Năm cấp độ, phân theo mức độ tổn hại có thể xảy ra chứ không theo quy mô hay chi phí đầu tư hệ thống. Đây là bước đầu tiên quyết định toàn bộ khối lượng nghĩa vụ về sau.
Nếu chỉ được chọn một điều để đọc trước tiên trong Luật An ninh mạng 116/2025/QH15, đó nên là Điều 8. Lý do đơn giản: cấp độ của hệ thống quyết định gần như toàn bộ những gì tổ chức phải làm sau đó.
Căn cứ phân loại
Khoản 1 Điều 8 Luật 116/2025/QH15 quy định hệ thống thông tin được phân loại theo 5 cấp độ, căn cứ vào mức độ tổn hại tới an ninh quốc gia, trật tự, an toàn xã hội, quyền và lợi ích hợp pháp của tổ chức, cá nhân, lợi ích công cộng khi bị sự cố hoặc có hành vi vi phạm pháp luật về an ninh mạng.
Điểm mấu chốt: phân theo hậu quả, không phân theo quy mô
Đây là chỗ nhiều tổ chức hiểu sai. Cấp độ không phụ thuộc vào hệ thống lớn hay nhỏ, đắt hay rẻ, có bao nhiêu người dùng hay bao nhiêu máy chủ. Nó phụ thuộc vào điều gì sẽ xảy ra nếu hệ thống đó gặp sự cố.
Một hệ thống chạy trên đúng một máy chủ, do hai người vận hành, vẫn có thể ở cấp độ cao nếu sự cố của nó gây tổn hại nghiêm trọng tới lợi ích công cộng. Ngược lại, một hệ thống đồ sộ phục vụ nội bộ doanh nghiệp có thể chỉ ở cấp độ thấp.
Năm cấp độ
Khoản 1 Điều 8 mô tả từng cấp:
- Cấp độ 1 — có thể làm tổn hại tới quyền và lợi ích hợp pháp của tổ chức, cá nhân;
- Cấp độ 2 — có thể làm tổn hại nghiêm trọng tới quyền và lợi ích hợp pháp của tổ chức, cá nhân hoặc làm tổn hại tới lợi ích công cộng;
- Cấp độ 3 — có thể làm tổn hại đặc biệt nghiêm trọng tới quyền và lợi ích hợp pháp của tổ chức, cá nhân; tổn hại nghiêm trọng tới lợi ích công cộng; tổn hại hoặc tổn hại nghiêm trọng tới trật tự, an toàn xã hội hoặc làm tổn hại tới an ninh quốc gia;
- Cấp độ 4 — có thể làm tổn hại đặc biệt nghiêm trọng tới lợi ích công cộng, trật tự, an toàn xã hội hoặc làm tổn hại nghiêm trọng tới an ninh quốc gia;
- Cấp độ 5 — có thể làm tổn hại đặc biệt nghiêm trọng tới an ninh quốc gia.
Đọc thang mức độ tổn hại
Toàn bộ năm cấp được xây trên sự kết hợp của hai trục. Trục thứ nhất là đối tượng bị tổn hại, xếp từ hẹp tới rộng: quyền lợi tổ chức cá nhân → lợi ích công cộng → trật tự an toàn xã hội → an ninh quốc gia. Trục thứ hai là mức độ: tổn hại → tổn hại nghiêm trọng → tổn hại đặc biệt nghiêm trọng.
Cấp độ tăng khi một trong hai trục dịch lên. Đây là cách đọc giúp tự ước lượng nhanh trước khi có hướng dẫn chi tiết.
Ai quy định tiêu chí cụ thể
Khoản 2 Điều 8 giao Chính phủ quy định chi tiết tiêu chí xác định cấp độ hệ thống thông tin; quy định thẩm quyền, trình tự, thủ tục xác định cấp độ hệ thống thông tin và biện pháp, trách nhiệm, nghĩa vụ bảo đảm an ninh mạng theo từng cấp độ.
Nghĩa là bản thân Luật chỉ dựng khung năm cấp. Tiêu chí định lượng, thủ tục xác định và bộ nghĩa vụ tương ứng từng cấp sẽ nằm ở nghị định. Doanh nghiệp cần theo dõi văn bản này vì nó quyết định khối lượng công việc thực tế.
