Lộ trình 12 tháng triển khai tuân thủ chia theo quý ra sao?

Kế hoạch chia bốn quý, mỗi quý một nhóm việc có thể hoàn tất độc lập — thiết kế cho doanh nghiệp không có bộ phận tuân thủ riêng.

Đọc năm đạo luật cùng lúc dễ gây cảm giác quá tải. Bài viết chia công việc thành bốn nhóm theo quý, mỗi nhóm hoàn tất được độc lập và có kết quả cụ thể.

Các mốc pháp lý làm khung

01/01/2026 — Luật Công nghiệp công nghệ số 71/2025/QH15 có hiệu lực theo khoản 1 Điều 50;
01/3/2026 — Luật Trí tuệ nhân tạo 134/2025/QH15 có hiệu lực theo Điều 34;
01/7/2026 — Luật An ninh mạng 116/2025/QH15 theo khoản 1 Điều 44 và Luật Chuyển đổi số 148/2025/QH15 theo khoản 1 Điều 47;
01/3/2027 — hạn tuân thủ với hệ thống trí tuệ nhân tạo cũ ngoài lĩnh vực y tế, giáo dục, tài chính, theo điểm b khoản 1 Điều 35 Luật 134/2025/QH15;
01/7/2027 — hạn bảo đảm điều kiện, tiêu chuẩn, biện pháp mới cho hệ thống đã xác định cấp độ theo quy định cũ, theo khoản 1 Điều 45 Luật 116/2025/QH15;
01/9/2027 — hạn tuân thủ với hệ thống trí tuệ nhân tạo cũ trong lĩnh vực y tế, giáo dục, tài chính, theo điểm a khoản 1 Điều 35.

Luật Giao dịch điện tử 20/2023/QH15 đã có hiệu lực từ 01/7/2024 theo khoản 1 Điều 52.

Quý 1 — Kiểm kê và phân công

Mục tiêu: biết mình đang có gì và ai chịu trách nhiệm việc gì. Không cần đầu tư, chỉ cần thời gian rà soát.

Việc 1 — Danh mục hệ thống thông tin

Lập bảng gồm: tên hệ thống, chức năng, dữ liệu xử lý, số người dùng, hậu quả dự kiến nếu ngừng hoạt động, ai quản trị.

Đây là đầu vào cho nhiệm vụ tại điểm a khoản 1 Điều 10 Luật 116/2025/QH15 — xác định cấp độ an ninh mạng của hệ thống thông tin.

Việc 2 — Danh mục ứng dụng trí tuệ nhân tạo

Kể cả tính năng có sẵn trong phần mềm đang mua. Ghi ngày đưa vào hoạt động — đây là căn cứ xác định có được hưởng chuyển tiếp theo Điều 35 Luật 134/2025/QH15 hay không.

Với mỗi ứng dụng, xác định vai trò của doanh nghiệp theo Điều 3: nhà phát triển (khoản 3), nhà cung cấp (khoản 4), hay bên triển khai (khoản 5).

Việc 3 — Bản đồ dữ liệu

Dữ liệu gì, ở đâu, ai truy cập được, có ra khỏi tổ chức không. Đây là nền cho mọi nghĩa vụ về bảo vệ dữ liệu, và cũng là thứ cần có khi xảy ra sự cố lộ dữ liệu.

Việc 4 — Danh sách đối tác có quyền truy cập

Nhà thầu bảo trì, nhà cung cấp dịch vụ đám mây, đơn vị hỗ trợ kỹ thuật. Kèm phạm vi quyền của từng bên.

Việc 5 — Phân công đầu mối

Ai phê duyệt chính sách, ai triển khai kỹ thuật, ai theo dõi văn bản pháp luật, ai là đầu mối khi có sự cố. Khoản 5 Điều 15 Luật 148/2025/QH15 — dù viết cho cơ quan nhà nước — đặt trách nhiệm trực tiếp chỉ đạo, tổ chức triển khai và chịu trách nhiệm về kết quả lên người đứng đầu; mô hình này áp dụng được cho doanh nghiệp.

Quý 2 — Việc chi phí thấp, hiệu quả cao

Mục tiêu: giảm phần lớn rủi ro thực tế với chi phí gần bằng không.

Việc 6 — Quản lý tài khoản

Cấp tài khoản riêng cho từng người; thu hồi ngay khi nghỉ việc; bật xác thực hai lớp cho tài khoản quan trọng; rà soát danh sách tài khoản đang hoạt động so với danh sách nhân sự thực tế.

Khoản 2 Điều 42 Luật 116/2025/QH15 đặt trách nhiệm bảo mật thông tin đăng ký, mở, quản lý, sử dụng tài khoản số và nêu trách nhiệm của cả chủ tài khoản lẫn người sử dụng khi tài khoản được dùng để vi phạm pháp luật.

