Rà soát pháp luật: 15/10/2026 · Read in English
Phê duyệt hồ sơ cấp độ là một bước trong quá trình bảo vệ hệ thống thông tin. Đơn vị còn phải triển khai phương án, phân công nhân sự, vận hành quy chế, giám sát, đánh giá và khắc phục điểm yếu. Hồ sơ và hệ thống thực tế cần được duy trì thống nhất trong suốt vòng đời sử dụng.
1. Sau phê duyệt, đơn vị cần thực hiện những việc gì?
Điều 28–30 Nghị định 331/2026/NĐ-CP đặt yêu cầu đối với cả quản lý và kỹ thuật. Tùy cấp độ và điều kiện áp dụng, kế hoạch công việc cần bao quát:
- Ban hành, triển khai chính sách và quy chế; xác định người quản lý, vận hành và đầu mối an ninh mạng.
- Bảo vệ mạng, máy chủ, ứng dụng và dữ liệu; quản lý truy cập và thay đổi hệ thống.
- Lưu trữ, sao lưu, kiểm tra khả năng khôi phục và chuẩn bị phương án dự phòng.
- Giám sát, phát hiện, ứng phó và khắc phục sự cố; quản lý rủi ro và điểm yếu.
- Kiểm tra, đánh giá mức độ đáp ứng và hiệu quả của biện pháp; thực hiện báo cáo theo yêu cầu áp dụng.
- Quản lý việc kết thúc vận hành, bàn giao, thanh lý và hủy bỏ hệ thống hoặc dữ liệu.
Đây là nhóm công việc định hướng, không phải checklist kỹ thuật đầy đủ thay cho tiêu chuẩn và quy chuẩn của từng cấp độ. Theo Điều 30 khoản 6, hệ thống xây mới, mở rộng hoặc nâng cấp phải triển khai đầy đủ phương án đã phê duyệt trước khi vận hành, khai thác. Điều 28 khoản 3 còn quy định đánh giá điều kiện an ninh mạng trước vận hành, khi có thay đổi lớn và theo yêu cầu có thẩm quyền.
2. Thuê cloud hoặc thuê vận hành có làm hết trách nhiệm của doanh nghiệp?
Không. Cần phân biệt hạ tầng của nhà cung cấp với ứng dụng, tài khoản, dữ liệu và cấu hình của khách hàng. Hợp đồng thuê phải quy định rõ quyền quản trị, truy cập, bảo vệ dữ liệu, phối hợp xử lý sự cố và bàn giao bảo đảm liên tục. Chủ quản vẫn có trách nhiệm theo Điều 31; nhà cung cấp thực hiện phần trách nhiệm được pháp luật và hợp đồng giao.
Điều 30 khoản 8 có yêu cầu phân tách độc lập về lô-gic và quản lý truy cập đối với hệ thống cấp độ 3, 4 thuê tại trung tâm dữ liệu hoặc cloud; cấp độ 5 và hệ thống quan trọng về an ninh quốc gia có yêu cầu riêng nghiêm ngặt hơn tại khoản 9. Không thể dùng một câu “nhà cung cấp cloud đã có chứng nhận” để thay cho việc đối chiếu thiết kế thực tế.
3. Vì sao pháp chế và kỹ thuật cần làm cùng nhau?
| Vấn đề khách hàng cần giải quyết | Phần pháp lý và tổ chức | Phần kỹ thuật |
|---|---|---|
| Xác định đúng phạm vi | Đối tượng áp dụng, chủ quản, quyền hạn, hợp đồng và nghĩa vụ chuyên ngành | Ranh giới hệ thống, dữ liệu, kiến trúc và các kết nối |
| Chuẩn bị hồ sơ và quy chế | Căn cứ, phân công, thủ tục, quy trình và tính thống nhất tài liệu | Thuyết minh hiện trạng, đánh giá rủi ro, phương án và bằng chứng triển khai |
| Thuê nhà cung cấp | Giấy phép phù hợp, phạm vi công việc, bảo mật, trách nhiệm và bàn giao | Năng lực thực hiện, quyền truy cập tối thiểu, yêu cầu dịch vụ và tương thích giải pháp |
| Vận hành và thay đổi | Trách nhiệm báo cáo, thẩm quyền quyết định và cập nhật quy chế | Giám sát, kiểm tra, khắc phục, sao lưu, phục hồi và cập nhật cấu hình |
Khách hàng cần một phương án có thể thực hiện trong hoạt động kinh doanh. Sự phối hợp giúp hạn chế tình trạng quy chế yêu cầu một việc nhưng hệ thống không hỗ trợ, hoặc kỹ thuật đã triển khai nhưng không có phân công và bằng chứng phù hợp.
