Theo Luật An ninh mạng 2025, cơ quan chức năng được áp dụng biện pháp bảo vệ an ninh mạng nào?

Khoản 1 Điều 5 liệt kê đầy đủ các biện pháp — từ thẩm định, giám sát tới ngăn chặn, thu hồi tên miền và phong tỏa hệ thống thông tin.

Điều 5 Luật An ninh mạng 116/2025/QH15 liệt kê toàn bộ công cụ mà pháp luật trao cho cơ quan chức năng trong bảo vệ an ninh mạng. Với doanh nghiệp, việc biết trước danh sách này giúp chuẩn bị đúng thay vì bị động khi có việc.

Nhóm biện pháp phòng ngừa và giám sát

Năm biện pháp đầu tại khoản 1 Điều 5 thuộc nhóm quản lý thường xuyên:

• Điểm a — thẩm định an ninh mạng;
• Điểm b — đánh giá điều kiện an ninh mạng;
• Điểm c — kiểm tra an ninh mạng;
• Điểm d — giám sát an ninh mạng;
• Điểm đ — ứng phó, khắc phục sự cố an ninh mạng.

Năm biện pháp này cũng chính là các nghĩa vụ mà chủ quản hệ thống thông tin quan trọng về an ninh quốc gia phải thực hiện theo khoản 3 Điều 9 và khoản 1 Điều 11.

Nhóm biện pháp kỹ thuật

• Điểm e — đấu tranh bảo vệ an ninh mạng;
• Điểm g — sử dụng mật mã để bảo vệ thông tin mạng;
• Điểm h — sử dụng giải pháp kỹ thuật để bảo vệ an ninh thông tin mạng, an ninh dữ liệu, hệ thống thông tin; ngăn chặn thông tin vi phạm pháp luật.

Nội dung "đấu tranh bảo vệ an ninh mạng" tại điểm e được cụ thể hóa ở Điều 21 — bao gồm giám sát thông tin mạng, sử dụng giải pháp kỹ thuật ngăn chặn thông tin vi phạm pháp luật, phòng chống tấn công và bảo vệ hoạt động ổn định của hệ thống thông tin quan trọng về an ninh quốc gia.

Nhóm biện pháp can thiệp

Đây là nhóm có tác động trực tiếp nhất tới hoạt động của doanh nghiệp:

• Điểm i — ngăn chặn, yêu cầu tạm ngừng, ngừng cung cấp thông tin mạng; đình chỉ, tạm đình chỉ các hoạt động thiết lập, cung cấp và sử dụng mạng viễn thông, mạng Internet, sản xuất và sử dụng thiết bị phát, thu phát sóng vô tuyến theo quy định của pháp luật;
• Điểm k — yêu cầu xóa bỏ, truy cập xóa bỏ thông tin trái pháp luật hoặc thông tin sai sự thật, tin giả trên không gian mạng xâm phạm an ninh quốc gia, trật tự, an toàn xã hội, quyền và lợi ích hợp pháp của cơ quan, tổ chức, cá nhân;
• Điểm l — thu thập dữ liệu điện tử liên quan đến hoạt động xâm phạm an ninh quốc gia, trật tự, an toàn xã hội, quyền và lợi ích hợp pháp của cơ quan, tổ chức, cá nhân trên không gian mạng;
• Điểm m — phong tỏa, hạn chế hoạt động của hệ thống thông tin; đình chỉ, tạm đình chỉ hoặc yêu cầu ngừng hoạt động của hệ thống thông tin, thu hồi tên miền theo quy định của pháp luật.

Điểm k và vấn đề tin giả

Điểm k nêu rõ hai loại nội dung: thông tin trái pháp luật và thông tin sai sự thật, tin giả. Việc tách riêng tin giả cho thấy đây là mối quan tâm cụ thể của cơ quan soạn thảo.

Đáng chú ý, phạm vi bảo vệ không chỉ là an ninh quốc gia và trật tự an toàn xã hội mà còn bao gồm quyền và lợi ích hợp pháp của cơ quan, tổ chức, cá nhân. Đây là căn cứ để doanh nghiệp bị vu khống, bôi nhọ trên mạng có thể đề nghị cơ quan chức năng can thiệp.

Điểm m và biện pháp thu hồi tên miền

Thu hồi tên miền là biện pháp có tác động thương mại nghiêm trọng — nó khiến website ngừng hoạt động hoàn toàn. Cùng nhóm là các biện pháp phong tỏa, hạn chế, đình chỉ hoạt động của hệ thống thông tin.

Với doanh nghiệp, đây là lý do thực tế để không để nội dung vi phạm tồn tại trên hệ thống của mình. Điều 14 Luật 116/2025/QH15 đặt nghĩa vụ chủ động phòng ngừa, phát hiện, ngăn chặn, gỡ bỏ nội dung vi phạm lên chủ quản hệ thống thông tin và doanh nghiệp cung cấp dịch vụ.

Nhóm biện pháp tố tụng và biện pháp khác

• Điểm n — khởi tố, điều tra, truy tố, xét xử theo quy định của Bộ luật Tố tụng hình sự;
• Điểm o — biện pháp khác theo quy định của pháp luật về an ninh quốc gia, pháp luật về xử lý vi phạm hành chính.

