Phần mềm hết vòng đời (EOL/EOS) 2026: rủi ro tuân thủ, chi phí ESU và cách doanh nghiệp Việt lập lịch nâng cấp

Câu trả lời nhanh

Phần mềm hết vòng đời (End of Life / End of Support) không tự dừng chạy — nó chỉ dừng được vá lỗi. Đó là lý do EOL là một rủi ro TUÂN THỦ chứ không đơn thuần là chuyện kỹ thuật: hệ thống vẫn hoạt động bình thường, hồ sơ vẫn "đủ giấy phép", nhưng mọi lỗ hổng phát hiện sau ngày EOL sẽ vĩnh viễn không có bản vá. Doanh nghiệp không mất quyền sử dụng phần mềm đã mua, nhưng mất khả năng chứng minh mình đã "áp dụng biện pháp quản lý, kỹ thuật… để phòng, chống nguy cơ" như luật yêu cầu.

Ba mốc sát sườn với doanh nghiệp Việt ngay lúc này: Windows 10 đã hết hỗ trợ từ 14/10/2025, SQL Server 2016 hết Extended Support ngày 14/07/2026 — tức vừa hết cách đây chưa đầy hai tuần — và Windows Server 2016 hết Extended Support ngày 12/01/2027, chỉ còn khoảng 18 tháng.

Về pháp lý Việt Nam, vòng đời phần mềm không nằm ngoài phạm vi điều chỉnh. Luật An toàn thông tin mạng số 86/2015/QH13, Điều 23 khoản 1 yêu cầu tổ chức "Ban hành quy định về bảo đảm an toàn thông tin mạng trong thiết kế, xây dựng, quản lý, vận hành, sử dụng, nâng cấp, hủy bỏ hệ thống thông tin" — hai chữ *nâng cấp, hủy bỏ* chính là giai đoạn EOL. Và Nghị định 85/2016/NĐ-CP, Điều 19 khoản 2 điểm g liệt kê "Kết thúc vận hành, khai thác, thanh lý, hủy bỏ" là một nội dung bắt buộc của phương án bảo đảm an toàn hệ thống thông tin.

Hướng xử lý thực dụng: đừng chọn giữa "để nguyên" và "thay hết ngay". Hãy lập lịch vòng đời (lifecycle calendar) cho từng phần mềm, tính chi phí gia hạn theo năm — Microsoft công bố ESU Windows 10 cho tổ chức ở mức 61 USD/thiết bị cho Năm 1 và "giá nhân đôi mỗi năm kế tiếp, tối đa ba năm" — rồi so với chi phí nâng cấp một lần. Dzo.software tư vấn và cung cấp bản quyền chính hãng, hoá đơn GTGT điện tử, thanh toán VND cho doanh nghiệp Việt.

Những mốc vòng đời và con số cần nhớ

Năm dữ kiện dưới đây đều lấy trực tiếp từ trang vòng đời chính thức của nhà sản xuất, kèm liên kết để bạn tự kiểm chứng lại thay vì tin vào bài viết.

• 14/10/2025 — Windows 10 hết hỗ trợ. Microsoft ghi rõ: *"Windows 10 will reach end of support on October 14, 2025. The current version, 22H2, will be the final version of Windows 10"* — Microsoft Lifecycle.
• 14/07/2026 — SQL Server 2016 hết Extended Support (Mainstream đã kết thúc 13/07/2021). ESU Năm 1 chạy từ 15/07/2026 đến 13/07/2027 — Microsoft Lifecycle.
• 14/10/2025 — Office 2016 hết Extended Support (Mainstream đã kết thúc 13/10/2020) — Microsoft Lifecycle.
• 12/01/2027 — Windows Server 2016 hết Extended Support (Mainstream đã kết thúc 11/01/2022) — Microsoft Lifecycle.
• 61 USD/thiết bị là giá ESU Windows 10 Năm 1 qua Volume Licensing; Microsoft nêu *"The price doubles every consecutive year, for a maximum of three years"* và *"ESUs are cumulative"* (mua Năm 2 thì phải trả cả Năm 1) — Microsoft Learn.
• 5 năm Mainstream Support tối thiểu là cam kết của Microsoft trong Fixed Lifecycle Policy: *"A minimum of five years Mainstream Support"* — Microsoft Lifecycle Policy.

