Theo Luật An ninh mạng 2025, doanh nghiệp viễn thông và nhà cung cấp Internet có nghĩa vụ riêng nào?

Nhóm này chịu nghĩa vụ nặng hơn doanh nghiệp thông thường — điểm b khoản 2 Điều 20 nêu đích danh trách nhiệm phối hợp trong phòng ngừa, phát hiện, xử lý tình huống nguy hiểm.

Doanh nghiệp viễn thông, nhà cung cấp dịch vụ Internet và các đơn vị cung cấp dịch vụ gia tăng trên không gian mạng là nhóm được Luật An ninh mạng 116/2025/QH15 nêu đích danh ở nhiều điều. Bài viết tổng hợp các nghĩa vụ riêng của nhóm này.

Nghĩa vụ phối hợp trong tình huống nguy hiểm

Khoản 1 Điều 20 Luật 116/2025/QH15 liệt kê các tình huống nguy hiểm về an ninh mạng:

• Điểm a — xuất hiện thông tin kích động trên không gian mạng có nguy cơ xảy ra bạo loạn, phá rối an ninh, khủng bố;
• Điểm b — tấn công vào hệ thống thông tin quan trọng về an ninh quốc gia;
• Điểm c — tấn công nhiều hệ thống thông tin trên quy mô lớn, cường độ cao;
• Điểm d — tấn công mạng nhằm phá hủy công trình quan trọng về an ninh quốc gia, mục tiêu quan trọng về an ninh quốc gia;
• Điểm đ — tấn công mạng xâm phạm nghiêm trọng chủ quyền, lợi ích, an ninh quốc gia; gây tổn hại đặc biệt nghiêm trọng trật tự, an toàn xã hội, quyền và lợi ích hợp pháp của cơ quan, tổ chức, cá nhân.

Điểm b khoản 2 Điều 20 nêu đích danh nhóm doanh nghiệp này: doanh nghiệp viễn thông, Internet, công nghệ thông tin, doanh nghiệp cung cấp dịch vụ trên mạng viễn thông, mạng Internet, các dịch vụ gia tăng trên không gian mạng và cơ quan, tổ chức, cá nhân có liên quan có trách nhiệm phối hợp với lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an trong phòng ngừa, phát hiện, xử lý tình huống nguy hiểm về an ninh mạng.

Nghĩa vụ này không giới hạn ở việc phản ứng khi có yêu cầu — nó bao gồm cả khâu phòng ngừa và phát hiện, tức đòi hỏi năng lực giám sát chủ động.

Biện pháp xử lý tình huống — khoản 3

Khoản 3 Điều 20 liệt kê các biện pháp xử lý, trong đó nhóm doanh nghiệp này có vai trò tham gia:

• Điểm a — triển khai ngay phương án phòng ngừa, ứng phó khẩn cấp về an ninh mạng, ngăn chặn, loại trừ hoặc giảm nhẹ thiệt hại;
• Điểm b — thông báo đến cơ quan, tổ chức, cá nhân có liên quan;
• Điểm c — thu thập thông tin liên quan; theo dõi, giám sát liên tục đối với tình huống nguy hiểm;
• Điểm d — phân tích, đánh giá thông tin, dự báo khả năng diễn biến.

Cụm "triển khai ngay" tại điểm a có hàm ý về tổ chức: cần có phương án sẵn và người có thẩm quyền quyết định ngoài giờ hành chính.

Nghĩa vụ gỡ bỏ nội dung vi phạm

Khoản 1 Điều 14 Luật 116/2025/QH15 đặt nghĩa vụ lên chủ quản hệ thống thông tin, doanh nghiệp trong nước và nước ngoài cung cấp dịch vụ trên mạng viễn thông, mạng Internet, các dịch vụ gia tăng trên không gian mạng: triển khai biện pháp quản lý, kỹ thuật để phòng ngừa, phát hiện, ngăn chặn, gỡ bỏ thông tin có nội dung quy định tại các khoản 1, 2 và 3 Điều 13 trên hệ thống thông tin thuộc phạm vi quản lý hoặc khi có yêu cầu của lực lượng chuyên trách bảo vệ an ninh mạng.

Khoản 3 Điều 14 bổ sung nghĩa vụ phối hợp với lực lượng chuyên trách bảo vệ an ninh mạng xử lý thông tin trên không gian mạng và phòng, chống hành vi sử dụng công nghệ thông tin, phương tiện điện tử xâm phạm an ninh quốc gia, trật tự, an toàn xã hội.