Việc 7 — Sao lưu và kiểm thử khôi phục

Sao lưu sang nơi tách biệt, nhiều mốc thời gian, và kiểm thử khôi phục ít nhất một lần kèm biên bản.

Khoản 4 Điều 8 Luật 148/2025/QH15 yêu cầu dữ liệu được lưu trữ, sao lưu, bảo vệ và PHỤC HỒI theo phương án bảo đảm tính toàn vẹn, tính sẵn sàng và khả năng chống chịu sự cố.

Việc 8 — Đổi mật khẩu mặc định và cập nhật phần mềm

Thiết bị mạng, camera, máy in mạng, thiết bị cảm biến. Khoản 1 Điều 27 Luật 116/2025/QH15 nêu tiêu chuẩn, quy chuẩn an ninh mạng áp dụng cả với thiết bị kết nối mạng.

Việc 9 — Đào tạo nhận thức

Một buổi cho toàn bộ nhân viên, tập trung vào: nhận biết lừa đảo qua thư điện tử và tin nhắn; không dùng chung tài khoản; không tải dữ liệu công ty lên dịch vụ cá nhân; báo cho ai khi nghi ngờ.

Đáp ứng đồng thời điểm e khoản 1 Điều 10 Luật 116/2025/QH15 và khoản 5 Điều 17 Luật 148/2025/QH15.

Lưu hồ sơ: nội dung, danh sách tham dự, thời gian.

Việc 10 — Rà soát hình ảnh bản đồ Việt Nam

Trên website, tài liệu marketing, ấn phẩm, ứng dụng. Điểm e khoản 1 Điều 13 Luật 116/2025/QH15 nêu hành vi đăng tải, truyền đưa hình ảnh sai lệch, không chính xác, không đầy đủ về bản đồ Việt Nam hoặc thể hiện sai chủ quyền quốc gia Việt Nam.

Việc này mất vài giờ nhưng tránh được rủi ro không nhỏ.

Quý 3 — Văn bản và quy trình

Mục tiêu: có bộ tài liệu chứng minh được việc tuân thủ.

Việc 11 — Xác định cấp độ hệ thống

Từ danh mục ở Quý 1, xác định cấp độ theo Điều 8 Luật 116/2025/QH15. Kết quả quyết định biện pháp nào bắt buộc: khoản 3 Điều 10 với cấp độ 1, 2; khoản 4 Điều 10 với cấp độ 3, 4.

Việc 12 — Phân loại rủi ro hệ thống trí tuệ nhân tạo

Theo Điều 9 Luật 134/2025/QH15. Với nhóm rủi ro trung bình và cao, lập hồ sơ phân loại theo khoản 1 Điều 10.

Nếu ở ranh giới, khoản 4 Điều 10 cho phép đề nghị Bộ Khoa học và Công nghệ hướng dẫn về phân loại trên cơ sở hồ sơ kỹ thuật.

Với hệ thống mua từ nhà cung cấp, khoản 2 Điều 10 cho phép kế thừa kết quả phân loại — cần yêu cầu và lưu giữ kết quả đó.

Việc 13 — Quy định nội bộ về an ninh mạng

Bao trùm bảy giai đoạn theo điểm a khoản 2 Điều 10 Luật 116/2025/QH15: thiết kế, xây dựng, quản lý, vận hành, sử dụng, nâng cấp, hủy bỏ hệ thống thông tin. Giai đoạn cuối hay bị bỏ sót.

Việc 14 — Phương án ứng phó sự cố

Nêu rõ: ai phát hiện báo cho ai; ai quyết định tạm dừng hệ thống; danh sách liên hệ khẩn cấp gồm cả ngoài giờ; mẫu thông báo soạn sẵn cho cơ quan chức năng và khách hàng.

Điểm h khoản 2 Điều 10 nêu biện pháp ứng phó, khắc phục sự cố an ninh mạng — bắt buộc với hệ thống cấp độ 3, 4 theo khoản 4 Điều 10.

Việc 15 — Rà soát hợp đồng với nhà cung cấp

Ưu tiên điều khoản hoàn trả theo khoản 2 Điều 29 Luật 134/2025/QH15 — bên triển khai bồi thường trước và chỉ đòi được nếu có thỏa thuận giữa các bên.

Thêm: quyền xuất dữ liệu theo khoản 2 Điều 26 Luật 71/2025/QH15; nghĩa vụ thông báo sự cố; nghĩa vụ cung cấp tài liệu giải trình.

Việc 16 — Cập nhật tài liệu dẫn chiếu luật cũ

Khoản 2 Điều 44 Luật 116/2025/QH15 quy định Luật An toàn thông tin mạng số 86/2015/QH13 đã được sửa đổi, bổ sung một số điều theo Luật số 35/2018/QH14 và Luật An ninh mạng số 24/2018/QH14 hết hiệu lực từ 01/7/2026.

