Quy định phạm vi và đối tượng áp dụng

Thông tư số 126/2026/TT-BQP quy định Danh mục sản phẩm mật mã dân sự có mức độ rủi ro cao thuộc phạm vi quản lý của Bộ trưởng Bộ Quốc phòng, kèm theo mã số HS phù hợp với Danh mục hàng hóa xuất khẩu, nhập khẩu Việt Nam và yêu cầu quản lý chất lượng tương ứng. 

Đối tượng áp dụng của Thông tư gồm các tổ chức, cá nhân sản xuất, kinh doanh, nhập khẩu sản phẩm mật mã dân sự có mức độ rủi ro cao thuộc Danh mục; các cơ quan, đơn vị, tổ chức, cá nhân có hoạt động liên quan đến quản lý chất lượng đối với các sản phẩm này. 

Ba nhóm sản phẩm thuộc Danh mục

Theo Phụ lục ban hành kèm theo Thông tư, Danh mục sản phẩm mật mã dân sự có mức độ rủi ro cao thuộc phạm vi quản lý của Bộ trưởng Bộ Quốc phòng gồm ba nhóm sản phẩm chính:

Thứ nhất, sản phẩm bảo mật luồng IP sử dụng công nghệ IPsec và TLS.

Nhóm này bao gồm các sản phẩm có chức năng mã hóa, giải mã, ký số hoặc xác thực dữ liệu truyền, nhận trên môi trường mạng dưới dạng thiết bị, phần mềm bảo mật sử dụng các công nghệ mạng riêng ảo có bảo mật, trong đó có IPsec VPN và TLS VPN, nhằm bảo vệ thông tin không thuộc phạm vi bí mật nhà nước. Đối với nhóm sản phẩm này, Thông tư dẫn chiếu QCVN 12:2022/BQP và Sửa đổi 1:2026 QCVN 12:2022/BQP làm quy chuẩn kỹ thuật tương ứng. Việc quản lý chất lượng được thực hiện thông qua công bố hợp quy trên cơ sở kết quả chứng nhận hợp quy của tổ chức chứng nhận được chỉ định; áp dụng phương thức đánh giá sự phù hợp 5 hoặc 7 theo Thông tư số 14/2026/TT-BKHCN. Hàng hóa nhập khẩu thuộc nhóm này phải thực hiện kiểm tra nhà nước về chất lượng theo quy định. 

Thứ hai, sản phẩm bảo mật dữ liệu lưu giữ.

Đây là nhóm sản phẩm có chức năng mã hóa, giải mã dữ liệu lưu giữ nhằm bảo vệ thông tin không thuộc phạm vi bí mật nhà nước. Sản phẩm có thể được thể hiện dưới nhiều dạng như thẻ thông minh, USB, bộ nhớ của mạch điện tử tích hợp, hệ thống lưu giữ chuyên dụng hoặc hình thức lưu giữ trên môi trường điện toán đám mây.  Nhóm sản phẩm này thuộc phạm vi áp dụng của QCVN 15:2023/BQP và Sửa đổi 1:2026 QCVN 15:2023/BQP. Tương tự nhóm sản phẩm bảo mật luồng IP, yêu cầu quản lý chất lượng bao gồm công bố hợp quy trên cơ sở kết quả chứng nhận hợp quy của tổ chức chứng nhận được chỉ định, áp dụng phương thức đánh giá sự phù hợp 5 hoặc 7; hàng hóa nhập khẩu phải thực hiện kiểm tra nhà nước về chất lượng. 

Thứ ba, sản phẩm mật mã dân sự sử dụng trong lĩnh vực ngân hàng.

Đây là nhóm sản phẩm có chức năng mã hóa, giải mã, ký số hoặc xác thực dữ liệu truyền, nhận, lưu giữ được sử dụng trong lĩnh vực ngân hàng nhằm bảo vệ thông tin không thuộc phạm vi bí mật nhà nước.  Đối với nhóm này, Thông tư xác định các quy chuẩn kỹ thuật tương ứng gồm QCVN 4:2026/BQP, QCVN 5:2016/BQP và QCVN 6:2016/BQP, đồng thời xác định các mã số HS tương ứng với nhiều loại sản phẩm, thiết bị. 

