Theo Luật An ninh mạng 2025, hệ thống cấp độ 1, 2 phải làm những gì để bảo vệ an ninh mạng?

Sáu nhiệm vụ tại khoản 1 là bắt buộc với mọi cấp độ; tám biện pháp tại khoản 2 thì cấp độ 1 và 2 được lựa chọn áp dụng theo nhu cầu và khả năng thực tế.

Điều 10 Luật An ninh mạng 116/2025/QH15 là điều thiết kế theo nguyên tắc phân tầng rõ nhất trong cả đạo luật: cùng một danh mục công việc, nhưng mức bắt buộc khác nhau theo cấp độ hệ thống. Đây là điều mà mọi chủ quản hệ thống thông tin cần đọc để biết chính xác mình phải làm gì.

Sáu nhiệm vụ bắt buộc — khoản 1

Khoản 1 Điều 10 liệt kê nhiệm vụ bảo vệ an ninh mạng đối với hệ thống thông tin:

• Điểm a — xác định cấp độ an ninh mạng của hệ thống thông tin và hệ thống thông tin quan trọng về an ninh quốc gia;
• Điểm b — đánh giá và quản lý rủi ro an ninh mạng hệ thống thông tin;
• Điểm c — đôn đốc, giám sát, kiểm tra công tác bảo vệ an ninh mạng hệ thống thông tin;
• Điểm d — tổ chức triển khai các biện pháp bảo vệ an ninh mạng hệ thống thông tin;
• Điểm đ — thực hiện chế độ báo cáo theo quy định;
• Điểm e — tổ chức tuyên truyền, nâng cao nhận thức về an ninh mạng.

Nhiệm vụ đầu tiên là điểm khởi đầu của mọi việc khác: không xác định cấp độ thì không biết áp dụng bộ biện pháp nào. Đây là việc doanh nghiệp nên làm sớm, không chờ đến ngày Luật có hiệu lực 01/7/2026.

Nhiệm vụ tại điểm e đáng chú ý vì nó không phải việc kỹ thuật. Trong thực tế, phần lớn sự cố bắt đầu từ hành vi người dùng — bấm vào liên kết lạ, dùng lại mật khẩu, cung cấp thông tin cho người mạo danh. Việc đưa tuyên truyền, nâng cao nhận thức vào danh mục nhiệm vụ bắt buộc phản ánh đúng thực tế đó.

Tám biện pháp — khoản 2

Khoản 2 Điều 10 liệt kê biện pháp bảo vệ an ninh mạng đối với hệ thống thông tin:

• Điểm a — ban hành quy định về bảo đảm an ninh mạng trong thiết kế, xây dựng, quản lý, vận hành, sử dụng, nâng cấp, hủy bỏ hệ thống thông tin;
• Điểm b — thẩm định an ninh mạng đối với hồ sơ, thiết kế của hệ thống thông tin;
• Điểm c — đánh giá điều kiện an ninh mạng đối với hệ thống thông tin;
• Điểm d — áp dụng biện pháp quản lý theo tiêu chuẩn, quy chuẩn kỹ thuật về an ninh mạng, nghiên cứu xây dựng hệ thống tường lửa quốc gia để phòng, chống nguy cơ, khắc phục sự cố;
• Điểm đ — tổ chức triển khai các biện pháp lưu trữ, sao lưu bảo vệ an ninh thông tin mạng và an ninh của các thành tố cấu thành hệ thống thông tin;
• Điểm e — kiểm tra, giám sát việc tuân thủ quy định và đánh giá hiệu quả của các biện pháp quản lý và kỹ thuật được áp dụng;
• Điểm g — thực hiện giám sát an ninh mạng;
• Điểm h — ứng phó, khắc phục sự cố an ninh mạng đối với hệ thống thông tin.

Điểm a bao trùm toàn bộ vòng đời

Bảy giai đoạn được nêu: thiết kế, xây dựng, quản lý, vận hành, sử dụng, nâng cấp, hủy bỏ. Giai đoạn cuối thường bị bỏ quên trong quy định nội bộ của doanh nghiệp, nhưng lại là nơi phát sinh rủi ro lớn: máy chủ cũ được thanh lý mà chưa xóa dữ liệu, tài khoản dịch vụ không dùng nữa nhưng vẫn hoạt động, hệ thống ngừng sử dụng nhưng vẫn kết nối mạng và không còn ai vá lỗi.

Điểm đ — sao lưu là biện pháp bảo vệ

Việc đưa lưu trữ, sao lưu vào danh mục biện pháp an ninh mạng có căn cứ thực tiễn rõ ràng: với các sự cố mã hóa tống tiền, bản sao lưu tách biệt và khôi phục được là biện pháp cứu vãn hiệu quả nhất.

Ai phải làm đến đâu

Cấp độ 1 và cấp độ 2 — khoản 3

Khoản 3 Điều 10 quy định: chủ quản hệ thống thông tin thuộc Cấp độ 1, Cấp độ 2 thực hiện đầy đủ các nhiệm vụ quy định tại khoản 1 và theo nhu cầu, khả năng thực tế lựa chọn áp dụng biện pháp quy định tại khoản 2.

Đây là quy định quan trọng nhất với doanh nghiệp nhỏ và vừa — nhóm mà phần lớn hệ thống rơi vào cấp độ 1 hoặc 2.

