Ngày 19/8/2026, Chính phủ ban hành Nghị định số 331/2026/NĐ-CP quy định về bảo vệ an ninh mạng đối với hệ thống thông tin. Nghị định hướng dẫn cụ thể việc xác định cấp độ bảo vệ an ninh mạng đối với hệ thống thông tin của cơ quan, doanh nghiệp, đồng thời giải quyết một số vấn đề thực tiễn trong thẩm định hệ thống đang vận hành, xử lý khi quy mô người dùng tăng và nguyên tắc lựa chọn cấp độ bảo vệ.
Theo Khoản 2 Điều 8, trường hợp hệ thống thông tin đồng thời đáp ứng nhiều tiêu chí thuộc các cấp độ khác nhau, chủ quản hệ thống phải áp dụng cấp độ cao nhất để phê duyệt phương án bảo vệ. Khoản 3 Điều 8 cũng nghiêm cấm việc cố tình phân tách phạm vi hệ thống nhằm giảm cấp độ hoặc yêu cầu bảo vệ. Khi phát hiện việc phân tách, hợp nhất không phù hợp, cơ quan có thẩm quyền có thể yêu cầu xác định lại hệ thống và cấp độ bảo vệ tương ứng.
Đối với hệ thống thông tin của doanh nghiệp đang vận hành hoặc đang đầu tư, xây dựng trước ngày 01/7/2026, Khoản 1 Điều 39 quy định phải hoàn thành việc thẩm định, phê duyệt cấp độ theo Nghị định số 85/2016/NĐ-CP trong thời hạn 06 tháng kể từ khi Luật An ninh mạng số 116/2025/QH15 có hiệu lực. Trong thời hạn 12 tháng, các hệ thống này phải đáp ứng đầy đủ điều kiện, tiêu chuẩn và biện pháp bảo vệ theo cấp độ quy định tại Nghị định mới. Trường hợp hệ thống đang vận hành cần xác định lại cấp độ do thay đổi tiêu chí, việc phê duyệt được thực hiện theo quy trình xác định cấp độ lần đầu tại Điều 25.
Hệ thống thông tin, dữ liệu số cần được bảo vệ an ninh mạng phù hợp với cấp độ và mức độ rủi ro.
Về quy mô người dùng và dữ liệu, số lượng chủ thể dữ liệu cá nhân cơ bản hoặc nhạy cảm là tiêu chí phân định giữa Cấp độ 2 và Cấp độ 3. Cụ thể, Cấp độ 2 áp dụng đối với hệ thống có dưới 100.000 chủ thể dữ liệu cá nhân cơ bản hoặc dưới 10.000 chủ thể dữ liệu cá nhân nhạy cảm; từ các ngưỡng này trở lên thuộc Cấp độ 3. Khi quy mô người dùng, phạm vi phục vụ, kết nối hoặc chia sẻ dữ liệu thay đổi, chủ quản hệ thống phải đánh giá rủi ro an ninh mạng. Nếu xác định mức độ rủi ro cao hơn cấp độ hiện tại, phải đề xuất áp dụng cấp độ bảo vệ cao hơn và lập lại hồ sơ đề xuất cấp độ, phương án bảo vệ để trình phê duyệt theo Điều 25.
Nghị định cũng đặt ra nguyên tắc bảo đảm an ninh mạng tổng thể, đồng bộ, tập trung, khuyến khích dùng chung và chia sẻ tài nguyên nhằm tránh đầu tư trùng lặp, lãng phí. Đối với hệ thống Cấp độ 1, 2 và 3, phương án bảo vệ phải chủ động xem xét khả năng dùng chung các giải pháp bảo vệ và chia sẻ tài nguyên giữa các hệ thống nội bộ.
Tăng cường bảo vệ an ninh mạng đối với hệ thống thông tin trong tình hình mới.
Đáng chú ý, đối với hệ thống Cấp độ 3 và 4, Khoản 8 Điều 30 cho phép sử dụng chung hạ tầng vật lý tại Cloud hoặc Data Center, nhưng phải thiết kế tách riêng, độc lập về mặt logic đối với hệ thống, phân vùng mạng và lưu trữ dữ liệu. Với hệ thống Cấp độ 5, dù phải tách biệt hoàn toàn về mặt vật lý đối với hệ thống, phân vùng lưu trữ và thiết bị mạng chính, vẫn được phép dùng chung một số giải pháp an ninh mạng nếu chỉ thực hiện chức năng giám sát, phát hiện, cảnh báo hoặc bảo vệ ở lớp biên, không tạo khả năng truy cập, điều khiển hoặc can thiệp trực tiếp vào dữ liệu và hoạt động nội bộ. Quy định này góp phần tối ưu chi phí vận hành các hệ thống giám sát và Trung tâm vận hành an ninh mạng (SOC).
Về trách nhiệm quản lý, Điều 31 quy định người đứng đầu cơ quan, tổ chức là chủ quản hệ thống thông tin chịu trách nhiệm trước pháp luật về công tác bảo vệ an ninh mạng. Người đứng đầu phải bố trí bộ phận hoặc nhân sự chuyên trách phù hợp với cấp độ bảo vệ của hệ thống; đối với hệ thống sử dụng ngân sách nhà nước phải chỉ định cá nhân, bộ phận phụ trách an ninh mạng. Trường hợp chưa có đơn vị chuyên trách độc lập, phải chỉ định đơn vị chuyên trách về công nghệ thông tin hoặc chuyển đổi số thực hiện nhiệm vụ an ninh mạng, hoặc thành lập, chỉ định bộ phận chuyên trách theo quy định.
Lan Hương - Phòng Công tác chính trị
Đánh giá bài viết: