Theo Luật An ninh mạng 2025, tiêu chuẩn an ninh mạng áp dụng cho những sản phẩm nào?

Phạm vi rộng theo khoản 1 Điều 27 — hệ thống thông tin, phần cứng, phần mềm, hệ thống quản lý vận hành, sản phẩm dịch vụ an ninh mạng, công nghệ thông tin và thiết bị kết nối mạng.

Khi mua sắm thiết bị mạng hay phần mềm bảo mật, câu hỏi thực tế của doanh nghiệp là sản phẩm cần đáp ứng tiêu chuẩn nào và ai chứng nhận. Điều 27 Luật An ninh mạng 116/2025/QH15 trả lời.

Phạm vi áp dụng — khoản 1

Khoản 1 Điều 27 quy định tiêu chuẩn an ninh mạng, quy chuẩn kỹ thuật an ninh mạng được áp dụng đối với:

• Hệ thống thông tin;
• Phần cứng;
• Phần mềm;
• Hệ thống quản lý, vận hành an ninh mạng;
• Sản phẩm, dịch vụ an ninh mạng;
• Công nghệ thông tin;
• Thiết bị kết nối mạng.

Danh sách này rất rộng. Đáng chú ý là nhóm "hệ thống quản lý, vận hành an ninh mạng" — tiêu chuẩn không chỉ áp dụng cho thiết bị và phần mềm mà cả cho cách tổ chức vận hành.

Nhóm "thiết bị kết nối mạng" cũng đáng lưu ý trong bối cảnh thiết bị kết nối ngày càng phổ biến trong doanh nghiệp — camera giám sát, cảm biến, thiết bị điều khiển. Đây là nhóm thường có mức bảo mật thấp và ít được rà soát.

Chứng nhận và công bố hợp chuẩn, hợp quy — khoản 2

Khoản 2 Điều 27 quy định: việc chứng nhận hợp quy về an ninh mạng, công bố hợp quy về an ninh mạng, chứng nhận hợp chuẩn về an ninh mạng, công bố hợp chuẩn về an ninh mạng thực hiện theo quy định của pháp luật về tiêu chuẩn và quy chuẩn kỹ thuật.

Bốn hình thức được nêu, chia theo hai trục:

• Hợp quy — phù hợp với quy chuẩn kỹ thuật, mang tính bắt buộc;
• Hợp chuẩn — phù hợp với tiêu chuẩn, mang tính tự nguyện;
• Chứng nhận — do tổ chức chứng nhận thực hiện;
• Công bố — do chính doanh nghiệp thực hiện và chịu trách nhiệm.

Doanh nghiệp sản xuất hoặc nhập khẩu sản phẩm thuộc phạm vi khoản 1 cần xác định sản phẩm của mình thuộc diện bắt buộc hợp quy hay chỉ tự nguyện hợp chuẩn.

Tổ chức chứng nhận cho hệ thống trọng yếu — khoản 3

Khoản 3 Điều 27 quy định: việc đánh giá hợp chuẩn, hợp quy về an ninh mạng phục vụ hệ thống thông tin quan trọng về an ninh quốc gia và phục vụ hoạt động quản lý nhà nước về an ninh mạng được thực hiện tại tổ chức chứng nhận hợp chuẩn, hợp quy do Bộ trưởng Bộ Công an chỉ định.

Đây là quy định thu hẹp: với hai nhóm mục đích này, không phải tổ chức chứng nhận nào cũng được, mà phải là tổ chức được Bộ trưởng Bộ Công an chỉ định.

Doanh nghiệp cung cấp sản phẩm cho hệ thống thuộc danh mục tại Điều 9 cần kiểm tra kỹ điều kiện này trước khi tham gia đấu thầu.

Trách nhiệm của Bộ Công an — khoản 4, 5

Khoản 4 Điều 27 giao Bộ Công an:

• Điểm a — xây dựng dự thảo tiêu chuẩn quốc gia về an ninh mạng;
• Điểm b — quản lý chất lượng sản phẩm, dịch vụ an ninh mạng, trừ sản phẩm, dịch vụ mật mã dân sự;
• Điểm c — đăng ký, chỉ định và quản lý hoạt động của tổ chức chứng nhận sự phù hợp về an ninh mạng, trừ trường hợp quy định tại khoản 6.

Khoản 5 Điều 27 quy định Bộ trưởng Bộ Công an ban hành quy chuẩn kỹ thuật quốc gia về an ninh mạng.

Đây là văn bản doanh nghiệp cần theo dõi sát — quy chuẩn kỹ thuật quốc gia mang tính bắt buộc, khác với tiêu chuẩn.

Phân định với Bộ Quốc phòng và Ban Cơ yếu Chính phủ — khoản 6

Khoản 6 Điều 27 quy định:

• Bộ Quốc phòng đăng ký, chỉ định và quản lý hoạt động của tổ chức chứng nhận sự phù hợp về an ninh mạng trong lĩnh vực quân sự;
• Ban Cơ yếu Chính phủ giúp Bộ trưởng Bộ Quốc phòng thực hiện quản lý chất lượng sản phẩm, dịch vụ mật mã dân sự; đăng ký, chỉ định và quản lý hoạt động của tổ chức chứng nhận sự phù hợp về an ninh mạng đối với sản phẩm, dịch vụ mật mã dân sự.

