Theo Luật An ninh mạng 2025, doanh nghiệp cung cấp dịch vụ mạng có trách nhiệm gì?

Bảy khoản nghĩa vụ, trong đó có hai điểm mới đáng chú ý: định danh địa chỉ IP của người dùng, và thiết lập hệ thống kết nối kỹ thuật theo hướng dẫn của lực lượng chuyên trách.

Điều 41 Luật An ninh mạng 116/2025/QH15 là điều gom toàn bộ nghĩa vụ của nhóm doanh nghiệp cung cấp dịch vụ trên không gian mạng. Nếu tổ chức của bạn cung cấp bất kỳ dịch vụ nào cho người dùng qua Internet — nền tảng, ứng dụng, dịch vụ lưu trữ, dịch vụ nội dung — thì đây là điều áp dụng trực tiếp.

Bảy nhóm nghĩa vụ

1. Tuân thủ pháp luật về an ninh mạng

Khoản 1 Điều 41 nêu nghĩa vụ nền: tuân thủ quy định của pháp luật về an ninh mạng. Đây là khoản dẫn nhập, nội dung cụ thể nằm ở các khoản sau và ở các điều khác của Luật.

2. Cảnh báo và hướng dẫn người dùng

Khoản 2 Điều 41 quy định hai việc đi liền nhau:

• Cảnh báo khả năng mất an ninh mạng trong việc sử dụng dịch vụ do mình cung cấp và hướng dẫn biện pháp phòng ngừa đối với người sử dụng dịch vụ;
• Xây dựng phương án ứng cứu khẩn cấp bảo đảm an ninh mạng để chủ động xử lý điểm yếu, rủi ro và sự cố an ninh mạng.

Vế đầu là nghĩa vụ hướng ra ngoài — với người dùng. Trong thực tế, nó được thực hiện qua trang hướng dẫn bảo mật tài khoản, cảnh báo khi phát hiện đăng nhập bất thường, thông báo khi có chiến dịch lừa đảo mạo danh dịch vụ.

Vế sau là nghĩa vụ hướng vào trong — phải có phương án ứng cứu viết ra, không phải xử lý ứng biến khi sự việc xảy ra.

3. Hành động ngay khi có sự cố

Khoản 3 Điều 41 quy định: khi xảy ra sự cố an ninh mạng, ngay lập tức triển khai phương án ứng cứu khẩn cấp, đồng thời báo cáo ngay với lực lượng chuyên trách bảo vệ an ninh mạng.

Hai chữ "ngay lập tức" và "ngay" cho thấy đây là nghĩa vụ không có độ trễ cho phép. Khác với một số nghĩa vụ khác trong Luật có mốc giờ cụ thể, khoản này yêu cầu hành động tức thì.

Về mặt vận hành, điều này chỉ khả thi nếu có sẵn: đầu mối trực, phương án viết sẵn, và người có thẩm quyền quyết định báo cáo mà không cần chờ họp.

4. Bảo đảm an ninh cho hoạt động xử lý dữ liệu

Khoản 4 Điều 41 yêu cầu áp dụng các biện pháp, giải pháp kỹ thuật để bảo đảm an ninh mạng cho hoạt động xử lý dữ liệu, xử lý dữ liệu cá nhân theo quy định của Luật này, pháp luật về dữ liệu, pháp luật về bảo vệ dữ liệu cá nhân và quy định khác của pháp luật có liên quan.

Khoản này nối Luật An ninh mạng với hai hệ quy định khác. Doanh nghiệp không thể tách rời ba mảng: an ninh mạng, dữ liệu, và dữ liệu cá nhân — chúng chồng lấn và cùng áp dụng.

5. Định danh địa chỉ IP

Khoản 5 Điều 41 là điểm mới đáng chú ý: doanh nghiệp có trách nhiệm định danh địa chỉ IP của tổ chức, cá nhân sử dụng dịch vụ internet; cung cấp thông tin định danh địa chỉ IP cho lực lượng chuyên trách bảo vệ an ninh mạng để thực hiện biện pháp bảo vệ an ninh mạng.

Nghĩa vụ này đòi hỏi khả năng kỹ thuật cụ thể: lưu được ánh xạ giữa địa chỉ IP và người dùng tại từng thời điểm. Với dịch vụ dùng địa chỉ IP dùng chung hoặc chuyển đổi địa chỉ, đây là bài toán kỹ thuật thật, cần lưu thêm cả cổng nguồn và mốc thời gian.

Doanh nghiệp nên rà lại chính sách lưu nhật ký: giữ bao lâu, lưu những trường nào, có đủ để truy ngược không.

