Cấp độ an toàn hệ thống thông tin là gì? 5 cấp độ và hồ sơ đề xuất cấp độ theo Nghị định 331/2026
Cấp độ an toàn hệ thống thông tin là mức phân loại từ 1 đến 5 mà chủ quản phải xác định cho từng hệ thống, dựa trên mức tổn hại nếu hệ thống bị xâm phạm; từ 19/08/2026, việc này theo Nghị định 331/2026/NĐ-CP, thay Nghị định 85/2016/NĐ-CP.
Nhiều tài liệu đang lưu hành vẫn viết theo quy định cũ, nên câu hỏi hay gặp là: hệ thống của mình cấp mấy, hồ sơ cũ còn dùng được không, ai phê duyệt. Phần dưới trả lời theo văn bản mới. Cần làm hồ sơ, xem dịch vụ tư vấn hồ sơ đề xuất cấp độ của Musk-IS.
Điểm chính
- Luật An ninh mạng số 116/2025/QH15 chia hệ thống thông tin thành 5 cấp độ theo mức tổn hại; hệ thống đáp ứng nhiều tiêu chí thì lấy cấp cao nhất, và không được chia nhỏ hệ thống để hạ cấp.
- Dịch vụ trực tuyến xử lý dữ liệu cơ bản của từ 100.000 người hoặc dữ liệu nhạy cảm của từ 10.000 người, hoặc thuộc ngành nghề kinh doanh có điều kiện, là hệ thống cấp độ 3.
- Cấp độ 1 đến 3 do chủ quản tự tổ chức thẩm định, phê duyệt; cấp độ 4, 5 do Bộ Công an chủ trì thẩm định.
- Hệ thống đã xác định cấp độ theo luật cũ giữ nguyên cấp độ nhưng phải đáp ứng yêu cầu mới trong 12 tháng kể từ 01/07/2026.
Cấp độ an toàn hệ thống thông tin là gì?
Cấp độ an toàn hệ thống thông tin là kết quả phân loại một hệ thống thông tin vào một trong 5 cấp, căn cứ vào đối tượng và mức độ bị tổn hại nếu hệ thống bị tấn công, phá hoại. Cấp độ quyết định chủ quản phải áp dụng biện pháp bảo vệ nào, ai thẩm định hồ sơ và ai phê duyệt.
Điều 8 Luật An ninh mạng 116/2025/QH15 xếp mức tổn hại tăng dần. Cấp độ 1 gây tổn hại quyền, lợi ích hợp pháp của tổ chức, cá nhân. Cấp độ 2 gây tổn hại nghiêm trọng quyền lợi đó, hoặc tổn hại lợi ích công cộng. Cấp độ 3 gây tổn hại đặc biệt nghiêm trọng quyền lợi, nghiêm trọng lợi ích công cộng, hoặc tổn hại trật tự, an ninh quốc gia. Cấp độ 4 gây tổn hại đặc biệt nghiêm trọng lợi ích công cộng, trật tự, hoặc nghiêm trọng an ninh quốc gia. Cấp độ 5 gây tổn hại đặc biệt nghiêm trọng an ninh quốc gia.
Tên gọi cũng thay đổi theo luật mới. Trước đây văn bản dùng “an toàn hệ thống thông tin theo cấp độ”; nay Nghị định 331/2026/NĐ-CP dùng “bảo vệ an ninh mạng đối với hệ thống thông tin”. Khoản 2 Điều 39 Nghị định 331 nói rõ các tiêu chuẩn, quy chuẩn còn dùng thuật ngữ “an toàn thông tin mạng” hay “an toàn hệ thống thông tin” được hiểu tương đương “an ninh mạng”. Vì vậy “hồ sơ cấp độ an toàn hệ thống thông tin” và “hồ sơ đề xuất cấp độ” là cùng một việc.
Một hệ thống thông tin được xác định theo chức năng và dòng dữ liệu, không theo từng máy chủ. Nghị định 331 có hai nguyên tắc đáng chú ý: hệ thống đáp ứng tiêu chí của nhiều cấp thì lấy cấp cao nhất, và cấm chia tách hệ thống một cách hình thức để hạ cấp độ.