Điểm cần lưu ý: nghĩa vụ tồn tại theo hai kênh song song — chủ động trên hệ thống của mình, và theo yêu cầu của cơ quan chức năng.

Hạ tầng không gian mạng quốc gia và cổng kết nối quốc tế

Khoản 1 Điều 24 Luật 116/2025/QH15 quy định bảo vệ an ninh mạng đối với cơ sở hạ tầng không gian mạng quốc gia, cổng kết nối mạng quốc tế phải bảo đảm kết hợp chặt chẽ giữa yêu cầu bảo vệ an ninh mạng với yêu cầu phát triển kinh tế - xã hội; khuyến khích cổng kết nối quốc tế đặt trên lãnh thổ Việt Nam; khuyến khích tổ chức, cá nhân tham gia đầu tư xây dựng cơ sở hạ tầng không gian mạng quốc gia.

Khoản 2 Điều 24 quy định hai trách nhiệm với cơ quan, tổ chức, cá nhân quản lý, khai thác hạ tầng này:

• Điểm a — bảo vệ an ninh mạng thuộc quyền quản lý; chịu sự quản lý, thanh tra, kiểm tra và thực hiện các yêu cầu về bảo vệ an ninh mạng của cơ quan nhà nước có thẩm quyền;
• Điểm b — tạo điều kiện, thực hiện các biện pháp kỹ thuật, nghiệp vụ cần thiết để cơ quan nhà nước có thẩm quyền thực hiện nhiệm vụ bảo vệ an ninh mạng khi có đề nghị.

Điểm b đòi hỏi năng lực kỹ thuật sẵn sàng, không phải xây dựng khi có yêu cầu — đây là yếu tố cần đưa vào thiết kế hệ thống và kế hoạch nhân sự.

Nghĩa vụ bảo vệ trẻ em

Khoản 3 Điều 16 Luật 116/2025/QH15 đặt năm trách nhiệm lên chủ quản hệ thống thông tin, doanh nghiệp cung cấp dịch vụ trên mạng viễn thông, mạng Internet, các dịch vụ giá trị gia tăng trên không gian mạng:

• Điểm a — kiểm soát nội dung thông tin trên hệ thống hoặc dịch vụ do doanh nghiệp cung cấp để không gây nguy hại cho trẻ em hoặc xâm hại trẻ em hoặc xâm phạm quyền trẻ em;
• Điểm b — ngăn chặn việc chia sẻ và xóa bỏ thông tin có nội dung gây nguy hại cho trẻ em;
• Điểm c — xây dựng, triển khai các hệ thống kỹ thuật hỗ trợ hoạt động ngăn chặn nội dung xâm hại trẻ em;
• Điểm d — phối hợp với các cơ quan, tổ chức, doanh nghiệp thực hiện ngăn chặn các nguồn phát tán;
• Điểm đ — kịp thời thông báo, phối hợp với lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an để xử lý.

Điểm c là nghĩa vụ đầu tư kỹ thuật cụ thể — không dừng ở quy trình thủ công.

Khoản 2 Điều 16 cũng có quy định đáng chú ý về đăng ký tài khoản: trẻ em sử dụng dịch vụ giá trị gia tăng trên không gian mạng thì cha, mẹ hoặc người giám hộ theo quy định của pháp luật về dân sự đăng ký tài khoản bằng thông tin của cha, mẹ hoặc người giám hộ và có trách nhiệm giám sát, quản lý nội dung trẻ em truy cập, đăng tải và chia sẻ thông tin trên các nền tảng dịch vụ đó.

Với doanh nghiệp cung cấp dịch vụ, quy định này hàm ý cần có cơ chế đăng ký tài khoản cho trẻ em thông qua người giám hộ, và công cụ để người giám hộ giám sát.

Nếu hệ thống thuộc danh mục trọng yếu

Điểm g khoản 2 Điều 9 Luật 116/2025/QH15 liệt kê hệ thống thông tin quốc gia thuộc lĩnh vực năng lượng, tài chính, ngân hàng, VIỄN THÔNG, giao thông vận tải, nông nghiệp, tài nguyên và môi trường, hóa chất, y tế, văn hóa vào các lĩnh vực có hệ thống thông tin quan trọng về an ninh quốc gia.