Khoản 2 Điều 5 giao Chính phủ quy định chi tiết nội dung, trình tự, thủ tục, thẩm quyền áp dụng biện pháp bảo vệ an ninh mạng, trừ biện pháp quy định tại điểm n và điểm o khoản 1.

Việc loại trừ điểm n và điểm o là hợp lý: hai nhóm này đã có trình tự, thủ tục riêng trong Bộ luật Tố tụng hình sự và pháp luật về xử lý vi phạm hành chính.

Với các biện pháp còn lại, trình tự, thủ tục và thẩm quyền sẽ nằm ở nghị định hướng dẫn — đây là văn bản doanh nghiệp nên theo dõi, vì nó xác định cơ quan nào được áp dụng biện pháp nào và theo quy trình ra sao.

Bốn trách nhiệm của người sử dụng không gian mạng — Điều 42

Điều 42 Luật 116/2025/QH15 quy định trách nhiệm của cơ quan, tổ chức, cá nhân sử dụng không gian mạng:

Khoản 1 — tuân thủ pháp luật

Nghĩa vụ cơ bản: tuân thủ quy định của pháp luật về an ninh mạng.

Khoản 2 — bảo mật tài khoản số

Khoản 2 Điều 42 quy định: có trách nhiệm bảo mật thông tin đăng ký, mở, quản lý, sử dụng tài khoản số của mình.

Và hệ quả khi tài khoản bị dùng để vi phạm: trường hợp sử dụng tài khoản số để thực hiện hành vi vi phạm pháp luật, tùy theo tính chất, mức độ của hành vi vi phạm, chủ tài khoản số, người sử dụng tài khoản số bị xử lý kỷ luật, xử phạt vi phạm hành chính hoặc bị truy cứu trách nhiệm hình sự; nếu gây thiệt hại đến lợi ích của Nhà nước, quyền và lợi ích hợp pháp của tổ chức, cá nhân thì phải bồi thường thiệt hại theo quy định pháp luật.

Cách diễn đạt nêu cả chủ tài khoản và người sử dụng tài khoản. Đây là điểm quan trọng với doanh nghiệp: tài khoản đăng ký dưới tên tổ chức nhưng do nhân viên sử dụng thì cả hai bên đều có thể liên quan.

Hệ quả thực tế cho quản trị nội bộ:

• Cấp tài khoản riêng cho từng người, không dùng chung tài khoản bộ phận — để xác định được ai thực hiện hành vi nào;
• Thu hồi tài khoản ngay khi nhân sự nghỉ việc hoặc chuyển vị trí;
• Bật xác thực nhiều lớp cho các tài khoản có quyền cao;
• Ghi nhật ký đăng nhập và thao tác;
• Có quy định nội bộ về việc sử dụng tài khoản của tổ chức, ký cam kết với người được cấp.

Khoản 3 — cung cấp thông tin

Khoản 3 Điều 42 yêu cầu kịp thời cung cấp thông tin liên quan đến bảo vệ an ninh mạng, nguy cơ đe dọa an ninh mạng, hành vi xâm phạm an ninh mạng cho cơ quan có thẩm quyền, lực lượng bảo vệ an ninh mạng.

Nghĩa vụ này áp dụng cho mọi tổ chức, cá nhân sử dụng không gian mạng — không giới hạn ở chủ quản hệ thống trọng yếu.

Khoản 4 — thực hiện yêu cầu và tạo điều kiện

Khoản 4 Điều 42 quy định: thực hiện yêu cầu và hướng dẫn của cơ quan có thẩm quyền trong bảo vệ an ninh mạng; giúp đỡ, tạo điều kiện cho cơ quan, tổ chức và người có trách nhiệm tiến hành các biện pháp bảo vệ an ninh mạng.

Đây là nghĩa vụ phối hợp, liên quan trực tiếp tới các biện pháp tại Điều 5 — đặc biệt điểm l về thu thập dữ liệu điện tử và điểm k về yêu cầu xóa bỏ thông tin.

Chuẩn bị của doanh nghiệp

Từ Điều 5 và Điều 42, ba việc thiết thực:

• Xác định đầu mối tiếp nhận yêu cầu từ cơ quan chức năng và quy trình xử lý nội bộ, kèm thời hạn;
• Rà soát chính sách quản lý tài khoản theo khoản 2 Điều 42 — đây là nhóm việc chi phí thấp, hiệu quả cao;
• Bảo đảm khả năng cung cấp nhật ký và dữ liệu khi được yêu cầu hợp pháp, đồng thời có cơ chế bảo vệ dữ liệu cá nhân trong quá trình cung cấp.

Đọc thêm cùng chủ đề

• Chủ quản hệ thống có phải tự sàng lọc tin giả, nội dung lừa đảo?
• Thời điểm gửi và nhận email giao dịch được xác định thế nào?
• Ngân sách nhà nước chi bao nhiêu cho chuyển đổi số mỗi năm?

Căn cứ pháp lý

• Luật 116/2025/QH15 Điều 5
• Luật 116/2025/QH15 Điều 14
• Luật 116/2025/QH15 Điều 42

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.