Quy định yêu cầu quản lý chất lượng

Thông tư quy định việc quản lý chất lượng sản phẩm mật mã dân sự thuộc Danh mục được thực hiện theo pháp luật về chất lượng sản phẩm, hàng hóa; pháp luật về tiêu chuẩn, quy chuẩn kỹ thuật; các quy định về chứng nhận hợp quy, công bố hợp quy, kiểm tra chất lượng sản phẩm, hàng hóa và các quy chuẩn kỹ thuật quốc gia tương ứng. 

Đối với sản phẩm mật mã dân sự có mức độ rủi ro cao, kết quả thử nghiệm làm căn cứ chứng nhận hợp quy phải được thực hiện bởi tổ chức thử nghiệm được Bộ trưởng Bộ Quốc phòng chỉ định hoặc được thừa nhận theo quy định của pháp luật; phạm vi thử nghiệm phải phù hợp với quy chuẩn kỹ thuật quốc gia tương ứng. 

Trường hợp sản phẩm đồng thời thuộc đối tượng áp dụng của hai hoặc nhiều quy chuẩn kỹ thuật quốc gia, sản phẩm phải đáp ứng đầy đủ các quy chuẩn kỹ thuật quốc gia tương ứng và thực hiện đánh giá sự phù hợp, chứng nhận hợp quy, công bố hợp quy theo mức độ rủi ro, yêu cầu quản lý chất lượng. Thông tư đồng thời quy định không thực hiện trùng lặp nội dung đánh giá sự phù hợp đối với cùng một yêu cầu kỹ thuật đã được đánh giá theo quy chuẩn kỹ thuật quốc gia tương ứng. 

Đối với các nhóm sản phẩm được quy định trong Phụ lục, yêu cầu quản lý chất lượng bao gồm công bố hợp quy trên cơ sở kết quả chứng nhận hợp quy của tổ chức chứng nhận được chỉ định; áp dụng phương thức đánh giá sự phù hợp 5 hoặc 7 theo Thông tư số 14/2026/TT-BKHCN; hàng hóa nhập khẩu thực hiện kiểm tra nhà nước về chất lượng theo quy định. 

Khoảng thời gian chuyển tiếp 24 tháng

Để tạo điều kiện cho các tổ chức, cá nhân đang sản xuất, kinh doanh và nhập khẩu sản phẩm thuộc Danh mục thích ứng với yêu cầu quản lý mới, Thông tư quy định thời gian chuyển tiếp.

Theo đó, đối với các sản phẩm mật mã dân sự thuộc Danh mục hàng hóa có mức độ rủi ro cao đã được cấp phép, đang lưu thông trên thị trường, trong vòng 24 tháng kể từ ngày Thông tư có hiệu lực, các sản phẩm này phải đáp ứng các yêu cầu quản lý chất lượng tương ứng quy định tại Phụ lục ban hành kèm theo Thông tư. 

Quy định chuyển tiếp giúp tạo khoảng thời gian cần thiết để các chủ thể liên quan rà soát sản phẩm, hoàn thiện việc đánh giá sự phù hợp và đáp ứng các yêu cầu quản lý chất lượng mới.

Tăng cường vai trò của Ban Cơ yếu Chính phủ trong tổ chức thực hiện

Ban Cơ yếu Chính phủ có trách nhiệm kiểm tra, đôn đốc, hướng dẫn thực hiện Thông tư; đồng thời chủ trì, phối hợp với các cơ quan, đơn vị liên quan đề xuất cấp có thẩm quyền sửa đổi, bổ sung Danh mục sản phẩm mật mã dân sự có mức độ rủi ro cao phù hợp với yêu cầu quản lý nhà nước trong từng thời kỳ.  Đây cũng là cơ chế cho phép Danh mục được cập nhật theo sự phát triển của công nghệ, sản phẩm và yêu cầu thực tiễn, thay vì được xem là một danh sách cố định.

Kết luận

Trong bối cảnh các hoạt động truyền, nhận và lưu giữ dữ liệu ngày càng phụ thuộc vào hạ tầng số, việc xác định rõ những sản phẩm mật mã dân sự có mức độ rủi ro cao và đặt ra yêu cầu quản lý chất lượng tương ứng có ý nghĩa quan trọng đối với việc bảo đảm an toàn cho thông tin trong quá trình xử lý và trao đổi trên môi trường số. Thông tư 126/2026/TT-BQP vì vậy tạo thêm cơ sở pháp lý để công tác quản lý chất lượng đối với sản phẩm mật mã dân sự được thực hiện thống nhất, phù hợp với hệ thống tiêu chuẩn, quy chuẩn kỹ thuật và yêu cầu quản lý trong từng lĩnh vực.