Theo Luật An ninh mạng 2025, doanh nghiệp 10-50 người cần làm gì để tuân thủ luật công nghệ?

Bản danh mục thực tế cho doanh nghiệp quy mô vừa và nhỏ — tách rõ việc bắt buộc và việc khuyến khích, kèm ước lượng công sức cho từng nhóm.

Đọc năm đạo luật công nghệ mới có thể gây cảm giác choáng ngợp. Nhưng với doanh nghiệp quy mô 10 đến 50 người, phần lớn nghĩa vụ nặng không áp dụng. Bài viết tách rõ đâu là việc bắt buộc, đâu là khuyến khích.

Trước hết — những gì KHÔNG áp dụng

Ba nhóm nghĩa vụ nặng nhất thường không chạm tới doanh nghiệp quy mô này:

• Nghĩa vụ của hệ thống thông tin quan trọng về an ninh quốc gia — theo khoản 1 Điều 9 Luật An ninh mạng 116/2025/QH15, hệ thống phải thuộc danh mục do Thủ tướng Chính phủ quyết định. Doanh nghiệp nhỏ hầu như không thuộc danh mục này;
• Tập huấn có chứng nhận bắt buộc — khoản 2 Điều 34 Luật 116/2025/QH15 chỉ áp dụng cho người trực tiếp quản trị, vận hành hệ thống cấp độ 3, 4, 5 trong cơ quan, tổ chức, doanh nghiệp Nhà nước;
• Nghĩa vụ của nền tảng số trung gian quy mô lớn, rất lớn — theo Điều 47 Luật Giao dịch điện tử 20/2023/QH15, chỉ áp dụng khi vượt ngưỡng quy mô do Chính phủ quy định.

Ngoài ra, khoản 1 Điều 8 Luật Chuyển đổi số 148/2025/QH15 nêu rõ: với hệ thống số của tổ chức, doanh nghiệp không thuộc nhóm bắt buộc, Nhà nước khuyến khích áp dụng theo khả năng và nhu cầu.

Khoản 8 Điều 7 và khoản 8 Điều 6 Luật 148/2025/QH15 cũng chỉ đặt nghĩa vụ tuân thủ nguyên tắc kiến trúc và nguyên tắc chuyển đổi số lên cơ quan nhà nước; với doanh nghiệp ngoài khu vực nhà nước là khuyến khích.

Nhóm việc BẮT BUỘC — làm được trong vài ngày

1. Sáu nhiệm vụ bảo vệ an ninh mạng — khoản 1 Điều 10 Luật 116/2025/QH15

Áp dụng cho mọi chủ quản hệ thống thông tin, không phân biệt quy mô:

• Điểm a — xác định cấp độ an ninh mạng của hệ thống thông tin;
• Điểm b — đánh giá và quản lý rủi ro an ninh mạng;
• Điểm c — đôn đốc, giám sát, kiểm tra công tác bảo vệ an ninh mạng;
• Điểm d — tổ chức triển khai các biện pháp bảo vệ;
• Điểm đ — thực hiện chế độ báo cáo theo quy định;
• Điểm e — tổ chức tuyên truyền, nâng cao nhận thức về an ninh mạng.

Với hệ thống cấp độ 1 và cấp độ 2 — nhóm mà đa số doanh nghiệp nhỏ thuộc về — khoản 3 Điều 10 quy định thực hiện đầy đủ sáu nhiệm vụ tại khoản 1, còn tám biện pháp tại khoản 2 thì theo nhu cầu, khả năng thực tế lựa chọn áp dụng.

Ước lượng công sức: xác định cấp độ và lập tài liệu đánh giá rủi ro cơ bản mất khoảng một đến hai ngày làm việc. Tổ chức một buổi phổ biến kiến thức cho nhân viên mất nửa ngày.

