Data center tại Việt Nam không có một “mùa kiểm toán an toàn thông tin” riêng theo kiểu kiểm toán tài chính; thay vào đó là ba cơ chế chồng nhau: đánh giá đủ điều kiện an ninh mạng trước vận hành nếu cơ sở phục vụ hệ thống quan trọng, kiểm tra và đánh giá an ninh mạng định kỳ hằng năm cho hệ thống thuộc diện quản lý, và đánh giá lại mỗi khi hệ thống thay đổi căn bản. Chu kỳ thực tế mà nhà vận hành phải ghi vào lịch tuân thủ là: một năm một lần.
Ba cơ chế đánh giá áp lên một data center
Cơ chế thứ nhất là đánh giá điều kiện: nếu data center chứa hệ thống thông tin quan trọng về an ninh quốc gia — ví dụ hạ tầng cho ngân hàng trung ương, viễn thông trọng yếu, cơ quan nhà nước — chủ quản hệ thống phải được đánh giá, chứng nhận đủ điều kiện an ninh mạng theo Nghị định 333/2026/NĐ-CP trước khi đưa vào vận hành, và đánh giá lại khi hệ thống thay đổi lớn. Cơ chế thứ hai là bảo vệ theo cấp độ tại Nghị định 331/2026/NĐ-CP: mọi hệ thống đều phải xác định cấp độ, xây dựng phương án bảo vệ và tự kiểm tra việc thực thi phương án đó.
Cơ chế thứ ba — và là cái tạo ra chu kỳ — là kiểm tra, đánh giá an ninh mạng định kỳ: hệ thống thuộc diện quản lý an ninh mạng phải được kiểm tra, đánh giá định kỳ hằng năm. Với nhà vận hành data center thương mại, “hệ thống” bị kiểm tra gồm cả hạ tầng dùng chung của cơ sở trong phạm vi nó phục vụ khách hàng thuộc diện quản lý, vì phương án bảo vệ của khách hàng ngân hàng, viễn thông sẽ kéo nhà vận hành vào phạm vi kiểm tra của họ.
Đơn vị nào được phép kiểm toán — có danh sách công nhận không?
Không tồn tại một danh sách “kiểm toán viên an toàn thông tin được công nhận” công khai vận hành như danh sách kiểm toán viên tài chính. Hệ thống chủ thể gồm hai tầng: tầng nhà nước là cơ quan chuyên trách về an ninh mạng của Bộ Công an — chủ thể có thẩm quyền đánh giá, chứng nhận đủ điều kiện an ninh mạng đối với hệ thống quan trọng và kiểm tra việc tuân thủ của chủ quản hệ thống; tầng thị trường là các tổ chức cung cấp dịch vụ kiểm tra, đánh giá an ninh mạng — hoạt động kinh doanh dịch vụ an ninh mạng là ngành nghề kinh doanh có điều kiện theo Luật An ninh mạng 116/2025/QH15, đơn vị cung cấp phải đáp ứng điều kiện và được cấp phép tương ứng.
Hệ quả thực tế khi chọn đơn vị đánh giá: báo cáo của một công ty tư vấn bảo mật thông thường có giá trị quản trị nội bộ và hỗ trợ khách hàng thẩm định, nhưng không thay thế được đánh giá của cơ quan có thẩm quyền khi hệ thống thuộc diện phải chứng nhận. Nhà vận hành nên phân biệt rõ trong hồ sơ của mình ba loại tài liệu — chứng nhận đủ điều kiện của cơ quan nhà nước (nếu thuộc diện), báo cáo kiểm tra định kỳ, và báo cáo đánh giá thương mại phục vụ khách hàng — để không trình nhầm loại giấy tờ khi cơ quan quản lý hoặc khách hàng tài chính yêu cầu.
Không kiểm toán có bị phạt không?
Có. Nghị định 330/2026/NĐ-CP tại khoản 4 Điều 26 phạt tiền từ 50 đến 70 triệu đồng đối với cá nhân không thực hiện kiểm tra an ninh mạng định kỳ hằng năm cho hệ thống thuộc diện quản lý; theo quy ước cơ sở tại Điều 7 của Nghị định, mức phạt đối với tổ chức gấp đôi mức cá nhân — tức 100 đến 140 triệu đồng. Nhóm hành vi liên quan còn gồm không đánh giá đủ điều kiện an ninh mạng trước khi vận hành đối với hệ thống quan trọng, bị phạt tại khoản 3 Điều 26 với mức 40 đến 50 triệu đồng cá nhân.
Ngoài tiền phạt, hậu quả nặng hơn với data center thương mại là hậu quả hợp đồng và uy tín: khách hàng thuộc ngành bị quản lý — ngân hàng, viễn thông, năng lượng — có nghĩa vụ thẩm định và giám sát nhà cung cấp, và một nhà vận hành không xuất trình được hồ sơ kiểm tra, đánh giá định kỳ sẽ bị loại khỏi chuỗi cung ứng của họ trước khi cơ quan nhà nước kịp xử phạt. Rủi ro tuân thủ của kiểm toán an toàn thông tin vì thế là rủi ro doanh thu, không chỉ rủi ro hành chính.
