Theo Luật An ninh mạng 2025, người đứng đầu doanh nghiệp chịu trách nhiệm gì về an ninh mạng?

Luật đặt nghĩa vụ lên "chủ quản hệ thống thông tin" — tức tổ chức, và trong tổ chức thì người đứng đầu là người chịu trách nhiệm cuối cùng.

Một quan niệm phổ biến nhưng sai: an ninh mạng là việc của bộ phận công nghệ thông tin. Các đạo luật mới đặt trách nhiệm ở cấp tổ chức, và trong nhiều trường hợp nêu đích danh người đứng đầu.

Nghĩa vụ đặt lên chủ quản hệ thống thông tin

Khoản 1 Điều 10 Luật An ninh mạng 116/2025/QH15 quy định sáu nhiệm vụ bảo vệ an ninh mạng đối với hệ thống thông tin, và khoản 3, khoản 4 Điều 10 xác định rõ người thực hiện là chủ quản hệ thống thông tin.

Chủ quản hệ thống thông tin là tổ chức, không phải một cá nhân hay một bộ phận. Trong doanh nghiệp, việc phân công nội bộ là chuyện của doanh nghiệp, nhưng trách nhiệm trước pháp luật thuộc về tổ chức.

Sáu nhiệm vụ tại khoản 1 Điều 10 phần lớn là nhiệm vụ quản trị, không phải kỹ thuật:

• Điểm a — xác định cấp độ an ninh mạng của hệ thống thông tin;
• Điểm b — đánh giá và quản lý rủi ro an ninh mạng;
• Điểm c — đôn đốc, giám sát, kiểm tra công tác bảo vệ an ninh mạng;
• Điểm d — tổ chức triển khai các biện pháp bảo vệ;
• Điểm đ — thực hiện chế độ báo cáo theo quy định;
• Điểm e — tổ chức tuyên truyền, nâng cao nhận thức về an ninh mạng.

Đọc kỹ: đánh giá và quản lý rủi ro, đôn đốc, giám sát, kiểm tra, tổ chức tuyên truyền — đây là các hoạt động quản trị đòi hỏi thẩm quyền phân bổ nguồn lực và điều phối giữa các bộ phận. Bộ phận công nghệ thông tin không có thẩm quyền đó.

Quy định trực tiếp về người đứng đầu

Với khu vực nhà nước, các luật nêu đích danh. Khoản 2 Điều 23 Luật 116/2025/QH15 gắn trách nhiệm cho người đứng đầu cơ quan, tổ chức trong việc triển khai các nội dung bảo vệ an ninh mạng.

Khoản 5 Điều 15 Luật Chuyển đổi số 148/2025/QH15 quy định trách nhiệm của người đứng đầu cơ quan nhà nước:

• Điểm a — trực tiếp chỉ đạo, tổ chức triển khai và chịu trách nhiệm về kết quả chuyển đổi số trong phạm vi ngành, lĩnh vực, địa bàn và cơ quan, đơn vị được phân công;
• Điểm b — ưu tiên nguồn lực, nhân lực và các điều kiện cần thiết;
• Điểm c — tổ chức kiểm tra nội bộ và báo cáo định kỳ về kết quả.

Dù quy định này áp dụng cho cơ quan nhà nước, mô hình phân công trách nhiệm ở đây là bài học tốt cho doanh nghiệp: người đứng đầu trực tiếp chỉ đạo và chịu trách nhiệm về kết quả, không ủy thác toàn bộ cho bộ phận kỹ thuật.

Kinh nghiệm chung với dự án chuyển đổi số: phần khó nhất không phải công nghệ mà là thay đổi quy trình và thói quen làm việc — và đó là việc chỉ người có thẩm quyền mới làm được.

Trách nhiệm bồi thường theo Luật Trí tuệ nhân tạo

Khoản 2 Điều 29 Luật Trí tuệ nhân tạo 134/2025/QH15 quy định: trường hợp hệ thống trí tuệ nhân tạo có rủi ro cao được quản lý, vận hành và sử dụng đúng quy định nhưng vẫn phát sinh thiệt hại thì bên triển khai phải chịu trách nhiệm bồi thường cho người bị thiệt hại.

Bên triển khai là tổ chức. Nghĩa vụ tài chính phát sinh ở cấp doanh nghiệp, không phải cấp bộ phận.

Khoản 4 Điều 29 bổ sung: nếu hệ thống bị bên thứ ba xâm nhập, chiếm quyền điều khiển hoặc can thiệp trái pháp luật thì bên thứ ba chịu trách nhiệm; nhưng nếu bên triển khai, nhà cung cấp có lỗi trong việc để hệ thống bị xâm nhập thì phải liên đới bồi thường.

Mệnh đề "có lỗi trong việc để hệ thống bị xâm nhập" đặt ra câu hỏi quản trị: doanh nghiệp đã làm những gì để phòng ngừa, và có tài liệu chứng minh không.

Trách nhiệm về tài khoản

Khoản 2 Điều 42 Luật 116/2025/QH15 quy định trách nhiệm bảo mật thông tin đăng ký, mở, quản lý, sử dụng tài khoản số; và nêu: trường hợp sử dụng tài khoản số để thực hiện hành vi vi phạm pháp luật, tùy theo tính chất, mức độ của hành vi vi phạm, chủ tài khoản số, người sử dụng tài khoản số bị xử lý kỷ luật, xử phạt vi phạm hành chính hoặc bị truy cứu trách nhiệm hình sự; nếu gây thiệt hại đến lợi ích của Nhà nước, quyền và lợi ích hợp pháp của tổ chức, cá nhân thì phải bồi thường thiệt hại.