1. EOL, EOS, ESU, Sustaining Support — bốn khái niệm rất hay bị nhầm

Phần lớn tranh cãi nội bộ giữa IT và tài chính bắt nguồn từ việc bốn khái niệm này bị dùng lẫn lộn. Định nghĩa gọn:

EOL (End of Life) là thời điểm nhà sản xuất ngừng bán và ngừng phát triển sản phẩm. EOS (End of Support) là thời điểm ngừng phát hành bản vá — đây mới là mốc quyết định về rủi ro. Một sản phẩm có thể EOL từ lâu nhưng vẫn còn EOS phía trước vài năm.

Microsoft chia vòng đời sản phẩm doanh nghiệp thành ba giai đoạn trong Fixed Lifecycle Policy. Trong Mainstream Support, khách hàng được yêu cầu thay đổi thiết kế/tính năng, nhận bản vá bảo mật và bản vá không liên quan bảo mật. Sang Extended Support, Microsoft nêu rõ: *"Microsoft will not accept requests for warranty support, design changes, or new features during the Extended Support phase"* — chỉ còn bản vá bảo mật miễn phí và hỗ trợ trả tiền. Sau khi hết Extended Support, bản vá bảo mật chỉ còn qua chương trình ESU trả phí.

ESU (Extended Security Updates) không phải là "gia hạn hỗ trợ". Microsoft liệt kê rõ những gì ESU không bao gồm: *"New features · Customer-requested nonsecurity updates · Design change requests"*, và trả lời thẳng câu hỏi *"Is technical support included in ESU?"* bằng *"No, technical support isn't included in the ESU program"* — Microsoft Learn. ESU chỉ là bình oxy để bạn kịp di chuyển, không phải là chỗ ở lâu dài.

Phía Oracle dùng thuật ngữ khác nhưng logic tương tự. Theo tài liệu Oracle Lifetime Support Policy — Oracle Technology Products (hiệu lực 01/05/2026): *"Premier Support provides a standard five-year support policy for Oracle Technology products. You can extend support for an additional three years with Extended Support for specific releases or receive indefinite technical support with Sustaining Support."* Nghe "indefinite" rất yên tâm — cho tới khi đọc phần Sustaining Support không bao gồm: *"New updates, fixes, security alerts, data fixes, and critical patch updates · New tax, legal, and regulatory updates · New upgrade scripts · Certification with new third-party products/versions · Certification with new Oracle products."*

Nói cách khác: Sustaining Support của Oracle cho bạn người trực tổng đài, không cho bạn bản vá bảo mật mới. Đây là điểm mà rất nhiều doanh nghiệp Việt hiểu sai và tưởng mình vẫn "đang được hỗ trợ".

2. Vì sao EOL là vấn đề tuân thủ, không chỉ là vấn đề kỹ thuật

Lập luận phổ biến trong doanh nghiệp là: *"Phần mềm này chúng tôi mua bản quyền vĩnh viễn, hết hỗ trợ thì vẫn được dùng hợp pháp."* Câu đó đúng về quyền sử dụng — và không liên quan tới nghĩa vụ bảo đảm an toàn hệ thống thông tin. Đây là hai nhóm nghĩa vụ độc lập, nằm ở hai đạo luật khác nhau.

Ở nhóm nghĩa vụ an toàn thông tin, Luật An toàn thông tin mạng số 86/2015/QH13 quy định tại Điều 23. Biện pháp bảo vệ hệ thống thông tin: *"1. Ban hành quy định về bảo đảm an toàn thông tin mạng trong thiết kế, xây dựng, quản lý, vận hành, sử dụng, nâng cấp, hủy bỏ hệ thống thông tin. 2. Áp dụng biện pháp quản lý, kỹ thuật theo tiêu chuẩn, quy chuẩn kỹ thuật an toàn thông tin mạng để phòng, chống nguy cơ, khắc phục sự cố an toàn thông tin mạng."* Vận hành một hệ thống mà nhà sản xuất đã tuyên bố không còn phát hành bản vá thì rất khó lập luận rằng bạn đang "phòng, chống nguy cơ".

Cùng luật đó, Điều 22. Nhiệm vụ bảo vệ hệ thống thông tin đặt ra sáu nhiệm vụ, trong đó có *"2. Đánh giá và quản lý rủi ro an toàn hệ thống thông tin"*. Một phần mềm đã EOS là rủi ro đã biết, đã định lượng được, và có ngày hết hạn ghi sẵn trên website nhà sản xuất — nếu rủi ro loại này không nằm trong sổ đăng ký rủi ro của bạn thì gần như chắc chắn quy trình đánh giá rủi ro đang có lỗ hổng.

