An ninh mạng

Theo Luật An ninh mạng 2025, kiểm tra an ninh mạng diễn ra khi nào và ra sao?

01/08/2026
1 lượt xem
0 bình luận

Với hệ thống thông thường chỉ có hai trường hợp bị kiểm tra, một trong đó là do chính chủ quản đề nghị. Hệ thống trọng yếu quốc gia thì chế độ nặng hơn hẳn — kiểm tra trước khi vận hành và tự kiểm tra hằng năm.

Câu hỏi doanh nghiệp thường đặt ra khi đọc Luật An ninh mạng mới: khi nào thì bị kiểm tra, và kiểm tra những gì. Luật 116/2025/QH15 trả lời khá cụ thể, và quan trọng hơn — phân biệt rõ hai chế độ khác nhau cho hai nhóm hệ thống.

Hai chế độ kiểm tra

Luật tách bạch:

Điều 12 — kiểm tra an ninh mạng đối với hệ thống thông tin của cơ quan, tổ chức không thuộc danh mục hệ thống thông tin quan trọng về an ninh quốc gia. Đây là chế độ áp dụng cho đa số doanh nghiệp;
Điều 11 — trách nhiệm bảo vệ an ninh mạng đối với hệ thống thông tin quan trọng về an ninh quốc gia. Chế độ nặng hơn nhiều.

Việc phân biệt này có ý nghĩa thực tế lớn: doanh nghiệp thông thường không chịu chế độ kiểm tra thường xuyên như hệ thống trọng yếu quốc gia.

Chế độ cho hệ thống thông thường — Điều 12

Chỉ hai trường hợp bị kiểm tra

Khoản 1 Điều 12 quy định việc kiểm tra được tiến hành trong trường hợp:

Khi có hành vi được quy định tại các khoản 12, 13, 14 và 15 Điều 2 của Luật này — tức khi xuất hiện hành vi xâm phạm an ninh mạng theo các khái niệm được định nghĩa tại Điều 2;
Khi có đề nghị của chủ quản hệ thống thông tin.

Trường hợp thứ hai đáng chú ý: việc kiểm tra có thể do chính tổ chức chủ động đề nghị. Đây không phải cơ chế trừng phạt mà là cơ chế hỗ trợ — tổ chức nghi ngờ hệ thống mình có vấn đề nhưng thiếu năng lực tự đánh giá có thể yêu cầu lực lượng chuyên trách vào cuộc.

Nói cách khác, với doanh nghiệp vận hành đàng hoàng và không xảy ra sự cố, việc bị kiểm tra bất ngờ không phải điều thường xuyên.

Kiểm tra những gì

Khoản 2 Điều 12 xác định ba nhóm đối tượng kiểm tra:

Phần cứng, phần mềm, thiết bị số được sử dụng trong hệ thống thông tin;
Thông tin được lưu trữ, xử lý, truyền đưa trong hệ thống thông tin;
Biện pháp bảo vệ bí mật nhà nước và phòng, chống lộ, mất bí mật nhà nước qua các kênh kỹ thuật.

Nhóm thứ ba chỉ liên quan tới tổ chức có xử lý thông tin thuộc bí mật nhà nước. Với doanh nghiệp thương mại thông thường, hai nhóm đầu là phạm vi thực tế.

Ai kiểm tra và kết quả xử lý thế nào

Khoản 4 Điều 12 quy định lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an tiến hành kiểm tra, và kết quả kiểm tra an ninh mạng được bảo mật theo quy định của pháp luật.

Vế sau là điểm doanh nghiệp nên biết: kết quả kiểm tra không phải thông tin công khai. Điều này giảm bớt lo ngại rằng việc bị kiểm tra sẽ ảnh hưởng tới uy tín trên thị trường.

Khoản 5 Điều 12 giao Chính phủ quy định trình tự, thủ tục kiểm tra an ninh mạng. Chi tiết về thời gian báo trước, thành phần đoàn kiểm tra, quyền và nghĩa vụ các bên sẽ nằm ở nghị định.

Nghĩa vụ thông báo của chủ quản

Khoản 3 Điều 12 đặt ra một nghĩa vụ chủ động: chủ quản hệ thống thông tin có trách nhiệm thông báo cho lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an khi phát hiện hành vi vi phạm pháp luật về an ninh mạng trên hệ thống thông tin thuộc phạm vi quản lý.

Nghĩa vụ này không kèm điều kiện về mức độ nghiêm trọng hay thời hạn cụ thể trong chính điều luật, nhưng nguyên tắc chung là thông báo kịp thời. Trong thực tế, tổ chức nên có sẵn đầu mối và quy trình để không lúng túng khi sự việc xảy ra.

