7 lưu ý đánh giá an ninh mạng hệ thống thông tin quan trọng

Luật An ninh mạng 116/2025/QH15 — có hiệu lực từ 01/7/2026, thay thế toàn bộ Luật An ninh mạng 2018 và Luật An toàn thông tin mạng 2015 — thiết lập khung nghĩa vụ mới đối với hệ thống thông tin, đặc biệt là hệ thống thông tin quan trọng về an ninh quốc gia. Doanh nghiệp vận hành hoặc thuê ngoài hệ thống thông tin cần nắm 7 lưu ý dưới đây để đánh giá đúng mức độ tuân thủ.

1. Xác định cấp độ của hệ thống: phân loại 5 cấp độ (Điều 8)

Điều 8 Luật 116/2025/QH15 quy định hệ thống thông tin được phân loại thành 5 cấp độ. Đây là điểm xuất phát bắt buộc: cấp độ của hệ thống là cơ sở để xác định phạm vi nghĩa vụ an ninh mạng mà chủ quản hệ thống phải thực hiện.

Việc phân loại phải căn cứ tiêu chí do pháp luật quy định, không tự ý “hạ cấp” hệ thống để né nghĩa vụ;
Khi hệ thống có thay đổi về quy mô, tính chất, chủ quản cần rà soát lại việc phân loại;
Hồ sơ phân loại cấp độ là căn cứ đầu tiên cơ quan chức năng kiểm tra khi đánh giá tuân thủ.

2. “Hệ thống thông tin quan trọng về an ninh quốc gia” — định nghĩa chặt, không suy diễn mở rộng

Điều 9 quy định hệ thống thông tin quan trọng về an ninh quốc gia (HTTT quan trọng về ANQG) với định nghĩa chặt và phạm vi 8 lĩnh vực (khoản 1, khoản 2 Điều 9). Hệ thống chỉ thuộc nhóm này khi đáp ứng đúng tiêu chí luật định và thuộc danh mục do Thủ tướng Chính phủ quyết định (khoản 4 Điều 9).

Lưu ý quan trọng: không phải mọi hệ thống thông tin của doanh nghiệp FDI đều là HTTT quan trọng về ANQG. Suy diễn mở rộng kiểu “công ty nước ngoài nào cũng thuộc diện” là sai và có thể dẫn tới đánh giá tuân thủ sai hướng, lãng phí nguồn lực.

3. Bắt buộc thẩm định an ninh mạng và chứng nhận đủ điều kiện TRƯỚC khi vận hành

Theo khoản 3 Điều 9, đối với HTTT quan trọng về ANQG, chủ quản hệ thống phải thực hiện thẩm định an ninh mạng và được chứng nhận đủ điều kiện về an ninh mạng trước khi đưa hệ thống vào vận hành.

Đây là điều kiện tiên quyết, không phải thủ tục “làm sau cho đủ hồ sơ”;
Vận hành hệ thống khi chưa hoàn thành thẩm định, chứng nhận là vi phạm nghĩa vụ pháp lý;
Doanh nghiệp cần đưa mốc thẩm định vào kế hoạch dự án ngay từ giai đoạn thiết kế, tránh đội chi phí, chậm tiến độ.

4. Nghĩa vụ định kỳ hằng năm: tự kiểm tra, đánh giá và báo cáo trước tháng 10

Điểm b khoản 1 Điều 11 quy định trách nhiệm của chủ quản hệ thống: tự kiểm tra, đánh giá điều kiện bảo đảm an ninh mạng hằng năm và báo cáo bằng văn bản trước tháng 10 hằng năm.

Đánh giá phải bao quát toàn bộ điều kiện bảo đảm an ninh mạng của hệ thống, không chỉ kiểm tra hình thức;
Báo cáo bằng văn bản gửi cơ quan có thẩm quyền đúng thời hạn — trễ hạn báo cáo là vi phạm nghĩa vụ;
Kết quả tự kiểm tra là cơ sở để xây dựng kế hoạch khắc phục, nâng cấp trong năm tiếp theo.

5. Giám sát thường xuyên, cơ chế cảnh báo và phương án ứng phó

Điểm c, điểm d khoản 1 Điều 11 yêu cầu chủ quản hệ thống giám sát thường xuyên tình trạng an ninh mạng, duy trì cơ chế cảnh báo và xây dựng phương án ứng phó khi xảy ra sự cố.

Giám sát phải liên tục, có nhật ký và quy trình ghi nhận sự kiện an ninh;
Cơ chế cảnh báo cần xác định rõ ngưỡng, đầu mối tiếp nhận và kênh thông báo;
Phương án ứng phó sự cố phải được diễn tập định kỳ, cập nhật khi hệ thống thay đổi.

