Ngày 30/6/2026, Bộ trưởng Bộ Công an – Đại tướng Lương Tam Quang đã ký ban hành Thông tư số 125/2026/TT-BCA ban hành Danh mục sản phẩm, hàng hóa có mức độ rủi ro trung bình, mức độ rủi ro cao thuộc trách nhiệm quản lý của Bộ Công an. Thông tư có hiệu lực từ ngày 01/7/2026. Đây là văn bản đặt nền tảng cho việc quản lý chất lượng theo cơ chế rủi ro đối với ba nhóm hàng hóa nhạy cảm: pháo hoa, phương tiện phòng cháy chữa cháy & cứu nạn cứu hộ (PCCC & CNCH), và đặc biệt là nhóm phương tiện giám sát – trong đó có camera sử dụng giao thức Internet (camera IP). Bài viết dưới đây phân tích toàn cảnh Thông tư và đi sâu vào phần được doanh nghiệp, chủ đầu tư quan tâm nhất: camera kết nối Internet.

1. Tổng quan Thông tư 125/2026/TT-BCA

Thông tư 125/2026/TT-BCA là một mắt xích trong lộ trình chuyển đổi phương thức quản lý chất lượng sản phẩm, hàng hóa của Việt Nam từ quản lý theo danh mục hành chính sang quản lý theo mức độ rủi ro. Thay vì áp dụng một quy trình kiểm soát chung cho mọi mặt hàng, cơ quan quản lý phân loại sản phẩm thành các mức rủi ro khác nhau và áp đặt biện pháp quản lý tương xứng – rủi ro càng cao, yêu cầu càng chặt.

Thông tư được xây dựng trên cơ sở hệ thống pháp luật vừa được sửa đổi toàn diện năm 2025 – 2026, bao gồm Luật Chất lượng sản phẩm, hàng hóa (Luật 05/2007/QH12, sửa đổi bởi Luật 35/2018/QH14 và Luật 78/2025/QH15); Luật Tiêu chuẩn và Quy chuẩn kỹ thuật (Luật 68/2006/QH11, sửa đổi bởi Luật 35/2018/QH14 và Luật 70/2025/QH15); Luật Phòng cháy, chữa cháy và cứu nạn, cứu hộ (Luật 55/2024/QH15, sửa đổi bởi Luật 118/2025/QH15 và Luật 135/2025/QH15); cùng loạt Nghị định hướng dẫn thi hành như Nghị định 105/2025/NĐ-CP, 22/2026/NĐ-CP, 37/2026/NĐ-CP và Nghị định 137/2020/NĐ-CP về quản lý pháo (đã được sửa đổi).

2. Phạm vi điều chỉnh và đối tượng áp dụng

Theo Điều 1, Thông tư quy định về Danh mục và nguyên tắc quản lý sản phẩm, hàng hóa có mức độ rủi ro trung bình, mức độ rủi ro cao thuộc trách nhiệm quản lý của Bộ Công an. Điều 2 xác định ba nhóm đối tượng áp dụng:

• Các đơn vị thuộc cơ quan Bộ Công an, Công an các tỉnh, thành phố – với vai trò quản lý nhà nước.
• Tổ chức, cá nhân nhập khẩu, sản xuất, kinh doanh sản phẩm, hàng hóa thuộc Danh mục ban hành kèm theo Thông tư.
• Tổ chức đánh giá sự phù hợp thực hiện các hoạt động phục vụ yêu cầu quản lý nhà nước về chất lượng sản phẩm, hàng hóa.

Như vậy, mọi doanh nghiệp nhập khẩu, sản xuất hoặc phân phối camera IP, thiết bị PCCC hay pháo hoa tại Việt Nam đều thuộc phạm vi điều chỉnh – không phân biệt là nhà sản xuất trong nước hay thương hiệu nước ngoài.

3. Bảy điều khoản cốt lõi và các mốc phải nhớ

Phần lời của Thông tư gồm 7 điều. Ngoài phạm vi và đối tượng, ba điều khoản có ý nghĩa vận hành trực tiếp với doanh nghiệp là Điều 4, Điều 5 và Điều 6.

Điều 4 – Nguyên tắc quản lý chất lượng

Việc quản lý chất lượng sản phẩm, hàng hóa rủi ro trung bình và rủi ro cao được thực hiện theo pháp luật về chất lượng sản phẩm hàng hóa, tiêu chuẩn – quy chuẩn kỹ thuật, và yêu cầu quản lý cụ thể ghi tại cột tương ứng trong Phụ lục. Nói cách khác, muốn biết một mặt hàng phải làm gì để được lưu thông, doanh nghiệp phải đọc đúng dòng của mặt hàng đó trong Phụ lục.

Điều 5 – Hiệu lực và điều khoản dẫn chiếu động

Thông tư có hiệu lực từ 01/7/2026. Đáng chú ý, nếu các quy chuẩn kỹ thuật quốc gia được dẫn chiếu trong Danh mục sau này được sửa đổi, bổ sung hoặc thay thế thì áp dụng theo văn bản mới – doanh nghiệp không cần chờ sửa Thông tư 125.

Điều 6 – Điều khoản chuyển tiếp

• Giấy chứng nhận hợp quy, Thông báo tiếp nhận bản công bố hợp quy đã cấp trước ngày Thông tư có hiệu lực vẫn còn giá trị và được tiếp tục sử dụng đến hết thời hạn ghi trong giấy.
• Đối với sản phẩm, hàng hóa mức độ rủi ro cao, tổ chức/cá nhân phải thực hiện quy định về truy xuất nguồn gốc sản phẩm sau 06 tháng kể từ ngày Thông tư có hiệu lực (tức từ khoảng 01/01/2027).

4. Danh mục A – Sản phẩm, hàng hóa mức độ rủi ro CAO

Nhóm rủi ro cao gồm pháo hoa và một số phương tiện PCCC & CNCH có nguy cơ trực tiếp tới an toàn tính mạng. Với nhóm này, khi nhập khẩu phải kiểm tra nhà nước về chất lượng và công bố hợp quy trước khi lưu thông; khi sản xuất/lưu thông phải công bố hợp quy dựa trên kết quả chứng nhận của tổ chức chứng nhận được chỉ định.

5. Danh mục B – Sản phẩm, hàng hóa mức độ rủi ro TRUNG BÌNH

Danh mục B gồm hai nhóm lớn: (I) phương tiện PCCC & CNCH và (II) phương tiện giám sát bảo đảm trật tự, an toàn giao thông, an toàn xã hội. Chính nhóm II chứa toàn bộ họ camera – tâm điểm của bài viết này.

5.1. Nhóm I – Phương tiện phòng cháy, chữa cháy và cứu nạn, cứu hộ

Toàn bộ 8 mặt hàng nhóm I áp dụng QCVN 03:2023/BCA.

5.2. Nhóm II – Phương tiện giám sát bảo đảm trật tự, an toàn giao thông, an toàn xã hội

Đây là nhóm quan trọng nhất về mặt công nghệ. Bảy loại thiết bị trong nhóm cùng chia sẻ dải mã HS 8525.81.10 – 8525.89.90 (nhóm camera truyền hình, camera số và camera ghi hình). Điểm mấu chốt: mọi thiết bị trong nhóm đều phải tuân thủ QCVN 11:2026/BCA về an ninh mạng, còn các quy chuẩn chức năng (QCVN 05:2024/BCA, QCVN 06:2024/BCA) áp dụng thêm tùy loại.

Mục 7 – “Camera giám sát sử dụng giao thức Internet” – chỉ dẫn chiếu duy nhất tới QCVN 11:2026/BCA. Đây chính là nội dung được phân tích sâu ở phần tiếp theo.

6. Camera sử dụng giao thức Internet (camera IP)

6.1. “Camera sử dụng giao thức Internet” là gì?

Camera giám sát sử dụng giao thức Internet (thường gọi là camera IP) là thiết bị ghi hình có khả năng tự truyền, nhận dữ liệu qua mạng theo bộ giao thức TCP/IP – khác với camera analog truyền tín hiệu qua cáp đồng trục về đầu ghi. Nhờ kết nối mạng, camera IP có địa chỉ IP riêng, có thể xem từ xa qua Internet, tích hợp điện toán biên, AI phân tích hình ảnh, lưu trữ đám mây… Chính khả năng kết nối này khiến camera IP vừa là công cụ giám sát mạnh mẽ, vừa là bề mặt tấn công mạng nếu không được bảo mật đúng cách.

6.2. Nguồn gốc pháp lý: QCVN 11:2026/BCA và Thông tư 48/2026/TT-BCA

Yêu cầu kỹ thuật đối với camera IP không nằm trong Thông tư 125, mà được quy định tại QCVN 11:2026/BCA – Quy chuẩn kỹ thuật quốc gia về thiết bị camera giám sát sử dụng giao thức Internet, các yêu cầu an ninh mạng cơ bản. Quy chuẩn này được ban hành kèm theo Thông tư số 48/2026/TT-BCA ngày 12/5/2026 (do Đại tướng Lương Tam Quang ký), có hiệu lực từ 01/7/2026. Thông tư 125 chính là văn bản “kích hoạt” nghĩa vụ công bố hợp quy: khi Bộ Công an ban hành Danh mục sản phẩm rủi ro, camera IP được xếp vào mức rủi ro trung bình và từ đó phải công bố hợp quy theo QCVN 11:2026/BCA.