2. Đào tạo năng lực số — khoản 5 Điều 17 Luật 148/2025/QH15

Doanh nghiệp, tổ chức sử dụng lao động có trách nhiệm tổ chức đào tạo, bồi dưỡng, phổ cập năng lực số cơ bản cho người lao động; đào tạo, hướng dẫn chuyển đổi nghề nghiệp, nâng cao năng lực số phù hợp nhu cầu thị trường cho người lao động có nguy cơ mất việc làm do chuyển đổi số.

Đây là nghĩa vụ, không phải khuyến khích. Có thể kết hợp với buổi phổ biến kiến thức an ninh mạng theo điểm e khoản 1 Điều 10 để tiết kiệm công sức.

Khoản 3 Điều 17 cũng giao các Bộ, Ủy ban nhân dân các cấp trách nhiệm tổ chức phổ cập năng lực số cơ bản — doanh nghiệp nhỏ có thể cử nhân viên tham gia các chương trình do địa phương tổ chức.

3. Bảo vệ dữ liệu — điểm c khoản 1 Điều 16 Luật 148/2025/QH15

Tổ chức có trách nhiệm bảo đảm an ninh mạng, bảo vệ dữ liệu cá nhân và triển khai các biện pháp phòng ngừa rủi ro. Khoản 1 Điều 27 cũng yêu cầu chủ quản dữ liệu phải chủ động thiết lập quy trình, biện pháp bảo vệ dữ liệu phù hợp với tính chất hoạt động.

Cụm "phù hợp với tính chất hoạt động" là điểm quan trọng — mức độ biện pháp tương xứng với quy mô, không đòi hỏi doanh nghiệp nhỏ làm như tổ chức lớn.

4. Quản lý tài khoản — khoản 2 Điều 42 Luật 116/2025/QH15

Trách nhiệm bảo mật thông tin đăng ký, mở, quản lý, sử dụng tài khoản số; và nêu rõ trường hợp tài khoản số được dùng để thực hiện hành vi vi phạm pháp luật thì chủ tài khoản, người sử dụng tài khoản chịu trách nhiệm tương ứng.

5. Nghĩa vụ minh bạch nếu dùng công cụ trí tuệ nhân tạo

Nếu doanh nghiệp có hộp thoại tự động hoặc tạo nội dung bằng công cụ trí tuệ nhân tạo, Điều 11 Luật Trí tuệ nhân tạo 134/2025/QH15 áp dụng — người dùng phải nhận biết được đang tương tác với hệ thống, và nội dung có khả năng gây nhầm lẫn phải được thông báo hoặc gắn nhãn.

Với hệ thống rủi ro thấp, khoản 2 Điều 15 chỉ đặt nghĩa vụ giải trình khi có yêu cầu của cơ quan nhà nước có thẩm quyền trong trường hợp có dấu hiệu vi phạm pháp luật hoặc ảnh hưởng đến quyền, lợi ích hợp pháp — nghĩa vụ nhẹ nhất trong ba mức.

Nhóm việc chi phí thấp, hiệu quả cao

Không bắt buộc nhưng nên làm, vì chi phí gần bằng không và giảm rủi ro thực tế rõ rệt:

• Bật xác thực hai lớp cho thư điện tử, tài khoản ngân hàng, tài khoản quản trị website;
• Cấp tài khoản riêng cho từng người, thu hồi ngay khi nghỉ việc;
• Đổi mật khẩu mặc định của thiết bị mạng, camera, máy in mạng;
• Sao lưu định kỳ sang nơi tách biệt và kiểm thử khôi phục ít nhất một lần;
• Cập nhật phần mềm — hệ điều hành, trình duyệt, phần mềm nghiệp vụ;
• Rà soát hình ảnh bản đồ Việt Nam trên website và tài liệu truyền thông, theo điểm e khoản 1 Điều 13 Luật 116/2025/QH15;
• Rà soát nguồn gốc dữ liệu khách hàng — khoản 3 Điều 5 Luật 148/2025/QH15 nghiêm cấm thu thập, sử dụng, chia sẻ, mua, bán, khai thác dữ liệu số trái quy định.