Kết quả kiểm toán có phải báo cáo cơ quan nhà nước?
Phải phân biệt hai tình huống. Với hệ thống thuộc diện chứng nhận đủ điều kiện an ninh mạng, toàn bộ hồ sơ đánh giá và kết quả chứng nhận là một phần của quy trình nhà nước theo Nghị định 333/2026/NĐ-CP — chủ quản nộp hồ sơ tới cơ quan có thẩm quyền và kết quả được cơ quan đó xác lập, không phải tài liệu nội bộ tuỳ ý lưu giữ. Với kiểm tra, đánh giá định kỳ và tự kiểm tra theo cấp độ, kết quả thuộc hồ sơ tuân thủ của chủ quản hệ thống: phải được lập thành văn bản, lưu giữ tại đơn vị, và xuất trình, báo cáo khi cơ quan chuyên trách về an ninh mạng yêu cầu trong quá trình kiểm tra, giám sát.
Khuyến nghị vận hành: nhà vận hành data center nên duy trì một sổ tuân thủ an ninh mạng duy nhất cho mỗi cơ sở, gồm quyết định xác định cấp độ các hệ thống, phương án bảo vệ, biên bản kiểm tra định kỳ từng năm, báo cáo đánh giá và biên bản khắc phục tồn tại. Khi cơ quan chức năng hoặc khách hàng lớn yêu cầu, sổ này được xuất trình nguyên trạng — đây là bằng chứng tuân thủ có giá trị nhất, hơn hẳn các chứng chỉ thương mại rời rạc.
Câu hỏi thường gặp
Data center bao lâu phải kiểm toán an toàn thông tin một lần?
Theo chu kỳ của chế độ kiểm tra, đánh giá an ninh mạng: hệ thống thông tin thuộc diện quản lý phải được kiểm tra, đánh giá định kỳ một năm một lần. Ngoài chu kỳ năm, phải đánh giá lại khi hệ thống thay đổi căn bản — mở rộng quy mô lớn, thay đổi kiến trúc bảo vệ, đổi cấp độ hệ thống — và riêng hệ thống quan trọng về an ninh quốc gia phải được đánh giá, chứng nhận đủ điều kiện an ninh mạng theo Nghị định 333/2026/NĐ-CP trước khi vận hành. Data center phục vụ khách hàng thuộc ngành bị quản lý cũng bị kéo vào chu kỳ kiểm tra của chính khách hàng đó.
Đơn vị nào được phép kiểm toán, có danh sách công nhận?
Hai tầng: cơ quan chuyên trách về an ninh mạng của Bộ Công an là chủ thể có thẩm quyền đánh giá, chứng nhận đối với hệ thống quan trọng và kiểm tra tuân thủ; các tổ chức cung cấp dịch vụ kiểm tra, đánh giá an ninh mạng đủ điều kiện — kinh doanh dịch vụ an ninh mạng là ngành nghề có điều kiện theo Luật An ninh mạng 116/2025/QH15 — thực hiện các hoạt động kiểm tra, đánh giá kỹ thuật. Không có danh sách “kiểm toán viên an toàn thông tin được công nhận” công khai như trong kiểm toán tài chính; khi thuê đơn vị đánh giá, cần kiểm tra điều kiện hoạt động của họ trong lĩnh vực dịch vụ an ninh mạng và phạm vi kết quả được cơ quan có thẩm quyền công nhận.
Không kiểm toán có bị phạt?
Có. Không thực hiện kiểm tra an ninh mạng định kỳ hằng năm cho hệ thống thuộc diện quản lý bị phạt 50 đến 70 triệu đồng với cá nhân theo khoản 4 Điều 26 Nghị định 330/2026/NĐ-CP, và mức phạt tổ chức gấp đôi theo Điều 7 của Nghị định — 100 đến 140 triệu đồng. Không đánh giá đủ điều kiện an ninh mạng trước vận hành với hệ thống quan trọng bị phạt 40 đến 50 triệu đồng với cá nhân tại khoản 3 Điều 26. Với data center thương mại, hậu quả bị khách hàng ngành quản lý loại khỏi danh sách nhà cung cấp thường đến trước và nặng hơn tiền phạt.
Kết quả kiểm toán có phải báo cáo cơ quan nhà nước?
Tuỳ loại kết quả. Kết quả đánh giá, chứng nhận đủ điều kiện an ninh mạng của hệ thống quan trọng là một phần của quy trình nhà nước theo Nghị định 333/2026/NĐ-CP — hồ sơ nộp tới cơ quan có thẩm quyền và kết quả do cơ quan đó xác lập. Kết quả kiểm tra, đánh giá định kỳ và tự kiểm tra theo cấp độ thuộc hồ sơ tuân thủ của chủ quản: phải lập văn bản, lưu giữ và xuất trình, báo cáo khi cơ quan chuyên trách về an ninh mạng yêu cầu trong hoạt động kiểm tra, giám sát — không phải tài liệu được phép giữ kín hoàn toàn trong nội bộ.
Bài viết đã được FLAW AI Legal Council kiểm tra chất lượng