Khung pháp lý mới thay Nghị định 85/2016
Từ 01/07/2026, Luật An ninh mạng 116/2025/QH15 có hiệu lực và thay thế cả Luật An toàn thông tin mạng 86/2015/QH13 lẫn Luật An ninh mạng 24/2018/QH14. Ngày 19/08/2026, Chính phủ ban hành Nghị định 331/2026/NĐ-CP về bảo vệ an ninh mạng đối với hệ thống thông tin, có hiệu lực từ ngày ký, thay Nghị định 85/2016/NĐ-CP.
| Văn bản | Vai trò | Trạng thái |
|---|---|---|
| Luật An ninh mạng 116/2025/QH15 | Đặt nghĩa vụ, 5 cấp độ, trách nhiệm chủ quản | Hiệu lực 01/07/2026 |
| Nghị định 331/2026/NĐ-CP | Tiêu chí từng cấp, hồ sơ, thẩm quyền, thời hạn, chuyển tiếp | Hiệu lực 19/08/2026 |
| Nghị định 333/2026/NĐ-CP | Chi tiết thi hành Luật An ninh mạng (kiểm tra, đánh giá, ứng cứu sự cố…) | Hiệu lực 19/08/2026 |
| TCVN 14423:2026 “An ninh mạng – Hệ thống thông tin – Yêu cầu cơ bản” | Yêu cầu quản lý, kỹ thuật theo cấp độ; thay TCVN 14423:2025 và TCVN 11930:2017 | Còn hiệu lực |
| Nghị định 85/2016/NĐ-CP | Khung cũ | Đã được thay, chỉ còn dùng trong quy định chuyển tiếp |
Tại thời điểm viết bài (10/2026), chúng tôi chưa thấy thông tư mới hướng dẫn Nghị định 331. Thông tư 12/2022/TT-BTTTT trước đây hướng dẫn Nghị định 85/2016, nên các mẫu hồ sơ “chuẩn” đang lưu hành trên mạng thường là mẫu cũ, cần đối chiếu lại với Điều 21, 22 Nghị định 331 trước khi dùng.
5 cấp độ và tiêu chí phân loại theo Nghị định 331
Điều 11 đến 16 Nghị định 331 cụ thể hóa từng cấp bằng tiêu chí đo được. Với doanh nghiệp, ranh giới quan trọng nhất là giữa cấp độ 2 và 3, vì nó phụ thuộc vào số người có dữ liệu và ngành nghề kinh doanh.
| Cấp độ | Tiêu chí tiêu biểu (Nghị định 331) | Thẩm định, phê duyệt (Điều 18) |
|---|---|---|
| 1 | Hệ thống nội bộ chỉ xử lý thông tin công cộng | Đơn vị chuyên trách an ninh mạng của chủ quản thẩm định và phê duyệt |
| 2 | Hệ thống nội bộ có thông tin riêng, dữ liệu cá nhân; dịch vụ trực tuyến không thuộc ngành nghề kinh doanh có điều kiện và xử lý dữ liệu cơ bản dưới 100.000 người hoặc dữ liệu nhạy cảm dưới 10.000 người | Như cấp độ 1 |
| 3 | Dịch vụ trực tuyến thuộc ngành nghề kinh doanh có điều kiện; hoặc xử lý dữ liệu cơ bản từ 100.000 người hoặc dữ liệu nhạy cảm từ 10.000 người; hệ thống giải quyết thủ tục hành chính; hệ thống điều khiển công nghiệp của công trình cấp II–IV | Đơn vị chuyên trách thẩm định, chủ quản phê duyệt |
| 4 | Hệ thống thông tin quốc gia, hạ tầng phục vụ toàn quốc vận hành 24/7; hệ thống điều khiển công nghiệp của công trình cấp I | Bộ Công an chủ trì thẩm định, chủ quản phê duyệt |
| 5 | Hệ thống quan trọng về an ninh quốc gia: lưu trữ tập trung dữ liệu đặc biệt quan trọng, hạ tầng kết nối quốc tế… | Bộ Công an chủ trì thẩm định; Thủ tướng phê duyệt danh mục |
Ngưỡng dữ liệu cá nhân gắn với cách phân loại dữ liệu trong Luật Bảo vệ dữ liệu cá nhân 2025: 100.000 người với dữ liệu cơ bản, nhưng chỉ 10.000 người với dữ liệu nhạy cảm như sức khỏe, sinh trắc học, tài khoản ngân hàng. Một ứng dụng phòng khám có 15.000 bệnh nhân đã vượt ngưỡng cấp độ 3, trong khi một cổng khách hàng chỉ lưu họ tên, số điện thoại của 50.000 người, không thuộc ngành nghề kinh doanh có điều kiện, vẫn ở cấp độ 2.
