Với cơ quan, tổ chức, doanh nghiệp Nhà nước thì có — khoản 2 Điều 34 yêu cầu người trực tiếp quản trị, vận hành hệ thống cấp độ 3, 4, 5 phải được tập huấn và cấp chứng nhận.
Điều 34 Luật An ninh mạng 116/2025/QH15 là điều duy nhất trong Luật đặt ra yêu cầu bắt buộc về chứng nhận đối với cá nhân. Việc xác định đúng phạm vi áp dụng giúp doanh nghiệp không làm thừa và cũng không bỏ sót.
Hai nhóm đối tượng
Khoản 1 — lực lượng bảo vệ an ninh mạng
Khoản 1 Điều 34 quy định: lực lượng bảo vệ an ninh mạng quy định tại điểm a và điểm b khoản 1 Điều 30 của Luật này phải đáp ứng yêu cầu kiến thức, kỹ năng chuyên sâu về an ninh mạng.
Dẫn chiếu tới Điều 30 cho biết hai nhóm này là:
- Điểm a khoản 1 Điều 30 — lực lượng chuyên trách bảo vệ an ninh mạng tại Bộ Công an, Bộ Quốc phòng;
- Điểm b khoản 1 Điều 30 — lực lượng bảo vệ an ninh mạng tại Bộ, ngành, Ủy ban nhân dân cấp tỉnh, cơ quan, tổ chức quản lý trực tiếp hệ thống thông tin quan trọng về an ninh quốc gia.
Nhóm cuối trong điểm b có thể bao gồm doanh nghiệp — nếu doanh nghiệp quản lý trực tiếp hệ thống thuộc danh mục tại Điều 9.
Lưu ý điểm c khoản 1 Điều 30 — tổ chức, cá nhân được huy động tham gia bảo vệ an ninh mạng — không nằm trong phạm vi khoản 1 Điều 34.
Khoản 2 — người quản trị, vận hành hệ thống cấp độ 3, 4, 5
Khoản 2 Điều 34 quy định: người trực tiếp quản trị, vận hành hệ thống thông tin cấp độ 3, cấp độ 4, cấp độ 5 trong cơ quan, tổ chức, doanh nghiệp Nhà nước phải được tập huấn kiến thức, kỹ năng chuyên sâu về an ninh mạng và được cấp chứng nhận, trừ các cá nhân đã được đào tạo chuyên ngành an ninh mạng.
Ba yếu tố xác định phạm vi:
- Vai trò — người trực tiếp quản trị, vận hành. Không áp dụng cho toàn bộ nhân sự công nghệ thông tin;
- Cấp độ hệ thống — cấp độ 3, 4, 5. Hệ thống cấp độ 1 và 2 không thuộc phạm vi;
- Loại tổ chức — cơ quan, tổ chức, doanh nghiệp Nhà nước.
Yếu tố thứ ba là điểm cần đọc kỹ nhất. Nghĩa vụ tại khoản 2 giới hạn trong khu vực nhà nước và doanh nghiệp Nhà nước. Doanh nghiệp tư nhân, kể cả khi vận hành hệ thống cấp độ 3 trở lên, không thuộc phạm vi bắt buộc của khoản này.
Trường hợp miễn
Khoản 2 nêu ngoại lệ: trừ các cá nhân đã được đào tạo chuyên ngành an ninh mạng.
Nhân sự tốt nghiệp chuyên ngành an ninh mạng không phải tập huấn lại. Đây là quy định hợp lý, tránh trùng lặp — và cũng là lý do để tổ chức lưu giữ hồ sơ bằng cấp của nhân sự kỹ thuật.
Ai tổ chức tập huấn — khoản 3, 4
Khoản 3 Điều 34 giao Bộ Công an chủ trì, phối hợp với các Bộ, ngành liên quan tổ chức tập huấn về kiến thức, kỹ năng chuyên sâu về an ninh mạng, trừ trường hợp quy định tại khoản 4.
Khoản 4 Điều 34 giao Bộ Quốc phòng, Ban Cơ yếu Chính phủ tổ chức tập huấn đối với đối tượng thuộc phạm vi quản lý.
Khoản 5 Điều 34 giao Chính phủ quy định về chuẩn kiến thức, kỹ năng chuyên sâu về an ninh mạng; chương trình, nội dung, việc chứng nhận tập huấn.
Như vậy nội dung và hình thức chứng nhận cụ thể nằm ở nghị định hướng dẫn. Tổ chức thuộc diện bắt buộc cần theo dõi văn bản này để lập kế hoạch cử người tham gia.
