Theo Luật An ninh mạng 2025, hệ thống nào bị coi là quan trọng về an ninh quốc gia?

Tám lĩnh vực được liệt kê tại khoản 2 Điều 9, trong đó nhóm g bao trùm cả ngân hàng, viễn thông, y tế, giao thông. Nhưng thuộc lĩnh vực chưa đủ — còn phải nằm trong danh mục do Thủ tướng Chính phủ quyết định.

Trong Luật An ninh mạng 116/2025/QH15, cụm từ "hệ thống thông tin quan trọng về an ninh quốc gia" xuất hiện ở rất nhiều điều, kéo theo những nghĩa vụ nặng nhất của cả đạo luật. Điều 9 là nơi định nghĩa khái niệm đó.

Định nghĩa và ba yếu tố cấu thành

Khoản 1 Điều 9 quy định: hệ thống thông tin quan trọng về an ninh quốc gia là hệ thống thông tin có vai trò chiến lược, đặc biệt quan trọng đối với chính trị, quốc phòng, an ninh, ngoại giao, kinh tế, xã hội khi bị sự cố hoặc có hành vi vi phạm pháp luật về an ninh mạng có thể gây tổn hại tới an ninh quốc gia, tổn hại nghiêm trọng đến trật tự, an toàn xã hội, thuộc danh mục do Thủ tướng Chính phủ quyết định.

Ba yếu tố này phải có đủ:

• Vai trò chiến lược, đặc biệt quan trọng;
• Hậu quả tiềm tàng khi bị sự cố đạt tới mức tổn hại an ninh quốc gia hoặc tổn hại nghiêm trọng trật tự, an toàn xã hội;
• Có tên trong danh mục do Thủ tướng Chính phủ quyết định.

Yếu tố thứ ba là yếu tố quyết định về mặt thủ tục. Một hệ thống dù quan trọng đến đâu, nếu chưa có trong danh mục thì chưa phát sinh nghĩa vụ của chủ quản hệ thống trọng yếu. Ngược lại, khi đã được đưa vào danh mục thì các nghĩa vụ áp dụng ngay.

Tám lĩnh vực tại khoản 2

Khoản 2 Điều 9 liệt kê các lĩnh vực mà hệ thống thông tin quan trọng về an ninh quốc gia thuộc về:

• Điểm a — hệ thống thông tin quân sự, an ninh, ngoại giao, cơ yếu;
• Điểm b — hệ thống thông tin lưu trữ, xử lý thông tin thuộc bí mật nhà nước;
• Điểm c — hệ thống thông tin phục vụ lưu giữ, bảo quản hiện vật, tài liệu có giá trị đặc biệt quan trọng;
• Điểm d — hệ thống thông tin phục vụ bảo quản vật liệu, chất đặc biệt nguy hiểm đối với con người, môi trường;
• Điểm đ — hệ thống thông tin phục vụ bảo quản, chế tạo, quản lý cơ sở vật chất đặc biệt quan trọng khác liên quan đến an ninh quốc gia;
• Điểm e — hệ thống thông tin quan trọng phục vụ hoạt động của cơ quan, tổ chức ở trung ương;
• Điểm g — hệ thống thông tin quốc gia thuộc lĩnh vực năng lượng, tài chính, ngân hàng, viễn thông, giao thông vận tải, nông nghiệp, tài nguyên và môi trường, hóa chất, y tế, văn hóa;
• Điểm h — hệ thống điều khiển và giám sát tự động tại công trình quan trọng liên quan đến an ninh quốc gia, mục tiêu quan trọng về an ninh quốc gia.

Điểm g là điểm doanh nghiệp cần đọc kỹ

Bảy điểm còn lại chủ yếu thuộc khu vực nhà nước hoặc lĩnh vực đặc thù. Điểm g thì khác: nó liệt kê mười lĩnh vực kinh tế - xã hội, trong đó có tài chính, ngân hàng, viễn thông, giao thông vận tải, y tế — những ngành có nhiều doanh nghiệp ngoài nhà nước tham gia.

Tuy nhiên cần chú ý cách diễn đạt: điểm g nói "hệ thống thông tin quốc gia thuộc lĩnh vực...". Chữ "quốc gia" thu hẹp phạm vi — không phải mọi hệ thống của mọi doanh nghiệp ngân hàng đều tự động thuộc nhóm này. Việc xác định cụ thể vẫn quay về danh mục do Thủ tướng Chính phủ quyết định.

Điểm h và hệ thống điều khiển công nghiệp

Điểm h nhắm tới hệ thống điều khiển và giám sát tự động — trong thực tế là các hệ thống vận hành nhà máy điện, trạm biến áp, hệ thống cấp nước, hệ thống điều khiển giao thông. Đặc điểm chung: sự cố ở đây gây hậu quả vật lý chứ không chỉ hậu quả dữ liệu.

