Danh mục sản phẩm mật mã dân sự rủi ro cao: Thông tư 126/2026/TT-BQP

Chín ngày trước khi bài này được viết, một thông tư ngắn của Bộ Quốc phòng đã lặng lẽ trả lời câu hỏi treo lơ lửng trên đầu các nhà cung cấp sản phẩm mật mã của Việt Nam suốt cả năm: chính xác những sản phẩm mật mã nào rơi vào bậc cao nhất của chế độ quản lý chất lượng sản phẩm theo rủi ro mới, và doanh nghiệp phải làm gì với điều đó. Thông tư 126/2026/TT-BQP dài bảy trang, gồm bảy điều, và gần như toàn bộ nội dung nằm trong một phụ lục ba dòng.

Văn bản này là gì

Thông tư 126/2026/TT-BQP ban hành Danh mục sản phẩm mật mã dân sự có mức độ rủi ro cao thuộc phạm vi quản lý của Bộ trưởng Bộ Quốc phòng, kèm mã số HS và các biện pháp quản lý chất lượng tương ứng. Thông tư được Bộ trưởng Bộ Quốc phòng, Đại tướng Phan Văn Giang, ký tại Hà Nội ngày 02/9/2026, theo đề nghị của Trưởng ban Ban Cơ yếu Chính phủ; Điều 6 quy định hiệu lực từ chính ngày đó, 02/9/2026. (Chữ ký số trên bản công bố được thực hiện ngày 03/9.) Luật về ban hành văn bản quy phạm pháp luật của Việt Nam thông thường yêu cầu văn bản cấp trung ương chờ ít nhất 45 ngày sau khi ký mới có hiệu lực, với ngoại lệ cho văn bản ban hành theo trình tự, thủ tục rút gọn được phép có hiệu lực từ ngày ký — nên hiệu lực ngay trong ngày đặt thông tư này vào nhóm thứ hai.

Nền tảng pháp lý của thông tư trải trên bốn đạo luật: Luật Cơ yếu số 05/2011/QH13; Luật Chất lượng sản phẩm, hàng hóa số 05/2007/QH12, được sửa đổi bởi Luật số 35/2018/QH14 và Luật số 78/2025/QH15; Luật Tiêu chuẩn và quy chuẩn kỹ thuật số 68/2006/QH11, được sửa đổi bởi Luật số 35/2018/QH14 và Luật số 70/2025/QH15; và Luật An ninh mạng số 116/2025/QH15. Bên dưới các luật đó là Nghị định 37/2026/NĐ-CP ngày 23/01/2026 về chất lượng sản phẩm, hàng hóa và Nghị định 22/2026/NĐ-CP về tiêu chuẩn và quy chuẩn kỹ thuật.

Danh mục thực sự gồm những gì

Phụ lục có ba mục được đánh số, tất cả xếp loại rủi ro cao:

Sản phẩm bảo mật luồng IP sử dụng IPsec và TLS. Thiết bị và phần mềm bảo mật triển khai mạng riêng ảo an toàn — IPsec VPN và TLS VPN — thực hiện mã hóa, giải mã, ký số hoặc xác thực dữ liệu trên đường truyền, đối với thông tin không thuộc phạm vi bí mật nhà nước. Quản lý theo QCVN 12:2022/BQP cùng bản sửa đổi năm 2026 (Sửa đổi 1:2026).
Sản phẩm bảo mật dữ liệu lưu trữ. Sản phẩm mã hóa hoặc giải mã dữ liệu lưu giữ: thẻ thông minh, USB token, bộ nhớ vi mạch tích hợp, hệ thống lưu trữ chuyên dụng và lưu trữ đám mây. Quản lý theo QCVN 15:2023/BQP và bản sửa đổi năm 2026.
Sản phẩm mật mã dân sự sử dụng trong lĩnh vực ngân hàng. Sản phẩm mã hóa, giải mã, ký hoặc xác thực dữ liệu trên đường truyền, khi tiếp nhận hoặc khi lưu trữ, phục vụ hoạt động ngân hàng. Quản lý theo QCVN 4:2026/BQP, QCVN 5:2016/BQP và QCVN 6:2016/BQP.