Chế độ cho hệ thống trọng yếu quốc gia — Điều 11

Khoản 1 Điều 11 quy định chủ quản hệ thống thông tin quan trọng về an ninh quốc gia có trách nhiệm nặng hơn hẳn:

Kiểm tra an ninh mạng trước khi đi vào vận hành, khai thác khi thiết lập, mở rộng hoặc nâng cấp hệ thống;
Định kỳ hằng năm tự kiểm tra an ninh mạng, đánh giá điều kiện an ninh mạng và thông báo kết quả bằng văn bản trước tháng 10 hằng năm cho lực lượng chuyên trách bảo vệ an ninh mạng có thẩm quyền;
Chủ trì, phối hợp với lực lượng chuyên trách trong việc thường xuyên thực hiện giám sát an ninh mạng; xây dựng cơ chế tự cảnh báo và tiếp nhận cảnh báo về nguy cơ đe dọa an ninh mạng; đề ra phương án ứng phó, khắc phục khẩn cấp;
Xây dựng phương án ứng phó, khắc phục sự cố; triển khai phương án khi sự cố xảy ra và kịp thời báo cáo với lực lượng chuyên trách;
Phối hợp với lực lượng chuyên trách trong việc thực hiện kiểm tra an ninh mạng đột xuất.

Mốc tháng 10 hằng năm

Điểm b khoản 1 Điều 11 đặt một mốc thời gian rất cụ thể: thông báo kết quả tự kiểm tra bằng văn bản trước tháng 10 hằng năm. Đây là loại nghĩa vụ dễ trôi vì cả năm mới có một lần. Tổ chức thuộc nhóm này nên đặt lịch nhắc từ tháng 8 để có thời gian thực hiện tự kiểm tra trước khi báo cáo.

Yêu cầu thẩm định trước khi vận hành

Khoản 3 Điều 9 Luật 116/2025/QH15 quy định hệ thống thông tin quan trọng về an ninh quốc gia phải được thẩm định an ninh mạng, chứng nhận đủ điều kiện về an ninh mạng trước khi đưa vào vận hành, sử dụng; thường xuyên kiểm tra an ninh mạng, giám sát an ninh mạng trong quá trình sử dụng và kịp thời ứng phó, khắc phục sự cố.

Đây là khác biệt căn bản so với hệ thống thông thường: không được vận hành trước rồi hợp thức hóa sau.

Ai thuộc nhóm trọng yếu quốc gia

Khoản 1 Điều 9 quy định hệ thống thông tin quan trọng về an ninh quốc gia thuộc danh mục do Thủ tướng Chính phủ quyết định. Khoản 2 Điều 9 liệt kê các lĩnh vực, gồm hệ thống thông tin quân sự, an ninh, ngoại giao, cơ yếu; hệ thống lưu trữ, xử lý thông tin thuộc bí mật nhà nước; hệ thống phục vụ hoạt động của cơ quan, tổ chức ở trung ương; và hệ thống thông tin quốc gia thuộc các lĩnh vực năng lượng, tài chính, ngân hàng, viễn thông, giao thông vận tải, nông nghiệp, tài nguyên và môi trường, hóa chất, y tế, văn hóa.

Điểm quan trọng: thuộc lĩnh vực nêu tại khoản 2 chưa đủ — còn phải nằm trong danh mục do Thủ tướng quyết định. Doanh nghiệp trong ngành ngân hàng hay viễn thông cần tra danh mục để biết chính xác hệ thống nào của mình thuộc diện này.

Chuẩn bị cho khả năng bị kiểm tra

Dù thuộc nhóm nào, bộ hồ sơ nên có sẵn là như nhau về bản chất:

Danh mục hệ thống thông tin kèm cấp độ đã xác định và lập luận;
Quy định về bảo đảm an ninh mạng theo vòng đời hệ thống;
Hồ sơ đánh giá và quản lý rủi ro;
Nhật ký giám sát, nhật ký sự cố và cách xử lý;
Bằng chứng đã tổ chức tuyên truyền, nâng cao nhận thức cho nhân sự;
Quyết định chỉ định cá nhân hoặc bộ phận phụ trách an ninh mạng, nếu thuộc diện phải chỉ định theo khoản 2 Điều 40.

Điểm chung của các tài liệu này: chúng đều được tạo ra trong quá trình vận hành bình thường nếu tổ chức làm đúng. Phải dựng gấp khi có thông báo kiểm tra là dấu hiệu công tác an ninh mạng mới tồn tại trên giấy.