Ba nghĩa vụ tại khoản 3

Khoản 3 Điều 9 quy định hệ thống thông tin quan trọng về an ninh quốc gia phải:

• Được thẩm định an ninh mạng, chứng nhận đủ điều kiện về an ninh mạng trước khi đưa vào vận hành, sử dụng;
• Thường xuyên kiểm tra an ninh mạng, giám sát an ninh mạng trong quá trình sử dụng;
• Kịp thời ứng phó, khắc phục sự cố an ninh mạng.

Nghĩa vụ thứ nhất có hệ quả lớn về tiến độ dự án: thẩm định và chứng nhận diễn ra trước khi vận hành, không phải sau. Kế hoạch triển khai hệ thống thuộc nhóm này cần dành thời gian cho bước này ngay từ đầu, thay vì coi đó là thủ tục hoàn thiện hồ sơ sau khi đã chạy.

Nghĩa vụ thứ hai dùng từ "thường xuyên" — tức hoạt động liên tục, không phải kiểm tra một lần rồi thôi.

Thẩm quyền lập danh mục — khoản 4

Khoản 4 Điều 9 giao Bộ Công an chủ trì, phối hợp với các Bộ, ngành, cơ quan, tổ chức, cá nhân có liên quan lập, trình Thủ tướng Chính phủ danh mục hệ thống thông tin quan trọng về an ninh quốc gia.

Cơ chế này có nghĩa: danh mục được rà soát và cập nhật, không cố định vĩnh viễn. Một hệ thống hôm nay chưa nằm trong danh mục vẫn có thể được đưa vào khi quy mô hoặc vai trò thay đổi.

Phân biệt với cấp độ an toàn hệ thống

Đây là điểm dễ nhầm. Luật có hai trục phân loại song song:

• Cấp độ bảo vệ theo Điều 8 — áp dụng cho mọi hệ thống thông tin, mỗi cấp độ kèm bộ biện pháp tương ứng;
• Danh mục hệ thống trọng yếu theo Điều 9 — một danh sách riêng, do Thủ tướng Chính phủ quyết định, kèm nhóm nghĩa vụ nặng hơn.

Hai trục này liên hệ nhưng không đồng nhất. Chủ quản hệ thống cần xác định cả hai: hệ thống của mình ở cấp độ mấy, và có thuộc danh mục trọng yếu hay không.

Nghĩa vụ kèm theo khi thuộc danh mục

Khi một hệ thống được xác định là quan trọng về an ninh quốc gia, các nghĩa vụ rải rác ở nhiều điều khác cùng lúc phát sinh:

• Nhân sự — khoản 3 Điều 31 yêu cầu bố trí bộ phận hoặc nhân sự chuyên trách phù hợp với cấp độ bảo vệ, bảo đảm tiêu chuẩn chuyên môn nghiệp vụ, và thường xuyên bồi dưỡng, cập nhật kỹ năng;
• Kiểm tra định kỳ và đột xuất theo Điều 17;
• Giám sát an ninh mạng theo Điều 18;
• Ứng phó, khắc phục sự cố theo Điều 20;
• Rà soát loại trừ nguy cơ khủng bố mạng theo khoản 2 Điều 19.

Việc nên làm ngay

Với tổ chức hoạt động trong các lĩnh vực nêu tại điểm g và điểm h khoản 2 Điều 9, ba việc nên làm trước ngày Luật có hiệu lực 01/7/2026:

• Lập danh mục hệ thống thông tin đang vận hành kèm mô tả vai trò và hậu quả dự kiến nếu ngừng hoạt động — đây là cơ sở để tự đánh giá khả năng thuộc danh mục;
• Theo dõi danh mục do Thủ tướng Chính phủ quyết định và các văn bản hướng dẫn của Bộ Công an;
• Chuẩn bị hồ sơ kỹ thuật cho các hệ thống có khả năng cao thuộc danh mục — vì thẩm định phải hoàn tất trước khi vận hành, việc chuẩn bị sớm tránh phải dừng dự án giữa chừng.

Đọc thêm cùng chủ đề

• Người quản trị hệ thống cấp độ 3 trở lên có phải tập huấn bắt buộc?
• Nhà nước làm gì để nâng cao tự chủ về an ninh mạng?
• Nhà cung cấp có được ngăn khách hàng chuyển sang dịch vụ khác?

Căn cứ pháp lý

• Luật 116/2025/QH15 Điều 9
• Luật 116/2025/QH15 Điều 8
• Luật 116/2025/QH15 Điều 31

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.