Khung pháp luật về an ninh mạng đã thay đổi căn bản: Luật An ninh mạng 2018 đã hết hiệu lực từ 01/7/2026, thay bằng Luật An ninh mạng 116/2025/QH15 và Nghị định 331/2026/NĐ-CP (hiệu lực 19/8/2026). Theo khung mới, sự cố an ninh mạng nghiêm trọng phải được thông báo ban đầu trong 24 giờ và báo cáo đầy đủ trong 72 giờ kể từ khi phát hiện.
Trả lời ngắn
- Khung hiện hành: Luật An ninh mạng 116/2025/QH15 (Điều 44) + Nghị định 331/2026/NĐ-CP (Điều 38; hiệu lực 19/8/2026). Luật An ninh mạng 2018 đã hết hiệu lực từ 01/7/2026.
- Thông báo ban đầu sự cố nghiêm trọng: 24 giờ kể từ khi phát hiện (điểm d khoản 2 Điều 31 NĐ 331/2026/NĐ-CP).
- Báo cáo nguyên nhân, phạm vi, biện pháp khắc phục: 72 giờ kể từ khi phát hiện.
- Trường hợp đặc biệt: có dấu hiệu xâm phạm an ninh quốc gia, trật tự an toàn xã hội hoặc gây gián đoạn nghiêm trọng → báo cáo ngay.
Báo cáo sự cố cho ai?
Đối tượng nhận báo cáo là cơ quan chuyên trách về an ninh mạng — Bộ Công an (BCA) theo điểm d khoản 2 Điều 31 Nghị định 331/2026/NĐ-CP. Doanh nghiệp vận hành hệ thống thông tin, nền tảng số, dịch vụ trực tuyến khi phát hiện sự cố an ninh mạng thuộc phạm vi phải báo cáo, cần gửi thông báo/báo cáo tới cơ quan này đúng các mốc thời gian dưới đây.
Ba mốc thời gian phải nhớ
1. Thông báo ban đầu: 24 giờ
Trong 24 giờ kể từ khi phát hiện sự cố nghiêm trọng, tổ chức/cá nhân phải gửi thông báo ban đầu cho cơ quan chuyên trách. Thông báo ban đầu gồm những thông tin đã nắm được tại thời điểm phát hiện: thời gian phát hiện, hệ thống bị ảnh hưởng, dấu hiệu ban đầu của sự cố.
Mục đích của mốc 24 giờ là để cơ quan chức năng nắm tình hình sớm, kịp thời hỗ trợ hoặc điều phối ứng phó — không đòi hỏi doanh nghiệp phải có kết luận đầy đủ về nguyên nhân ngay lúc này.
2. Báo cáo đầy đủ: 72 giờ
Trong 72 giờ kể từ khi phát hiện, phải gửi báo cáo đầy đủ gồm: nguyên nhân sự cố, phạm vi ảnh hưởng, và các biện pháp đã/đang triển khai để khắc phục. Đây là báo cáo có tính chất điều tra – đánh giá, đòi hỏi doanh nghiệp đã tiến hành các bước phân tích kỹ thuật ban đầu.
3. Báo cáo ngay: dấu hiệu đặc biệt nghiêm trọng
Trường hợp sự cố có dấu hiệu xâm phạm an ninh quốc gia, trật tự an toàn xã hội hoặc gây gián đoạn nghiêm trọng hoạt động của hệ thống, tổ chức/cá nhân phải báo cáo ngay — không chờ hết 24 giờ. Đây là nghĩa vụ khẩn cấp, ưu tiên trên mọi mốc thời gian thông thường.
⚠️ Phân biệt 3 mốc “72 giờ” dễ nhầm lẫn
Con số “72 giờ” xuất hiện ở ít nhất 3 quy định khác nhau với nội dung hoàn toàn khác nhau — nhầm lẫn có thể dẫn đến tuân thủ sai nghĩa vụ:
| # | Mốc 72 giờ | Nội dung | Căn cứ |
|---|---|---|---|
| 1 | Báo cáo sự cố an ninh mạng | Báo cáo nguyên nhân, phạm vi, biện pháp khắc phục sự cố ANM trong 72 giờ kể từ khi phát hiện | Điểm d khoản 2 Điều 31 NĐ 331/2026/NĐ-CP |
| 2 | Xử lý thông tin vi phạm | Xử lý thông tin vi phạm pháp luật trên không gian mạng trong 72 giờ | Khoản 2 Điều 25 Luật 116/2025/QH15 |
| 3 | Thông báo lộ/mất dữ liệu ngân hàng | Thông báo việc lộ, mất dữ liệu nhạy cảm trong lĩnh vực ngân hàng trong 72 giờ | Khoản 3 Điều 8 NĐ 356/2025/NĐ-CP |
Ba mốc này độc lập với nhau: một sự cố có thể đồng thời kích hoạt nhiều nghĩa vụ (ví dụ: sự cố ANM kèm lộ dữ liệu khách hàng ngân hàng → vừa báo cáo sự cố theo NĐ 331/2026/NĐ-CP, vừa thông báo lộ/mất dữ liệu theo NĐ 356/2025/NĐ-CP). Doanh nghiệp cần rà soát từng nghĩa vụ riêng, không gộp chung.