Bối cảnh ra đời của quy chuẩn gắn với việc đổi mới toàn diện pháp luật an ninh mạng: Luật An ninh mạng số 116/2025/QH15 và Nghị định 22/2026/NĐ-CP ngày 16/01/2026. Về tổ chức thực thi, Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao theo dõi, kiểm tra, đôn đốc; còn Cục Khoa học, Chiến lược và Lịch sử Công an phổ biến quy chuẩn, chỉ định tổ chức đánh giá sự phù hợp và định kỳ cập nhật danh sách thiết bị đã công bố hợp quy.

6.3. Vì sao phải siết chặt? Bức tranh rủi ro thực tế

Việc đưa camera IP vào diện quản lý an ninh mạng không phải là thủ tục hành chính đơn thuần. Hệ thống giám sát từng ghi nhận hơn 800.000 camera tại Việt Nam bị chia sẻ dữ liệu hình ảnh công khai lên Internet, trong đó khoảng 360.000 thiết bị mang lỗ hổng có thể bị khai thác trực tiếp. Đây là hệ quả của một thị trường tăng trưởng nóng nhưng thiếu kiểm soát kỹ thuật đầu vào.

Một số lỗ hổng bảo mật điển hình trên các dòng camera phổ biến (dẫn theo cảnh báo công khai) gồm:

• Hikvision: CVE-2021-36260 cho phép thực thi mã từ xa không cần xác thực, ảnh hưởng hơn 80 dòng camera/đầu ghi; tháng 4/2026 tiếp tục xuất hiện chuỗi CVE-2025-34067, CVE-2025-66177, CVE-2026-0709, CVE-2025-39247 trên firmware phiên bản 3.0.3 trở về trước.
• Dahua: CVE-2022-30563 khai thác cơ chế xác thực ONVIF (CVSS 7.4); năm 2025 thêm CVE-2025-31700 và CVE-2025-31701 (CVSS 8.1).
• Phân khúc giá rẻ / OEM: F-Secure phát hiện 18 lỗ hổng trên nền tảng Foscam, cho phép truy cập video từ xa và lây lan sang thiết bị khác trong cùng mạng nội bộ.

Nhiều nhóm APT và mạng botnet đã lợi dụng các lỗ hổng này để dò quét mạng nội bộ, thu thập hình ảnh và biến camera thành mắt xích trong mạng lưới máy tính bị kiểm soát từ xa. QCVN 11:2026/BCA ra đời để bịt các lỗ hổng phổ biến ngay từ khâu thiết kế và nhập khẩu thiết bị.

6.4. 11 nhóm yêu cầu kỹ thuật bắt buộc của QCVN 11:2026/BCA

Quy chuẩn xây dựng 11 nhóm yêu cầu kỹ thuật bắt buộc, lấy tiêu chuẩn quốc tế ETSI EN 303 645 v2.1.1 (2020) về an ninh mạng cho thiết bị IoT tiêu dùng làm tài liệu viện dẫn chủ đạo, kết hợp ETSI TS 103 701 v1.1.1 (2021) về phương pháp đánh giá sự phù hợp. Các nhóm yêu cầu tiêu biểu gồm:

1. Khởi tạo mật khẩu duy nhất (5 yêu cầu): mật khẩu ở mọi trạng thái – trừ mặc định xuất xưởng – phải là duy nhất cho từng thiết bị hoặc do người dùng tự đặt; cơ chế xác thực phải chống tấn công vét cạn (brute-force) qua giao diện mạng.
2. Công bố chính sách quản lý lỗ hổng bảo mật: nhà sản xuất phải công khai đầu mối tiếp nhận báo cáo lỗ hổng, cam kết xác nhận và cập nhật trạng thái xử lý cho đến khi vá xong.
3. Quản lý cập nhật (7 yêu cầu): thông báo khi có bản cập nhật, dùng mã hóa an toàn khi cài đặt, công bố thời hạn hỗ trợ theo từng chủng loại, cho phép tra cứu mã/chủng loại qua nhãn dán hoặc giao diện vật lý.
4. Lưu trữ tham số an toàn nhạy cảm (4 yêu cầu): khóa, chứng thư, thông tin bí mật phải được lưu trữ an toàn trên thiết bị.
5. Quản lý kênh giao tiếp an toàn (4 yêu cầu): dữ liệu truyền đi phải được bảo vệ bằng mã hóa phù hợp.
6. Phòng chống tấn công qua giao diện thiết bị (3 yêu cầu): vô hiệu hóa mọi giao diện mạng/logic không sử dụng; ở trạng thái hoạt động ban đầu phải giảm thiểu tiết lộ thông tin an ninh trước khi xác thực thành công.
7. Bảo vệ dữ liệu người dùng: minh bạch về mục đích, cách thu thập – xử lý – lưu trữ dữ liệu cá nhân; có chức năng xác nhận và thu hồi sự đồng ý; mã hóa dữ liệu nhạy cảm trao đổi giữa camera và dịch vụ liên kết.
8. Khả năng tự khôi phục sau sự cố (3 yêu cầu): thiết bị duy trì hoạt động và tự phục hồi khi mất mạng, mất điện.
9. Xóa dữ liệu người dùng trên thiết bị (1 yêu cầu): cho phép xóa an toàn dữ liệu cá nhân.
10. Xác thực dữ liệu đầu vào (1 yêu cầu): kiểm tra, làm sạch dữ liệu đầu vào để chống tấn công tiêm mã.
11. Bảo đảm tính toàn vẹn và các yêu cầu nền tảng khác: hoàn thiện bộ khung kỹ thuật toàn diện nhất từ trước đến nay mà Việt Nam áp dụng cho camera IP.

6.5. Chính sách yêu cầu lưu trữ dữ liệu tại Việt Nam

Đây là yêu cầu có sức nặng lớn nhất về mặt chính sách dữ liệu. Nó buộc các thương hiệu camera – kể cả thương hiệu đặt máy chủ đám mây ở nước ngoài – phải hỗ trợ tùy chọn lưu dữ liệu trong lãnh thổ Việt Nam, giảm rủi ro dữ liệu hình ảnh nhạy cảm bị chuyển ra ngoài biên giới ngoài tầm kiểm soát.

Cơ chế công bố hợp quy: ba con đường được chấp nhận

Cột “Yêu cầu quản lý chất lượng tương ứng” trong Phụ lục quy định rất cụ thể cách một lô camera được phép lưu thông. Trong sản xuất, lưu thông trên thị trường, tổ chức/cá nhân công bố hợp quy dựa trên một trong ba cơ sở sau:

• Kết quả chứng nhận hợp quy của tổ chức chứng nhận được chỉ định;
• Kết quả chứng nhận hợp quy của tổ chức chứng nhận được công nhận theo quy định pháp luật;
• Kết quả tự đánh giá của tổ chức, cá nhân.

Riêng con đường tự đánh giá được phân biệt theo từng quy chuẩn:

• Đối với QCVN 11:2026/BCA (camera IP): dựa trên kết quả thử nghiệm của tổ chức thử nghiệm được chỉ định, hoặc kết quả đánh giá sự phù hợp của tổ chức quốc tế, khu vực, nước ngoài được thừa nhận theo quy định.
• Đối với QCVN 05:2024/BCA và QCVN 06:2024/BCA: dựa trên kết quả thử nghiệm của tổ chức thử nghiệm được chỉ định hoặc được công nhận, hoặc kết quả đánh giá sự phù hợp của tổ chức quốc tế/khu vực/nước ngoài được thừa nhận.

Việc chấp nhận kết quả đánh giá của tổ chức quốc tế được thừa nhận là điểm “mở” quan trọng, tạo điều kiện cho camera nhập khẩu đã có chứng nhận theo chuẩn ETSI/quốc tế rút ngắn thủ tục tại Việt Nam.

Doanh nghiệp cần làm gì để tuân thủ?

Với nhà nhập khẩu, sản xuất và nhà thầu tích hợp camera – đặc biệt trong các dự án an ninh, giao thông, cơ quan nhà nước – lộ trình hành động nên gồm:

1. Rà soát danh mục sản phẩm đang kinh doanh, đối chiếu mã HS và tên thiết bị với Phụ lục Thông tư 125 để xác định mặt hàng nào thuộc diện rủi ro trung bình/cao.
2. Yêu cầu hồ sơ hợp quy từ nhà sản xuất: chứng nhận/kết quả thử nghiệm theo QCVN 11:2026/BCA (và QCVN 05/06:2024/BCA nếu là camera giao thông), báo cáo đánh giá theo ETSI EN 303 645.
3. Kiểm tra khả năng đáp ứng 11 nhóm yêu cầu, đặc biệt là chức năng lưu trữ dữ liệu tại Việt Nam (2.11.5), quản lý mật khẩu duy nhất và chính sách cập nhật firmware.
4. Thực hiện công bố hợp quy theo một trong ba con đường được chấp nhận trước khi đưa hàng ra thị trường.
5. Chuẩn bị truy xuất nguồn gốc cho hàng rủi ro cao (áp dụng sau 06 tháng kể từ hiệu lực) và lưu giữ Giấy chứng nhận hợp quy còn hiệu lực.
6. Ưu tiên thiết bị có sẵn nền tảng bảo mật đạt chuẩn để giảm rủi ro trượt hợp quy và rủi ro an ninh mạng về sau.

