ cho khách hàng toàn cầu phải thiết kế luồng dữ liệu sao cho phần dữ liệu nhạy cảm không vượt qua ranh giới mà luật đã kẻ.
Tầng viễn thông và đầu tư
DC thuần túy cho thuê chỗ đặt máy và DC cung cấp dịch vụ đám mây, kết nối không đứng ở cùng một vị trí pháp lý. Luật Viễn thông 24/2023/QH15 điều chỉnh các dịch vụ viễn thông và dịch vụ trung tâm dữ liệu, dịch vụ điện toán đám mây được cung cấp trên hạ tầng viễn thông; nhà đầu tư nước ngoài vì thế phải rà soát xem gói dịch vụ của mình có thành phần nào thuộc diện phải cấp phép hoặc chịu điều kiện tiếp cận thị trường hay không, trước khi chốt cấu trúc dự án và xin cấp Giấy chứng nhận đăng ký đầu tư theo Luật Đầu tư hiện hành. Ranh giới này là chỗ nhiều dự án quốc tế vấp phải: phần cứng thì rõ ràng, phần dịch vụ chạy trên phần cứng mới là phần cần luật sư rà từng dòng.
Singapore qua cơ chế phân bổ có điều kiện
Singapore kiểm soát DC mới bằng cơ chế phân bổ công suất do IMDA điều phối (cơ chế thường được gọi là DC-CFA), trong đó dự án phải cam kết các tiêu chí về hiệu quả năng lượng và bền vững mới được xét cấp phần công suất khan hiếm. Đổi lại, DC tại Singapore hưởng môi trường vận hành dự đoán được và uy tín pháp lý khiến khách hàng tài chính toàn cầu sẵn sàng trả giá cao. Toàn bộ phần Singapore ở đây chỉ là khung: tiêu chí từng đợt phân bổ, hạn mức công suất và điều kiện kèm theo thay đổi theo chính sách, phải được luật sư sở tại cập nhật tại thời điểm nộp hồ sơ.
Chi phí tuân thủ: hai cấu trúc ngược nhau
Ở Singapore, chi phí tuân thủ lớn nhất là chi phí cơ hội của việc chờ được phân bổ công suất, cộng giá điện thuộc nhóm cao nhất khu vực. Ở Việt Nam, chi phí tuân thủ nằm ở đạt và duy trì các chứng nhận quốc tế cho tầng kỹ thuật, ở thiết kế tuân thủ cho tầng dữ liệu (phân loại dữ liệu, đánh giá chuyển dữ liệu xuyên biên giới), và ở tư vấn cấp phép cho tầng dịch vụ. Một DC tại Việt Nam vận hành rẻ hơn rõ rệt theo năm, nhưng ngân sách năm đầu phải dành phần xứng đáng cho kiểm toán chứng nhận và tư vấn dữ liệu — hai khoản mục mà nhà đầu tư quen làm nhà máy thường không lường trước.
Câu hỏi thường gặp
1. Chứng nhận bắt buộc cho trung tâm dữ liệu ở mỗi nước gồm gì (khung)?
Ở Việt Nam, DC không có một chứng nhận ngành duy nhất; khung gồm điều kiện đầu tư và cấp phép dịch vụ theo Luật Viễn thông 24/2023/QH15 nếu gói dịch vụ thuộc diện điều chỉnh, nghĩa vụ dữ liệu theo Luật Dữ liệu 60/2024/QH15 và Nghị định 53/2022/NĐ-CP, cộng các điều kiện xây dựng, phòng cháy, môi trường. Các chuẩn Tier, ISO 27001 là yêu cầu thị trường. Ở Singapore, cửa chính là cơ chế phân bổ công suất của IMDA kèm tiêu chí hiệu quả năng lượng.
2. Kiểm định chất lượng: cơ quan, tổ chức nào phụ trách, mất bao lâu ở mỗi nước?
Tầng kỹ thuật ở cả hai nước do tổ chức chứng nhận độc lập và Uptime Institute đánh giá theo lịch kiểm toán mà doanh nghiệp đăng ký, thời gian tùy cấp độ chứng nhận và mức sẵn sàng của cơ sở. Tầng pháp lý tại Việt Nam thuộc cơ quan quản lý dữ liệu, an ninh mạng và viễn thông theo từng nghĩa vụ cụ thể. Tại Singapore, IMDA là đầu mối phân bổ và giám sát điều kiện. Tiến độ thực tế phải được lập theo từng chứng nhận trong kế hoạch dự án, không có một con số chung cho mọi DC.
3. Tiêu chuẩn EU/Mỹ áp dụng với DC ở mỗi nước ra sao?
DC là dịch vụ nên “tiêu chuẩn đích” thể hiện qua yêu cầu của khách hàng và luật dữ liệu của thị trường mà khách hàng thuộc về: khách hàng châu Âu kéo theo yêu cầu tương thích GDPR cho chuỗi xử lý dữ liệu, khách hàng tài chính Mỹ kéo theo các khung kiểm soát như SOC 2 và PCI DSS. DC đặt tại Việt Nam hay Singapore đều phải đạt các khung kiểm toán quốc tế này nếu muốn phục vụ khách toàn cầu; vị trí đặt máy chủ yếu thay đổi bài toán luật dữ liệu của nước sở tại.
4. Chi phí tuân thủ tiêu chuẩn DC ở mỗi nước khác nhau thế nào?
Ở Singapore, khoản lớn nhất là chi phí cơ hội chờ phân bổ công suất và giá điện cao, trong khi chi phí chứng nhận tương đương mọi DC quốc tế khác. Ở Việt Nam, chi phí vận hành thấp hơn nhiều nhưng ngân sách tuân thủ phải gồm kiểm toán Tier và ISO, tư vấn phân loại và chuyển dữ liệu theo Luật Dữ liệu 60/2024/QH15, và tư vấn cấp phép dịch vụ. Nội dung luật Singapore trong bài chỉ ở mức khung — hãy kiểm tra với local counsel trước khi quyết định.
Bài viết đã được FLAW AI Legal Council kiểm tra chất lượng