Rà soát pháp luật: 15/10/2026 · Read in English
Hồ sơ đề xuất cấp độ hệ thống thông tin cần thể hiện hệ thống là gì, vì sao đề xuất cấp độ đó và sẽ bảo vệ bằng những biện pháp nào. Hồ sơ phải khớp với thiết kế hoặc hiện trạng vận hành, có đúng chủ thể chịu trách nhiệm và đi theo thẩm quyền phù hợp. Đây không phải một “giấy chứng nhận an toàn tuyệt đối” cho doanh nghiệp.
1. Những tài liệu chính trong hồ sơ
Điều 21 Nghị định 331/2026/NĐ-CP quy định các thành phần sau:
- Mô tả, thuyết minh tổng quan hệ thống: chủ quản, đơn vị vận hành, phạm vi, quy mô, đối tượng phục vụ và kiến trúc hệ thống.
- Tài liệu thiết kế: thiết kế sơ bộ hoặc tài liệu tương đương đối với dự án xây mới, mở rộng, nâng cấp; thiết kế thi công đã được phê duyệt hoặc tài liệu tương đương đối với hệ thống đang vận hành.
- Thuyết minh đề xuất cấp độ: loại thông tin, loại hệ thống, tiêu chí pháp lý và nhận diện rủi ro làm cơ sở đề xuất.
- Thuyết minh phương án bảo đảm an ninh mạng: đáp ứng yêu cầu quản lý và kỹ thuật của cấp độ tương ứng, mô tả phương án triển khai cho từng yêu cầu.
- Ý kiến chuyên môn của đơn vị chuyên trách: bổ sung đối với hệ thống đề xuất cấp độ 4 hoặc 5.
Văn bản đề nghị, tờ trình, ý kiến thẩm định và quyết định được chuẩn bị theo bước thủ tục và mẫu tương ứng trong Phụ lục Nghị định. Không phải toàn bộ biểu mẫu đều phải nộp cùng một lúc cho mọi cấp độ.
2. Ai thẩm định và ai phê duyệt?
| Cấp độ | Thẩm định | Phê duyệt |
|---|---|---|
| 1 và 2 | Đơn vị chuyên trách về an ninh mạng của chủ quản | Đơn vị chuyên trách phê duyệt đề xuất cấp độ, báo cáo chủ quản. |
| 3 | Đơn vị chuyên trách về an ninh mạng của chủ quản | Chủ quản hệ thống thông tin. |
| 4 | Bộ Công an chủ trì theo thẩm quyền; hệ thống quân sự và cơ yếu có cơ chế riêng tại Điều 18 | Chủ quản phê duyệt đề xuất cấp độ trên cơ sở kết quả thẩm định. |
| 5 | Cơ quan có thẩm quyền theo Điều 18 | Bộ Công an phối hợp trình Thủ tướng phê duyệt danh mục hệ thống quan trọng về an ninh quốc gia; chủ quản phê duyệt phương án bảo đảm an ninh mạng. |
Cần đọc cùng Điều 18 và Điều 20: hệ thống cấp độ 3 hoặc 4 thuộc danh mục quan trọng về an ninh quốc gia thực hiện trình tự như hệ thống đề xuất cấp độ 5. Nếu đơn vị chuyên trách đồng thời quản lý, vận hành hệ thống, phải xử lý việc phân công thẩm định theo cơ chế đơn vị đủ năng lực hoặc hội đồng thẩm định độc lập. Tư vấn thuê ngoài không tự trở thành cơ quan có thẩm quyền phê duyệt.
3. Quy trình chuẩn bị hồ sơ theo thực tế hệ thống
- Xác định phạm vi và đầu mối: kiểm tra nghĩa vụ áp dụng, chủ quản, đơn vị vận hành và đơn vị chuyên trách; thu thập quyết định phân công hoặc ủy quyền phù hợp.
- Khảo sát và lập danh mục: thống kê ứng dụng, thiết bị, máy chủ, vùng mạng, địa chỉ IP, dịch vụ, dữ liệu và kết nối. Đơn vị kỹ thuật xác nhận tài liệu phản ánh đúng hiện trạng.
- Đề xuất cấp độ có căn cứ: đối chiếu Điều 8–15, xác định tiêu chí cao nhất và rủi ro. Không lựa chọn cấp độ thấp chỉ để giảm đầu việc.