Tổng công sức cho nhóm này khoảng hai đến ba ngày làm việc của một người, và giải quyết phần lớn rủi ro thực tế mà doanh nghiệp nhỏ gặp phải.

Nhóm việc cần rà soát theo tình huống

• Nếu có website có bình luận, đánh giá — nghĩa vụ sàng lọc nội dung theo khoản 2 Điều 27 Luật 148/2025/QH15;
• Nếu dùng dịch vụ đám mây nước ngoài — rà soát theo điểm e khoản 2 Điều 26 Luật 116/2025/QH15 về chuyển dữ liệu xuyên biên giới;
• Nếu ký hợp đồng điện tử — bảo đảm dùng chữ ký số hoặc chữ ký chuyên dùng bảo đảm an toàn theo khoản 2 Điều 23 Luật 20/2023/QH15;
• Nếu dùng công cụ trí tuệ nhân tạo ảnh hưởng tới quyền lợi người khác — tuyển dụng, chấm điểm khách hàng — cần rà soát kỹ theo Điều 9 và Điều 14 Luật 134/2025/QH15;
• Nếu lưu dữ liệu sức khỏe, sinh trắc học — áp dụng biện pháp bảo vệ cao hơn.

Chính sách hỗ trợ nên tìm hiểu

• Điều 37 Luật 148/2025/QH15 — hỗ trợ tài chính cho doanh nghiệp nhỏ và vừa, hợp tác xã, hộ kinh doanh chuyển đổi số; ưu tiên đơn vị ở vùng khó khăn hoặc thuộc ngành được ưu tiên;
• Khoản 2 Điều 20 Luật 148/2025/QH15 — Quỹ phát triển khoa học và công nghệ của doanh nghiệp là nguồn tài chính hợp lệ cho hoạt động chuyển đổi số;
• Điều 25 và khoản 5 Điều 20 Luật 134/2025/QH15 — hỗ trợ chi phí đánh giá sự phù hợp, hồ sơ mẫu miễn phí, phiếu hỗ trợ dùng hạ tầng tính toán;
• Điều 29 Luật 71/2025/QH15 — ưu đãi và hỗ trợ kinh phí trực tiếp cho dự án khởi nghiệp sáng tạo trong công nghiệp công nghệ số.

Mốc thời gian

• 01/01/2026 — Luật Công nghiệp công nghệ số 71/2025/QH15;
• 01/3/2026 — Luật Trí tuệ nhân tạo 134/2025/QH15;
• 01/7/2026 — Luật An ninh mạng 116/2025/QH15 và Luật Chuyển đổi số 148/2025/QH15;
• Đã có hiệu lực — Luật Giao dịch điện tử 20/2023/QH15 từ 01/7/2024.

Với hệ thống thông tin đã xác định cấp độ theo quy định cũ, khoản 1 Điều 45 Luật 116/2025/QH15 cho 12 tháng kể từ ngày Luật có hiệu lực để bảo đảm điều kiện, tiêu chuẩn, biện pháp theo quy định mới.

Với hệ thống trí tuệ nhân tạo đã đưa vào hoạt động trước 01/3/2026, Điều 35 Luật 134/2025/QH15 cho 12 tháng — hoặc 18 tháng nếu thuộc lĩnh vực y tế, giáo dục, tài chính.

Nói cách khác, doanh nghiệp nhỏ có khoảng một năm rưỡi để hoàn tất. Việc chia nhỏ theo từng nhóm như trên giúp không phải dồn tất cả vào phút chót.

Đọc thêm cùng chủ đề

• Thử nghiệm có kiểm soát AI mang lại lợi ích gì cho doanh nghiệp?
• Cụm liên kết trí tuệ nhân tạo là gì và tham gia được lợi gì?
• Tiêu chuẩn an ninh mạng áp dụng cho những sản phẩm nào?

Căn cứ pháp lý

• Luật 116/2025/QH15 Điều 10
• Luật 148/2025/QH15 Điều 17
• Luật 134/2025/QH15 Điều 15

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.