An ninh mạng

Theo Luật An ninh mạng 2025, kinh phí bảo vệ an ninh mạng lấy từ đâu?

01/08/2026
1 lượt xem
0 bình luận

Con số cụ thể hiếm gặp trong luật: cơ quan, tổ chức dùng ngân sách nhà nước phải bố trí tối thiểu 15% tổng kinh phí chương trình, đề án, dự án chuyển đổi số cho an ninh mạng.

Điều 38 Luật An ninh mạng 116/2025/QH15 là một trong số rất ít điều luật đưa ra tỷ lệ định lượng cụ thể. Con số 15% ở đây đáng chú ý cả với khu vực công lẫn khu vực tư — dù nghĩa vụ chỉ ràng buộc một bên.

Nhóm bắt buộc bố trí tối thiểu 15%

Khoản 1 Điều 38 quy định: cơ quan, tổ chức, doanh nghiệp nhà nước, tổ chức chính trị, tổ chức chính trị - xã hội và các đơn vị sự nghiệp công lập do ngân sách nhà nước bảo đảm phải bố trí kinh phí bảo vệ an ninh mạng trong dự toán chi thực hiện nhiệm vụ chuyển đổi số, ứng dụng công nghệ thông tin hàng năm của cơ quan, tổ chức, đơn vị mình.

Và tiếp theo là phần định lượng: bố trí tối thiểu 15% tổng kinh phí thực hiện chương trình, đề án, dự án đầu tư chuyển đổi số, ứng dụng công nghệ thông tin để bảo vệ an ninh mạng.

Đọc kỹ cơ sở tính

Tỷ lệ 15% không tính trên tổng ngân sách của đơn vị, mà tính trên tổng kinh phí thực hiện chương trình, đề án, dự án đầu tư chuyển đổi số, ứng dụng công nghệ thông tin.

Nghĩa là: một dự án chuyển đổi số trị giá 10 tỷ đồng thì phần dành cho bảo vệ an ninh mạng tối thiểu là 1,5 tỷ đồng. Đây là tỷ lệ sàn, không phải trần.

Vì sao có quy định này

Trong thực tế triển khai công nghệ, phần an ninh thường bị cắt đầu tiên khi ngân sách eo hẹp, vì nó không tạo ra tính năng nhìn thấy được. Quy định tỷ lệ sàn là cách buộc phần này không bị bỏ qua ngay từ khâu lập dự toán.

Cách viết "trong dự toán chi thực hiện nhiệm vụ chuyển đổi số" cũng đáng chú ý: kinh phí an ninh mạng nằm trong dự toán chuyển đổi số chứ không phải khoản riêng phải xin thêm. Điều này giúp việc bố trí khả thi về mặt thủ tục.

Nhóm tự bảo đảm kinh phí

Khoản 2 Điều 38 quy định: cơ quan, tổ chức, đơn vị không thuộc quy định tại khoản 1 tự bảo đảm kinh phí bảo vệ an ninh mạng cho cơ quan, tổ chức, đơn vị mình.

Doanh nghiệp tư nhân thuộc nhóm này. Không có tỷ lệ bắt buộc, không có cơ chế hỗ trợ — nhưng nghĩa vụ bảo đảm an ninh mạng theo các điều khác của Luật thì vẫn nguyên vẹn.

Con số 15% vẫn hữu ích với doanh nghiệp tư nhân

Dù không bị ràng buộc, tỷ lệ 15% là mốc tham chiếu hợp lý khi lập kế hoạch. Nó phản ánh đánh giá của cơ quan soạn thảo về tỷ trọng cần thiết giữa đầu tư tính năng và đầu tư bảo vệ.

Trong thực tế, nhiều doanh nghiệp chi cho an ninh mạng ở mức thấp hơn nhiều — thường dưới 5% ngân sách công nghệ thông tin — và phần lớn chỉ tăng lên sau khi đã gặp sự cố.

