Rà soát pháp luật: 15/10/2026 · Read in English
Cơ quan, tổ chức nhà nước có hệ thống thông tin phục vụ hoạt động của mình và đơn vị có hệ thống tại Việt Nam cung cấp dịch vụ trực tuyến cho người dân, doanh nghiệp là hai nhóm cần kiểm tra nghĩa vụ lập hồ sơ đề xuất cấp độ. Nghĩa vụ gắn với từng hệ thống, chức năng, dữ liệu và vai trò quản lý; không chỉ dựa vào tên ngành nghề hay việc doanh nghiệp có một website.
“Hồ sơ cấp độ an toàn thông tin” là cách gọi quen thuộc. Từ ngày 01/7/2026, Luật An ninh mạng số 116/2025/QH15 có hiệu lực; Nghị định 331/2026/NĐ-CP có hiệu lực từ 19/8/2026 quy định việc bảo vệ an ninh mạng đối với hệ thống thông tin. Khi chuẩn bị hồ sơ mới, cần dùng đúng khung hiện hành và kiểm tra điều khoản chuyển tiếp, thay vì mặc nhiên dùng toàn bộ quy trình cũ.
1. Căn cứ xác định ai thuộc diện phải thực hiện
Điều 2 Nghị định 331/2026/NĐ-CP áp dụng đối với cơ quan, tổ chức, cá nhân tham gia hoặc có liên quan đến xây dựng, thiết lập, quản lý, vận hành, nâng cấp, mở rộng hệ thống thông tin tại Việt Nam, phục vụ:
- Ứng dụng công nghệ thông tin trong hoạt động của cơ quan, tổ chức nhà nước;
- Ứng dụng công nghệ thông tin để cung cấp dịch vụ trực tuyến phục vụ người dân và doanh nghiệp.
Những tổ chức, cá nhân liên quan khác được khuyến khích áp dụng. Điều 28 quy định nhiệm vụ xác định, lập hồ sơ đề xuất cấp độ và tổ chức thẩm định theo trình tự tương ứng. Chủ quản, đơn vị vận hành, đơn vị chuyên trách và nhà thầu có trách nhiệm khác nhau; không phải mỗi bên liên quan đều tự lập một bộ hồ sơ độc lập cho cùng hệ thống.
2. Danh sách nhóm đơn vị cần rà soát và điều kiện áp dụng
Bảng dưới đây cụ thể hóa Điều 2, Điều 3 và Điều 9 Nghị định 331. Đây là các nhóm và ví dụ nhận diện theo chức năng hệ thống, không phải danh sách tên doanh nghiệp được pháp luật ấn định sẵn.
| Nhóm đơn vị | Hệ thống cần kiểm tra | Khi nào thuộc phạm vi áp dụng? |
|---|---|---|
| Bộ, cơ quan ngang bộ, cơ quan thuộc Chính phủ; cơ quan, tổ chức nhà nước ở trung ương và địa phương | Quản lý văn bản, điều hành, cơ sở dữ liệu, cổng thông tin, hệ thống giải quyết thủ tục và dịch vụ công trực tuyến | Khi là hệ thống phục vụ ứng dụng CNTT trong hoạt động của cơ quan, tổ chức nhà nước; kể cả hệ thống nội bộ. |
| Đơn vị sự nghiệp công lập, như bệnh viện, trường học, viện và trung tâm công lập | Quản trị, hồ sơ nghiệp vụ, khám chữa bệnh, tuyển sinh, đào tạo, dịch vụ trực tuyến | Cần xác định tư cách đơn vị, chủ quản và hệ thống phục vụ hoạt động nhà nước hoặc dịch vụ trực tuyến. Không chỉ rà soát website bên ngoài. |
| Ngân hàng, tổ chức tài chính và đơn vị cung cấp dịch vụ thanh toán, chứng khoán, bảo hiểm | Ứng dụng, cổng giao dịch và hệ thống trực tiếp hoặc hỗ trợ cung cấp dịch vụ cho khách hàng | Khi hệ thống tại Việt Nam cung cấp hoặc hỗ trợ dịch vụ trực tuyến; đồng thời đối chiếu quy định chuyên ngành và tiêu chí cấp độ cao hơn. |
