Thẩm định, đánh giá và kiểm tra an ninh mạng khác nhau thế nào?

Ba thủ tục riêng biệt, thường bị gọi lẫn: thẩm định làm trước khi vận hành, đánh giá điều kiện dẫn tới chứng nhận, kiểm tra diễn ra trong quá trình sử dụng.

Luật An ninh mạng 116/2025/QH15 dùng ba thuật ngữ nghe gần nhau nhưng là ba thủ tục khác nhau: thẩm định, đánh giá điều kiện, và kiểm tra. Việc gọi lẫn dẫn tới hiểu sai nghĩa vụ và chuẩn bị sai hồ sơ.

Ba biện pháp riêng biệt tại Điều 5

Khoản 1 Điều 5 Luật 116/2025/QH15 liệt kê các biện pháp bảo vệ an ninh mạng, trong đó ba biện pháp đầu là ba thủ tục khác nhau:

Điểm a — thẩm định an ninh mạng;
Điểm b — đánh giá điều kiện an ninh mạng;
Điểm c — kiểm tra an ninh mạng.

Việc liệt kê riêng ba điểm cho thấy đây là ba biện pháp độc lập, không phải ba cách gọi của cùng một việc.

Khoản 2 Điều 5 giao Chính phủ quy định chi tiết nội dung, trình tự, thủ tục, thẩm quyền áp dụng biện pháp bảo vệ an ninh mạng, trừ biện pháp tại điểm n và điểm o khoản 1 — nên trình tự cụ thể của cả ba thủ tục nằm ở nghị định hướng dẫn.

Thẩm định an ninh mạng — làm trước khi vận hành

Khoản 3 Điều 9 Luật 116/2025/QH15 quy định: hệ thống thông tin quan trọng về an ninh quốc gia phải được thẩm định an ninh mạng, chứng nhận đủ điều kiện về an ninh mạng TRƯỚC KHI đưa vào vận hành, sử dụng.

Điểm b khoản 2 Điều 10 cũng nêu biện pháp thẩm định an ninh mạng đối với hồ sơ, thiết kế của hệ thống thông tin — cụm "hồ sơ, thiết kế" cho biết đối tượng thẩm định là tài liệu thiết kế, không phải hệ thống đang chạy.

Điểm a khoản 2 Điều 11 giao Bộ Công an thẩm định an ninh mạng đối với hệ thống thông tin quan trọng về an ninh quốc gia, trừ hệ thống thông tin quân sự và hệ thống thông tin cơ yếu thuộc Ban Cơ yếu Chính phủ.

Hàm ý với tiến độ dự án

Vì thẩm định diễn ra trên hồ sơ, thiết kế và trước khi vận hành, bước này phải nằm trong tiến độ dự án ngay từ giai đoạn thiết kế — không phải thủ tục hoàn thiện hồ sơ sau khi hệ thống đã chạy.

Với hệ thống dự kiến thuộc danh mục trọng yếu, việc bỏ qua bước này có thể dẫn tới phải dừng dự án giữa chừng hoặc sửa lại thiết kế đã triển khai — chi phí lớn hơn nhiều so với việc chuẩn bị sớm.

Đánh giá điều kiện an ninh mạng — dẫn tới chứng nhận

Điểm c khoản 2 Điều 10 nêu biện pháp đánh giá điều kiện an ninh mạng đối với hệ thống thông tin.

Điểm b khoản 2 Điều 11 giao Bộ Công an đánh giá, chứng nhận đủ điều kiện an ninh mạng đối với hệ thống thông tin quan trọng về an ninh quốc gia.

Khác biệt với thẩm định: đánh giá điều kiện xem xét hệ thống thực tế có đáp ứng điều kiện hay không, và kết quả là chứng nhận đủ điều kiện. Thẩm định xem xét hồ sơ, thiết kế.

Khoản 3 Điều 9 nêu cả hai cùng một câu — thẩm định an ninh mạng, chứng nhận đủ điều kiện về an ninh mạng trước khi đưa vào vận hành, sử dụng — cho thấy đây là hai bước nối tiếp trong cùng một giai đoạn tiền vận hành.