6. Phối hợp khi cơ quan chức năng kiểm tra đột xuất

Điểm đ khoản 1 Điều 11 quy định chủ quản hệ thống có trách nhiệm phối hợp với cơ quan chức năng khi kiểm tra đột xuất về an ninh mạng. Doanh nghiệp cần chuẩn bị sẵn:

Hồ sơ phân loại cấp độ, kết quả thẩm định, chứng nhận đủ điều kiện;
Báo cáo tự kiểm tra, đánh giá hằng năm và kế hoạch khắc phục;
Nhật ký giám sát, phương án ứng phó sự cố và biên bản diễn tập;
Đầu mối chịu trách nhiệm làm việc với đoàn kiểm tra.

7. Chế tài xử phạt và các hành vi bị cấm

Chế tài: vi phạm hành chính trong lĩnh vực an ninh mạng bị xử phạt theo Nghị định 330/2026/NĐ-CP, với mức phạt tối đa 200 triệu đồng đối với tổ chức và 100 triệu đồng đối với cá nhân (doanh nghiệp nên đối chiếu văn bản gốc của Nghị định để xác định số điều khoản áp dụng cho từng hành vi cụ thể).

Hành vi bị cấm được quy định tại Điều 7 Luật 116/2025/QH15 — doanh nghiệp cần rà soát hoạt động của mình để không vi phạm.

Lưu ý về dữ liệu cá nhân: nếu hệ thống xử lý dữ liệu cá nhân, doanh nghiệp đồng thời phải tuân thủ Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15. Chi tiết thi hành Luật 116/2025/QH15 được quy định tại Nghị định 333/2026/NĐ-CP.

Cảnh báo văn bản hết hiệu lực: Luật An ninh mạng 2018, Luật An toàn thông tin mạng 2015 và Nghị định 15/2020/NĐ-CP không còn được trích dẫn làm căn cứ hiện hành. Mọi tài liệu nội bộ, hợp đồng, chính sách tuân thủ viện dẫn số điều của Luật 2018 (ví dụ “Điều 11, 12 Luật An ninh mạng”) cần được rà soát và cập nhật theo Luật 116/2025/QH15.

Câu hỏi thường gặp

Hệ thống thông tin của công ty FDI có tự động là “quan trọng về an ninh quốc gia” không?
Không. Chỉ hệ thống đáp ứng tiêu chí tại Điều 9 và thuộc danh mục do Thủ tướng quyết định (khoản 4 Điều 9) mới thuộc nhóm này. Không suy diễn mở rộng.

Có được vận hành hệ thống trước rồi làm thẩm định an ninh mạng sau không?
Không. Khoản 3 Điều 9 yêu cầu thẩm định và chứng nhận đủ điều kiện phải hoàn thành trước khi vận hành.

Báo cáo đánh giá an ninh mạng hằng năm nộp khi nào?
Báo cáo bằng văn bản, trước tháng 10 hằng năm (điểm b khoản 1 Điều 11).

Vi phạm an ninh mạng bị phạt tối đa bao nhiêu?
Theo Nghị định 330/2026/NĐ-CP: tối đa 200 triệu đồng với tổ chức, 100 triệu đồng với cá nhân — cần đối chiếu văn bản gốc để xác định điều khoản áp dụng.

Nguồn trích dẫn

Luật An ninh mạng 116/2025/QH15 — hiệu lực từ 01/7/2026, thay thế Luật An ninh mạng 2018 và Luật An toàn thông tin mạng 2015: Điều 7 (hành vi bị cấm); Điều 8 (phân loại 5 cấp độ); Điều 9 (HTTT quan trọng về ANQG; thẩm định và chứng nhận trước vận hành; danh mục do Thủ tướng quyết định); Điều 11 (trách nhiệm chủ quản hệ thống);
Nghị định 333/2026/NĐ-CP — quy định chi tiết thi hành Luật 116/2025/QH15;
Nghị định 330/2026/NĐ-CP — xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng;
Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 — áp dụng khi hệ thống xử lý dữ liệu cá nhân.

Thông tin tham khảo, không phải tư vấn pháp lý. Bài viết do AI soạn thảo và được AI Legal Council của FLAT Law Firm kiểm tra chất lượng; chưa được luật sư người thật xem xét, duyệt. Quy định pháp luật có thể thay đổi; vui lòng đối chiếu văn bản hiện hành trước khi áp dụng.

Bài viết liên quan

Doanh nghiệp cần rà soát nghĩa vụ an ninh mạng và bảo vệ dữ liệu cho hệ thống thông tin? Liên hệ FLAT Law Firm để được tư vấn.