| Doanh nghiệp viễn thông, CNTT, nền tảng số và nhà cung cấp phần mềm dưới dạng dịch vụ | Nền tảng dịch vụ, tài khoản khách hàng, xử lý và lưu trữ thông tin cho tổ chức, cá nhân | Khi đáp ứng phạm vi dịch vụ trực tuyến tại Điều 2 và Điều 3; quy mô nhỏ không tự tạo ra miễn trừ. |
| Đơn vị thương mại điện tử, bán hàng và cung cấp dịch vụ qua website hoặc ứng dụng | Đặt hàng, giao dịch, tài khoản, thanh toán, chăm sóc khách hàng trực tuyến và hệ thống hỗ trợ | Cần phân tích chức năng thực tế của hệ thống. Không kết luận một website giới thiệu đơn thuần có cùng nghĩa vụ và cấp độ với sàn giao dịch. |
| Cơ sở y tế, giáo dục và các đơn vị dịch vụ chuyên ngành ngoài công lập | Đặt lịch, cung cấp dịch vụ y tế hoặc giáo dục trực tuyến, cổng người bệnh/học viên | Khi có hệ thống thuộc nhánh cung cấp dịch vụ trực tuyến; việc chỉ có dữ liệu nhân sự nội bộ không tự chứng minh nghĩa vụ theo nhánh này. |
| Nhà cung cấp hoặc đơn vị quản lý hạ tầng số | Mạng diện rộng, cơ sở dữ liệu dùng chung, trung tâm dữ liệu, cloud, xác thực/chứng thực điện tử, chữ ký số, kết nối liên thông | Đối chiếu phạm vi Điều 2 và loại hệ thống tại Điều 9. Phải phân biệt hệ thống hạ tầng của nhà cung cấp với hệ thống của khách hàng thuê. |
| Chủ quản công trình, doanh nghiệp sản xuất, năng lượng, giao thông và đơn vị có hệ thống điều khiển công nghiệp | Hệ thống giám sát, thu thập dữ liệu, điều khiển các hạng mục quan trọng của công trình | Cần kiểm tra phạm vi áp dụng, phân cấp công trình, quy định chuyên ngành và danh mục hệ thống quan trọng về an ninh quốc gia. Không mặc định mọi nhà máy đều cùng diện hoặc cùng cấp độ. |
| Doanh nghiệp có vốn nhà nước, doanh nghiệp tư nhân và doanh nghiệp FDI | Từng hệ thống theo chức năng và đối tượng phục vụ | Loại hình sở hữu không phải căn cứ duy nhất để miễn hoặc áp dụng. Hệ thống cung cấp dịch vụ trực tuyến tại Việt Nam phải được rà soát như các nhóm tương ứng ở trên. |
| Nhà thầu phát triển, đơn vị vận hành thuê ngoài, đơn vị tư vấn và cung cấp giải pháp | Hệ thống được giao xây dựng hoặc vận hành | Có trách nhiệm theo vai trò, pháp luật và hợp đồng. Cần phối hợp hồ sơ với chủ quản; việc thuê nhà thầu không tự chuyển hết trách nhiệm của chủ quản. |
3. Doanh nghiệp chỉ dùng phần mềm nội bộ có bắt buộc không?
Không nên trả lời “có” cho mọi trường hợp. Một doanh nghiệp tư nhân chỉ dùng phần mềm kế toán hoặc quản trị nhân sự nội bộ cần được đối chiếu Điều 2, chức năng liên thông, pháp luật chuyên ngành và quyết định áp dụng cụ thể. Nếu không thuộc phạm vi bắt buộc của Nghị định 331, việc áp dụng có thể ở mức khuyến khích. Các nghĩa vụ khác về bảo vệ dữ liệu cá nhân, bí mật kinh doanh và an ninh mạng vẫn cần xem xét riêng.
Ngược lại, doanh nghiệp nhỏ có nền tảng cung cấp dịch vụ trực tuyến không được suy ra rằng “ít người dùng thì không cần hồ sơ”. Quy mô và dữ liệu có thể ảnh hưởng đến cấp độ, trong khi câu hỏi có thuộc phạm vi áp dụng hay không phải được xác định trước.