Tự đánh giá định kỳ

Điểm b khoản 1 Điều 11 đặt nghĩa vụ lên chủ quản hệ thống trọng yếu: định kỳ hằng năm, TỰ KIỂM TRA an ninh mạng, ĐÁNH GIÁ ĐIỀU KIỆN an ninh mạng hệ thống thông tin quan trọng về an ninh quốc gia và thông báo kết quả kiểm tra bằng văn bản TRƯỚC THÁNG 10 HẰNG NĂM cho lực lượng chuyên trách bảo vệ an ninh mạng có thẩm quyền.

Đây là nghĩa vụ tự thực hiện, khác với việc đánh giá do cơ quan nhà nước tiến hành. Mốc "trước tháng 10 hằng năm" cần đưa vào lịch công tác vì chỉ phát sinh mỗi năm một lần.

Kiểm tra an ninh mạng — trong quá trình sử dụng

Điểm c khoản 1 Điều 5 nêu biện pháp kiểm tra an ninh mạng. Khoản 3 Điều 9 quy định hệ thống trọng yếu phải thường xuyên kiểm tra an ninh mạng, giám sát an ninh mạng trong quá trình sử dụng.

Ba loại kiểm tra cần phân biệt:

Kiểm tra trước khi vận hành sau thay đổi

Điểm b khoản 1 Điều 11 quy định: khi thiết lập, mở rộng hoặc nâng cấp hệ thống thông tin quan trọng về an ninh quốc gia phải thực hiện kiểm tra an ninh mạng trước khi đi vào vận hành, khai thác.

Ba tình huống kích hoạt: thiết lập mới, mở rộng, nâng cấp. Nhiều tổ chức chỉ nghĩ tới lần thiết lập đầu tiên mà bỏ qua hai tình huống sau.

Tự kiểm tra định kỳ

Cũng tại điểm b khoản 1 Điều 11 — định kỳ hằng năm, tự kiểm tra và báo cáo trước tháng 10.

Kiểm tra đột xuất

Điểm c khoản 2 Điều 11 giao Bộ Công an kiểm tra an ninh mạng đột xuất đối với hệ thống thông tin quan trọng về an ninh quốc gia.

Điểm đ khoản 1 Điều 11 đặt nghĩa vụ đối ứng lên chủ quản: phối hợp với lực lượng chuyên trách bảo vệ an ninh mạng trong việc thực hiện kiểm tra an ninh mạng đột xuất.

Vì là đột xuất, doanh nghiệp không có thời gian chuẩn bị — đây là lý do hồ sơ và nhật ký cần được duy trì liên tục, không dựng khi có yêu cầu.

Với hệ thống không thuộc danh mục trọng yếu

Ba thủ tục trên chủ yếu áp dụng cho hệ thống thông tin quan trọng về an ninh quốc gia theo Điều 9. Với hệ thống thông thường, cơ chế nhẹ hơn nhiều.

Khoản 3 Điều 10 quy định chủ quản hệ thống Cấp độ 1, Cấp độ 2 thực hiện đầy đủ sáu nhiệm vụ tại khoản 1, và theo nhu cầu, khả năng thực tế lựa chọn áp dụng biện pháp quy định tại khoản 2.

Nghĩa là ba biện pháp tại điểm b (thẩm định hồ sơ, thiết kế), điểm c (đánh giá điều kiện) và điểm e (kiểm tra, giám sát việc tuân thủ) đều thuộc diện lựa chọn với nhóm này.

Khoản 4 Điều 10 quy định chủ quản hệ thống cấp độ 3, cấp độ 4 không thuộc danh mục hệ thống thông tin quan trọng về an ninh quốc gia thực hiện đầy đủ sáu nhiệm vụ tại khoản 1, các biện pháp tại các điểm a, d, đ, e, g và h khoản 2, và lựa chọn áp dụng các biện pháp còn lại.