“Ngành nghề kinh doanh có điều kiện” là danh mục theo Luật Đầu tư, gồm các lĩnh vực như trung gian thanh toán, kinh doanh bảo hiểm, chứng khoán. Nên kiểm tra mã ngành của doanh nghiệp trước, vì chỉ cần thuộc danh mục là dịch vụ trực tuyến đã lên cấp độ 3, dù số người dùng còn ít.
Người dùng hay tìm “đánh giá an toàn thông tin theo cấp độ”. Đây là hai việc khác nhau. Xác định cấp độ trả lời câu hỏi hệ thống thuộc cấp mấy. Đánh giá theo cấp độ kiểm tra xem biện pháp đang có đã đủ cho cấp đó chưa. Việc thứ hai chỉ làm được khi việc thứ nhất đã xong.
Bảng tự xác định sơ bộ dưới đây giúp ước lượng nhanh trước khi đối chiếu chi tiết với Điều 11–16:
| Câu hỏi | Nếu “có” |
|---|---|
| Hệ thống chỉ dùng nội bộ và chỉ chứa thông tin công khai? | Thường là cấp độ 1 |
| Hệ thống nội bộ có thông tin riêng hoặc dữ liệu cá nhân (nhân sự, khách hàng)? | Ít nhất cấp độ 2 |
| Có cung cấp dịch vụ trực tuyến cho người dân, doanh nghiệp (app, cổng khách hàng, website giao dịch)? | Ít nhất cấp độ 2, xét tiếp hai câu dưới |
| Dịch vụ thuộc ngành nghề kinh doanh có điều kiện? | Cấp độ 3 |
| Xử lý dữ liệu cơ bản từ 100.000 người hoặc dữ liệu nhạy cảm từ 10.000 người? | Cấp độ 3 |
| Là hệ thống quốc gia, hạ tầng toàn quốc 24/7, hoặc điều khiển công trình cấp I? | Cấp độ 4 trở lên, cần Bộ Công an thẩm định |
Doanh nghiệp tư nhân có phải lập hồ sơ cấp độ không?
Theo Điều 2 Nghị định 331, nghị định áp dụng với hệ thống thông tin phục vụ hoạt động của cơ quan, tổ chức nhà nước và hệ thống ứng dụng công nghệ thông tin để cung cấp dịch vụ trực tuyến phục vụ người dân, doanh nghiệp; tổ chức, cá nhân khác được khuyến khích áp dụng. Doanh nghiệp tư nhân có app, cổng khách hàng hay nền tảng giao dịch trực tuyến vì vậy thuộc phạm vi phải xác định cấp độ.
Với hệ thống chỉ phục vụ nội bộ như ERP, phần mềm nhân sự, nghị định dùng chữ “khuyến khích”, không phải bắt buộc. Tuy nhiên Luật An ninh mạng vẫn đặt nghĩa vụ bảo vệ hệ thống cho chủ quản, và khách hàng doanh nghiệp, ngân hàng ngày càng hỏi về cấp độ khi đánh giá nhà cung cấp. Nhiều doanh nghiệp chọn xác định cấp độ cho cả hệ thống nội bộ quan trọng để có khung bảo vệ rõ ràng.