Ở cấp nghị định, Nghị định 85/2016/NĐ-CP về bảo đảm an toàn hệ thống thông tin theo cấp độ liệt kê tại Điều 19 khoản 2 bảy nội dung bắt buộc của phương án bảo đảm an toàn hệ thống thông tin: *"a) Bảo đảm an toàn hệ thống thông tin trong khâu thiết kế, xây dựng; b) Bảo đảm an toàn hệ thống thông tin trong quá trình vận hành; c) Kiểm tra, đánh giá an toàn thông tin; d) Quản lý rủi ro an toàn thông tin; đ) Giám sát an toàn thông tin; e) Dự phòng, ứng cứu sự cố, khôi phục sau thảm họa; g) Kết thúc vận hành, khai thác, thanh lý, hủy bỏ."* Điểm g chính là giai đoạn EOL — pháp luật đã coi "kết thúc vòng đời" là một phần của hồ sơ tuân thủ, chứ không phải việc vặt của phòng IT.

Nhóm nghĩa vụ thứ hai là bản quyền. Đây là chỗ EOL sinh ra cám dỗ nguy hiểm: khi phần mềm hết hỗ trợ, việc cài lại bản cũ thường vướng vì kênh tải chính thức đã đóng, và nhân sự IT dễ tìm tới bản cài trôi nổi hoặc công cụ kích hoạt không chính thống. Lúc đó doanh nghiệp chuyển từ "rủi ro an toàn thông tin" sang thẳng "vi phạm quyền tác giả". Khung xử phạt hiện hành nằm ở [Nghị định 341/2025/NĐ-CP](/blog-nghi-dinh-341) — mức phạt tiền tối đa 500 triệu đồng đối với tổ chức và 250 triệu đồng đối với cá nhân, theo giới thiệu của Cục Bản quyền tác giả.

3. Gia hạn hay nâng cấp: bài toán chi phí ESU luỹ kế

Khi một sản phẩm hết Extended Support, doanh nghiệp có ba lựa chọn thật: (a) nâng cấp lên phiên bản còn được hỗ trợ, (b) mua ESU để mua thêm thời gian, (c) chuyển tải công việc lên nền tảng đám mây nơi ESU được bao gồm sẵn. Lựa chọn (b) hấp dẫn ở năm đầu và trở nên rất đắt ở năm thứ ba — vì đây là thiết kế có chủ đích của nhà sản xuất.

Microsoft công bố ESU Windows 10 cho tổ chức ở mức 61 USD/thiết bị cho Năm 1, kèm hai quy tắc quan trọng: *"The price doubles every consecutive year, for a maximum of three years"* và *"If you decide to purchase the program in Year Two, you have to pay for Year One too, as ESUs are cumulative"*. Nghĩa là bạn không thể "bỏ qua năm 1, mua năm 2" để tiết kiệm. Bảng 3 tính ra chi phí luỹ kế theo đúng hai quy tắc này.

Một điểm đáng chú ý mà nhiều doanh nghiệp bỏ lỡ: Microsoft nêu ESU được cung cấp miễn phí thêm cho máy ảo Windows 10 chạy trên Windows 365, Azure Virtual Desktop, Azure virtual machines, Azure Local, Azure Stack Hub/Edge và một số nền tảng khác. Với doanh nghiệp đang cân nhắc chuyển máy trạm lên mô hình đám mây, chi phí ESU tiết kiệm được nên được đưa thẳng vào bài toán ROI — thay vì tính riêng như hai dự án tách rời. Nếu bạn muốn tận dụng license đang có khi lên cloud, xem thêm bài [BYOL — mang license phần mềm lên cloud](/byol-mang-license-phan-mem-len-cloud).

• Số lượng tối thiểu để mua ESU là 1 license — doanh nghiệp nhỏ vẫn mua được, không bị chặn bởi số lượng tối thiểu.
• Không mua được nửa năm: Microsoft nêu *"Customers can't buy partial periods, for instance, only six months"*.
• Máy phải chạy Windows 10 phiên bản 22H2 mới đủ điều kiện cài bản vá từ chương trình ESU.
• ESU không kéo dài mãi: tối đa ba năm kể từ ngày hết hỗ trợ đối với tổ chức và cơ sở giáo dục.
• Máy không mua ESU vẫn chạy bình thường — đây chính là cái bẫy tâm lý khiến việc nâng cấp bị hoãn hết quý này sang quý khác.

