Nghị định 331/2026: 5 cấp độ bảo vệ an ninh mạng

Thiết lập khung quản lý an ninh mạng theo 5 cấp độ

Chính phủ đã ban hành Nghị định 331/2026/NĐ-CP quy định chi tiết nhiều nội dung của Luật An ninh mạng liên quan đến hệ thống thông tin.

Thay vì áp dụng một mức độ bảo vệ giống nhau cho mọi hệ thống, Nghị định xây dựng phương thức quản lý dựa trên mức độ quan trọng và rủi ro an ninh mạng. Hệ thống được phân thành 5 cấp độ, từ cấp độ 1 đến cấp độ 5.

Cấp độ càng cao đồng nghĩa với yêu cầu bảo vệ càng nghiêm ngặt, đặc biệt khi hệ thống liên quan đến dữ liệu nhạy cảm, hoạt động thiết yếu của Nhà nước, hạ tầng quan trọng hoặc an ninh quốc gia.

Cách tiếp cận này giúp cơ quan, tổ chức xác định được mức đầu tư và biện pháp bảo vệ phù hợp với tính chất của hệ thống, đồng thời tập trung nguồn lực vào những hệ thống có nguy cơ gây hậu quả lớn nếu xảy ra sự cố.

Cấp độ 1: Hệ thống phục vụ hoạt động nội bộ

Đây là mức thấp nhất trong hệ thống phân loại.

Hệ thống cấp độ 1 chủ yếu phục vụ hoạt động nội bộ của cơ quan, tổ chức và chỉ xử lý thông tin công cộng. Việc đánh giá rủi ro được thực hiện theo Khung quản lý rủi ro an ninh mạng.

Mặc dù mức độ tác động khi xảy ra sự cố thấp hơn các cấp còn lại, hệ thống vẫn phải được quản lý và bảo vệ phù hợp, thay vì được xem là hoàn toàn không có rủi ro.

Điểm đáng chú ý là Nghị định đặt việc đánh giá rủi ro làm một trong những cơ sở để xác định cấp độ. Điều này cho phép việc phân loại có thể phản ánh thực chất hơn đặc điểm của từng hệ thống.

Cấp độ 2: Bắt đầu xử lý dữ liệu cá nhân và dịch vụ trực tuyến

Hệ thống có thể thuộc cấp độ 2 nếu phục vụ hoạt động nội bộ nhưng bắt đầu xử lý thông tin riêng hoặc thông tin cá nhân của người sử dụng và không xử lý thông tin bí mật nhà nước.

Ngoài ra, một số hệ thống cung cấp dịch vụ trực tuyến cho người dân, doanh nghiệp cũng được xếp vào cấp độ này.

Đáng chú ý, Nghị định sử dụng ngưỡng số lượng chủ thể dữ liệu để phân biệt mức độ của một số hệ thống. Đối với dịch vụ trực tuyến có xử lý dữ liệu cá nhân, hệ thống có thể thuộc cấp độ 2 nếu xử lý dữ liệu của dưới 100.000 chủ thể đối với dữ liệu cá nhân cơ bản hoặc dưới 10.000 chủ thể đối với dữ liệu cá nhân nhạy cảm.

Các hệ thống cơ sở hạ tầng thông tin phục vụ hoạt động của một cơ quan, tổ chức cũng có thể thuộc cấp độ 2.

Cấp độ 3: Hệ thống có mức độ tác động lớn hơn

Cấp độ 3 áp dụng đối với những hệ thống có mức độ quan trọng và phạm vi tác động cao hơn.

Nhóm này bao gồm hệ thống xử lý thông tin bí mật nhà nước hoặc hệ thống phục vụ quốc phòng, an ninh mà nếu bị phá hoại có thể gây tổn hại đến an ninh quốc gia.

Bên cạnh đó, một số hệ thống phục vụ người dân và doanh nghiệp cũng được xếp vào cấp độ 3, chẳng hạn:

• Hệ thống cung cấp dịch vụ trực tuyến thuộc ngành, nghề kinh doanh có điều kiện;
• Hệ thống giải quyết thủ tục hành chính;
• Hệ thống cung cấp dịch vụ trực tuyến xử lý dữ liệu cá nhân với quy mô lớn.

