An ninh mạng

Theo Luật An ninh mạng 2025, Luật An ninh mạng 2025 áp dụng cho những ai?

01/08/2026
2 lượt xem
0 bình luận

Ba nhóm đối tượng, trong đó nhóm thứ ba kéo cả tổ chức nước ngoài không hiện diện tại Việt Nam vào phạm vi nếu họ kinh doanh sản phẩm, dịch vụ an ninh mạng tại Việt Nam.

Ngày 10 tháng 12 năm 2025, Quốc hội khóa XV thông qua Luật An ninh mạng số 116/2025/QH15. Đây là đạo luật thay thế cùng lúc hai văn bản đã tồn tại song song nhiều năm, và cũng là văn bản đầu tiên gộp toàn bộ nội dung an ninh mạng vào một chỗ. Trước khi bàn tới nghĩa vụ nào phải làm, doanh nghiệp cần trả lời được câu hỏi đơn giản hơn: mình có nằm trong phạm vi điều chỉnh hay không.

Luật quy định về những gì

Khoản 1 Điều 1 Luật 116/2025/QH15 xác định phạm vi: Luật này quy định về an ninh mạng, bảo vệ an ninh mạng; quyền, nghĩa vụ, trách nhiệm của cơ quan, tổ chức, cá nhân có liên quan.

Cách diễn đạt này rộng hơn nhiều so với cảm nhận thông thường về "an ninh mạng". Nó không chỉ nói tới việc chống tin tặc hay bảo vệ máy chủ, mà bao trùm cả nội dung thông tin trên không gian mạng, cách phân loại hệ thống thông tin, điều kiện kinh doanh sản phẩm dịch vụ an ninh mạng, và trách nhiệm của từng nhóm chủ thể.

Ba nhóm đối tượng áp dụng

Khoản 2 Điều 1 liệt kê:

Cơ quan, tổ chức, cá nhân Việt Nam;
Cơ quan, tổ chức, cá nhân nước ngoài tại Việt Nam và người gốc Việt Nam chưa xác định được quốc tịch đang sinh sống tại Việt Nam đã được cấp giấy chứng nhận căn cước;
Cơ quan, tổ chức, cá nhân nước ngoài trực tiếp tham gia hoặc có liên quan đến hoạt động bảo vệ an ninh mạng, kinh doanh sản phẩm, dịch vụ an ninh mạng tại Việt Nam.

Nhóm thứ nhất không có ngưỡng miễn trừ

Điều đáng chú ý đầu tiên: khoản 2 Điều 1 không đặt ra bất kỳ ngưỡng nào về doanh thu, số lao động hay quy mô hệ thống. Một hộ kinh doanh có website bán hàng, một công ty năm người dùng phần mềm quản lý trên đám mây, một trung tâm đào tạo có hệ thống đăng ký trực tuyến — tất cả đều là "tổ chức, cá nhân Việt Nam" và đều thuộc phạm vi.

Điều này khác với cách nhiều doanh nghiệp vẫn nghĩ, rằng an ninh mạng là chuyện của ngân hàng, viễn thông hay cơ quan nhà nước. Mức độ nghĩa vụ có khác nhau — và Luật phân biệt rất rõ qua cơ chế phân loại cấp độ hệ thống thông tin tại Điều 8 — nhưng phạm vi điều chỉnh thì không loại trừ ai.

Nhóm thứ ba mở rộng ra ngoài lãnh thổ

Điểm c khoản 2 Điều 1 là phần có ý nghĩa lớn nhất với thị trường. Nó đưa vào phạm vi cả tổ chức, cá nhân nước ngoài không hiện diện tại Việt Nam, miễn là họ trực tiếp tham gia hoặc có liên quan đến hoạt động bảo vệ an ninh mạng, hoặc kinh doanh sản phẩm, dịch vụ an ninh mạng tại Việt Nam.

Nói cách khác, một nhà cung cấp phần mềm bảo mật đặt trụ sở ở nước ngoài, bán giấy phép cho khách hàng Việt Nam qua mạng, vẫn thuộc đối tượng áp dụng. Điều này tạo ra hai hệ quả thực tế:

Với doanh nghiệp Việt Nam đi mua sản phẩm, dịch vụ an ninh mạng từ nước ngoài: bên bán cũng chịu sự điều chỉnh của Luật, nên có thể yêu cầu họ tuân thủ chứ không phải chấp nhận điều khoản một chiều;
Với doanh nghiệp Việt Nam bán sản phẩm ra nước ngoài: nguyên tắc tương tự thường được các quốc gia khác áp dụng, nên cần lường trước nghĩa vụ ở thị trường đích.