Nếu hệ thống của doanh nghiệp thuộc danh mục do Thủ tướng Chính phủ quyết định theo khoản 1 và khoản 4 Điều 9, nhóm nghĩa vụ nặng hơn phát sinh theo khoản 1 Điều 11:

• Điểm b — khi thiết lập, mở rộng hoặc nâng cấp phải kiểm tra an ninh mạng trước khi đi vào vận hành, khai thác; định kỳ hằng năm tự kiểm tra, đánh giá điều kiện an ninh mạng và thông báo kết quả bằng văn bản TRƯỚC THÁNG 10 HẰNG NĂM cho lực lượng chuyên trách có thẩm quyền;
• Điểm c — chủ trì, phối hợp thực hiện giám sát an ninh mạng thường xuyên; xây dựng cơ chế tự cảnh báo và tiếp nhận cảnh báo; đề ra phương án ứng phó, khắc phục khẩn cấp;
• Điểm d — xây dựng phương án ứng phó, khắc phục sự cố; triển khai khi sự cố xảy ra và kịp thời báo cáo;
• Điểm đ — phối hợp trong kiểm tra an ninh mạng đột xuất.

Mốc "trước tháng 10 hằng năm" tại điểm b là nghĩa vụ định kỳ cần đưa vào lịch công tác, vì chỉ phát sinh mỗi năm một lần nên dễ bị bỏ sót.

Nghĩa vụ theo Luật Giao dịch điện tử và Luật Chuyển đổi số

Nếu doanh nghiệp vận hành nền tảng số trung gian, Điều 47 Luật Giao dịch điện tử 20/2023/QH15 phân ba tầng trách nhiệm theo quy mô — với nhóm quy mô rất lớn còn phải công bố công khai nguyên tắc chung, thông số hoặc tiêu chí được sử dụng để đưa ra khuyến nghị hiển thị nội dung, hiển thị quảng cáo và cho phép người dùng từ chối cá nhân hóa.

Khoản 4 Điều 42 Luật Chuyển đổi số 148/2025/QH15 cũng quy định doanh nghiệp viễn thông có trách nhiệm cung cấp dịch vụ viễn thông phổ cập theo danh mục, địa bàn, khu vực, điều kiện, chất lượng và giá dịch vụ theo quy định của pháp luật về viễn thông.

Khoản 3 Điều 42 Luật 148/2025/QH15 nêu chính sách hỗ trợ doanh nghiệp cấp miễn phí chứng thư chữ ký số công cộng cho người dân phù hợp với địa bàn, đối tượng và thời gian trong Chiến lược quốc gia về chuyển đổi số — cơ hội đáng quan tâm với doanh nghiệp cung cấp dịch vụ chứng thực chữ ký số.

Danh mục việc cần làm

• Xác định hệ thống của mình có thuộc danh mục trọng yếu theo Điều 9 hay không;
• Chuẩn bị năng lực kỹ thuật, nghiệp vụ sẵn sàng theo điểm b khoản 2 Điều 24;
• Xây dựng hệ thống kỹ thuật ngăn chặn nội dung xâm hại trẻ em theo điểm c khoản 3 Điều 16;
• Bổ sung cơ chế đăng ký tài khoản cho trẻ em qua người giám hộ và công cụ giám sát theo khoản 2 Điều 16;
• Lập phương án ứng phó khẩn cấp có người quyết định ngoài giờ hành chính;
• Đưa mốc báo cáo trước tháng 10 hằng năm vào lịch công tác nếu thuộc nhóm hệ thống trọng yếu;
• Thiết lập đầu mối liên hệ với lực lượng chuyên trách bảo vệ an ninh mạng;
• Ghi nhật ký xử lý nội dung vi phạm phục vụ chứng minh tuân thủ.

Đọc thêm cùng chủ đề

• Doanh nghiệp sản xuất pin và ắc quy cần tuân thủ những gì?
• Ban quản lý phố đi bộ và chợ đêm số hoá cần lưu ý những gì?
• Doanh nghiệp cung cấp giải pháp họp trực tuyến cần cam kết gì?

Căn cứ pháp lý

• Luật 116/2025/QH15 Điều 20
• Luật 116/2025/QH15 Điều 24
• Luật 116/2025/QH15 Điều 14

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.