Việc nêu cả chủ tài khoản và người sử dụng tài khoản có ý nghĩa với doanh nghiệp: tài khoản đăng ký dưới tên tổ chức nhưng do nhân viên sử dụng thì cả hai bên đều có thể liên quan.

Mô hình phân công trách nhiệm trong doanh nghiệp

Từ cấu trúc nghĩa vụ nêu trên, mô hình phân công hợp lý:

Người đứng đầu

• Phê duyệt chính sách và quy chế về an ninh mạng, bảo vệ dữ liệu;
• Quyết định mức đầu tư và phân bổ nguồn lực;
• Quyết định trong tình huống sự cố — đặc biệt quyết định tạm dừng hệ thống, vì việc này ảnh hưởng doanh thu;
• Xem báo cáo định kỳ về tình trạng và rủi ro.

Người phụ trách công nghệ

• Triển khai biện pháp kỹ thuật;
• Giám sát, phát hiện, xử lý sự cố kỹ thuật;
• Lập báo cáo tình trạng cho người đứng đầu;
• Đầu mối làm việc với cơ quan chức năng về nội dung kỹ thuật.

Các bộ phận nghiệp vụ

• Tuân thủ quy định về tài khoản, dữ liệu, thiết bị;
• Báo cáo khi phát hiện bất thường;
• Tham gia đào tạo định kỳ.

Đầu mối pháp chế hoặc tuân thủ

• Theo dõi văn bản hướng dẫn mới;
• Rà soát hợp đồng với nhà cung cấp công nghệ — đặc biệt điều khoản trách nhiệm và hoàn trả;
• Chuẩn bị nội dung giải trình khi có yêu cầu.

Ba tài liệu người đứng đầu nên có trên bàn

• Danh mục hệ thống thông tin kèm cấp độ và mức rủi ro — biết mình đang quản lý những gì;
• Báo cáo đánh giá rủi ro định kỳ, nêu rõ rủi ro nào chưa xử lý và vì sao;
• Phương án ứng phó sự cố có nêu rõ ai quyết định việc gì, trong bao lâu.

Tài liệu thứ ba quan trọng nhất. Trong các cuộc diễn tập sự cố, vấn đề bộc lộ thường không nằm ở kỹ thuật mà ở khâu ra quyết định: không ai dám dừng hệ thống vì sợ trách nhiệm, hoặc người có thẩm quyền không liên lạc được ngoài giờ hành chính.

Về việc chứng minh đã làm

Điểm đ khoản 1 Điều 10 Luật 116/2025/QH15 quy định nhiệm vụ thực hiện chế độ báo cáo theo quy định. Điều 28 Luật 134/2025/QH15 quy định trong thanh tra, kiểm tra, tổ chức, cá nhân liên quan có nghĩa vụ cung cấp hồ sơ kỹ thuật, nhật ký lưu vết, dữ liệu huấn luyện và thông tin cần thiết khác.

Nguyên tắc thực tiễn: việc đã làm mà không ghi lại thì khó chứng minh. Biên bản họp phê duyệt chính sách, danh sách người tham dự buổi đào tạo, nhật ký kiểm tra định kỳ — những tài liệu này tốn ít công nhưng có giá trị khi cần giải trình.

Với hồ sơ kỹ thuật, cần lưu ý thêm: tài liệu nên được duy trì liên tục trong quá trình vận hành, không dựng lại khi có yêu cầu. Hồ sơ dựng gấp thường không khớp với thực tế hệ thống, và sự không khớp đó là thứ dễ bị phát hiện nhất.

Mốc thời gian cần đưa vào lịch

• 01/01/2026 — Luật Công nghiệp công nghệ số 71/2025/QH15 có hiệu lực;
• 01/3/2026 — Luật Trí tuệ nhân tạo 134/2025/QH15 có hiệu lực;
• 01/7/2026 — Luật An ninh mạng 116/2025/QH15 và Luật Chuyển đổi số 148/2025/QH15 có hiệu lực;
• 01/3/2027 — hạn tuân thủ với hệ thống trí tuệ nhân tạo cũ ngoài lĩnh vực y tế, giáo dục, tài chính;
• 01/7/2027 — hạn nâng cấp biện pháp cho hệ thống đã xác định cấp độ theo quy định cũ, theo khoản 1 Điều 45 Luật 116/2025/QH15;
• 01/9/2027 — hạn tuân thủ với hệ thống trí tuệ nhân tạo cũ trong lĩnh vực y tế, giáo dục, tài chính.

Với doanh nghiệp thông thường, quỹ thời gian còn khoảng một năm rưỡi. Việc chia nhỏ theo từng nhóm công việc và giao đầu mối cụ thể giúp không phải dồn tất cả vào phút chót.

Đọc thêm cùng chủ đề

• Startup công nghệ nên khai thác những ưu đãi nào?
• Nhà máy lắp cảm biến và bản sao số cần tuân thủ gì?
• Hộ kinh doanh bắt đầu chuyển đổi số nên làm gì trước?

Căn cứ pháp lý

• Luật 116/2025/QH15 Điều 10
• Luật 148/2025/QH15 Điều 15
• Luật 134/2025/QH15 Điều 29

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.