《网络安全法》116/2025/QH15号——自2026年7月1日起生效，全面取代2018年《网络安全法》和2015年《网络信息安全法》——为信息系统，特别是关键信息基础设施，确立了新的义务框架。运营或外包信息系统的企业在评估合规水平时，应注意以下七个法律要点。
1. 确定系统等级：五级分类（第8条）
116/2025/QH15号法律第8条规定信息系统须划分为五个等级。这是强制性起点：系统的等级决定系统所有者必须履行的网络安全义务范围。
- 分类必须依据法定标准，不得随意”降级”以规避义务；
- 系统规模、性质发生变化时，应重新审查分类；
- 分类档案是主管部门合规检查时首先核查的文件。
2. “关键信息基础设施”——定义严格，不得扩大推定
第9条对关键信息基础设施作出严格定义，涵盖8个领域（第9条第1款、第2款）。只有符合法定标准且列入总理决定的目录的系统（第9条第4款），才属于该类别。
重要提示：并非外商投资企业的每个信息系统都属于关键信息基础设施。”所有外资公司都涵盖在内”之类的扩大推定是错误的，可能导致合规评估方向错误、浪费资源。
3. 运行前必须完成网络安全审查并取得合格认证
根据第9条第3款，关键信息基础设施的所有者必须开展网络安全审查，并在系统投入运行前取得网络安全合格认证。
- 这是前置条件，不是事后补办的手续；
- 审查、认证未完成即运行系统，违反法定义务；
- 企业应在设计阶段就将审查节点纳入项目计划，避免成本超支和工期延误。
4. 年度定期义务：自查、评估，每年10月前书面报告
第11条第1款b项规定系统所有者的责任：每年自查、评估网络安全保障条件，并每年10月前以书面形式报告。
- 评估须覆盖系统的全部网络安全保障条件，不能流于形式；
- 书面报告须按时报送主管部门——逾期报告即违反义务；
- 自查结果是制定下一年度整改、升级计划的依据。
5. 持续监测、预警机制和应急预案
第11条第1款c项、d项要求系统所有者持续监测网络安全状况，建立预警机制，制定事件应急预案。
- 监测须持续进行，有日志和安全事件记录程序；
- 预警机制须明确阈值、接收主体和通报渠道；
- 应急预案须定期演练，系统变更时及时更新。
6. 配合主管部门的突击检查
第11条第1款đ项规定系统所有者有义务配合主管部门的网络安全突击检查。企业应提前备好：
- 等级分类档案、审查结果、合格认证；
- 年度自查评估报告及整改计划；
- 监测日志、应急预案及演练记录；
- 负责对接检查组的联系人。
7. 处罚与禁止行为
处罚：网络安全领域的行政违法行为依据330/2026/ND-CP号议定处罚，最高对组织处2亿越南盾、对个人处1亿越南盾（企业应查阅议定原文，确定适用于各具体行为的条款）。
禁止行为见116/2025/QH15号法律第7条——企业应审查自身经营活动，避免违反。
关于个人数据：如系统处理个人数据，企业还须遵守91/2025/QH15号《个人数据保护法》。116/2025/QH15号法律的实施细则见333/2026/ND-CP号议定。
失效法规警示：2018年《网络安全法》、2015年《网络信息安全法》和15/2020/ND-CP号议定不得再作为现行依据引用。所有引用2018年法律条文序号（如”《网络安全法》第11、12条”）的内部文件、合同、合规政策，都应按116/2025/QH15号法律进行审查更新。
常见问题
外商投资公司的信息系统是否自动属于”关键信息基础设施”？
不是。只有符合第9条标准并列入总理目录（第9条第4款）的系统才属于该类别，不得扩大推定。
可以先运行系统、后补做网络安全审查吗？
不可以。第9条第3款要求审查和合格认证须在运行前完成。
年度网络安全评估报告何时提交？
以书面形式，每年10月前（第11条第1款b项）。
网络安全违法最高罚多少？
依据330/2026/ND-CP号议定：对组织最高2亿越南盾、对个人最高1亿越南盾——适用条款请查阅原文。
引用来源
- 116/2025/QH15号《网络安全法》——2026年7月1日生效，取代2018年《网络安全法》和2015年《网络信息安全法》：第7条（禁止行为）；第8条（五级分类）；第9条（关键信息基础设施；运行前审查认证；总理目录）；第11条（系统所有者责任）；
- 333/2026/ND-CP号议定——116/2025/QH15号法律实施细则；
- 330/2026/ND-CP号议定——网络安全领域行政处罚；
- 91/2025/QH15号《个人数据保护法》——系统处理个人数据时适用。
仅供参考，不构成法律意见。本文由AI起草并经FLAT律师事务所FLAW AI Legal Council质检；未经执业律师审核批准。法规可能调整，适用前请核对现行法律文本。
相关文章
您的企业需要对信息系统开展网络安全与数据保护审查？联系FLAT律师事务所获取咨询。
