Từ 01/7/2026, Luật An ninh mạng 116/2025/QH15 chính thức có hiệu lực, thay thế Luật An ninh mạng 2018 và Luật An toàn thông tin mạng 2015. Cùng với Nghị định hướng dẫn 333/2026/NĐ-CP, khung pháp lý mới đặt ra những nghĩa vụ cụ thể và khung thời gian phản hồi rất ngắn mà doanh nghiệp FDI hoạt động trên không gian mạng tại Việt Nam không thể bỏ qua. Bài viết cập nhật quy định mới về an ninh mạng cho doanh nghiệp FDI 2026 theo quy định còn hiệu lực tại tháng 10/2026.
Khung pháp lý mới
- Luật An ninh mạng 116/2025/QH15 — hiệu lực 01/7/2026 (thay thế toàn bộ Luật ANM 2018 + Luật ATTT mạng 2015).
- Nghị định 333/2026/NĐ-CP — hướng dẫn thi hành Luật 116/2025/QH15.
Khi nào doanh nghiệp nước ngoài phải lưu trữ dữ liệu tại Việt Nam và đặt hiện diện? — 3 tiêu chí (Điều 19 NĐ 333/2026/NĐ-CP)
Nghĩa vụ lưu trữ dữ liệu tại Việt Nam và đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam chỉ phát sinh khi doanh nghiệp nước ngoài đồng thời đáp ứng 3 tiêu chí:
Tiêu chí 1 — Lĩnh vực hoạt động: kinh doanh tại Việt Nam trong một trong 11 lĩnh vực: viễn thông; lưu trữ, chia sẻ dữ liệu trên không gian mạng; cung cấp tên miền; thương mại điện tử; thanh toán trực tuyến; trung gian thanh toán; dịch vụ kết nối vận chuyển qua không gian mạng; mạng xã hội và truyền thông xã hội; trò chơi điện tử trên mạng; ứng dụng trực tuyến; dịch vụ cung cấp, quản lý hoặc vận hành thông tin khác trên không gian mạng (tin nhắn, cuộc gọi thoại, cuộc gọi video, thư điện tử, trò chuyện trực tuyến).
Tiêu chí 2 — Vi phạm: dịch vụ do doanh nghiệp cung cấp bị sử dụng để thực hiện hành vi vi phạm pháp luật về an ninh mạng.
Tiêu chí 3 — Không khắc phục sau thông báo: đã được Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (Bộ Công an) thông báo bằng văn bản 03 lần, tối đa 06 tháng, yêu cầu phối hợp, ngăn chặn, điều tra, xử lý — mà doanh nghiệp không có giải pháp khắc phục, không chấp hành, chấp hành không đầy đủ, hoặc ngăn chặn/cản trở biện pháp bảo vệ an ninh mạng.
Lưu ý quan trọng: không phải mọi doanh nghiệp FDI công nghệ đều tự động phải đặt văn phòng đại diện — phải đủ cả 3 tiêu chí. Đừng hiểu sai thành nghĩa vụ tuyệt đối.
Loại dữ liệu phải lưu trữ tại Việt Nam (khoản 1 Điều 19)
- Dữ liệu về thông tin cá nhân của người sử dụng dịch vụ.
- Dữ liệu do người sử dụng dịch vụ tại Việt Nam tạo ra: tên tài khoản sử dụng dịch vụ, thời gian sử dụng dịch vụ, thông tin thẻ tín dụng, địa chỉ thư điện tử, địa chỉ IP đăng nhập/đăng xuất gần nhất, số điện thoại đăng ký gắn với tài khoản hoặc dữ liệu.