Vì sao phạm vi rộng như vậy

Câu trả lời nằm ở chính định nghĩa an ninh mạng tại khoản 1 Điều 2: an ninh mạng là sự ổn định, an ninh, an toàn của không gian mạng; bảo vệ hệ thống thông tin và bảo đảm thông tin, dữ liệu, hoạt động trên không gian mạng không gây phương hại đến an ninh quốc gia, trật tự, an toàn xã hội, quyền và lợi ích hợp pháp của cơ quan, tổ chức, cá nhân.

Định nghĩa này đặt an ninh mạng ở tầng lợi ích quốc gia chứ không chỉ ở tầng kỹ thuật doanh nghiệp. Một hệ thống nhỏ bị chiếm quyền điều khiển vẫn có thể trở thành bàn đạp tấn công hệ thống lớn hơn — đó là lý do phạm vi không loại trừ tổ chức quy mô nhỏ.

Luật thay thế những văn bản nào

Điều 44 Luật 116/2025/QH15 quy định Luật có hiệu lực thi hành từ ngày 01 tháng 7 năm 2026, và Luật An ninh mạng số 24/2018/QH14 hết hiệu lực kể từ ngày Luật này có hiệu lực.

Đây là điểm cần lưu ý với mọi tài liệu nội bộ đang lưu hành. Rất nhiều quy chế, chính sách và hợp đồng của doanh nghiệp Việt Nam hiện đang dẫn chiếu Luật An ninh mạng 2018. Từ 01/7/2026, những dẫn chiếu đó trỏ tới một văn bản đã hết hiệu lực.

Khoảng thời gian chuẩn bị

Luật được thông qua ngày 10/12/2025 và có hiệu lực 01/7/2026, tức gần bảy tháng chuẩn bị. Đây là khoảng thời gian tương đối rộng so với nhiều đạo luật khác, phản ánh việc cơ quan soạn thảo lường trước khối lượng công việc mà tổ chức phải thực hiện — đặc biệt là việc phân loại cấp độ hệ thống thông tin theo Điều 8, vốn kéo theo hàng loạt nghĩa vụ khác.

Xác định mình thuộc nhóm nào — ba câu hỏi

Cách kiểm tra nhanh cho một tổ chức Việt Nam:

Có hệ thống thông tin nào đang vận hành không? Website, ứng dụng, phần mềm quản lý nội bộ, hệ thống bán hàng — tất cả đều là hệ thống thông tin theo định nghĩa tại khoản 7 Điều 2, tức tập hợp phần cứng, phần mềm và dữ liệu được thiết lập phục vụ mục đích tạo lập, cung cấp, truyền đưa, thu thập thông tin.
Có cung cấp dịch vụ nào trên không gian mạng không? Nếu có, Điều 41 quy định trách nhiệm riêng của doanh nghiệp cung cấp dịch vụ trên không gian mạng.
Có kinh doanh sản phẩm, dịch vụ an ninh mạng không? Nếu có, Điều 28 và Điều 29 đặt ra điều kiện kinh doanh cụ thể.

Gần như mọi doanh nghiệp đang hoạt động sẽ trả lời "có" cho câu đầu tiên. Điều đó không có nghĩa khối lượng nghĩa vụ giống nhau — Luật thiết kế cơ chế phân tầng để tổ chức nhỏ không phải gánh yêu cầu của hệ thống trọng yếu quốc gia.

Việc nên làm trước tiên

Trước khi đọc sâu vào từng nghĩa vụ, nên lập một danh sách đơn giản: liệt kê tất cả hệ thống thông tin mà tổ chức đang vận hành hoặc thuê vận hành, kèm ba thông tin cho mỗi hệ thống — phục vụ hoạt động gì, xử lý loại dữ liệu nào, ai chịu trách nhiệm.

Danh sách này là đầu vào cho mọi bước tiếp theo: phân loại cấp độ theo Điều 8, xác định nghĩa vụ bảo vệ theo Điều 10, xác định trách nhiệm của chủ quản hệ thống theo Điều 40. Không có danh sách này thì mọi việc còn lại đều làm mò.

Trong thực tế, phần lớn tổ chức khi lập xong danh sách đều phát hiện mình đang vận hành nhiều hệ thống hơn tưởng, và một số hệ thống không rõ ai chịu trách nhiệm. Đó chính là giá trị đầu tiên của việc rà soát.