Chuyển đổi số

Theo Luật Chuyển đổi số 2025, hệ thống số phải đáp ứng yêu cầu tối thiểu nào?

01/08/2026
1 lượt xem
0 bình luận

Bảy nhóm yêu cầu — từ an ninh mạng theo cấp độ, khả năng kết nối, sao lưu phục hồi, mức sẵn sàng, nhật ký hoạt động cho tới khả năng tiếp cận cho người khuyết tật.

Luật Chuyển đổi số 148/2025/QH15 đưa ra khái niệm "hệ thống số" thay cho cách gọi hệ thống thông tin truyền thống, và Điều 8 đặt bộ yêu cầu tối thiểu cho hệ thống này. Câu hỏi đầu tiên doanh nghiệp cần trả lời: mình có thuộc diện bắt buộc không.

Ai bắt buộc, ai được khuyến khích — khoản 1

Khoản 1 Điều 8 quy định yêu cầu tối thiểu đối với hệ thống số được áp dụng bắt buộc đối với:

Hệ thống thông tin, nền tảng số, cơ sở dữ liệu và dịch vụ số của cơ quan nhà nước;
Hệ thống số phục vụ lợi ích công;
Dịch vụ số thiết yếu;
Hệ thống số của tổ chức, doanh nghiệp được cơ quan nhà nước giao cung cấp dịch vụ công.

Đoạn hai của khoản 1 nêu rõ: đối với hệ thống số của tổ chức, doanh nghiệp khác, Nhà nước khuyến khích áp dụng theo khả năng và nhu cầu.

Như vậy đa số doanh nghiệp tư nhân thuộc nhóm khuyến khích. Nhưng hai nhóm giữa — "hệ thống số phục vụ lợi ích công" và "dịch vụ số thiết yếu" — có thể bao gồm doanh nghiệp tư nhân trong các ngành như điện, nước, viễn thông, tài chính. Doanh nghiệp trong các ngành này cần theo dõi văn bản hướng dẫn để xác định phạm vi cụ thể.

Bảy nhóm yêu cầu

Khoản 2 — an ninh mạng theo cấp độ

Hệ thống số phải bảo đảm an ninh mạng theo cấp độ; có cơ chế giám sát, phát hiện, cảnh báo, ứng cứu và khôi phục hoạt động khi xảy ra sự cố.

Yêu cầu này dẫn chiếu sang khung cấp độ của pháp luật về an ninh mạng — hai đạo luật liên thông với nhau ở điểm này. Năm động từ của cơ chế — giám sát, phát hiện, cảnh báo, ứng cứu, khôi phục — mô tả một chu trình đầy đủ, không dừng ở việc phát hiện.

Khoản 3 — kết nối và chia sẻ dữ liệu

Hệ thống phải bảo đảm khả năng kết nối và chia sẻ dữ liệu theo chuẩn với các hệ thống khác; hỗ trợ giao diện lập trình ứng dụng theo tiêu chuẩn, quy chuẩn kỹ thuật; sử dụng chuẩn dữ liệu quốc gia, chuẩn mở, tiêu chuẩn, quy chuẩn kỹ thuật theo quy định.

Đây là yêu cầu chống hệ thống đóng kín. Trong thực tế, nhiều hệ thống được xây dựng theo hướng "tự chứa" và việc nối với hệ thống khác sau này trở thành dự án riêng tốn kém. Khoản 3 đặt yêu cầu kết nối vào ngay thiết kế ban đầu.

Khoản 4 — lưu trữ, sao lưu, phục hồi

Dữ liệu được xử lý bởi hệ thống số phải được lưu trữ, sao lưu, bảo vệ và phục hồi theo phương án bảo đảm tính toàn vẹn, tính sẵn sàng và khả năng chống chịu sự cố; tuân thủ quy định về bảo vệ dữ liệu cá nhân và dữ liệu quan trọng, dữ liệu cốt lõi.

Từ "phục hồi" đáng chú ý riêng. Nhiều tổ chức có sao lưu nhưng chưa từng kiểm thử khôi phục — và phát hiện bản sao lưu không dùng được đúng lúc cần nhất. Yêu cầu ở đây là khả năng phục hồi, tức phải chứng minh được, không chỉ có bản sao.

Khoản 5 — mức sẵn sàng và dự phòng

Hệ thống số và dịch vụ số phải duy trì mức độ sẵn sàng hoạt động tối thiểu; có phương án dự phòng và chuyển đổi dự phòng để bảo đảm hoạt động thông suốt đối với hệ thống quan trọng hoặc dịch vụ thiết yếu.

Cụm "chuyển đổi dự phòng" là yêu cầu cao hơn "có dự phòng": phải có cơ chế chuyển sang hệ thống dự phòng khi hệ thống chính gặp sự cố, và cơ chế đó phải hoạt động được.

