Theo Luật An ninh mạng 2025, chủ quản hệ thống thông tin phải làm những gì?

Ba nghĩa vụ nền cho mọi tổ chức, cộng thêm hai nghĩa vụ nữa nếu hệ thống dùng ngân sách nhà nước. Nghĩa vụ kết nối hệ thống giám sát về Trung tâm An ninh mạng quốc gia là điểm mới đáng chú ý nhất.

Trong Luật An ninh mạng 116/2025/QH15, "chủ quản hệ thống thông tin" là vai trò gánh phần lớn nghĩa vụ. Nếu tổ chức của bạn đang vận hành bất kỳ hệ thống nào — website, ứng dụng, phần mềm quản lý nội bộ — thì bạn là chủ quản của hệ thống đó, và Điều 40 nói về bạn.

Ba nghĩa vụ áp dụng cho mọi chủ quản

Khoản 1 Điều 40 Luật 116/2025/QH15 quy định chủ quản hệ thống thông tin có trách nhiệm:

• Thực hiện bảo vệ hệ thống thông tin theo quy định tại Luật này;
• Kết nối hệ thống giám sát an ninh mạng, hệ thống phòng chống mã độc tập trung về Trung tâm An ninh mạng quốc gia của Bộ Công an hoặc Trung tâm An ninh mạng của tỉnh, thành phố để hỗ trợ giám sát an ninh mạng;
• Báo cáo sự cố an ninh mạng với cơ quan chuyên trách của Bộ Công an hoặc Bộ Quốc phòng.

Nghĩa vụ kết nối là điểm mới lớn nhất

Điểm b khoản 1 Điều 40 tạo ra một cơ chế mà Luật An ninh mạng 2018 không có: hệ thống giám sát và hệ thống phòng chống mã độc của tổ chức phải kết nối về đầu mối tập trung của Nhà nước.

Có hai đầu mối được nêu: Trung tâm An ninh mạng quốc gia của Bộ Công an, hoặc Trung tâm An ninh mạng của tỉnh, thành phố. Cách viết này cho thấy mô hình hai cấp — trung ương và địa phương — nên tổ chức nhỏ ở tỉnh nhiều khả năng kết nối về đầu mối địa phương.

Mục đích được ghi rõ trong chính điều luật: "để hỗ trợ giám sát an ninh mạng". Đây là cơ chế hỗ trợ hai chiều — cơ quan nhà nước có bức tranh toàn cảnh về tình hình tấn công, còn tổ chức nhận được cảnh báo sớm mà tự mình khó có.

Điều cần chuẩn bị cho nghĩa vụ kết nối

Về mặt kỹ thuật, để kết nối được thì trước hết tổ chức phải có hệ thống giám sát an ninh mạng và hệ thống phòng chống mã độc tập trung. Nhiều doanh nghiệp vừa và nhỏ hiện chỉ có phần mềm diệt vi-rút cài rời trên từng máy, không có hệ thống tập trung.

Đây là khoảng cách thực tế cần lấp trước ngày 01/7/2026 — thời điểm Luật có hiệu lực theo Điều 44. Bảy tháng kể từ ngày Luật được thông qua là khoảng thời gian đủ nếu bắt đầu sớm, và rất chật nếu để tới sát hạn.

Hai nghĩa vụ thêm cho hệ thống dùng ngân sách nhà nước

Khoản 2 Điều 40 quy định chủ quản hệ thống thông tin có sử dụng ngân sách nhà nước, ngoài ba nghĩa vụ trên, còn phải:

• Có phương án bảo đảm an ninh mạng được cơ quan nhà nước có thẩm quyền thẩm định khi thiết lập, mở rộng hoặc nâng cấp hệ thống thông tin;
• Chỉ định cá nhân, bộ phận phụ trách về an ninh mạng.

Điểm a khoản 2 đáng chú ý ở chỗ nó gắn thẩm định vào ba thời điểm: thiết lập mới, mở rộng, và nâng cấp. Nghĩa là không phải thẩm định một lần rồi thôi — mỗi lần hệ thống thay đổi đáng kể đều phát sinh nghĩa vụ mới.

Điểm b khoản 2 yêu cầu chỉ định nhân sự hoặc bộ phận phụ trách. Cách diễn đạt cho phép chọn giữa cá nhân và bộ phận, tùy quy mô. Với đơn vị nhỏ, một người kiêm nhiệm là đủ về mặt hình thức — nhưng người đó cần được giao thẩm quyền thật, không chỉ ghi tên vào quyết định.

Sáu nhiệm vụ bảo vệ hệ thống theo Điều 10

Điểm a khoản 1 Điều 40 dẫn chiếu tới việc "thực hiện bảo vệ hệ thống thông tin theo quy định tại Luật này". Nội dung cụ thể nằm ở Điều 10.

Khoản 1 Điều 10 liệt kê sáu nhiệm vụ:

• Xác định cấp độ an ninh mạng của hệ thống thông tin và hệ thống thông tin quan trọng về an ninh quốc gia;
• Đánh giá và quản lý rủi ro an ninh mạng hệ thống thông tin;
• Đôn đốc, giám sát, kiểm tra công tác bảo vệ an ninh mạng hệ thống thông tin;
• Tổ chức triển khai các biện pháp bảo vệ an ninh mạng hệ thống thông tin;
• Thực hiện chế độ báo cáo theo quy định;
• Tổ chức tuyên truyền, nâng cao nhận thức về an ninh mạng.