Kinh phí dùng vào những việc gì

Luật không liệt kê danh mục chi, nhưng từ các nghĩa vụ khác có thể xác định được các khoản chính:

Hệ thống giám sát an ninh mạng và phòng chống mã độc tập trung — bắt buộc theo điểm b khoản 1 Điều 40, kèm chi phí kết nối về Trung tâm An ninh mạng quốc gia hoặc cấp tỉnh;
Biện pháp bảo vệ theo cấp độ hệ thống — mức đầu tư phụ thuộc cấp độ xác định theo Điều 8;
Thẩm định, kiểm tra, đánh giá an ninh mạng — với hệ thống trọng yếu, khoản 3 Điều 9 yêu cầu thẩm định trước khi vận hành và kiểm tra thường xuyên;
Nhân sự — khoản 3 Điều 31 yêu cầu chủ quản hệ thống trọng yếu bố trí bộ phận hoặc nhân sự chuyên trách phù hợp với cấp độ bảo vệ;
Đào tạo, bồi dưỡng — điểm e khoản 1 Điều 10 đặt việc tổ chức tuyên truyền, nâng cao nhận thức thành một trong sáu nhiệm vụ; điểm c khoản 1 Điều 23 yêu cầu tổ chức bồi dưỡng kiến thức cho cán bộ, công chức, viên chức, người lao động;
Ứng phó và khắc phục sự cố — cần dự phòng cho tình huống thực tế.

Yêu cầu về nhân lực — Điều 31

Khoản 3 Điều 31 Luật 116/2025/QH15 quy định chủ quản hệ thống thông tin quan trọng về an ninh quốc gia có trách nhiệm:

Bố trí bộ phận hoặc nhân sự chuyên trách phù hợp với cấp độ bảo vệ của hệ thống;
Bảo đảm người thực hiện nhiệm vụ an ninh mạng đáp ứng tiêu chuẩn chuyên môn, nghiệp vụ;
Thường xuyên bồi dưỡng, cập nhật kỹ năng cho đội ngũ nhân sự liên quan đến vận hành, giám sát, ứng cứu và xử lý sự cố mạng.

Điểm a gắn quy mô nhân sự với cấp độ hệ thống — cấp độ cao thì yêu cầu nhân sự nhiều và chuyên sâu hơn. Đây là logic nhất quán với cách Luật phân tầng nghĩa vụ theo cấp độ.

Khoản 1 Điều 31 nêu định hướng chung: Nhà nước đào tạo, phát triển nguồn nhân lực bảo vệ an ninh mạng bảo đảm số lượng, chất lượng, đáp ứng yêu cầu năng lực bảo vệ an ninh mạng quốc gia.

Sáu nội dung triển khai với cơ quan nhà nước — Điều 23

Khoản 1 Điều 23 Luật 116/2025/QH15 quy định nội dung triển khai hoạt động bảo vệ an ninh mạng trong cơ quan nhà nước, tổ chức chính trị, tổ chức chính trị - xã hội ở trung ương và địa phương:

Xây dựng, hoàn thiện quy định, quy chế sử dụng mạng máy tính nội bộ, mạng máy tính có kết nối Internet; phương án bảo đảm an ninh mạng; phương án ứng phó, khắc phục sự cố;
Ứng dụng, triển khai phương án, biện pháp, công nghệ bảo vệ an ninh mạng đối với hệ thống thông tin và thông tin, tài liệu được lưu trữ, soạn thảo, truyền đưa;
Tổ chức bồi dưỡng kiến thức về an ninh mạng cho cán bộ, công chức, viên chức, người lao động; nâng cao năng lực cho lực lượng bảo vệ an ninh mạng;
Bảo vệ an ninh mạng trong hoạt động cung cấp dịch vụ công trên không gian mạng, cung cấp, trao đổi, thu thập thông tin, chia sẻ thông tin trong nội bộ và với cơ quan khác;
Đầu tư, xây dựng hạ tầng cơ sở vật chất phù hợp;
Kiểm tra an ninh mạng; phòng, chống hành vi vi phạm; ứng phó, khắc phục sự cố.

Khoản 2 Điều 23 gắn trách nhiệm cho người đứng đầu cơ quan, tổ chức trong việc triển khai các nội dung trên. Đây là điểm quan trọng: trách nhiệm không nằm ở bộ phận kỹ thuật mà ở cấp lãnh đạo.

Gợi ý lập kế hoạch ngân sách

Với đơn vị thuộc khoản 1 Điều 38, việc cần làm ngay khi lập dự toán năm là tách riêng dòng kinh phí an ninh mạng và kiểm tra tỷ lệ so với tổng kinh phí chuyển đổi số, ứng dụng công nghệ thông tin.

Với doanh nghiệp tư nhân, cách tiếp cận thực dụng là gắn chi phí an ninh vào từng dự án công nghệ ngay từ khâu lập kế hoạch, thay vì coi đó là khoản chi chung dễ bị cắt. Chi phí phòng ngừa luôn thấp hơn chi phí khắc phục sự cố, và Luật có hiệu lực từ 01/7/2026 nên năm tài chính tới là thời điểm hợp lý để đưa vào dự toán.