Chậm nhất 24 giờ kể từ khi có yêu cầu bằng văn bản, và rút xuống 03 giờ trong trường hợp khẩn cấp đe dọa an ninh quốc gia hoặc tính mạng con người. Áp dụng cho cả doanh nghiệp trong nước và nước ngoài.
Điều 25 Luật An ninh mạng 116/2025/QH15 là điều đặt ra nghĩa vụ cụ thể nhất và có mốc thời gian rõ nhất trong toàn bộ đạo luật. Với doanh nghiệp vận hành nền tảng số — mạng xã hội, sàn thương mại điện tử, ứng dụng nhắn tin, dịch vụ lưu trữ — đây là điều phải đọc kỹ nhất.
Ai thuộc phạm vi
Khoản 2 Điều 25 quy định: doanh nghiệp trong nước và nước ngoài khi cung cấp dịch vụ trên mạng viễn thông, mạng Internet, các dịch vụ gia tăng trên không gian mạng tại Việt Nam có trách nhiệm thực hiện các nghĩa vụ được liệt kê.
Cách viết "trong nước và nước ngoài" là chủ ý. Nghĩa vụ không phụ thuộc nơi đăng ký doanh nghiệp mà phụ thuộc việc có cung cấp dịch vụ tại Việt Nam hay không. Điều này thống nhất với phạm vi đối tượng áp dụng tại điểm c khoản 2 Điều 1.
Nghĩa vụ xác thực và bảo mật tài khoản
Điểm a khoản 2 Điều 25 gộp ba nghĩa vụ vào một điểm:
- Xác thực thông tin khi người dùng đăng ký tài khoản số;
- Bảo mật thông tin, tài khoản của người dùng;
- Cung cấp thông tin người dùng cho lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an theo mốc thời gian quy định.
Hai mốc thời gian
Đây là phần cần ghi nhớ chính xác:
- Chậm nhất 24 giờ kể từ thời điểm có yêu cầu bằng văn bản hoặc thư điện tử, điện thoại hoặc hình thức trao đổi khác đã được xác nhận, để phục vụ xác minh, điều tra, xử lý hành vi vi phạm pháp luật về an ninh mạng;
- Chậm nhất 03 giờ trong trường hợp khẩn cấp đe dọa xâm hại an ninh quốc gia, đe dọa tính mạng con người.
Mốc 03 giờ là điểm đáng chú ý về mặt vận hành. Ba giờ có thể rơi vào ban đêm, cuối tuần hoặc ngày lễ. Doanh nghiệp không có cơ chế trực 24/7 sẽ không đáp ứng nổi mốc này.
Hình thức yêu cầu được chấp nhận
Điều luật liệt kê: văn bản, thư điện tử, điện thoại hoặc hình thức trao đổi khác đã được xác nhận. Cách viết rộng này có ý nghĩa hai chiều.
Với cơ quan chức năng, nó cho phép hành động nhanh trong tình huống khẩn cấp mà không bị kẹt bởi thủ tục giấy tờ. Với doanh nghiệp, nó đặt ra yêu cầu phải có quy trình xác nhận yêu cầu là thật — vì yêu cầu qua điện thoại cũng có giá trị pháp lý, mà điện thoại thì giả mạo được.
Đây là rủi ro thực tế: kẻ xấu mạo danh cơ quan chức năng gọi điện yêu cầu cung cấp thông tin người dùng. Doanh nghiệp cần có kênh và cách thức xác minh ngược đã thống nhất trước, chứ không thể xác minh khi sự việc đang gấp.
Nghĩa vụ gỡ bỏ nội dung vi phạm
Điểm b khoản 2 Điều 25 quy định: ngăn chặn việc chia sẻ thông tin, xóa bỏ thông tin, gỡ bỏ dịch vụ, ứng dụng có nội dung vi phạm quy định của Luật này chậm nhất là 24 giờ kể từ thời điểm có yêu cầu của lực lượng chuyên trách bảo vệ an ninh mạng.
Ba mức hành động được nêu theo thứ tự tăng dần: ngăn chặn chia sẻ → xóa bỏ thông tin → gỡ bỏ dịch vụ, ứng dụng. Mức cuối cùng là nặng nhất, áp dụng khi bản thân dịch vụ hoặc ứng dụng có nội dung vi phạm chứ không chỉ một mẩu nội dung riêng lẻ.