Giáo dục và bồi dưỡng ở tầng rộng hơn — Điều 33
Khoản 1 Điều 33 Luật 116/2025/QH15 quy định: nội dung giáo dục, bồi dưỡng kiến thức an ninh mạng được đưa vào môn học giáo dục quốc phòng và an ninh trong nhà trường, chương trình bồi dưỡng kiến thức quốc phòng và an ninh theo quy định của Luật Giáo dục quốc phòng và an ninh.
Khoản 2 Điều 33 giao Bộ Công an chủ trì, phối hợp với Bộ, ngành có liên quan tổ chức bồi dưỡng nghiệp vụ an ninh mạng cho lực lượng bảo vệ an ninh mạng và công chức, viên chức, người lao động tham gia bảo vệ an ninh mạng; Bộ Quốc phòng, Ban Cơ yếu Chính phủ tổ chức bồi dưỡng cho đối tượng thuộc phạm vi quản lý.
Cần phân biệt hai khái niệm:
- Bồi dưỡng nghiệp vụ theo Điều 33 — phạm vi rộng hơn, không kèm yêu cầu chứng nhận;
- Tập huấn kiến thức, kỹ năng chuyên sâu theo Điều 34 — hẹp hơn, có chứng nhận, bắt buộc với nhóm cụ thể.
Phổ biến kiến thức cho toàn xã hội — Điều 35
Khoản 1 Điều 35 quy định Nhà nước có chính sách phổ biến kiến thức về an ninh mạng trong phạm vi cả nước, khuyến khích cơ quan nhà nước phối hợp với tổ chức tư nhân, cá nhân thực hiện chương trình giáo dục và nâng cao nhận thức; ưu tiên phổ biến, hướng dẫn trẻ em, người cao tuổi, người khó khăn trong nhận thức để nâng cao khả năng tự bảo vệ quyền và lợi ích hợp pháp trên không gian mạng.
Ba nhóm được ưu tiên chính là ba nhóm bị nhắm tới nhiều nhất trong các vụ lừa đảo trên mạng.
Khoản 2 Điều 35 quy định: Bộ, ngành, cơ quan, tổ chức có trách nhiệm xây dựng và triển khai hoạt động phổ biến kiến thức về an ninh mạng cho cán bộ, công chức, viên chức, người lao động trong Bộ, ngành, cơ quan, tổ chức mình.
Khoản 3 Điều 35 giao Ủy ban nhân dân cấp tỉnh trách nhiệm tương tự với cơ quan, tổ chức, cá nhân của địa phương.
Nội dung này nhất quán với điểm e khoản 1 Điều 10 — một trong sáu nhiệm vụ bắt buộc với mọi chủ quản hệ thống thông tin là tổ chức tuyên truyền, nâng cao nhận thức về an ninh mạng.
Khuyến nghị cho doanh nghiệp tư nhân
Dù không thuộc phạm vi bắt buộc của khoản 2 Điều 34, doanh nghiệp tư nhân vẫn có ba lý do thực tế để đầu tư vào năng lực nhân sự:
- Nghĩa vụ tuyên truyền, nâng cao nhận thức tại điểm e khoản 1 Điều 10 áp dụng cho mọi chủ quản hệ thống thông tin, không phân biệt loại hình;
- Với hệ thống trọng yếu, khoản 3 Điều 31 yêu cầu chủ quản bảo đảm người thực hiện nhiệm vụ an ninh mạng đáp ứng tiêu chuẩn chuyên môn, nghiệp vụ và thường xuyên bồi dưỡng, cập nhật kỹ năng;
- Giá trị thực tế — phần lớn sự cố bắt đầu từ hành vi người dùng, nên đào tạo là biện pháp có tỷ lệ hiệu quả trên chi phí cao nhất.
Một chương trình tối thiểu cho doanh nghiệp: phổ biến kiến thức cơ bản cho toàn bộ nhân viên định kỳ, đào tạo chuyên sâu cho nhóm quản trị hệ thống, và diễn tập xử lý sự cố ít nhất một lần mỗi năm. Ghi nhận lại các hoạt động này để phục vụ chế độ báo cáo theo điểm đ khoản 1 Điều 10.
Đọc thêm cùng chủ đề
- Tài sản số được pháp luật công nhận như thế nào?
- Chữ ký điện tử có mấy loại và loại nào tương đương chữ ký tay?
- File điện tử có thay được bản gốc giấy không?
Căn cứ pháp lý
- Luật 116/2025/QH15 Điều 34
- Luật 116/2025/QH15 Điều 33
- Luật 116/2025/QH15 Điều 35
Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.
Bình luận (0)
Chưa có bình luận nào. Hãy là người đầu tiên chia sẻ ý kiến.