Vài ví dụ thường gặp thuộc nhóm phải xác định: ứng dụng ví điện tử hoặc cho vay ngang hàng, phòng khám có đặt lịch và trả kết quả trực tuyến, trường tư có cổng thông tin cho phụ huynh, công ty logistics có cổng tra cứu vận đơn cho khách. Cổng dành cho nhà cung cấp của một nhà máy FDI cũng là dịch vụ trực tuyến phục vụ doanh nghiệp, dù nhiều nơi vẫn coi đó là hệ thống nội bộ.
Với doanh nghiệp, chủ quản hệ thống là cấp có thẩm quyền quyết định đầu tư, thiết lập, nâng cấp hệ thống, thường là ban giám đốc hoặc hội đồng quản trị. Nếu thuê dịch vụ (cloud, phần mềm), đơn vị vận hành thực hiện theo hợp đồng, và hợp đồng phải nói rõ trách nhiệm quản trị dữ liệu, kiểm soát truy cập, an ninh mạng.
Hồ sơ đề xuất cấp độ gồm những gì?
Theo Điều 21 Nghị định 331, hồ sơ đề xuất cấp độ gồm 5 thành phần: tài liệu mô tả tổng quan hệ thống; tài liệu thiết kế; thuyết minh đề xuất cấp độ dựa trên tiêu chí luật định; thuyết minh phương án bảo đảm an ninh mạng tương ứng cấp độ; và, với cấp độ 4, 5, ý kiến của đơn vị chuyên trách an ninh mạng.
Với hệ thống đang vận hành, tài liệu thiết kế là thiết kế đã được phê duyệt hoặc tài liệu tương đương; với dự án mới là thiết kế sơ bộ. Điều 19 cho phép dự án mới lồng phần thuyết minh cấp độ vào báo cáo nghiên cứu khả thi hoặc kế hoạch thuê dịch vụ, nên làm ngay từ khâu lập dự án sẽ đỡ phải làm lại. Điều 22 yêu cầu mô tả chi tiết như địa chỉ IP, phân vùng mạng; hệ thống cấp độ 4, 5 còn cần báo cáo đánh giá rủi ro chi tiết.
Khác biệt giữa “hồ sơ đề xuất cấp độ 2” và “cấp độ 3” không nằm ở số thành phần mà ở độ sâu của phương án bảo vệ và người thẩm định. Hồ sơ cấp độ 3 phải qua đơn vị chuyên trách thẩm định độc lập với người viết hồ sơ, và phương án phải đáp ứng nhóm yêu cầu nặng hơn trong TCVN 14423:2026.
| Checklist hồ sơ | Ghi chú |
|---|---|
| Danh sách hệ thống thông tin, phạm vi theo chức năng và dòng dữ liệu | Không tách nhỏ để hạ cấp |
| Mô tả tổng quan: mục đích, người dùng, loại thông tin, số lượng chủ thể dữ liệu | Căn cứ ngưỡng 100.000 / 10.000 |
| Tài liệu thiết kế, sơ đồ mạng, địa chỉ IP, phân vùng | Phải khớp hiện trạng, không chỉ thiết kế trên giấy |
| Thuyết minh đề xuất cấp độ theo đúng điều khoản tiêu chí | Ghi rõ tiêu chí nào áp dụng |
| Phương án bảo đảm an ninh mạng theo TCVN 14423:2026 | Gồm yêu cầu quản lý và kỹ thuật |
| Quy chế an ninh mạng của chủ quản | Phải ban hành trước khi phê duyệt hồ sơ (Điều 30) |
| Ý kiến đơn vị chuyên trách, báo cáo đánh giá rủi ro chi tiết | Bắt buộc với cấp độ 4, 5 |
Ai thẩm định, ai phê duyệt và mất bao lâu?
Theo Điều 18 Nghị định 331, hồ sơ cấp độ 1 đến 3 do chính tổ chức xử lý: cấp độ 1, 2 do đơn vị chuyên trách an ninh mạng của chủ quản thẩm định và phê duyệt; cấp độ 3 do đơn vị chuyên trách thẩm định, chủ quản phê duyệt. Cấp độ 4, 5 do Bộ Công an chủ trì thẩm định (Bộ Quốc phòng với hệ thống quân sự, Ban Cơ yếu Chính phủ với hệ thống cơ yếu).