Đối với dữ liệu cá nhân, ngưỡng được nâng lên từ 100.000 chủ thể đối với dữ liệu cơ bản hoặc 10.000 chủ thể đối với dữ liệu nhạy cảm trở lên.

Ngoài ra, hệ thống hạ tầng thông tin phục vụ nhiều cơ quan, tổ chức trong phạm vi một bộ, ngành, một tỉnh hoặc một số tỉnh cũng có thể thuộc cấp độ này.

Cấp độ 4: Hệ thống vận hành trên phạm vi rộng

Cấp độ 4 được dành cho những hệ thống có vai trò đặc biệt quan trọng đối với hoạt động của cơ quan nhà nước, hạ tầng thông tin hoặc các công trình có yêu cầu cao về an toàn và liên tục vận hành.

Một trong những trường hợp tiêu biểu là hệ thống thông tin quốc gia phục vụ phát triển Chính phủ điện tử hoặc hạ tầng thông tin hoạt động trên phạm vi toàn quốc.

Đặc biệt, hệ thống thuộc nhóm này phải đáp ứng yêu cầu vận hành 24/7 và không chấp nhận việc dừng hoạt động nếu không có kế hoạch từ trước.

Hệ thống điều khiển công nghiệp trực tiếp phục vụ vận hành công trình xây dựng cấp I cũng có thể được xác định là hệ thống cấp độ 4.

Đối với các hệ thống này, sự cố không đơn thuần gây gián đoạn một hoạt động nội bộ mà có khả năng ảnh hưởng đến hoạt động của nhiều cơ quan, tổ chức hoặc dịch vụ trên phạm vi rộng.

Cấp độ 5: Mức bảo vệ cao nhất

Cấp độ 5 là mức cao nhất trong hệ thống phân loại.

Những hệ thống được xác định ở cấp độ này có thể liên quan trực tiếp đến các lợi ích đặc biệt quan trọng của quốc gia, chẳng hạn hệ thống xử lý thông tin bí mật nhà nước hoặc phục vụ quốc phòng, an ninh mang tính chiến lược.

Ngoài ra, cấp độ 5 còn có thể bao gồm:

• Hệ thống lưu trữ tập trung những dữ liệu đặc biệt quan trọng của quốc gia;
• Hạ tầng thông tin quốc gia kết nối Việt Nam với quốc tế;
• Hệ thống điều khiển công nghiệp phục vụ công trình cấp đặc biệt;
• Hệ thống phục vụ công trình quan trọng liên quan đến an ninh quốc gia.

Đáng chú ý, hệ thống thông tin cấp độ 5 được xác định là hệ thống thông tin quan trọng về an ninh quốc gia.

Đây là ranh giới quan trọng trong cơ chế quản lý bởi khi hệ thống có mức độ ảnh hưởng đặc biệt nghiêm trọng đến an ninh quốc gia, yêu cầu kiểm soát và bảo vệ sẽ được đặt ở mức cao nhất.

Khi nào một hệ thống được xem là quan trọng về an ninh quốc gia?

Nghị định không chỉ căn cứ vào tên gọi hoặc lĩnh vực hoạt động của hệ thống mà còn xem xét hậu quả có thể xảy ra khi hệ thống bị xâm nhập, phá hoại hoặc mất khả năng vận hành.

Một hệ thống có thể được xác định là quan trọng về an ninh quốc gia nếu phục vụ chỉ đạo, điều hành các công trình quan trọng liên quan đến an ninh quốc gia hoặc các công trình viễn thông quan trọng thuộc diện này.

Ngoài ra, hệ thống thuộc những lĩnh vực được Luật An ninh mạng quy định cũng có thể được xác định là hệ thống quan trọng nếu sự cố gây ra hậu quả đặc biệt nghiêm trọng.

