Rà soát pháp luật: 15/10/2026 · Read in English
Cấp độ hệ thống thông tin được xác định theo chức năng, thông tin xử lý, quy mô và mức độ ảnh hưởng khi xảy ra sự cố. Không thể kết luận “doanh nghiệp nhỏ là cấp độ 2” hoặc “cứ có dữ liệu cá nhân là cấp độ 3”. Trước tiên phải xác định hệ thống thuộc phạm vi áp dụng; sau đó đối chiếu đầy đủ tiêu chí.
Bài viết tập trung vào các điểm thường gặp tại Điều 8–15 Nghị định 331/2026/NĐ-CP. Cách gọi “an toàn thông tin cấp độ 2, cấp độ 3” được giữ để thuận tiện tra cứu; hồ sơ hiện hành cần dùng thuật ngữ và yêu cầu bảo vệ an ninh mạng phù hợp.
1. Ba nguyên tắc cần nhớ trước khi chọn cấp độ
- Lấy tiêu chí cao nhất: nếu hệ thống đồng thời đáp ứng tiêu chí của nhiều cấp độ, áp dụng cấp độ cao nhất theo Điều 8.
- Xác định đúng ranh giới: xem xét chức năng nghiệp vụ, luồng dữ liệu, sự phụ thuộc và khả năng lan truyền sự cố. Không chỉ dựa vào việc các máy chủ nằm cùng phòng hoặc khác tỉnh.
- Không chia tách để hạ cấp độ: không chia nhỏ hoặc gộp hệ thống một cách hình thức để làm sai lệch việc xác định cấp độ.
2. So sánh những tiêu chí cấp độ 2 và 3 thường gặp
| Nội dung | Cấp độ 2 — Điều 12 | Cấp độ 3 — Điều 13 |
|---|---|---|
| Hoạt động nội bộ | Phục vụ nội bộ và xử lý thông tin riêng, thông tin cá nhân nhưng không xử lý bí mật nhà nước. | Phải kiểm tra tiêu chí khác và rủi ro; không tự nâng mọi hệ thống nội bộ lên cấp độ 3 chỉ vì có dữ liệu cá nhân. |
| Dịch vụ trực tuyến | Hệ thống cung cấp dịch vụ trực tuyến không thuộc danh mục ngành, nghề đầu tư kinh doanh có điều kiện, nếu không có tiêu chí cao hơn. | Hệ thống cung cấp dịch vụ trực tuyến thuộc danh mục ngành, nghề đầu tư kinh doanh có điều kiện; hệ thống phục vụ giải quyết thủ tục hành chính. |
| Dữ liệu cá nhân trong nhóm dịch vụ trực tuyến khác | Điều 12 quy định ngưỡng dưới 100.000 chủ thể dữ liệu cá nhân cơ bản hoặc dưới 10.000 chủ thể dữ liệu cá nhân nhạy cảm; vẫn phải kiểm tra toàn bộ tiêu chí và nguyên tắc cấp độ cao nhất. | Từ 100.000 chủ thể dữ liệu cá nhân cơ bản trở lên hoặc từ 10.000 chủ thể dữ liệu cá nhân nhạy cảm trở lên là tiêu chí tại Điều 13. |
| Hạ tầng thông tin | Phục vụ hoạt động của một cơ quan, tổ chức. | Hạ tầng dùng chung trong phạm vi một bộ, ngành, một tỉnh hoặc nhiều tỉnh. |
| Điều khiển công nghiệp | Không được suy ra cấp độ 2 chỉ từ số nhân viên hoặc doanh thu. | Hệ thống điều khiển công nghiệp phục vụ công trình cấp II, III hoặc IV thuộc tiêu chí Điều 13; phải kiểm tra đúng phân cấp công trình. |
Bảng chỉ chọn các tiêu chí phổ biến. Các trường hợp liên quan bí mật nhà nước, quốc phòng, an ninh, quyết định của Thủ tướng và kết quả đánh giá rủi ro phải được đối chiếu đầy đủ. Hệ thống đáp ứng tiêu chí cấp độ 4 hoặc 5 không được giữ ở cấp độ 3 chỉ vì bảng trên chưa nêu hết.
3. Ngưỡng dữ liệu tính theo người, không phải số tài khoản
Quy định mới nêu chủ thể dữ liệu, không đơn thuần là tài khoản đăng nhập hoặc lượt truy cập. Một người có nhiều tài khoản không đồng nghĩa có nhiều chủ thể. Ngược lại, hệ thống có thể lưu dữ liệu của người không có tài khoản. Đơn vị kỹ thuật cần phối hợp xác định dữ liệu thực tế và cách thống kê có căn cứ.