4. Khi nào cần bắt đầu lập hoặc rà soát hồ sơ?
- Đầu tư mới, mở rộng hoặc nâng cấp: lồng ghép xác định cấp độ và phương án bảo đảm an ninh mạng vào thiết kế, hồ sơ đầu tư hoặc kế hoạch thuê CNTT. Điều 30 khoản 6 yêu cầu triển khai đầy đủ phương án đã được phê duyệt trước khi đưa hệ thống mới hoặc được nâng cấp, mở rộng vào vận hành.
- Hệ thống đang vận hành chưa có hồ sơ phù hợp: kiểm kê ngay, xác định đơn vị chịu trách nhiệm và xử lý theo trình tự dành cho hệ thống đang vận hành tại Điều 20.
- Thay đổi chức năng, quy mô, loại dữ liệu, công nghệ, kết nối hoặc rủi ro: đánh giá lại theo Điều 10; khi phải xác định lại cấp độ, thực hiện thủ tục theo Điều 25.
- Thuê cloud hoặc thuê dịch vụ CNTT: rà soát ngay từ kế hoạch thuê, hợp đồng và thiết kế thực tế; giấy tờ của nhà cung cấp không tự thay thế hồ sơ của hệ thống khách hàng.
Về chuyển tiếp, hệ thống đã được xác định cấp độ theo luật cũ được giữ cấp độ theo Điều 45 Luật 116, nhưng phải đáp ứng điều kiện, tiêu chuẩn và biện pháp mới trong thời hạn 12 tháng kể từ 01/7/2026. Riêng Điều 39 Nghị định 331 có quy định 06 tháng về thẩm định, phê duyệt theo Nghị định 85/2016/NĐ-CP cho hệ thống đang trong quá trình đầu tư, xây dựng trước 01/7/2026. Không áp dụng mốc này như một thời hạn gia hạn chung cho mọi doanh nghiệp.
5. Vì sao cần phối hợp pháp lý và kỹ thuật?
Hồ sơ có giá trị thực tế khi xác định đúng chủ quản, đúng ranh giới hệ thống, đúng cấp độ và phương án có thể triển khai. Một bản mẫu chỉ thay tên doanh nghiệp có thể bỏ sót kết nối, dữ liệu nhạy cảm, trách nhiệm nhà thầu hoặc yêu cầu vận hành.
KM UNION hỗ trợ rà soát nghĩa vụ pháp lý, chuẩn bị phần hồ sơ và quy chế thuộc phạm vi tư vấn luật, đồng thời phối hợp với đơn vị kỹ thuật CNTT, an toàn thông tin/an ninh mạng có năng lực và giấy phép phù hợp đối với dịch vụ thuộc diện cấp phép. Phần khảo sát, đánh giá kỹ thuật và thiết kế giải pháp được phân công cho đơn vị đủ điều kiện; phạm vi, đầu việc, trách nhiệm và sản phẩm bàn giao được xác định trong hợp đồng.
6. Chuẩn bị gì để được tư vấn đúng trường hợp?
Khách hàng có thể bắt đầu bằng danh sách hệ thống, mô tả dịch vụ, đơn vị quản lý và vận hành, địa điểm triển khai, loại dữ liệu, quy mô chủ thể dữ liệu và tình trạng hồ sơ hiện có. Sau bước xác định phạm vi, KM UNION cùng đối tác kỹ thuật thống nhất tài liệu cần bổ sung và lộ trình công việc. Chỉ cung cấp sơ đồ chi tiết, cấu hình và dữ liệu nhạy cảm qua phương thức bảo mật đã thống nhất.
Căn cứ pháp lý và tài liệu tham khảo
Luật An ninh mạng 116/2025/QH15; Nghị định 331/2026/NĐ-CP; Nghị định 332/2026/NĐ-CP.
Thông tin được rà soát ngày 15/10/2026, mang tính tham khảo chung, không thay thế ý kiến tư vấn cho một hệ thống hoặc hồ sơ cụ thể. Vui lòng liên hệ KM UNION để xác định phạm vi tư vấn chính thức.
Bài viết liên quan
- Hồ sơ cấp độ an toàn thông tin: thành phần và quy trình 2026
- An toàn thông tin cấp độ 2 và cấp độ 3: phân biệt theo quy định 2026
- Có hồ sơ cấp độ đã đủ chưa? Phối hợp pháp lý và kỹ thuật
