越南的数据中心没有财务审计那样的单独“信息安全审计季”；取而代之的是三种重叠机制：设施服务于重要系统时运行前的网络安全条件评估、受管理系统的年度定期网络安全检查评估，以及系统发生根本变化时的复评。运营商必须写进合规日历的周期是：每年一次。
压在一座数据中心上的三种评估机制
第一种机制是条件评估：如果数据中心承载对国家安全重要的信息系统——例如中央银行、关键电信、国家机关的基础设施——系统管理者必须在运行前按第333/2026/ND-CP号议定通过网络安全条件评估和认证，发生重大变化时复评。第二种机制是第331/2026/ND-CP号议定下的按等级保护：每个系统都必须确定等级、制定保护方案并自查方案的执行。
第三种机制——也是产生周期的那种——是定期网络安全检查评估：处于网络安全管理范围的系统必须每年定期检查、评估。对商业数据中心运营商而言，被检查的“系统”包括设施的共享基础设施，只要它服务于受管理的客户，因为银行、电信客户的保护方案会把运营商拉进他们的检查范围。
哪些单位可以审计——有认可名单吗？
不存在像财务审计师名单那样公开运作的“认可信息安全审计师”名单。主体体系分两层：国家层是公安部网络安全专门机关——对重要系统进行网络安全条件评估、认证并检查管理者合规情况的主管机关；市场层是提供网络安全检查评估服务的组织——网络安全服务经营是第116/2025/QH15号《网络安全法》下的有条件经营行业，服务商必须满足条件并取得相应许可。
选择评估单位时的实际后果是：普通安全咨询公司的报告具有内部治理和客户尽调价值，但当系统在认证范围内时，不能替代主管机关的评估。运营商应在档案中明确区分三类文件——国家条件证书（如在范围内）、定期检查报告和服务客户的商业评估报告——以免在监管机关或金融客户索要时出示错文件。
不审计会被罚款吗？
会。第330/2026/ND-CP号议定第26条第4款规定，对受管理系统不进行年度定期网络安全检查的，对个人处5,000万至7,000万越南盾罚款；按该议定第7条的基本规则，组织罚款为个人的两倍——即1亿至1.4亿越南盾。相关行为还包括重要系统运行前未进行网络安全条件评估，按第26条第3款对个人处4,000万至5,000万越南盾罚款。
除罚款外，对商业数据中心更重的后果在合同和声誉上：受管理行业——银行、电信、能源——的客户有义务尽调和监督其服务商，拿不出定期检查评估档案的运营商，会在国家处罚之前就被移出他们的供应链。因此安全审计的合规风险是收入风险，而不仅仅是行政风险。
审计结果必须向国家机关报告吗？
必须区分两种情形。对在网络安全条件认证范围内的系统，全部评估档案和认证结果是第333/2026/ND-CP号议定下国家流程的一部分——管理者向主管机关报送档案，结果由该机关确立，不是可随意留存的内部文件。对定期检查评估和按等级自查，结果属于系统管理者的合规档案：必须形成书面文件、在单位留存，并在网络安全专门机关检查、监督时按要求出示、报告。
运营建议：数据中心运营商应为每座设施维护一本统一的网络安全合规台账，包括系统的等级确定决定、保护方案、每年的定期检查记录、评估报告和问题整改记录。主管机关或大客户索要时，原样出示这本台账——它是最有价值的合规证据，远胜于零散的商业证书。
常见问题
数据中心多久必须进行一次信息安全审计？
按网络安全检查评估制度的周期：处于管理范围的信息系统必须每年定期检查、评估一次。除年度周期外，系统发生根本变化时必须复评——大规模扩容、保护架构改变、系统等级改变——而国家安全重要系统还须在运行前按第333/2026/ND-CP号议定单独进行网络安全条件评估和认证。服务于受管理行业客户的数据中心，也会被拉进这些客户自身的检查周期。
哪些单位可以审计，是否有认可名单？
分两层：公安部网络安全专门机关是评估、认证重要系统并检查合规的主管机关；满足条件的网络安全检查评估服务组织——网络安全服务经营是第116/2025/QH15号《网络安全法》下的有条件行业——执行技术检查和评估活动。没有财务审计那样的公开“认可信息安全审计师”名单；聘请评估单位时，应核查其在网络安全服务领域的经营条件，以及结果被主管机关认可的程度。
不审计会被罚款吗？
会。对受管理系统不进行年度定期网络安全检查的，依据第330/2026/ND-CP号议定第26条第4款，对个人处5,000万至7,000万越南盾罚款，组织按该议定第7条加倍——1亿至1.4亿越南盾。重要系统运行前未评估网络安全条件的，依据第26条第3款对个人处4,000万至5,000万越南盾。对商业数据中心而言，被受管理行业客户移出供应商名单通常来得更早、伤害更大。
审计结果是否必须向国家机关报告？
取决于结果类型。重要系统的评估和网络安全条件认证结果，是第333/2026/ND-CP号议定下国家流程的一部分——档案报送主管机关，结果由其确立。定期检查评估和按等级自查的结果属于管理者的合规档案：必须形成文件、留存，并在网络安全专门机关检查、监督时按要求出示、报告——不是可以完全内部保留的文件。
本文已通过 FLAW AI Legal Council 质量审核