Khoản 6 — nhật ký hoạt động

Hệ thống số phải ghi nhận, lưu trữ và bảo vệ nhật ký hoạt động; bảo đảm khả năng kiểm tra, giám sát và truy vết phục vụ thanh tra, kiểm tra, kiểm toán, giải trình khi cần thiết.

Ba động từ "ghi nhận, lưu trữ và bảo vệ" tạo thành chuỗi. Việc bảo vệ nhật ký là điểm hay bị bỏ sót: nhật ký mà người quản trị có thể sửa hoặc xóa thì không có giá trị chứng minh.

Khoản 7 — khả năng tiếp cận

Hệ thống số và dịch vụ số phải đáp ứng tiêu chuẩn, quy chuẩn, yêu cầu kỹ thuật về khả năng tiếp cận tối thiểu đối với người sử dụng, đặc biệt là người khuyết tật, người cao tuổi và các nhóm đối tượng dễ bị tổn thương khác.

Đây là yêu cầu ít được chú ý nhưng có ý nghĩa xã hội rõ ràng. Về mặt kỹ thuật, nó liên quan tới các thực hành quen thuộc trong thiết kế giao diện: độ tương phản màu đủ lớn, kích thước chữ điều chỉnh được, tương thích với công cụ đọc màn hình, thao tác được bằng bàn phím, nhãn mô tả cho hình ảnh.

Với doanh nghiệp thuộc nhóm khuyến khích, đây vẫn là khoản đáng làm — nó mở rộng tập khách hàng tiếp cận được sản phẩm.

Khoản 8 — lộ trình theo phân loại

Hệ thống số được phân loại theo mức độ rủi ro, quan trọng, lĩnh vực, phạm vi ảnh hưởng và có lộ trình áp dụng yêu cầu tối thiểu theo quy định của Chính phủ.

Nghĩa là các yêu cầu trên không áp dụng đồng loạt cùng lúc cho mọi hệ thống. Doanh nghiệp cần theo dõi nghị định hướng dẫn để biết lộ trình cụ thể áp dụng cho nhóm của mình.

Nguyên tắc thiết kế tại Điều 7

Điều 8 nói về yêu cầu kết quả; Điều 7 nói về cách thiết kế để đạt kết quả đó. Bảy nguyên tắc đáng chú ý:

Khoản 1 — thiết kế theo hướng sử dụng nền tảng số và các thành phần dùng chung, thúc đẩy khả năng mở rộng, tích hợp và sử dụng lại để nâng cao hiệu quả đầu tư và hạn chế trùng lặp;
Khoản 2 — khai thác hiệu quả hạ tầng điện toán đám mây và các công nghệ cho phép mở rộng linh hoạt theo nhu cầu;
Khoản 3 — hỗ trợ kết nối và tích hợp ngay từ giai đoạn thiết kế, dựa trên chuẩn mở, kiến trúc mở và giao diện lập trình ứng dụng theo chuẩn;
Khoản 4 — bảo đảm an ninh mạng và bảo vệ dữ liệu ngay từ giai đoạn thiết kế và phát triển;
Khoản 5 — lấy dữ liệu làm trung tâm; bảo đảm dữ liệu được thu thập, quản lý, chia sẻ và khai báo một lần là yêu cầu mặc định;
Khoản 6 — lấy người sử dụng làm trung tâm, bảo đảm thuận tiện, dễ tiếp cận, dễ sử dụng, phù hợp với nhiều nhóm đối tượng;
Khoản 7 — bảo đảm linh hoạt, dễ nâng cấp, khuyến khích áp dụng mô hình kiến trúc mô-đun, thành phần độc lập.

Nguyên tắc "khai báo một lần" tại khoản 5 là nguyên tắc có tác động lớn nhất tới trải nghiệm người dùng dịch vụ công: dữ liệu đã cung cấp một lần thì không phải cung cấp lại ở thủ tục khác.

Khoản 8 Điều 7 quy định rõ phạm vi: cơ quan nhà nước có trách nhiệm tuân thủ các nguyên tắc này; Nhà nước khuyến khích tổ chức, doanh nghiệp ngoài khu vực nhà nước áp dụng.

Giá trị với doanh nghiệp không thuộc diện bắt buộc

Dù chỉ được khuyến khích, bộ yêu cầu tại Điều 8 và nguyên tắc tại Điều 7 phản ánh khá sát các thực hành tốt trong xây dựng hệ thống. Ba lý do thực tế để áp dụng:

Cơ hội hợp tác với khu vực công — doanh nghiệp muốn tham gia cung cấp dịch vụ công sẽ chuyển sang nhóm bắt buộc; chuẩn bị trước rẻ hơn sửa sau;
Giảm chi phí tích hợp về sau — nguyên tắc chuẩn mở tại khoản 3 Điều 7 tránh việc bị khóa vào một nhà cung cấp;
Bằng chứng năng lực khi làm việc với khách hàng lớn có yêu cầu thẩm định nhà cung cấp.