Rà soát: quy chế nội bộ, chính sách bảo mật công bố, hợp đồng dịch vụ, hồ sơ mời thầu mẫu, cam kết ký với nhân viên, tài liệu đào tạo.

Quý 4 — Thủ tục và hoàn thiện

Mục tiêu: hoàn tất các thủ tục có thời hạn và thiết lập cơ chế duy trì.

Việc 17 — Thông báo phân loại rủi ro

Nếu doanh nghiệp là nhà cung cấp hệ thống rủi ro trung bình hoặc cao, khoản 3 Điều 10 Luật 134/2025/QH15 yêu cầu thông báo kết quả phân loại cho Bộ Khoa học và Công nghệ thông qua Cổng thông tin điện tử một cửa về trí tuệ nhân tạo TRƯỚC KHI đưa vào sử dụng.

Việc 18 — Đánh giá sự phù hợp

Với hệ thống trí tuệ nhân tạo rủi ro cao, theo Điều 13 Luật 134/2025/QH15. Nếu thuộc danh mục phải chứng nhận, cần thời gian làm việc với tổ chức đánh giá — nên bắt đầu sớm.

Doanh nghiệp nhỏ lưu ý khoản 1 Điều 25: doanh nghiệp khởi nghiệp sáng tạo, doanh nghiệp nhỏ và vừa được hỗ trợ chi phí đánh giá sự phù hợp; được cung cấp miễn phí hồ sơ mẫu, công cụ tự đánh giá, đào tạo và tư vấn.

Việc 19 — Nghĩa vụ minh bạch

Theo Điều 11 Luật 134/2025/QH15: dấu hiệu nhận biết cho công cụ tương tác với người dùng; gắn nhãn nội dung có khả năng gây nhầm lẫn hoặc mô phỏng người thật.

Nhóm việc này ảnh hưởng tới sản phẩm và giao diện nên cần thời gian phát triển, kiểm thử.

Việc 20 — Cơ chế duy trì

Đưa vào lịch định kỳ: rà soát tài khoản; kiểm thử khôi phục sao lưu; đào tạo nhân viên; rà soát mức rủi ro khi có thay đổi hệ thống; theo dõi văn bản hướng dẫn mới.

Với doanh nghiệp công nghệ số, thêm nghĩa vụ cập nhật dữ liệu vào cơ sở dữ liệu công nghiệp công nghệ số định kỳ hằng quý theo điểm a khoản 1 Điều 35 Luật 71/2025/QH15.

Với chủ quản hệ thống thông tin quan trọng về an ninh quốc gia, thêm mốc thông báo kết quả tự kiểm tra bằng văn bản trước tháng 10 hằng năm theo điểm b khoản 1 Điều 11 Luật 116/2025/QH15.

Nếu chỉ làm được ba việc

Với doanh nghiệp thực sự không có nguồn lực, ba việc sau chiếm phần lớn giá trị bảo vệ và không phụ thuộc văn bản hướng dẫn:

Kiểm kê — không biết mình có gì thì không bảo vệ được gì;
Quản lý tài khoản — cấp riêng, thu hồi khi nghỉ, bật xác thực hai lớp;
Sao lưu và kiểm thử khôi phục — thứ duy nhất thực sự cứu được doanh nghiệp trong sự cố mã hóa dữ liệu.

Ba việc này mất khoảng hai tới ba ngày làm việc của một người.

Nội dung còn chờ hướng dẫn

Kế hoạch nên có điểm rà soát khi các văn bản sau được ban hành: tiêu chí phân loại rủi ro trí tuệ nhân tạo (khoản 3 Điều 9 Luật 134/2025/QH15); Danh mục hệ thống trí tuệ nhân tạo rủi ro cao (khoản 4 Điều 13); Danh mục hệ thống thông tin quan trọng về an ninh quốc gia (khoản 4 Điều 9 Luật 116/2025/QH15); quy chuẩn kỹ thuật quốc gia về an ninh mạng (khoản 5 Điều 27); Khung năng lực số (khoản 2 Điều 17 Luật 148/2025/QH15); hình thức gắn nhãn nội dung (khoản 6 Điều 11 Luật 134/2025/QH15).

Nhưng không nên chờ đủ mới bắt đầu — phần lớn công việc ở Quý 1 và Quý 2 hoàn toàn độc lập với các văn bản này.

Đọc thêm cùng chủ đề

Căn cứ pháp lý

Luật 116/2025/QH15 Điều 45
Luật 134/2025/QH15 Điều 35
Luật 148/2025/QH15 Điều 47

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.

Theo Luật Chuyển đổi số 2025, lộ trình 12 tháng triển khai tuân thủ chia theo quý ra sao?