Trách nhiệm chung của doanh nghiệp (Điều 25 Luật 116/2025/QH15)
| Nghĩa vụ | Khung thời gian |
|---|---|
| Xác thực thông tin khi người dùng đăng ký tài khoản số; bảo mật thông tin, tài khoản người dùng | Thường xuyên |
| Cung cấp thông tin người dùng cho lực lượng chuyên trách (Bộ Công an) phục vụ xác minh, điều tra | Chậm nhất 24 giờ kể từ yêu cầu; trường hợp khẩn cấp (đe dọa an ninh quốc gia, tính mạng): 03 giờ |
| Ngăn chặn chia sẻ, xóa bỏ thông tin / gỡ bỏ dịch vụ, ứng dụng có nội dung vi phạm; lưu nhật ký hệ thống | Chậm nhất 24 giờ; trường hợp khẩn cấp: 06 giờ |
| Lưu trữ thông tin cá nhân + dữ liệu do người dùng tạo ra sau khi người dùng kết thúc sử dụng dịch vụ | Trong thời hạn pháp luật quy định |
Điểm mới khác doanh nghiệp FDI cần biết
- Điều 38: dự án chuyển đổi số, ứng dụng CNTT của doanh nghiệp nhà nước — tối thiểu 15% tổng kinh phí dành cho giải pháp bảo vệ an ninh mạng.
- Điều 7: kiểm soát AI và Deepfake — nghiêm cấm tạo, phát tán nội dung deepfake trái quy định (giả mạo hình ảnh, giọng nói, video).
- Điều 41.5: doanh nghiệp cung cấp dịch vụ trên không gian mạng phải định danh địa chỉ IP của người sử dụng và cung cấp thông tin định danh IP cho lực lượng chuyên trách.
- Phân loại cấp độ hệ thống thông tin (Điều 8, 10): từ Cấp độ 1 đến Cấp độ 5; hệ thống từ Cấp độ 3 trở lên phải triển khai đầy đủ biện pháp bảo vệ kỹ thuật.
Checklist tuân thủ cho doanh nghiệp FDI
- Rà soát lĩnh vực hoạt động có thuộc 11 lĩnh vực tại Điều 19 NĐ 333/2026/NĐ-CP không.
- Thiết lập quy trình phản hồi yêu cầu của cơ quan chức năng trong 24h/3h/6h (đầu mối, biểu mẫu, nhật ký).
- Đánh giá hạ tầng lưu trữ dữ liệu người dùng Việt Nam; phương án đặt hiện diện tại VN nếu thuộc diện.
- Rà soát chính sách AI/deepfake nội bộ theo Điều 7.
Câu hỏi thường gặp
1. Công ty FDI chỉ bán hàng qua website, có phải lưu trữ dữ liệu tại Việt Nam?
Thương mại điện tử thuộc 11 lĩnh vực (tiêu chí 1), nhưng nghĩa vụ chỉ phát sinh khi đủ cả 3 tiêu chí — tức phải có vi phạm và không khắc phục sau 3 lần thông báo. Tuy nhiên trách nhiệm chung tại Điều 25 (24h/3h/6h) áp dụng cho mọi doanh nghiệp cung cấp dịch vụ trên không gian mạng tại Việt Nam.
2. Luật 116/2025/QH15 có áp dụng cho doanh nghiệp trong nước?
Có. Điều 25 áp dụng cho cả doanh nghiệp trong nước và nước ngoài cung cấp dịch vụ trên mạng viễn thông, Internet tại Việt Nam.
Nguồn trích dẫn
- Luật An ninh mạng 116/2025/QH15 (hiệu lực 01/7/2026): Điều 7 (AI/Deepfake), Điều 25 (trách nhiệm doanh nghiệp), Điều 38 (kinh phí ANM), Điều 41.5 (định danh IP). Thay thế Luật ANM 2018 và Luật ATTT mạng 2015.
- Nghị định 333/2026/NĐ-CP — hướng dẫn Luật 116/2025/QH15: Điều 19 (3 tiêu chí lưu trữ dữ liệu/đặt hiện diện; loại dữ liệu).
Minh bạch: Bài viết được biên soạn bởi AI trong khuôn khổ FLAW AI Legal Council, không phải ý kiến tư vấn của luật sư người thật và không thay thế tư vấn pháp lý cho trường hợp cụ thể của bạn.
FLAT Law Firm tư vấn tuân thủ an ninh mạng và bảo vệ dữ liệu cho doanh nghiệp FDI — từ đánh giá nghĩa vụ lưu trữ dữ liệu, thiết lập quy trình phản hồi đến rà soát chính sách nội bộ. Liên hệ với chúng tôi để được tư vấn cho trường hợp cụ thể của bạn.
Bài viết đang chờ Hội đồng QA rà soát.