4. Quy trình 6 bước quản trị vòng đời phần mềm trong doanh nghiệp

Quản trị EOL không cần công cụ đắt tiền. Nó cần một bảng dữ liệu đúng và một nhịp rà soát cố định. Sáu bước dưới đây là quy trình tối thiểu mà một doanh nghiệp 50–500 nhân sự có thể vận hành với một người phụ trách bán thời gian.

Bước nền tảng là bước 1: nếu bạn không biết mình đang chạy phần mềm gì và phiên bản nào, mọi bước sau đều vô nghĩa. Đây cũng là lý do inventory là trụ cột đầu tiên của [quản trị tài sản phần mềm (SAM)](/sam-quan-ly-tai-san-phan-mem-doanh-nghiep-vua).

• Bước 1 — Kiểm kê (inventory): liệt kê mọi phần mềm, phiên bản chính xác (bao gồm service pack/build), số máy cài, phòng ban sở hữu, và hệ thống nghiệp vụ phụ thuộc vào nó.
• Bước 2 — Gắn ngày EOS cho từng dòng: tra trên trang lifecycle chính thức của hãng (Microsoft Lifecycle, Oracle Lifetime Support, Broadcom Product Lifecycle) — không tra qua blog trung gian, vì ngày tháng thường bị chép sai.
• Bước 3 — Phân loại theo mức độ phơi nhiễm: hệ thống có kết nối Internet, có xử lý dữ liệu cá nhân, hoặc phục vụ khách hàng thì ưu tiên cao nhất; máy đứng riêng, không nối mạng thì có thể chấp nhận rủi ro có kiểm soát.
• Bước 4 — Đặt ngưỡng cảnh báo T-18 và T-6: cảnh báo 18 tháng trước EOS để đưa vào kế hoạch ngân sách năm sau, và 6 tháng trước EOS để chốt phương án kỹ thuật. Đây là lý do Windows Server 2016 (12/01/2027) cần được xử lý ngay trong kỳ ngân sách này.
• Bước 5 — Quyết định và ghi lại lý do: mỗi dòng phải kết thúc bằng một trong bốn quyết định — nâng cấp, mua ESU, chuyển lên cloud, hoặc chấp nhận rủi ro (kèm biện pháp bù đắp như cách ly mạng, giám sát tăng cường). Ghi lại ai duyệt và duyệt ngày nào — đây chính là hồ sơ bạn cần khi bị kiểm tra.
• Bước 6 — Đóng vòng đời đúng cách: khi gỡ hệ thống cũ, thực hiện đủ phần "kết thúc vận hành, khai thác, thanh lý, hủy bỏ" — xoá dữ liệu an toàn trên ổ đĩa, thu hồi và huỷ key, cập nhật lại sổ tài sản, lưu biên bản thanh lý.

5. Năm sai lầm khiến doanh nghiệp trả giá đắt vì EOL

Trong các đợt rà soát cho doanh nghiệp Việt, năm mẫu sai lầm dưới đây lặp lại nhiều nhất — và cả năm đều bắt nguồn từ việc hiểu sai bản chất của vòng đời chứ không phải thiếu ngân sách.

• Nhầm "còn dùng được" với "còn được hỗ trợ". Phần mềm EOS vẫn khởi động, vẫn in báo cáo, vẫn xuất hoá đơn — nên không ai thấy vấn đề cho tới khi có sự cố.
• Tưởng Sustaining Support của Oracle là an toàn. Oracle nêu rõ Sustaining Support không bao gồm *"new updates, fixes, security alerts, data fixes, and critical patch updates"* — bạn có tổng đài, không có bản vá.
• Mua ESU rồi… dừng lại ở đó. ESU là thời gian mua thêm, không phải giải pháp. Ai mua ESU mà không đồng thời khởi động dự án di chuyển sẽ gặp lại đúng vấn đề đó ở giá gấp bốn lần vào năm thứ ba.
• Bỏ quên phần mềm nhúng trong máy móc và thiết bị chuyên dụng. Máy chấm công, máy CNC, thiết bị y tế, đầu ghi camera thường chạy Windows Embedded hoặc Linux rất cũ và nằm ngoài danh sách kiểm kê của phòng IT.
• Chỉ nhìn hệ điều hành, quên tầng ứng dụng. Nâng Windows Server nhưng để nguyên SQL Server hoặc runtime cũ thì rủi ro vẫn còn nguyên. Việc rà theo lớp nên đi kèm một đợt [audit phần mềm nội bộ theo checklist](/blog-audit-phan-mem-checklist).