- Hoàn thiện quy chế và phương án: xác định người chịu trách nhiệm, quy trình quản lý truy cập, thay đổi, sao lưu, sự cố và các biện pháp kỹ thuật tương ứng. Điều 30 khoản 7 yêu cầu quy chế được phê duyệt, ban hành trước khi hồ sơ đề xuất cấp độ được phê duyệt.
- Thẩm định, bổ sung và phê duyệt: gửi đúng đơn vị có thẩm quyền, giải trình các nội dung chưa phù hợp và lưu hồ sơ phiên bản cuối.
- Triển khai và lưu bằng chứng: thực hiện phương án đã phê duyệt, đánh giá điều kiện trước vận hành và duy trì hoạt động bảo vệ theo yêu cầu áp dụng.
Đối với dự án mới hoặc nâng cấp, Điều 19 gắn nội dung xác định cấp độ với hồ sơ đầu tư. Đối với thuê dịch vụ CNTT, cần phối hợp giữa bên thuê và nhà cung cấp, cập nhật hệ thống theo hạ tầng thực tế. Đối với hệ thống đã vận hành, Điều 20 quy định đơn vị vận hành lập hồ sơ.
4. Thời gian xử lý có phải thời gian hoàn tất toàn bộ dự án?
Không. Điều 23 quy định phản hồi, hướng dẫn bổ sung hồ sơ chưa hợp lệ tối đa 05 ngày làm việc; thẩm định cấp độ 3 tối đa 15 ngày làm việc, cấp độ 4 hoặc 5 tối đa 25 ngày làm việc kể từ khi nhận đủ hồ sơ hợp lệ. Điều 24 quy định xử lý hồ sơ phê duyệt tối đa 07 ngày làm việc kể từ khi nhận đủ hồ sơ hợp lệ.
Các mốc này không bao gồm toàn bộ thời gian khảo sát, khắc phục thiếu sót, thiết kế lại, bổ sung hồ sơ hoặc triển khai giải pháp. Lộ trình thực tế cần xác định sau khi đánh giá tài liệu và hiện trạng; không nên coi các mốc luật định là cam kết hoàn thành dịch vụ.
5. Những điểm thường cần làm rõ trước khi nộp
- Tên chủ quản và đơn vị vận hành có thống nhất giữa quyết định, hợp đồng và sơ đồ không?
- Hệ thống trên cloud, các API và hệ thống hỗ trợ đã được đưa vào ranh giới đánh giá phù hợp chưa?
- Loại dữ liệu, số lượng chủ thể dữ liệu và mức độ ảnh hưởng có đủ căn cứ không?
- Phương án đang mô tả biện pháp đã triển khai hay mới dự kiến; ai chịu trách nhiệm hoàn thiện?
- Quy chế đã được ban hành đúng thẩm quyền và có khả năng áp dụng trong vận hành hằng ngày chưa?
6. KM UNION có thể hỗ trợ phần việc nào?
KM UNION rà soát căn cứ, vai trò, thẩm quyền, chuẩn bị phần pháp lý của hồ sơ, quy chế và hợp đồng, hỗ trợ giải trình trong phạm vi được giao. Đơn vị kỹ thuật phối hợp khảo sát, xác định kiến trúc, đánh giá rủi ro và xây dựng phương án kỹ thuật; dịch vụ an ninh mạng thuộc diện cấp phép do đơn vị có giấy phép phù hợp đảm nhiệm. Cách phối hợp này giúp thống nhất hồ sơ pháp lý với khả năng triển khai của hệ thống, có đầu mối và sản phẩm bàn giao rõ ràng.
Căn cứ pháp lý và tài liệu tham khảo
Luật An ninh mạng 116/2025/QH15; Nghị định 331/2026/NĐ-CP; Nghị định 332/2026/NĐ-CP.
Thông tin được rà soát ngày 15/10/2026, mang tính tham khảo chung, không thay thế ý kiến tư vấn cho một hệ thống hoặc hồ sơ cụ thể. Vui lòng liên hệ KM UNION để xác định phạm vi tư vấn chính thức.
Bài viết liên quan
- Đơn vị nào phải lập hồ sơ cấp độ an toàn thông tin? Quy định 2026
- An toàn thông tin cấp độ 2 và cấp độ 3: phân biệt theo quy định 2026
- Có hồ sơ cấp độ đã đủ chưa? Phối hợp pháp lý và kỹ thuật
