Chính phủ ban hành 7 Nghị định an ninh mạng: Doanh nghiệp cần chuẩn bị gì?

Một khung pháp lý mới về an ninh mạng đang được hình thành rõ hơn tại Việt Nam. Thay vì chỉ tập trung vào nguyên tắc chung, nhóm 7 Nghị định vừa được ban hành đi sâu vào trách nhiệm của chủ quản hệ thống thông tin, nhà cung cấp dịch vụ, tổ chức xử lý dữ liệu cũng như doanh nghiệp kinh doanh sản phẩm và dịch vụ an ninh mạng.

Động thái này diễn ra sau khi Luật An ninh mạng năm 2025 có hiệu lực từ ngày 1/7/2026. Luật mới hợp nhất nhiều nội dung trước đây nằm tại Luật An toàn thông tin mạng năm 2015 và Luật An ninh mạng năm 2018, hướng tới một cơ chế quản lý thống nhất hơn đối với không gian mạng.

Doanh nghiệp có thể tham khảo thêm phần tổng quan về Luật An ninh mạng 2025 và những thay đổi trong quản trị không gian số để đặt nhóm Nghị định mới trong bối cảnh pháp lý rộng hơn.

7 Nghị định mới bao phủ những vấn đề nào về an ninh mạng?

Ngày 19/8/2026, Chính phủ ban hành liên tiếp Nghị định 327 đến Nghị định 333. Các văn bản tạo thành một nhóm quy định tương đối toàn diện, từ phòng ngừa hành vi xâm phạm an ninh quốc gia đến bảo vệ hệ thống, dữ liệu cá nhân và điều kiện kinh doanh dịch vụ an ninh mạng.

Những quy định nào tác động trực tiếp nhất đến hoạt động doanh nghiệp?

Với phần lớn doanh nghiệp không hoạt động trong lĩnh vực nền tảng Internet, ba văn bản cần được chú ý trước là Nghị định 330, 331 và các nghĩa vụ liên quan tại Nghị định 327. Đối với doanh nghiệp cung cấp dịch vụ trên Internet, Nghị định 333 trở thành một văn bản đặc biệt quan trọng.

Nghị định 327 yêu cầu chủ quản hệ thống thông tin và nhà cung cấp dịch vụ chủ động áp dụng biện pháp quản lý và kỹ thuật để nhận diện nguy cơ, giám sát và phát hiện sớm hành vi có dấu hiệu vi phạm. Khi phát hiện dấu hiệu vi phạm, các chủ thể liên quan còn có trách nhiệm hạn chế hậu quả, bảo toàn dữ liệu điện tử và phối hợp với cơ quan có thẩm quyền. Trong một số yêu cầu cung cấp thông tin, dữ liệu điện tử, thời hạn được quy định là tối đa 24 giờ đối với trường hợp thông thường và 3 giờ đối với tình huống khẩn cấp.

Nghị định 331 tiếp tục chuyển yêu cầu bảo mật từ khái niệm chung sang cơ chế quản trị theo cấp độ hệ thống thông tin từ 1 đến 5. Chẳng hạn, hệ thống phục vụ người dân hoặc doanh nghiệp có xử lý dữ liệu cá nhân từ 100.000 chủ thể dữ liệu cơ bản trở lên, hoặc từ 10.000 chủ thể dữ liệu nhạy cảm trở lên, có thể thuộc một trong các tiêu chí của hệ thống cấp độ 3.

Các biện pháp bảo vệ được nêu gồm xây dựng quy định an ninh mạng xuyên suốt vòng đời hệ thống, lưu trữ và sao lưu, xác định và lập hồ sơ cấp độ, thẩm định, đánh giá điều kiện trước khi vận hành và áp dụng các biện pháp kỹ thuật phù hợp.

Nghị định 330 thay đổi bài toán bảo vệ dữ liệu cá nhân như thế nào?

Nghị định 330/2026/NĐ-CP tạo thêm cơ chế thực thi đối với các nghĩa vụ về an ninh mạng và bảo vệ dữ liệu cá nhân. Văn bản gồm 82 điều, quy định hành vi vi phạm, hình thức xử phạt, mức xử phạt, biện pháp khắc phục hậu quả và thẩm quyền xử lý.

Báo Điện tử Chính phủ dẫn một số trường hợp đáng chú ý: hành vi chống đối hoặc cản trở hoạt động bảo vệ dữ liệu cá nhân có thể bị phạt đến 60 triệu đồng; xử lý dữ liệu cá nhân được thu thập khi chưa có sự đồng ý của chủ thể dữ liệu có thể bị phạt đến 50 triệu đồng.

Một số vi phạm liên quan đến tiếp tục xử lý dữ liệu sau yêu cầu ngừng hoặc coi sự im lặng của chủ thể là đồng ý cũng được quy định mức xử phạt riêng.

Điều này khiến bài toán bảo vệ dữ liệu không thể chỉ giao cho phòng pháp chế. Quy trình thu thập consent, phân quyền truy cập, lưu trữ, xóa dữ liệu, nhật ký xử lý và cơ chế phản hồi yêu cầu của chủ thể dữ liệu đều phụ thuộc vào hệ thống CNTT thực tế.