Gợi ý lựa chọn thiết bị tuân thủ

Vì QCVN 11:2026/BCA đặt trọng tâm vào an ninh mạng và chủ quyền dữ liệu, các dòng camera có kiến trúc bảo mật minh bạch, hỗ trợ lưu trữ dữ liệu nội địa, cập nhật firmware chủ động và không nằm trong danh sách hạn chế về an ninh (ví dụ các thương hiệu Nhật Bản, Hàn Quốc, hoặc thiết bị đạt tiêu chuẩn NDAA/ETSI) sẽ có lợi thế rõ rệt khi làm hồ sơ hợp quy và tham gia các dự án nhạy cảm. Đây là thời điểm hợp lý để rà soát lại danh mục camera và hạ tầng mạng đi kèm (switch, đầu ghi) theo hướng tuân thủ ngay từ đầu, thay vì khắc phục về sau.

Câu hỏi thường gặp (FAQ)

Hỏi: Thông tư 125/2026/TT-BCA có hiệu lực từ khi nào?

Đáp: Từ ngày 01/7/2026. Các quy chuẩn dẫn chiếu như QCVN 11:2026/BCA, QCVN 05:2024/BCA, QCVN 06:2024/BCA cũng bắt đầu áp dụng từ mốc này.

Hỏi: Camera IP thuộc mức rủi ro nào?

Đáp: Mức độ rủi ro trung bình (Danh mục B, nhóm II, mục 7 – “Camera giám sát sử dụng giao thức Internet”), áp dụng QCVN 11:2026/BCA.

Hỏi: QCVN 11:2026/BCA thay thế quy chuẩn nào?

Đáp: Thay thế QCVN 135:2024/BTTTT (ban hành kèm Thông tư 21/2024/TT-BTTTT của Bộ Thông tin và Truyền thông) kể từ 01/7/2026.

Hỏi: Camera nhập khẩu đã có chứng nhận quốc tế có được công nhận không?

Đáp: Có thể. Quy chuẩn cho phép sử dụng kết quả đánh giá sự phù hợp của tổ chức quốc tế, khu vực, nước ngoài được thừa nhận theo quy định – giúp rút ngắn thủ tục.

Hỏi: Giấy chứng nhận hợp quy cũ còn dùng được không?

Đáp: Còn. Giấy chứng nhận hợp quy/Thông báo tiếp nhận công bố hợp quy đã cấp trước ngày hiệu lực vẫn giá trị đến hết thời hạn ghi trên giấy.

Hỏi: Yêu cầu về lưu trữ dữ liệu tại Việt Nam là gì?

Đáp: Theo yêu cầu 2.11.5 của QCVN 11:2026/BCA, camera phải có chức năng cho phép cấu hình để lưu trữ dữ liệu tại Việt Nam.

Kết luận

Thông tư 125/2026/TT-BCA đánh dấu bước chuyển sang quản lý chất lượng theo mức độ rủi ro trong lĩnh vực do Bộ Công an phụ trách. Với ngành camera giám sát, ý nghĩa lớn nhất là camera sử dụng giao thức Internet chính thức trở thành mặt hàng quản lý về an ninh mạng, phải công bố hợp quy theo QCVN 11:2026/BCA với 11 nhóm yêu cầu kỹ thuật khắt khe và nghĩa vụ hỗ trợ lưu trữ dữ liệu trong nước. Doanh nghiệp chủ động rà soát danh mục, chuẩn hóa hồ sơ hợp quy và ưu tiên thiết bị bảo mật đạt chuẩn ngay từ bây giờ sẽ tránh được gián đoạn kinh doanh và nắm lợi thế trong các dự án an ninh, giao thông, chính phủ giai đoạn sau 01/7/2026.

Lưu ý: Bài viết mang tính thông tin, tổng hợp từ nội dung Thông tư 125/2026/TT-BCA và các nguồn công khai về QCVN 11:2026/BCA. Doanh nghiệp nên đối chiếu bản gốc văn bản và tham vấn cơ quan chức năng khi lập hồ sơ hợp quy.