Phân định này quan trọng với doanh nghiệp kinh doanh sản phẩm mật mã dân sự — đầu mối là Ban Cơ yếu Chính phủ, không phải Bộ Công an.

Liên hệ với nghĩa vụ tại Điều 10

Điểm d khoản 2 Điều 10 Luật 116/2025/QH15 nêu một trong các biện pháp bảo vệ an ninh mạng là áp dụng biện pháp quản lý theo tiêu chuẩn, quy chuẩn kỹ thuật về an ninh mạng, nghiên cứu xây dựng hệ thống tường lửa quốc gia để phòng, chống nguy cơ, khắc phục sự cố an ninh mạng.

Với hệ thống cấp độ 3 và cấp độ 4 không thuộc danh mục trọng yếu, khoản 4 Điều 10 quy định biện pháp tại điểm d là bắt buộc. Với hệ thống cấp độ 1 và 2, khoản 3 Điều 10 cho phép lựa chọn áp dụng theo nhu cầu, khả năng thực tế.

Như vậy việc áp dụng tiêu chuẩn không phải chỉ là lựa chọn kỹ thuật mà với một số nhóm là nghĩa vụ pháp lý.

Việc nên làm khi mua sắm

• Yêu cầu tài liệu chứng nhận khi mua thiết bị mạng, phần mềm bảo mật — đây là bằng chứng cho việc áp dụng biện pháp theo điểm d khoản 2 Điều 10;
• Kiểm tra tổ chức chứng nhận có được chỉ định hay không, đặc biệt khi sản phẩm phục vụ hệ thống trọng yếu theo khoản 3 Điều 27;
• Rà soát thiết bị kết nối mạng đang dùng — camera, cảm biến, thiết bị điều khiển — nhóm này thuộc phạm vi khoản 1 Điều 27 nhưng thường bị bỏ qua;
• Theo dõi quy chuẩn kỹ thuật quốc gia về an ninh mạng do Bộ trưởng Bộ Công an ban hành theo khoản 5 Điều 27;
• Đưa yêu cầu về chứng nhận vào hồ sơ mời thầu để tránh phải xử lý sau khi đã ký hợp đồng.

Luật 116/2025/QH15 có hiệu lực thi hành từ ngày 01/7/2026 theo khoản 1 Điều 44, nên chu kỳ mua sắm của năm tới là thời điểm hợp lý để đưa các yêu cầu này vào quy trình.

Điều khoản chuyển tiếp với hệ thống đã xác định cấp độ

Khoản 1 Điều 45 Luật 116/2025/QH15 quy định: hệ thống thông tin đã được xác định cấp độ theo quy định của Luật An toàn thông tin mạng số 86/2015/QH13 đã được sửa đổi, bổ sung một số điều theo Luật số 35/2018/QH14 thì tiếp tục giữ cấp độ đã được xác định kể từ ngày Luật này có hiệu lực thi hành; trong thời hạn 12 tháng kể từ ngày Luật này có hiệu lực thi hành thì phải bảo đảm điều kiện, tiêu chuẩn, biện pháp theo quy định mới.

Đây là thông tin quan trọng cho các tổ chức đã hoàn tất hồ sơ xác định cấp độ theo quy định cũ: không phải làm lại từ đầu, nhưng có 12 tháng để nâng cấp cho phù hợp với yêu cầu của Luật mới.

Khoản 2 Điều 44 cũng cần lưu ý: Luật An toàn thông tin mạng số 86/2015/QH13 đã được sửa đổi, bổ sung một số điều theo Luật số 35/2018/QH14 và Luật An ninh mạng số 24/2018/QH14 hết hiệu lực kể từ ngày Luật này có hiệu lực thi hành. Hai đạo luật trước được thay thế hoàn toàn bằng Luật 116/2025/QH15, nên các tài liệu nội bộ của doanh nghiệp dẫn chiếu tới hai luật cũ đều cần rà soát và cập nhật.

Trong thực tế, việc rà soát này thường phát hiện nhiều tài liệu cần sửa hơn dự kiến: quy chế an toàn thông tin nội bộ, hợp đồng dịch vụ công nghệ có điều khoản dẫn chiếu luật, hồ sơ mời thầu mẫu, và các biểu mẫu cam kết ký với nhân viên. Nên bắt đầu sớm thay vì để đến sát ngày hiệu lực.

Đọc thêm cùng chủ đề

• Nội dung do AI tạo ra có bắt buộc phải gắn nhãn không?
• Hệ thống AI rủi ro cao phải đánh giá sự phù hợp ra sao?
• Xảy ra sự cố AI nghiêm trọng thì phải làm gì?

Căn cứ pháp lý

• Luật 116/2025/QH15 Điều 27
• Luật 116/2025/QH15 Điều 10
• Luật 116/2025/QH15 Điều 9

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.