Đối chiếu: với nhóm này, điểm e — kiểm tra, giám sát việc tuân thủ quy định và đánh giá hiệu quả của các biện pháp quản lý và kỹ thuật được áp dụng — là BẮT BUỘC; còn điểm b (thẩm định) và điểm c (đánh giá điều kiện) vẫn thuộc diện lựa chọn.

Bảng tóm tắt

Cấp độ 1, 2 — sáu nhiệm vụ tại khoản 1 bắt buộc; tám biện pháp tại khoản 2 tự chọn;
Cấp độ 3, 4 ngoài danh mục trọng yếu — sáu nhiệm vụ bắt buộc; sáu biện pháp (a, d, đ, e, g, h) bắt buộc; hai biện pháp (b, c) tự chọn;
Hệ thống thuộc danh mục trọng yếu — thêm thẩm định và chứng nhận trước vận hành theo khoản 3 Điều 9, cùng bộ nghĩa vụ tại khoản 1 Điều 11.

Liên hệ với tiêu chuẩn, quy chuẩn

Khoản 2 Điều 27 Luật 116/2025/QH15 quy định việc chứng nhận hợp quy về an ninh mạng, công bố hợp quy về an ninh mạng, chứng nhận hợp chuẩn về an ninh mạng, công bố hợp chuẩn về an ninh mạng thực hiện theo quy định của pháp luật về tiêu chuẩn và quy chuẩn kỹ thuật.

Đây là nhóm thủ tục thứ tư, khác với ba thủ tục nêu trên — nó áp dụng cho sản phẩm chứ không phải cho hệ thống của tổ chức.

Khoản 3 Điều 27 quy định việc đánh giá hợp chuẩn, hợp quy phục vụ hệ thống thông tin quan trọng về an ninh quốc gia và phục vụ hoạt động quản lý nhà nước về an ninh mạng được thực hiện tại tổ chức chứng nhận hợp chuẩn, hợp quy do Bộ trưởng Bộ Công an chỉ định.

Chuẩn bị hồ sơ cho từng thủ tục

Cho thẩm định

Vì đối tượng là hồ sơ, thiết kế: tài liệu kiến trúc hệ thống, sơ đồ mạng, danh mục thành phần và nhà cung cấp, mô tả luồng dữ liệu, biện pháp bảo vệ được thiết kế, và phương án phân quyền.

Cho đánh giá điều kiện

Vì đối tượng là hệ thống thực tế: bằng chứng các biện pháp đã triển khai, kết quả kiểm thử, cấu hình thực tế, danh sách người có quyền, và nhật ký hệ thống.

Cho kiểm tra

Vì có thể đột xuất: hồ sơ phải sẵn sàng thường trực. Điểm đ khoản 1 Điều 10 quy định nhiệm vụ thực hiện chế độ báo cáo theo quy định — báo cáo định kỳ là tài liệu đã có sẵn, tận dụng được cho việc này.

Danh mục việc cần làm

Xác định hệ thống của mình thuộc cấp độ nào và có trong danh mục trọng yếu không;
Từ đó xác định thủ tục nào bắt buộc, thủ tục nào tự chọn;
Nếu thuộc danh mục trọng yếu, đưa bước thẩm định và chứng nhận vào tiến độ dự án ngay từ thiết kế;
Đưa mốc báo cáo trước tháng 10 hằng năm vào lịch công tác;
Kích hoạt kiểm tra lại khi mở rộng hoặc nâng cấp hệ thống, không chỉ khi thiết lập mới;
Duy trì hồ sơ và nhật ký liên tục để sẵn sàng cho kiểm tra đột xuất;
Với sản phẩm bán ra, phân biệt rõ thủ tục chứng nhận hợp chuẩn, hợp quy theo Điều 27;
Theo dõi nghị định hướng dẫn về trình tự, thủ tục, thẩm quyền theo khoản 2 Điều 5.

Đọc thêm cùng chủ đề

Căn cứ pháp lý

Luật 116/2025/QH15 Điều 5
Luật 116/2025/QH15 Điều 9
Luật 116/2025/QH15 Điều 11

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.

Theo Luật An ninh mạng 2025, thẩm định, đánh giá và kiểm tra an ninh mạng khác nhau thế nào?