Điều 23 quy định thời hạn tính từ khi nhận đủ hồ sơ hợp lệ: phản hồi, hướng dẫn bổ sung hồ sơ chưa hợp lệ tối đa 05 ngày làm việc; thẩm định cấp độ 3 tối đa 15 ngày làm việc; cấp độ 4 hoặc 5 tối đa 25 ngày làm việc. Điều 24 cho thời hạn phê duyệt tối đa 07 ngày làm việc.
Một điểm doanh nghiệp hay bỏ qua: nếu đơn vị chuyên trách an ninh mạng cũng là đơn vị vận hành hệ thống, Điều 18 yêu cầu giao thẩm định cho một đơn vị trực thuộc khác hoặc hội đồng thẩm định độc lập. Phòng IT không nên tự viết rồi tự thẩm định hồ sơ của chính hệ thống mình vận hành.
Ở doanh nghiệp tư nhân vừa và nhỏ, chỗ vướng đầu tiên thường là chưa có “đơn vị chuyên trách an ninh mạng” trên sơ đồ tổ chức. Trước khi lập hồ sơ, nên có quyết định giao nhiệm vụ này cho một bộ phận hoặc nhóm cụ thể, tách khỏi người vận hành hệ thống, để khâu thẩm định nội bộ có người đủ thẩm quyền ký.
Trên thực tế, phần lớn thời gian không nằm ở các mốc ngày luật định mà ở khâu chuẩn bị: thống nhất phạm vi hệ thống, lấy sơ đồ mạng đúng hiện trạng và viết phương án bảo vệ đủ cụ thể để người thẩm định không phải hỏi lại.
Quy định chuyển tiếp cho hệ thống có trước 01/07/2026
Có hai trường hợp chuyển tiếp, áp dụng hai điều khoản khác nhau, và nhiều tài liệu đang gộp sai thành một.
Hệ thống đã được xác định cấp độ theo Luật An toàn thông tin mạng 2015: theo khoản 1 Điều 45 Luật An ninh mạng 116/2025/QH15, hệ thống giữ nguyên cấp độ đã xác định, nhưng trong 12 tháng kể từ 01/07/2026 phải bảo đảm điều kiện, tiêu chuẩn, biện pháp bảo vệ theo luật mới.
Hệ thống đang trong quá trình đầu tư, xây dựng trước 01/07/2026: theo khoản 1 Điều 39 Nghị định 331, trong 06 tháng kể từ ngày Luật An ninh mạng có hiệu lực phải hoàn thành thẩm định, phê duyệt cấp độ theo Nghị định 85/2016; trong 12 tháng phải đáp ứng biện pháp bảo vệ theo Nghị định 331.
Mốc 12 tháng của cả hai trường hợp đều rơi vào khoảng tháng 7/2027. Với dự án đang triển khai dở, mốc 6 tháng kết thúc vào khoảng đầu năm 2027, tức chỉ còn rất ít thời gian kể từ khi bài này được viết.
Lấy ví dụ một công ty có cổng khách hàng được phê duyệt cấp độ 3 năm 2023 theo Nghị định 85. Công ty không phải làm lại hồ sơ đề xuất cấp độ, nhưng phải rà phương án bảo vệ theo TCVN 14423:2026, ban hành quy chế an ninh mạng nếu chưa có, và hoàn tất các biện pháp còn thiếu trước khoảng tháng 7/2027. Nếu trong thời gian đó cổng khách hàng mở thêm tính năng lưu dữ liệu sức khỏe hoặc thanh toán, cần đánh giá lại xem cấp độ có thay đổi không.
Sau phê duyệt: biện pháp bảo vệ, báo cáo và kiểm tra
Phê duyệt cấp độ chỉ là bước đầu. Theo Điều 28–30 Nghị định 331, chủ quản phải triển khai biện pháp theo tiêu chuẩn quốc gia “An ninh mạng – Hệ thống thông tin – Yêu cầu cơ bản”, tức TCVN 14423:2026, gồm 7 nhóm yêu cầu quản lý và 4 nhóm yêu cầu kỹ thuật cho mạng, máy chủ, ứng dụng và dữ liệu.