Hai quy chuẩn được sửa đổi và QCVN 4:2026/BQP mới — thay thế QCVN 4:2016/BQP về mã hóa dữ liệu trong ngân hàng — được ban hành bởi Thông tư 07/2026/TT-BQP ngày 20/01/2026, có hiệu lực từ ngày 06/3/2026.

Mỗi mục kèm theo một cột dài mã HS lấy từ Danh mục hàng hóa xuất khẩu, nhập khẩu Việt Nam: 8471.30.90, 8471.41.90 và 8471.49.90 cho máy xử lý dữ liệu; dải 8517.62.xx cho thiết bị mạng và viễn thông; 8523.51.11 đến 8523.52.00 cho lưu trữ thể rắn và thẻ thông minh; 8542.32.00 cho vi mạch nhớ; và với nhóm ngân hàng, thêm các mã như 8525.50.00, 8525.60.00, dải thiết bị truyền dẫn 8526.9x cùng một số mã in ấn 8443.3x.

Yêu cầu quản lý là gì

Với mọi mục trong danh mục, biện pháp quản lý là cùng một công thức ba phần. Thứ nhất, công bố hợp quy — dựa trên giấy chứng nhận hợp quy do tổ chức chứng nhận được chỉ định cấp, chứ không phải tự công bố. Thứ hai, phương thức đánh giá sự phù hợp phải là phương thức 5 hoặc phương thức 7 theo Thông tư 14/2026/TT-BKHCN ngày 09/4/2026: phương thức 5 chứng nhận kiểu, loại sản phẩm thông qua thử nghiệm mẫu điển hình kết hợp đánh giá quá trình sản xuất hoặc hệ thống quản lý, có hiệu lực tối đa 5 năm kèm giám sát định kỳ; phương thức 7 chứng nhận theo lô thông qua thử nghiệm mẫu lấy từ lô, không giám sát sau chứng nhận. Thứ ba, hàng nhập khẩu chịu kiểm tra nhà nước về chất lượng.

Điều 3 bổ sung một ràng buộc quan trọng đối với cả phòng thử nghiệm lẫn nhà nhập khẩu: kết quả thử nghiệm làm căn cứ cấp giấy chứng nhận hợp quy phải do tổ chức thử nghiệm được Bộ trưởng Bộ Quốc phòng chỉ định, hoặc được thừa nhận theo pháp luật về tiêu chuẩn, thực hiện, và phạm vi thử nghiệm của tổ chức đó phải phù hợp với quy chuẩn kỹ thuật quốc gia tương ứng.

Điều 4 xử lý các chồng lấn. Sản phẩm thuộc từ hai quy chuẩn kỹ thuật quốc gia trở lên phải đáp ứng tất cả, đồng thời tránh đánh giá trùng lặp cùng một yêu cầu kỹ thuật đã được đánh giá theo quy chuẩn tương ứng. Trường hợp một quy chuẩn ban hành trước thông tư này quy định biện pháp quản lý chất lượng khác cho sản phẩm trong danh mục, thông tư này được ưu tiên áp dụng. Trường hợp quy chuẩn được ban hành mới, sửa đổi hoặc thay thế sau này, văn bản sau áp dụng kể từ thời điểm nó có hiệu lực.

Thay đổi gì so với trước

Chuyển dịch nằm bên dưới thông tư này là chuyển dịch của Luật số 78/2025/QH15, được thông qua ngày 18/6/2025 và có hiệu lực từ ngày 01/01/2026, thay cách chia “nhóm 1 / nhóm 2” cũ trong luật chất lượng sản phẩm, hàng hóa bằng ba mức độ rủi ro — thấp, trung bình, cao — và đẩy cả hệ thống sang hướng quản lý rủi ro và hậu kiểm. Mỗi bộ quản lý ngành đã phải diễn đạt lại danh mục “nhóm 2” cũ của mình theo phân loại mới; Bộ Khoa học và Công nghệ đã làm tại Thông tư 36/2026/TT-BKHCN, Bộ Công an tại Thông tư 125/2026/TT-BCA (hiệu lực 01/7/2026), và Bộ Quốc phòng nay hoàn tất việc đó cho mật mã dân sự.