Cách đọc chính xác:

• Sáu nhiệm vụ tại khoản 1: bắt buộc đầy đủ. Không có lựa chọn ở đây;
• Tám biện pháp tại khoản 2: lựa chọn theo nhu cầu và khả năng thực tế.

Cụm "theo nhu cầu, khả năng thực tế" là sự linh hoạt có ý nghĩa lớn. Nó thừa nhận rằng một doanh nghiệp nhỏ không thể và không cần triển khai cùng bộ biện pháp như một tổ chức lớn.

Nhưng cần lưu ý: lựa chọn không có nghĩa là không làm gì. Nhiệm vụ tại điểm d khoản 1 vẫn yêu cầu tổ chức triển khai các biện pháp bảo vệ — nên vấn đề là chọn biện pháp nào cho phù hợp, không phải bỏ trắng.

Cấp độ 3 và cấp độ 4 — khoản 4

Khoản 4 Điều 10 quy định: chủ quản hệ thống thông tin thuộc cấp độ 3, cấp độ 4 không thuộc danh mục hệ thống thông tin quan trọng về an ninh quốc gia thực hiện:

• Đầy đủ các nhiệm vụ tại khoản 1;
• Các biện pháp tại các điểm a, d, đ, e, g và h khoản 2 — tức sáu biện pháp bắt buộc;
• Và theo nhu cầu, khả năng thực tế lựa chọn áp dụng các biện pháp còn lại.

So sánh với khoản 3, khác biệt nằm ở chỗ sáu trong tám biện pháp trở thành bắt buộc. Hai biện pháp còn lại — điểm b (thẩm định an ninh mạng đối với hồ sơ, thiết kế) và điểm c (đánh giá điều kiện an ninh mạng) — vẫn thuộc diện lựa chọn với nhóm này.

Sáu biện pháp bắt buộc với cấp độ 3, 4 tạo thành một chu trình khép kín: ban hành quy định (a) → áp dụng biện pháp theo tiêu chuẩn (d) → sao lưu (đ) → kiểm tra, đánh giá hiệu quả (e) → giám sát (g) → ứng phó sự cố (h).

Hệ thống quan trọng về an ninh quốc gia

Với hệ thống thuộc danh mục quy định tại Điều 9, nghĩa vụ nặng hơn và được quy định riêng. Khoản 3 Điều 9 yêu cầu hệ thống này phải được thẩm định an ninh mạng, chứng nhận đủ điều kiện về an ninh mạng trước khi đưa vào vận hành, sử dụng; thường xuyên kiểm tra an ninh mạng, giám sát an ninh mạng trong quá trình sử dụng và kịp thời ứng phó, khắc phục sự cố.

Tiêu chuẩn và quy chuẩn kỹ thuật — Điều 27

Điểm d khoản 2 Điều 10 dẫn tới câu hỏi: tiêu chuẩn, quy chuẩn kỹ thuật về an ninh mạng là gì. Khoản 1 Điều 27 Luật 116/2025/QH15 xác định phạm vi áp dụng: hệ thống thông tin, phần cứng, phần mềm, hệ thống quản lý, vận hành an ninh mạng, sản phẩm, dịch vụ an ninh mạng, công nghệ thông tin và thiết bị kết nối mạng.

Khoản 2 Điều 27 quy định việc chứng nhận hợp quy, công bố hợp quy, chứng nhận hợp chuẩn, công bố hợp chuẩn về an ninh mạng thực hiện theo quy định của pháp luật về tiêu chuẩn và quy chuẩn kỹ thuật.

Khoản 5 Điều 27 giao Bộ trưởng Bộ Công an ban hành quy chuẩn kỹ thuật quốc gia về an ninh mạng; điểm a khoản 4 giao Bộ Công an xây dựng dự thảo tiêu chuẩn quốc gia về an ninh mạng.

Với doanh nghiệp mua sắm thiết bị và phần mềm, đây là thông tin cần theo dõi: sản phẩm có chứng nhận phù hợp là căn cứ chứng minh việc áp dụng biện pháp theo điểm d khoản 2 Điều 10.

Bắt đầu từ đâu

Với doanh nghiệp chưa làm gì, thứ tự hợp lý:

• Xác định cấp độ cho từng hệ thống — nhiệm vụ đầu tiên và là căn cứ cho mọi việc sau;
• Ban hành quy định nội bộ theo điểm a khoản 2, bao trùm cả bảy giai đoạn vòng đời;
• Thiết lập sao lưu theo điểm đ khoản 2 và kiểm thử khôi phục ít nhất một lần;
• Tổ chức phổ biến kiến thức cho nhân viên theo điểm e khoản 1 — chi phí thấp, hiệu quả cao;
• Lập hồ sơ ghi nhận những việc đã làm, phục vụ chế độ báo cáo theo điểm đ khoản 1.

Đọc thêm cùng chủ đề

• Người đứng đầu doanh nghiệp chịu trách nhiệm gì về an ninh mạng?
• Mười câu hỏi thường gặp nhất về nhóm luật công nghệ mới
• Mười sai lầm thường gặp khi triển khai tuân thủ luật công nghệ

Căn cứ pháp lý

• Luật 116/2025/QH15 Điều 10
• Luật 116/2025/QH15 Điều 8
• Luật 116/2025/QH15 Điều 9

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.