Nhóm yêu cầu quản lý có nhiều điểm trùng với hệ thống quản lý an toàn thông tin theo ISO 27001: chính sách, phân công trách nhiệm, quản lý rủi ro, ứng phó sự cố. Doanh nghiệp đã có ISMS thường tận dụng được phần lớn tài liệu, nhưng vẫn phải đối chiếu từng yêu cầu của tiêu chuẩn Việt Nam theo đúng cấp độ.
Hệ thống cấp độ 3, 4 đặt trên trung tâm dữ liệu hoặc điện toán đám mây dùng chung hạ tầng vật lý phải tách biệt logic về hệ thống, vùng mạng và phân vùng lưu trữ (khoản 8 Điều 30). Điều 35 yêu cầu chủ quản gửi báo cáo hằng năm về Bộ Công an trước ngày 25/12. Khi hệ thống thay đổi, ví dụ số người dùng vượt ngưỡng, chủ quản đánh giá lại và lập hồ sơ xác định lại cấp độ như lần đầu.
Hồ sơ cấp độ và hồ sơ DPIA theo Luật Bảo vệ dữ liệu cá nhân dùng chung nhiều đầu vào: danh sách hệ thống, sơ đồ mạng, dòng dữ liệu, số lượng người có dữ liệu. Làm hai hồ sơ cùng lúc giúp hai bộ tài liệu mô tả cùng một hệ thống theo cùng một cách, tránh chuyện mỗi hồ sơ ghi một số liệu khác nhau. Ở nhiều doanh nghiệp, người giữ hồ sơ DPIA là nhân sự bảo vệ dữ liệu cá nhân; điều kiện của vị trí này có trong bài DPO là gì.
Để biết biện pháp đang có đã đủ cho cấp độ được duyệt hay chưa, nhiều doanh nghiệp làm một đợt dịch vụ đánh giá an ninh mạng độc lập trước kỳ báo cáo, thay vì đợi cơ quan chức năng kiểm tra.
Hiểu lầm thường gặp khi xác định cấp độ
Bốn hiểu lầm dưới đây đến từ việc dùng tài liệu theo quy định cũ hoặc đọc lướt tiêu chí mới.
“Cứ làm theo mẫu của Nghị định 85 và Thông tư 12 là được.” Nghị định 85/2016 đã được thay bằng Nghị định 331/2026, với tiêu chí, thành phần hồ sơ và thẩm quyền mới. Mẫu cũ chỉ còn ý nghĩa với dự án thuộc diện chuyển tiếp theo khoản 1 Điều 39. Dùng mẫu cũ cho hệ thống mới dễ bị yêu cầu bổ sung ngay ở vòng đầu.
“Hồ sơ cấp độ nào cũng phải nộp Bộ Công an.” Chỉ cấp độ 4, 5 do Bộ Công an chủ trì thẩm định. Cấp độ 1 đến 3 do đơn vị chuyên trách của chính chủ quản thẩm định và chủ quản phê duyệt, nhưng chủ quản vẫn phải gửi báo cáo hằng năm.
“Có từ 10.000 người dùng là cấp độ 3.” Ngưỡng 10.000 chỉ áp dụng với dữ liệu nhạy cảm. Với dữ liệu cơ bản, ngưỡng là 100.000 người, trừ khi dịch vụ thuộc ngành nghề kinh doanh có điều kiện.
“Tách hệ thống ra thành nhiều phần nhỏ để mỗi phần chỉ cấp độ 2.” Nghị định 331 cấm chia tách hình thức để hạ cấp độ; hệ thống được xác định theo chức năng và dòng dữ liệu, và khi đáp ứng nhiều tiêu chí thì lấy cấp cao nhất.
Trước ngày 25/12, chủ quản hệ thống nên làm gì?
Việc nên làm trước tiên là lập danh sách mọi hệ thống có phục vụ người dùng bên ngoài, ghi số người có dữ liệu cơ bản và dữ liệu nhạy cảm, và kiểm tra ngành nghề kinh doanh có điều kiện. Ba thông tin này đủ để biết hệ thống nào cấp độ 2, hệ thống nào cấp độ 3, và hệ thống nào đã có hồ sơ theo luật cũ cần nâng cấp biện pháp trước mốc 12 tháng.