4. Kiểm tra giấy phép của đối tác như thế nào?
Nghị định 332/2026/NĐ-CP, có hiệu lực từ 19/8/2026, quy định các sản phẩm, dịch vụ an ninh mạng. Điều 4 bao gồm các nhóm như kiểm tra, đánh giá; tư vấn an ninh mạng; giám sát; ứng cứu sự cố và các dịch vụ khác. Điều 5 yêu cầu giấy phép khi kinh doanh sản phẩm, dịch vụ thuộc phạm vi Điều 3 và Điều 4.
Vì vậy, cần kiểm tra đúng pháp nhân, loại dịch vụ được phép, phạm vi và hiệu lực giấy phép, cùng năng lực thực hiện. Đăng ký ngành nghề CNTT hoặc một chứng chỉ nhân sự không đương nhiên thay thế giấy phép kinh doanh dịch vụ an ninh mạng khi pháp luật yêu cầu. Các giấy phép được cấp theo pháp luật trước đây phải được xem xét theo điều khoản chuyển tiếp tương ứng, không chỉ dựa vào tên gọi cũ.
5. KM UNION phối hợp hỗ trợ khách hàng ra sao?
KM UNION cung cấp tư vấn pháp luật, rà soát nghĩa vụ, hỗ trợ lập phần pháp lý của hồ sơ, quy chế nội bộ và hợp đồng. Đồng thời, KM UNION phối hợp với các đơn vị kỹ thuật CNTT, an toàn thông tin/an ninh mạng có năng lực và giấy phép phù hợp với phần dịch vụ cần triển khai để xây dựng hướng xử lý đồng bộ cho khách hàng.
Phần khảo sát chuyên môn, kiểm tra đánh giá, thiết kế và triển khai giải pháp an ninh mạng thuộc diện kinh doanh có điều kiện được giao cho đơn vị đáp ứng điều kiện và phạm vi giấy phép. Danh tính đối tác, công việc của từng bên, trách nhiệm đối với tài liệu và cơ chế tiếp nhận thông tin được xác nhận trong từng dự án. KM UNION không thay thế cơ quan thẩm định, phê duyệt và không cam kết hệ thống miễn nhiễm với mọi sự cố.
6. Những điều nên ghi rõ trong hợp đồng
- Danh sách hệ thống và ranh giới công việc; đầu việc pháp lý, hồ sơ và kỹ thuật.
- Tài liệu khách hàng cung cấp, sản phẩm bàn giao, tiêu chí nghiệm thu và cách xử lý nội dung cần bổ sung.
- Đầu mối phối hợp, quyền quyết định, quyền truy cập và bảo mật thông tin.
- Điều kiện thực hiện kiểm tra kỹ thuật, môi trường thử nghiệm và kế hoạch bảo đảm hoạt động liên tục.
- Phạm vi hỗ trợ sau bàn giao, xử lý thay đổi và trách nhiệm cập nhật hồ sơ.
Cách làm minh bạch bắt đầu từ xác định hiện trạng và thống nhất phạm vi bằng văn bản. Khách hàng có thể liên hệ KM UNION để rà soát hệ thống nào cần hồ sơ, phần nào đã đáp ứng và phần nào cần đối tác kỹ thuật phối hợp thực hiện.
Căn cứ pháp lý và tài liệu tham khảo
Luật An ninh mạng 116/2025/QH15; Nghị định 331/2026/NĐ-CP; Nghị định 332/2026/NĐ-CP.
Thông tin được rà soát ngày 15/10/2026, mang tính tham khảo chung, không thay thế ý kiến tư vấn cho một hệ thống hoặc hồ sơ cụ thể. Vui lòng liên hệ KM UNION để xác định phạm vi tư vấn chính thức.
Bài viết liên quan
- Đơn vị nào phải lập hồ sơ cấp độ an toàn thông tin? Quy định 2026
- Hồ sơ cấp độ an toàn thông tin: thành phần và quy trình 2026
- An toàn thông tin cấp độ 2 và cấp độ 3: phân biệt theo quy định 2026