Các hậu quả được xem xét có thể liên quan đến:

• Chủ quyền, độc lập và toàn vẹn lãnh thổ;
• An ninh quốc gia và năng lực phòng thủ;
• Nền kinh tế quốc dân;
• Đời sống con người và môi trường;
• Hoạt động của công trình cấp đặc biệt;
• Hoạch định chủ trương, chính sách thuộc phạm vi bí mật nhà nước;
• Hoạt động chỉ đạo, điều hành của các cơ quan Đảng, Nhà nước ở Trung ương.

Như vậy, mức độ hậu quả tiềm ẩn của sự cố là yếu tố đặc biệt quan trọng khi xác định mức độ quan trọng của hệ thống.

Bảo vệ an ninh mạng phải được thực hiện trong toàn bộ vòng đời hệ thống

Một điểm đáng chú ý của Nghị định là yêu cầu bảo đảm an ninh mạng không chỉ đặt ra khi hệ thống đã đi vào vận hành.

Cơ quan, tổ chức phải xây dựng các quy định bảo đảm an ninh mạng ngay từ quá trình thiết kế, xây dựng, tiếp tục duy trì trong quá trình quản lý, vận hành, sử dụng, nâng cấp và cả khi hệ thống được hủy bỏ.

Điều này cho thấy an ninh mạng được tiếp cận theo hướng bảo vệ xuyên suốt vòng đời, thay vì chỉ tập trung xử lý khi xảy ra sự cố.

Các biện pháp còn bao gồm lưu trữ, sao lưu và bảo vệ những thành phần cấu thành hệ thống theo tiêu chuẩn quốc gia về an ninh mạng và các tiêu chuẩn, quy chuẩn kỹ thuật có liên quan.

Đánh giá an ninh mạng trước khi đưa hệ thống vào hoạt động

Trước khi hệ thống chính thức được đưa vào vận hành, tổ chức có trách nhiệm đánh giá mức độ đáp ứng các điều kiện an ninh mạng.

Hoạt động này nhằm xác định liệu hệ thống đã đáp ứng các yêu cầu cần thiết để vận hành an toàn hay chưa.

Song song với đó, tổ chức phải thực hiện việc xác định cấp độ và lập hồ sơ đề xuất cấp độ hệ thống thông tin. Đối với các hệ thống thuộc diện cần thiết, hồ sơ và thiết kế còn phải được thẩm định về an ninh mạng theo trình tự được Nghị định quy định.

Cơ chế này giúp đưa yêu cầu bảo mật vào ngay từ giai đoạn đầu, qua đó hạn chế nguy cơ phải khắc phục những lỗ hổng lớn sau khi hệ thống đã vận hành.

Kết hợp biện pháp quản lý với giải pháp kỹ thuật

Nghị định không chỉ yêu cầu đầu tư vào công nghệ bảo mật mà đặt ra hai nhóm giải pháp song song gồm biện pháp quản lý và biện pháp kỹ thuật.

Các biện pháp này phải được triển khai phù hợp với cấp độ của hệ thống, tiêu chuẩn quốc gia về an ninh mạng và các tiêu chuẩn, quy chuẩn kỹ thuật khác theo quy định.

Cách tiếp cận này có ý nghĩa thực tiễn bởi một hệ thống dù được trang bị công nghệ bảo mật hiện đại nhưng thiếu quy trình quản lý, phân quyền hoặc kiểm soát vận hành vẫn có thể phát sinh rủi ro.

Do đó, trách nhiệm bảo vệ an ninh mạng được đặt trong tổng thể quản trị hệ thống, thay vì chỉ giao cho bộ phận kỹ thuật.

Tăng cường giám sát và ứng phó sự cố

Bảo vệ hệ thống không dừng lại ở việc phòng ngừa. Khi xảy ra sự cố, khả năng phát hiện, ứng phó và khắc phục cũng là một phần quan trọng của cơ chế bảo đảm an ninh mạng.

Theo Nghị định, Bộ trưởng Bộ Công an có trách nhiệm quy định về hoạt động giám sát an ninh mạng, ứng phó và khắc phục sự cố an ninh mạng đối với hệ thống thông tin.

Quy định này tạo cơ sở để hình thành một quy trình bảo vệ liên tục: từ nhận diện rủi ro, phòng ngừa, giám sát đến xử lý và khôi phục khi có sự cố.