Nhiệm vụ đầu tiên — xác định cấp độ — là bước phải làm trước tất cả, vì cấp độ quyết định mức yêu cầu của các nhiệm vụ còn lại. Cơ chế năm cấp độ nằm ở Điều 8, căn cứ vào mức độ tổn hại có thể xảy ra khi hệ thống gặp sự cố.

Nhiệm vụ cuối cùng — tuyên truyền nâng cao nhận thức — thường bị coi nhẹ nhưng lại rẻ và hiệu quả nhất. Phần lớn sự cố an ninh mạng bắt đầu từ một người bấm vào liên kết lạ, chứ không phải từ lỗ hổng kỹ thuật tinh vi.

Tám nhóm biện pháp bảo vệ

Khoản 2 Điều 10 liệt kê các biện pháp bảo vệ an ninh mạng đối với hệ thống thông tin:

• Ban hành quy định về bảo đảm an ninh mạng trong thiết kế, xây dựng, quản lý, vận hành, sử dụng, nâng cấp, hủy bỏ hệ thống thông tin;
• Thẩm định an ninh mạng đối với hồ sơ, thiết kế của hệ thống thông tin;
• Đánh giá điều kiện an ninh mạng đối với hệ thống thông tin;
• Áp dụng biện pháp quản lý theo tiêu chuẩn, quy chuẩn kỹ thuật về an ninh mạng, nghiên cứu xây dựng hệ thống tường lửa quốc gia để phòng, chống nguy cơ, khắc phục sự cố an ninh mạng;
• Tổ chức triển khai các biện pháp lưu trữ, sao lưu bảo vệ an ninh thông tin mạng và an ninh của các thành tố cấu thành hệ thống thông tin;
• Kiểm tra, giám sát việc tuân thủ quy định và đánh giá hiệu quả của các biện pháp quản lý và kỹ thuật được áp dụng;
• Thực hiện giám sát an ninh mạng;
• Ứng phó, khắc phục sự cố an ninh mạng đối với hệ thống thông tin.

Biện pháp đầu tiên bao trùm cả vòng đời hệ thống

Điểm a khoản 2 liệt kê bảy giai đoạn: thiết kế, xây dựng, quản lý, vận hành, sử dụng, nâng cấp, hủy bỏ. Giai đoạn cuối — hủy bỏ — là giai đoạn hay bị bỏ quên nhất trong thực tế.

Khi một hệ thống ngừng sử dụng, dữ liệu trên đó thường vẫn còn: máy chủ cũ để trong kho, ổ cứng chưa xóa, bản sao lưu vẫn nằm trên đám mây. Đây là nguồn rò rỉ phổ biến mà không ai theo dõi vì hệ thống đã ra khỏi danh sách vận hành.

Đánh giá hiệu quả, không chỉ đánh giá tuân thủ

Điểm e khoản 2 dùng hai vế: "kiểm tra, giám sát việc tuân thủ quy định" và "đánh giá hiệu quả của các biện pháp". Vế thứ hai đòi hỏi nhiều hơn vế thứ nhất.

Tuân thủ là có làm hay không. Hiệu quả là làm rồi có tác dụng không. Một tổ chức có thể tuân thủ đủ mọi quy định trên giấy mà biện pháp vẫn không ngăn được sự cố — lúc đó việc đánh giá hiệu quả mới chỉ ra vấn đề.

Nghĩa vụ thông báo khi phát hiện vi phạm

Khoản 3 Điều 12 Luật 116/2025/QH15 quy định chủ quản hệ thống thông tin có trách nhiệm thông báo cho lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an khi phát hiện hành vi vi phạm pháp luật về an ninh mạng trên hệ thống thông tin thuộc phạm vi quản lý.

Nghĩa vụ này áp dụng ngay cả với hệ thống không thuộc danh mục hệ thống thông tin quan trọng về an ninh quốc gia — tức áp dụng cho phần lớn doanh nghiệp thông thường.

Bốn việc nên làm ngay

• Lập danh mục hệ thống và xác định ai là chủ quản của từng hệ thống. Nghe hiển nhiên nhưng trong thực tế nhiều hệ thống không có người chịu trách nhiệm rõ ràng, nhất là các hệ thống do phòng ban tự mua rồi tự dùng;
• Ước lượng cấp độ theo Điều 8 cho từng hệ thống, ghi lại lập luận;
• Kiểm tra hiện trạng giám sát và phòng chống mã độc — có hệ thống tập trung chưa, hay chỉ có phần mềm rời trên từng máy;
• Viết quy định vòng đời hệ thống theo điểm a khoản 2 Điều 10, đặc biệt phần hủy bỏ.

Bốn việc này không cần chờ nghị định hướng dẫn, và đằng nào cũng là đầu vào bắt buộc cho mọi bước sau.

Đọc thêm cùng chủ đề

• Hệ thống nào bị coi là quan trọng về an ninh quốc gia?
• Doanh nghiệp phải gỡ bỏ thông tin vi phạm trong trường hợp nào?
• Hệ thống trí tuệ nhân tạo được phân loại rủi ro thế nào?

Căn cứ pháp lý

• Luật 116/2025/QH15 Điều 40
• Luật 116/2025/QH15 Điều 10
• Luật 116/2025/QH15 Điều 8

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.