Đặc biệt, việc số chủ thể dữ liệu cơ bản thấp hơn 100.000 không “bù” cho việc số chủ thể dữ liệu nhạy cảm đã đạt 10.000. Khi một tiêu chí cấp độ 3 đã được đáp ứng, phải xét cấp độ 3 và các tiêu chí cao hơn. Không chọn nhánh có ngưỡng thấp hơn để bỏ qua tiêu chí còn lại.
4. Ba ví dụ minh họa để tránh hiểu sai
Ví dụ A — nền tảng dịch vụ không thuộc ngành nghề có điều kiện: giả định hệ thống thuộc phạm vi Nghị định 331, chỉ xử lý dữ liệu cá nhân cơ bản của 20.000 người, không có dữ liệu nhạy cảm và không có tiêu chí cao hơn. Cấp độ 2 là hướng cần đối chiếu; kết luận chính thức vẫn dựa vào đầy đủ chức năng, dữ liệu và rủi ro.
Ví dụ B — nền tảng có dữ liệu nhạy cảm của 12.000 người: nếu thuộc nhóm dịch vụ trực tuyến tương ứng, hệ thống đáp ứng tiêu chí ngưỡng dữ liệu của cấp độ 3, dù số tài khoản đăng nhập thấp hơn. Vẫn phải kiểm tra có tiêu chí cấp độ 4 hoặc 5 hay không.
Ví dụ C — dịch vụ trực tuyến thuộc ngành, nghề đầu tư kinh doanh có điều kiện: không thể mặc định cấp độ 2 chỉ vì có ít khách hàng. Cần đối chiếu tiêu chí tại Điều 13 và xác nhận chính xác hoạt động nào thuộc danh mục ngành, nghề có điều kiện đang có hiệu lực.
5. Khi nào phải đánh giá lại?
Điều 10 yêu cầu đánh giá rủi ro khi xác định cấp độ lần đầu và trong các trường hợp như thay đổi chức năng, phạm vi, đối tượng phục vụ, dữ liệu hoặc công nghệ; mở rộng, tích hợp, kết nối, chia sẻ dữ liệu; có sự cố nghiêm trọng, nguy cơ cao; hoặc có yêu cầu của cơ quan có thẩm quyền. Khi cần xác định lại cấp độ, Điều 25 áp dụng trình tự xác định lần đầu.
Doanh nghiệp nên đưa bước rà soát này vào quy trình thay đổi sản phẩm: trước khi mở cổng khách hàng mới, tích hợp cơ sở dữ liệu, mở rộng dịch vụ hoặc thay đổi mô hình cloud. Một quyết định phê duyệt cũ không tự bao phủ mọi thay đổi sau đó.
6. Hồ sơ cấp độ có thay cho hồ sơ bảo vệ dữ liệu cá nhân không?
Không nên coi hai loại công việc là một. Phân loại và bảo vệ hệ thống giải quyết yêu cầu về hệ thống thông tin; nghĩa vụ bảo vệ dữ liệu cá nhân cần được rà soát riêng theo hoạt động xử lý cụ thể. Có thể phối hợp kiểm kê dữ liệu và phân công trách nhiệm để tránh tài liệu mâu thuẫn, nhưng không suy ra một bộ hồ sơ đương nhiên thay thế bộ hồ sơ khác.
7. KM UNION hỗ trợ xác định hướng xử lý
KM UNION cùng đối tác kỹ thuật làm rõ phạm vi áp dụng, chức năng, loại dữ liệu, căn cứ đề xuất và yêu cầu quản lý. Đối tác có điều kiện, giấy phép phù hợp thực hiện dịch vụ kỹ thuật thuộc diện điều chỉnh. Khách hàng nhận được lộ trình công việc theo hiện trạng và trách nhiệm được thống nhất trong hợp đồng; cấp độ và kết quả phê duyệt thuộc thẩm quyền pháp luật quy định.
Căn cứ pháp lý và tài liệu tham khảo
Luật An ninh mạng 116/2025/QH15; Nghị định 331/2026/NĐ-CP; Nghị định 332/2026/NĐ-CP.
Thông tin được rà soát ngày 15/10/2026, mang tính tham khảo chung, không thay thế ý kiến tư vấn cho một hệ thống hoặc hồ sơ cụ thể. Vui lòng liên hệ KM UNION để xác định phạm vi tư vấn chính thức.
Bài viết liên quan
- Đơn vị nào phải lập hồ sơ cấp độ an toàn thông tin? Quy định 2026
- Hồ sơ cấp độ an toàn thông tin: thành phần và quy trình 2026
- Có hồ sơ cấp độ đã đủ chưa? Phối hợp pháp lý và kỹ thuật