Doanh nghiệp cần chuẩn bị gì?
- Kế hoạch ứng phó sự cố (IRP): văn bản hóa quy trình phát hiện – phân loại – thông báo 24 giờ – báo cáo 72 giờ – báo cáo ngay, phân công đầu mối liên hệ với BCA.
- Nhật ký phát hiện sự cố: ghi nhận chính xác thời điểm phát hiện — mọi mốc thời gian đều tính từ thời điểm này, là căn cứ chứng minh tuân thủ khi bị kiểm tra.
- Ma trận nghĩa vụ: lập bảng đối chiếu các mốc 24h/72h/báo cáo ngay theo từng văn bản (NĐ 331/2026/NĐ-CP, Luật 116/2025/QH15, NĐ 356/2025/NĐ-CP) để không bỏ sót khi sự cố đa chiều.
- Diễn tập định kỳ: kiểm tra khả năng gửi thông báo ban đầu trong 24 giờ — mốc đầu tiên và dễ “trượt” nhất.
Câu hỏi thường gặp
“Phát hiện” được tính từ khi nào — khi hệ thống cảnh báo hay khi con người xác nhận? Thời điểm phát hiện là khi tổ chức biết hoặc phải biết về sự cố. Doanh nghiệp không thể viện lý do “chưa ai đọc cảnh báo hệ thống” để lùi thời điểm phát hiện — cần quy trình giám sát và xác nhận cảnh báo kịp thời.
Sự cố nhỏ, đã tự khắc phục xong có phải báo cáo không? Nghĩa vụ 24 giờ/72 giờ áp dụng với sự cố nghiêm trọng. Tuy nhiên doanh nghiệp nên có tiêu chí phân loại nghiêm trọng rõ ràng trong IRP; phân loại sai “sự cố nhỏ” để né báo cáo là rủi ro tuân thủ.
Có thể gộp thông báo 24 giờ và báo cáo 72 giờ thành một lần không? Không nên. Thông báo ban đầu (24 giờ) và báo cáo đầy đủ (72 giờ) là hai nghĩa vụ độc lập với nội dung khác nhau; gộp chung và gửi muộn (ví dụ: gửi một lần ở giờ thứ 70) đồng nghĩa với vi phạm mốc 24 giờ.
Nguồn trích dẫn
- Luật An ninh mạng 116/2025/QH15: Điều 44 (khung hiện hành), khoản 2 Điều 25 (xử lý thông tin vi phạm trong 72 giờ).
- Nghị định 331/2026/NĐ-CP (hiệu lực 19/8/2026): Điều 38, điểm d khoản 2 Điều 31 (24 giờ / 72 giờ / báo cáo ngay); còn hiệu lực.
- Nghị định 356/2025/NĐ-CP, khoản 3 Điều 8 (thông báo lộ/mất dữ liệu nhạy cảm ngân hàng trong 72 giờ).
- Luật An ninh mạng 2018 — đã hết hiệu lực từ 01/7/2026, không còn là căn cứ hiện hành.
Doanh nghiệp cần xây dựng kế hoạch ứng phó sự cố? Đội ngũ FLAT Law Firm tư vấn soạn thảo IRP, ma trận nghĩa vụ báo cáo và quy trình phối hợp với cơ quan chức năng theo khung Luật 116/2025/QH15 và Nghị định 331/2026/NĐ-CP. Liên hệ với chúng tôi tại https://flaw.vn/lien-he/.
Thông tin trong bài chỉ mang tính tham khảo chung theo pháp luật hiện hành tại thời điểm viết (14/10/2026), không phải tư vấn pháp lý cho vụ việc cụ thể. Doanh nghiệp nên tham vấn luật sư trước khi áp dụng.
Ghi chú minh bạch: Bài viết do hệ thống sản xuất nội dung AI của FLAT Law Firm soạn thảo, đang trong quy trình kiểm duyệt nội bộ trước khi xuất bản. Bài viết chưa được luật sư người thật rà soát.