Nếu cần người làm từ khảo sát đến khi hồ sơ được phê duyệt, Musk-IS hỗ trợ lập hồ sơ cấp độ an toàn hệ thống thông tin theo Nghị định 331/2026 và TCVN 14423:2026. Bạn cũng có thể nhờ chuyên gia rà soát hiện trạng trước khi quyết định.
Câu hỏi thường gặp về hồ sơ cấp độ
Có mấy cấp độ an toàn hệ thống thông tin?
Có 5 cấp độ, từ 1 đến 5, theo Điều 8 Luật An ninh mạng 116/2025/QH15 và Nghị định 331/2026/NĐ-CP. Cấp độ tăng theo đối tượng và mức tổn hại: từ quyền lợi của tổ chức, cá nhân ở cấp độ 1 đến an ninh quốc gia ở cấp độ 5. Hệ thống đáp ứng tiêu chí của nhiều cấp được xếp vào cấp cao nhất.
Hồ sơ cấp độ đã phê duyệt theo Nghị định 85/2016 còn dùng được không?
Còn. Theo khoản 1 Điều 45 Luật An ninh mạng 116/2025/QH15, hệ thống đã xác định cấp độ theo luật cũ giữ nguyên cấp độ. Tuy nhiên trong 12 tháng kể từ 01/07/2026, hệ thống phải đáp ứng điều kiện, tiêu chuẩn và biện pháp bảo vệ theo luật mới, nên phương án bảo vệ cũ thường phải rà soát lại theo TCVN 14423:2026.
Doanh nghiệp tư nhân có phải lập hồ sơ cấp độ không?
Có nếu hệ thống cung cấp dịch vụ trực tuyến phục vụ người dân, doanh nghiệp, vì Điều 2 Nghị định 331 áp dụng với nhóm hệ thống này. Hệ thống chỉ phục vụ nội bộ thì nghị định khuyến khích áp dụng. Với doanh nghiệp, chủ quản là cấp có thẩm quyền quyết định đầu tư hệ thống, thường là ban giám đốc.
Hồ sơ đề xuất cấp độ 2 và cấp độ 3 khác nhau thế nào?
Cả hai đều gồm mô tả tổng quan, tài liệu thiết kế, thuyết minh đề xuất cấp độ và phương án bảo đảm an ninh mạng theo Điều 21 Nghị định 331. Khác biệt nằm ở thẩm quyền và độ sâu: cấp độ 2 do đơn vị chuyên trách của chủ quản thẩm định và phê duyệt, cấp độ 3 do đơn vị chuyên trách thẩm định trong tối đa 15 ngày làm việc rồi chủ quản phê duyệt, với yêu cầu bảo vệ nặng hơn.
Thẩm định hồ sơ cấp độ mất bao lâu?
Theo Điều 23 Nghị định 331, tính từ khi nhận đủ hồ sơ hợp lệ: thẩm định cấp độ 3 tối đa 15 ngày làm việc, cấp độ 4 hoặc 5 tối đa 25 ngày làm việc; hồ sơ chưa hợp lệ được phản hồi trong 05 ngày làm việc. Sau thẩm định, phê duyệt tối đa 07 ngày làm việc theo Điều 24.
Tài liệu tham khảo
- Nghị định 331/2026/NĐ-CP về bảo vệ an ninh mạng đối với hệ thống thông tin – Tiêu chí 5 cấp độ, hồ sơ, thẩm quyền, thời hạn, chuyển tiếp. Chính phủ · 19/08/2026
- Quy định mới về bảo vệ an ninh mạng đối với hệ thống thông tin – Giới thiệu Nghị định 331/2026 của Bộ Công an. Bộ Công an · 10/09/2026
- Biện pháp bảo vệ an ninh mạng đối với hệ thống thông tin – Tóm tắt Nghị định 331/2026. Báo Điện tử Chính phủ · 21/08/2026