6. Thiết lập hệ thống kết nối kỹ thuật

Khoản 6 Điều 41 quy định phối hợp thực hiện theo hướng dẫn của lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an để thiết lập hệ thống kết nối, đấu nối đường truyền kỹ thuật, truyền tải dữ liệu và đáp ứng các điều kiện cần thiết khác để triển khai các giải pháp, biện pháp bảo vệ an ninh mạng khi có yêu cầu để phục vụ điều tra, xác minh, xử lý hành vi vi phạm pháp luật về an ninh mạng.

Khoản này liên hệ chặt với điểm b khoản 1 Điều 40 về nghĩa vụ kết nối hệ thống giám sát và phòng chống mã độc tập trung về Trung tâm An ninh mạng quốc gia hoặc Trung tâm An ninh mạng cấp tỉnh.

7. Dẫn chiếu sang Điều 25

Khoản 7 Điều 41 quy định doanh nghiệp cung cấp dịch vụ trên mạng viễn thông, mạng Internet, các dịch vụ gia tăng trên không gian mạng tại Việt Nam có trách nhiệm thực hiện quy định tại Điều này, khoản 2 và khoản 3 Điều 25 của Luật.

Đây là điểm nối quan trọng: khoản 2 Điều 25 chứa nghĩa vụ xác thực người dùng, bảo mật tài khoản, cung cấp thông tin trong 24 giờ (03 giờ với trường hợp khẩn cấp) và gỡ bỏ nội dung vi phạm trong 24 giờ.

Nghĩa là doanh nghiệp thuộc nhóm này phải đọc Điều 41 và Điều 25 như một khối thống nhất, không thể tách rời.

Đối chiếu với trách nhiệm người dùng — Điều 42

Điều 42 Luật 116/2025/QH15 quy định trách nhiệm của cơ quan, tổ chức, cá nhân sử dụng không gian mạng, nhẹ hơn đáng kể:

• Tuân thủ quy định của pháp luật về an ninh mạng;
• Bảo mật thông tin đăng ký, mở, quản lý, sử dụng tài khoản số của mình. Trường hợp sử dụng tài khoản số để thực hiện hành vi vi phạm pháp luật thì tùy tính chất, mức độ, chủ tài khoản hoặc người sử dụng bị xử lý kỷ luật, xử phạt vi phạm hành chính hoặc bị truy cứu trách nhiệm hình sự; nếu gây thiệt hại thì phải bồi thường;
• Kịp thời cung cấp thông tin liên quan đến bảo vệ an ninh mạng, nguy cơ đe dọa an ninh mạng, hành vi xâm phạm an ninh mạng cho cơ quan có thẩm quyền;
• Thực hiện yêu cầu và hướng dẫn của cơ quan có thẩm quyền; giúp đỡ, tạo điều kiện cho cơ quan, tổ chức và người có trách nhiệm tiến hành các biện pháp bảo vệ an ninh mạng.

Điểm đáng lưu ý ở khoản 2 Điều 42

Quy định này gắn trách nhiệm với cả chủ tài khoản lẫn người sử dụng tài khoản. Với doanh nghiệp, điều đó có nghĩa: tài khoản đứng tên công ty mà nhân viên dùng để vi phạm thì cả hai phía đều có thể bị xem xét trách nhiệm.

Đây là lý do nên có quy định nội bộ rõ ràng về việc dùng tài khoản công ty trên không gian mạng, và ghi nhật ký ai dùng tài khoản nào vào thời điểm nào.

Danh sách kiểm tra cho doanh nghiệp cung cấp dịch vụ

• Có trang hướng dẫn bảo mật cho người dùng và cơ chế cảnh báo rủi ro chưa (khoản 2);
• Phương án ứng cứu khẩn cấp đã viết ra chưa, đã diễn tập chưa (khoản 2, 3);
• Đầu mối trực và người có thẩm quyền báo cáo sự cố đã xác định chưa (khoản 3);
• Nhật ký có đủ để định danh địa chỉ IP theo thời điểm chưa, giữ bao lâu (khoản 5);
• Đã rà nghĩa vụ tại khoản 2 và khoản 3 Điều 25 chưa, đặc biệt mốc 24 giờ và 03 giờ (khoản 7);
• Đã nối được ba mảng an ninh mạng, dữ liệu và dữ liệu cá nhân trong cùng bộ quy trình chưa (khoản 4).

Luật có hiệu lực từ 01/7/2026 theo Điều 44. Các hạng mục kỹ thuật như nhật ký định danh IP và hệ thống kết nối cần thời gian triển khai, nên là phần đáng bắt đầu sớm nhất.

Đọc thêm cùng chủ đề

• Khu công nghệ số tập trung có ưu đãi gì cho doanh nghiệp?
• Thử nghiệm có kiểm soát AI mang lại lợi ích gì cho doanh nghiệp?
• Cụm liên kết trí tuệ nhân tạo là gì và tham gia được lợi gì?

Căn cứ pháp lý

• Luật 116/2025/QH15 Điều 41
• Luật 116/2025/QH15 Điều 25
• Luật 116/2025/QH15 Điều 42

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.