6. Dzo.software hỗ trợ gì cho doanh nghiệp Việt

Dzo.software làm việc với doanh nghiệp Việt ở đúng ba điểm nghẽn của bài toán EOL: biết mình đang chạy gì, biết mốc nào sắp tới, và mua đúng thứ cần mua với hoá đơn hợp lệ.

Cụ thể: rà soát và lập bảng kiểm kê phần mềm kèm ngày EOS cho từng dòng; dựng lịch vòng đời với ngưỡng cảnh báo T-18/T-6; so sánh chi phí ba phương án (nâng cấp / ESU / chuyển cloud) trên số liệu thật của doanh nghiệp; và cung cấp bản quyền chính hãng với hoá đơn GTGT điện tử, thanh toán VND, hỗ trợ tiếng Việt. Chúng tôi không bán "gói nâng cấp toàn bộ" mặc định — phương án rẻ nhất mà vẫn đóng được rủi ro mới là phương án đúng.

Miễn trừ trách nhiệm: nội dung bài viết mang tính tham khảo, tổng hợp từ văn bản pháp luật Việt Nam và tài liệu chính thức của nhà sản xuất tại thời điểm 27/07/2026. Đây không phải ý kiến tư vấn pháp lý. Doanh nghiệp nên tham vấn luật sư hoặc cơ quan có thẩm quyền cho tình huống cụ thể của mình, và luôn kiểm tra lại ngày tháng trên trang vòng đời chính thức của hãng vì các mốc này có thể được nhà sản xuất điều chỉnh.

Câu hỏi thường gặp

Dùng phần mềm đã hết hỗ trợ có bị phạt không?

Bản thân việc dùng phần mềm đã hết hỗ trợ không phải là hành vi bị xử phạt nếu bạn vẫn có bản quyền hợp lệ. Rủi ro pháp lý phát sinh theo hai đường gián tiếp: (1) không chứng minh được đã "áp dụng biện pháp quản lý, kỹ thuật… để phòng, chống nguy cơ" theo Điều 23 Luật An toàn thông tin mạng 86/2015 khi bị kiểm tra hoặc khi xảy ra sự cố; (2) sa vào vi phạm bản quyền nếu cài lại bằng nguồn không chính thống sau khi kênh tải chính thức đã đóng.

Chúng tôi mua license vĩnh viễn, hết hỗ trợ thì license còn giá trị không?

Còn. Quyền sử dụng theo license vĩnh viễn không mất đi khi sản phẩm hết hỗ trợ. Điều mất đi là bản vá bảo mật, hỗ trợ kỹ thuật và chứng nhận tương thích với sản phẩm mới. Hai chuyện này hoàn toàn tách biệt.

Mua ESU rồi có được hỗ trợ kỹ thuật không?

Không. Microsoft trả lời trực tiếp: *"No, technical support isn't included in the ESU program"*. ESU chỉ bao gồm bản vá bảo mật mức critical/important, cộng hỗ trợ cho chính việc kích hoạt và cài đặt ESU. Muốn hỗ trợ kỹ thuật cho hệ điều hành, tổ chức phải có gói hỗ trợ riêng đang hiệu lực.

SQL Server 2016 vừa hết hạn 14/07/2026, chúng tôi còn bao lâu?

Theo trang lifecycle của Microsoft, ESU Năm 1 cho SQL Server 2016 chạy từ 15/07/2026 đến 13/07/2027, Năm 2 từ 14/07/2027 đến 18/07/2028, Năm 3 từ 19/07/2028 đến 17/07/2029. Đó là trần thời gian tuyệt đối; sau mốc cuối sẽ không còn bản vá bảo mật dưới bất kỳ hình thức nào.

Nên bắt đầu từ đâu nếu doanh nghiệp chưa có gì?

Bắt đầu bằng một bảng tính duy nhất với năm cột: tên phần mềm, phiên bản chính xác, số máy cài, ngày hết Extended Support (tra trên trang hãng), và mức độ phơi nhiễm. Chỉ riêng việc điền xong bảng này thường đã lộ ra 2–3 hệ thống đã EOS mà không ai biết. Từ đó mới bàn tới ngân sách.