Trong lúc chờ hướng dẫn chi tiết
Việc chưa có tiêu chí định lượng không có nghĩa chưa làm được gì. Ba việc sau làm được ngay và đằng nào cũng phải làm:
- Lập danh mục hệ thống thông tin. Không có danh mục thì không phân loại được gì. Danh mục nên ghi: tên hệ thống, phục vụ hoạt động nào, loại dữ liệu xử lý, ai chịu trách nhiệm, đặt ở đâu.
- Tự ước lượng cấp độ theo mô tả tại khoản 1 Điều 8. Ước lượng sai còn hơn không có gì — khi hướng dẫn ban hành thì chỉ cần hiệu chỉnh.
- Ghi lại lập luận. Vì sao xếp hệ thống này ở cấp độ 2 mà không phải 3? Lập luận đó chính là thứ được hỏi khi kiểm tra.
Quan hệ với hệ thống thông tin quan trọng về an ninh quốc gia
Cần phân biệt cấp độ tại Điều 8 với khái niệm "hệ thống thông tin quan trọng về an ninh quốc gia" tại Điều 9. Đây là hai cơ chế khác nhau.
Khoản 1 Điều 9 định nghĩa hệ thống thông tin quan trọng về an ninh quốc gia là hệ thống có vai trò chiến lược, đặc biệt quan trọng đối với chính trị, quốc phòng, an ninh, ngoại giao, kinh tế, xã hội, thuộc danh mục do Thủ tướng Chính phủ quyết định.
Nghĩa là: cấp độ được xác định theo tiêu chí, còn danh mục hệ thống trọng yếu được ban hành bằng quyết định. Một hệ thống có thể ở cấp độ cao mà không nằm trong danh mục, và ngược lại.
Cấp độ kéo theo nghĩa vụ gì
Điều 10 Luật 116/2025/QH15 quy định nhiệm vụ, biện pháp bảo vệ an ninh mạng đối với hệ thống thông tin. Đây là điều mô tả những gì chủ quản hệ thống phải làm, và mức độ yêu cầu gắn với cấp độ đã xác định.
Với hệ thống nằm trong danh mục trọng yếu, khoản 3 Điều 9 còn đặt thêm yêu cầu nặng hơn hẳn: phải được thẩm định an ninh mạng, chứng nhận đủ điều kiện về an ninh mạng trước khi đưa vào vận hành, sử dụng; thường xuyên kiểm tra an ninh mạng, giám sát an ninh mạng trong quá trình sử dụng và kịp thời ứng phó, khắc phục sự cố an ninh mạng.
Sai lầm thường gặp khi tự phân loại
Xếp thấp để đỡ việc. Cám dỗ dễ hiểu nhưng rủi ro. Nếu sự cố xảy ra và hậu quả thực tế vượt xa cấp độ đã khai, việc phân loại sai trở thành tình tiết bất lợi.
Xếp cao cho chắc. Cũng không nên. Cấp độ cao kéo theo nghĩa vụ nặng, chi phí tuân thủ lớn và cam kết mà tổ chức có thể không đáp ứng nổi — lúc đó lại thành không tuân thủ chính cam kết của mình.
Phân loại một lần rồi quên. Hệ thống thay đổi theo thời gian: thêm tính năng, thêm loại dữ liệu, thêm người dùng, kết nối thêm hệ thống khác. Mỗi thay đổi lớn đều có thể làm dịch cấp độ.
Bắt đầu từ đâu
Với đa số doanh nghiệp, trình tự hợp lý là: lập danh mục hệ thống → với mỗi hệ thống, mô tả kịch bản xấu nhất nếu bị sự cố → đối chiếu kịch bản đó với năm mức mô tả tại khoản 1 Điều 8 → ghi cấp độ ước lượng kèm lập luận → rà lại khi Chính phủ ban hành tiêu chí chi tiết.
Toàn bộ quy trình này với một doanh nghiệp vừa thường mất một đến hai buổi làm việc, và kết quả dùng được cho cả các nghĩa vụ khác trong Luật.
Đọc thêm cùng chủ đề
- Doanh nghiệp phải chống phần mềm độc hại thế nào?
- Bảo đảm an ninh dữ liệu gồm những nội dung nào?
- Tình huống nguy hiểm về an ninh mạng gồm những gì?
Căn cứ pháp lý
- Luật 116/2025/QH15 Điều 8
- Luật 116/2025/QH15 Điều 10
- Luật 116/2025/QH15 Điều 2
Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.
Bình luận (0)
Chưa có bình luận nào. Hãy là người đầu tiên chia sẻ ý kiến.