情景：一家外国网络安全公司中标为越南某银行做渗透测试，以为凭全球认证就能开工。不够：在越南提供网络安全服务是附条件行业，需要专门许可；而银行作为重要信息系统运营者，自身还承担2018年《网络安全法》下的数据义务。
服务许可先于合同
第24/2018/QH14号《网络安全法》及实施细则第53/2022/ND-CP号法令对网络安全服务经营实行许可制。许可条件看能力而非资本：合格人员、技术设施、安全流程。投资者应将其理解为能力门槛而非资本门槛——法令问的是“你能不能安全地干”，而不是“你有多少钱”。
网络安全服务没有公布专门的外资持股比例。外国投资者满足一般市场准入条件（第143/2025/QH15号《投资法》第8条），再申请与内资企业相同的服务许可——决定能否进场的是许可证，而非股权比例。
第二条战线：客户自身的数据义务
外资服务商的陷阱是签了服务合同却没梳理客户的义务。根据网络安全法框架，重要信息系统运营者承担在越南存储数据、配合主管机关的要求。把客户系统数据传到境外的渗透测试、监控合同，可能让双方同时违规。
实务纪律：服务合同应在第一次测试开始前就明确安全数据存放在哪里、在哪里处理、谁能接触，以及依法需要时如何向越南机关移交事件数据。
申请前准备什么
- 人员材料：直接提供服务的技术团队的资历与背景。
- 技术设施：服务所用工具、实验室、安全设施的说明。
- 安全流程：项目执行中处理客户系统与数据的内部规程。
- 投资材料：满足市场准入条件的外资企业，再加行业服务许可。
常见问题
1. 网络安全服务公司有外资持股上限吗？
没有公布行业专门比例；门槛是服务许可加一般市场准入条件。
2. 不在越南设法人、从境外远程提供服务可以吗？
在越南经营网络安全服务须依法许可；无当地存在的跨境远程提供存在监管风险。
3. 许可审查重点是什么？
人员能力、技术设施、安全流程——看能力，不看资本。
4. 客户的安全数据必须存在越南吗？
取决于客户系统的定级和合同范围；签约前先按网络安全法框架梳理数据流。
5. 一张许可性能覆盖咨询和产品销售吗？
服务与产品贸易是不同行业、不同许可通道；确认许可范围覆盖实际开展的每项活动。