Hai điểm thực sự mới chứ không chỉ là dán nhãn lại. Danh mục nay gắn mã HS khớp với danh mục hải quan, chuyển câu hỏi phân loại từ cuộc tranh luận kỹ thuật sang dòng thuế mà lô hàng được khai báo. Và phương thức đánh giá sự phù hợp được neo vào khung Thông tư 14/2026/TT-BKHCN, nơi thời hạn hiệu lực tối đa của giấy chứng nhận theo phương thức 5 được nâng lên 5 năm và tần suất giám sát ấn định theo mức rủi ro — với rủi ro cao, không quá 12 tháng giữa các lần kiểm tra.

Còn có một phép trừ đáng chú ý. Dự thảo thông tư mà Bộ đưa ra lấy ý kiến giữa năm 2026, hạn góp ý ngày 03/7, được đóng khung cho sản phẩm ở cả hai mức rủi ro trung bình và cao. Bản ban hành cuối cùng chỉ bao gồm bậc rủi ro cao.

Ai bị ảnh hưởng và cần làm gì

Điều 2 nêu hai nhóm: tổ chức, cá nhân sản xuất, kinh doanh, nhập khẩu sản phẩm rủi ro cao trong danh mục, và các cơ quan, tổ chức, cá nhân liên quan đến việc quản lý chất lượng các sản phẩm đó. Trên thực tế, đó là các nhà cung cấp thiết bị VPN và an ninh mạng, nhà cung cấp HSM và phần tử bảo mật, nhà sản xuất USB mã hóa và thẻ thông minh, nhà cung cấp lưu trữ đám mây có mã hóa dữ liệu lưu trữ, và chuỗi cung ứng công nghệ ngân hàng — cá thể hóa thẻ, quản lý PIN và khóa, in ấn bảo mật.

Thời hạn cần khoanh vào lịch nằm ở khoản 2 Điều 5: sản phẩm trong danh mục đã được cấp phép và đang lưu thông trên thị trường có 24 tháng kể từ ngày thông tư có hiệu lực — tức đến 02/9/2028 — để đáp ứng các yêu cầu quản lý chất lượng tương ứng. Không có gì bị rút khỏi kệ ngay lập tức, nhưng đường băng là hữu hạn, và chứng nhận theo phương thức 5 bao gồm cả đánh giá tại nơi sản xuất — việc cần lên kế hoạch trước.

Thông tư này nằm chồng lên, chứ không thay thế, chế độ cấp phép tại Nghị định 341/2026/NĐ-CP ngày 01/9/2026, mà Điều 4 của nghị định đã yêu cầu sản phẩm mật mã dân sự phải được chứng nhận hợp quy trước khi lưu thông. Một nhà cung cấp vì vậy có thể cần ba thứ cùng lúc: giấy phép kinh doanh sản phẩm, dịch vụ mật mã dân sự; giấy phép xuất khẩu, nhập khẩu khi sản phẩm nằm trong Phụ lục II của nghị định đó; và nay là giấy chứng nhận hợp quy từ tổ chức được chỉ định cho bất cứ sản phẩm nào khớp một mục ở đây. Ban Cơ yếu Chính phủ là cơ quan chịu trách nhiệm kiểm tra, hướng dẫn và đề xuất sửa đổi danh mục.

Những câu hỏi còn bỏ ngỏ

Thông tư không công bố danh sách các tổ chức thử nghiệm, chứng nhận được chỉ định, nên nút thắt thực tế — bao nhiêu phòng thử nghiệm đủ năng lực thử theo QCVN 12, 15 và 4, và hàng chờ sẽ dài đến đâu trước tháng 9/2028 — không thể trả lời từ văn bản. Cũng chưa rõ số phận các sản phẩm mật mã nằm ngoài cả ba mục: khi chưa có danh mục rủi ro trung bình được ban hành cho lĩnh vực này, một sản phẩm không được liệt kê mà cũng không được loại trừ nằm trong một vùng không nhãn. Hiệu lực ngay trong ngày ký không để lại thời gian báo trước nào, dù giai đoạn chuyển tiếp 24 tháng hấp thụ phần lớn điều đó đối với hàng đã lưu thông. Và vì phụ lục buộc sản phẩm vào mã HS, các thiết bị ở ranh giới — kết hợp mã hóa với chức năng khác — trên thực tế sẽ được phân loại bằng tờ khai hải quan không kém gì bằng thông số kỹ thuật.

Bài viết mang tính thông tin, không phải tư vấn pháp lý.