Nội dung nào bị coi là vi phạm
Khoản 1 Điều 25 dẫn chiếu cụ thể: trang thông tin điện tử, cổng thông tin điện tử hoặc chuyên trang trên mạng xã hội của cơ quan, tổ chức, cá nhân không được cung cấp, đăng tải, truyền đưa thông tin có nội dung quy định tại các khoản 1, 2, 3 Điều 13 và khoản 1 Điều 15 của Luật này và thông tin khác có nội dung xâm phạm an ninh quốc gia.
Nghĩa là để biết nội dung nào phải gỡ, doanh nghiệp cần đọc Điều 13 — điều mô tả chi tiết các loại thông tin xâm phạm an ninh quốc gia, trật tự an toàn xã hội trên không gian mạng — và Điều 15 về phòng chống gián điệp mạng, bảo vệ thông tin thuộc bí mật nhà nước.
Điểm cần lưu ý cho website doanh nghiệp
Khoản 1 Điều 25 áp dụng cho cả "trang thông tin điện tử, cổng thông tin điện tử hoặc chuyên trang trên mạng xã hội của cơ quan, tổ chức, cá nhân" — tức không chỉ nền tảng lớn mà cả website và fanpage của doanh nghiệp thông thường.
Với doanh nghiệp có mục bình luận trên website hoặc trang mạng xã hội cho phép người dùng đăng bài, nghĩa vụ kiểm soát nội dung là có thật, không phải chuyện của riêng các nền tảng lớn.
Chuẩn bị để đáp ứng mốc 03 giờ
Với doanh nghiệp thuộc diện có khả năng nhận yêu cầu khẩn cấp, những việc sau nên có sẵn:
- Đầu mối trực 24/7 với số điện thoại và hộp thư đã đăng ký chính thức;
- Quy trình xác minh ngược để chống mạo danh, thống nhất trước với cơ quan chức năng;
- Người có thẩm quyền quyết định cung cấp thông tin, kèm phương án khi người đó không liên lạc được;
- Khả năng trích xuất nhanh thông tin người dùng — nếu phải chạy truy vấn thủ công mất vài giờ thì không kịp;
- Nhật ký mọi yêu cầu đã nhận và đã xử lý, kèm thời điểm, để chứng minh đã đáp ứng đúng hạn.
Điểm cuối cùng quan trọng không kém việc đáp ứng: nếu không ghi lại thời điểm nhận và thời điểm hoàn thành, doanh nghiệp không có cách nào chứng minh mình đã làm đúng.
Cân bằng với nghĩa vụ bảo mật thông tin người dùng
Điểm a khoản 2 Điều 25 đặt cạnh nhau hai nghĩa vụ nghe có vẻ ngược nhau: bảo mật thông tin, tài khoản của người dùng và cung cấp thông tin người dùng cho lực lượng chuyên trách.
Cách đọc đúng: bảo mật là nguyên tắc, cung cấp là ngoại lệ có điều kiện. Điều kiện gồm đúng chủ thể yêu cầu (lực lượng chuyên trách thuộc Bộ Công an), đúng mục đích (xác minh, điều tra, xử lý hành vi vi phạm pháp luật về an ninh mạng) và đúng hình thức (yêu cầu đã được xác nhận).
Yêu cầu không thỏa mãn đủ ba điều kiện thì nghĩa vụ bảo mật vẫn là nguyên tắc áp dụng. Đây chính là lý do quy trình xác minh ngược không phải thủ tục thừa mà là cơ chế bảo vệ cả doanh nghiệp lẫn người dùng.
Quan hệ với Điều 41
Điều 41 Luật 116/2025/QH15 quy định trách nhiệm của doanh nghiệp cung cấp dịch vụ trên không gian mạng. Đây là điều cần đọc cùng Điều 25 để có bức tranh đầy đủ về nghĩa vụ của nhóm doanh nghiệp này.
Với tổ chức chỉ sử dụng không gian mạng chứ không cung cấp dịch vụ, Điều 42 quy định trách nhiệm ở mức nhẹ hơn.
Đọc thêm cùng chủ đề
- Xảy ra sự cố AI nghiêm trọng thì phải làm gì?
- Hệ thống AI rủi ro trung bình và thấp phải tuân thủ những gì?
- Doanh nghiệp nhỏ làm AI được hỗ trợ những gì?
Căn cứ pháp lý
- Luật 116/2025/QH15 Điều 25
- Luật 116/2025/QH15 Điều 13
- Luật 116/2025/QH15 Điều 41
Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.
Bình luận (0)
Chưa có bình luận nào. Hãy là người đầu tiên chia sẻ ý kiến.