👉 Doanh nghiệp đang rà lại chương trình quản trị dữ liệu có thể đối chiếu thêm với các nguyên tắc và hành vi cần lưu ý theo Luật Bảo vệ dữ liệu cá nhân.

Với dữ liệu nhạy cảm hoặc dữ liệu lưu trên Cloud, mã hóa và kiểm soát quyền truy cập nên được xem là một phần của chiến lược giảm thiểu rủi ro, thay vì biện pháp bổ sung sau sự cố.

Nghị định 328 và 333 đặt thêm trách nhiệm gì cho nền tảng số?

Nghị định 328 thiết lập một quy trình tương đối rõ cho việc xử lý tin giả và tin sai sự thật, gồm phát hiện, kiểm chứng và xác minh, gắn nhãn, công bố cảnh báo, ngăn chặn hoặc gỡ bỏ và áp dụng hình thức xử lý. Đối tượng áp dụng bao gồm cả doanh nghiệp cung cấp dịch vụ Internet, mạng xã hội và dịch vụ thông tin xuyên biên giới hoạt động tại Việt Nam hoặc cung cấp dịch vụ cho người dùng Việt Nam.

Nghị định 333 đi sâu hơn vào hoạt động bảo đảm an ninh thông tin mạng của doanh nghiệp trong nước và nước ngoài cung cấp dịch vụ trên mạng viễn thông, Internet và các dịch vụ gia tăng tại Việt Nam. Quy định đề cập đến xác thực người sử dụng, bảo vệ tài khoản, cung cấp thông tin khi có yêu cầu hợp lệ và xử lý nội dung hoặc dịch vụ vi phạm.

Doanh nghiệp cần làm gì sau khi 7 Nghị định được ban hành?

Không phải mọi quy định trong cả 7 Nghị định đều áp dụng giống nhau cho mọi doanh nghiệp. Bước đầu tiên vì vậy là xác định doanh nghiệp thuộc nhóm chủ thể nào, đang vận hành những hệ thống nào và xử lý loại dữ liệu nào.

Checklist ưu tiên:

• Lập danh mục hệ thống và dữ liệu: xác định website, ứng dụng, Cloud, máy chủ, API, cơ sở dữ liệu, hệ thống nội bộ và các bên thứ ba đang kết nối.

• Đánh giá cấp độ hệ thống: rà tiêu chí của Nghị định 331, đặc biệt với hệ thống xử lý dữ liệu cá nhân quy mô lớn hoặc cung cấp dịch vụ trực tuyến.

• Rà soát quy trình dữ liệu cá nhân: kiểm tra cơ sở xử lý, consent, quyền truy cập, thời hạn lưu trữ, xóa dữ liệu và nhật ký hoạt động.

• Bảo toàn log và chứng cứ điện tử: xác định nguồn log, thời gian lưu giữ và trách nhiệm khi phát hiện sự kiện có dấu hiệu vi phạm.

• Kiểm tra khả năng phát hiện sự cố: đánh giá mức độ phủ của EDR/XDR, SIEM, Firewall, IDS/IPS và các công cụ giám sát hiện tại.

• Rà soát quy trình ứng cứu: xác định rõ ai tiếp nhận cảnh báo, ai quyết định cô lập, ai làm việc với cơ quan chức năng và ai phụ trách truyền thông.

• Đánh giá nhà cung cấp: với doanh nghiệp sử dụng MSSP, Cloud hoặc dịch vụ bảo mật thuê ngoài, kiểm tra năng lực kỹ thuật, phạm vi trách nhiệm và điều kiện pháp lý của đối tác.

• Tập huấn nhân sự liên quan: IT, Security, Legal, Compliance và bộ phận quản lý dữ liệu cần hiểu cùng một quy trình thay vì vận hành độc lập.

Đối với các hệ thống quan trọng hoặc vận hành liên tục, doanh nghiệp có thể xem xét mô hình SOC 24/7 để tập trung sự kiện bảo mật và hỗ trợ ứng phó. Mục tiêu không phải chỉ tạo thêm cảnh báo mà là bảo đảm các dấu hiệu bất thường được xác minh, chuyển cấp và xử lý theo quy trình đã xác định.

Góc nhìn chuyên gia từ IPSIP Việt Nam cho thấy điều gì?

Khoảng trống an ninh mạng giờ có thể tạo ra đồng thời rủi ro vận hành, rò rỉ dữ liệu, trách nhiệm pháp lý và gián đoạn dịch vụ. Nghị định 330 khiến một số nghĩa vụ về dữ liệu có chế tài trực tiếp, trong khi Nghị định 331 gắn yêu cầu kỹ thuật với cấp độ của hệ thống.

Doanh nghiệp nên coi compliance và cybersecurity là cùng một bài toán quản trị rủi ro. Tài sản phải được kiểm kê, dữ liệu phải được phân loại, hệ thống phải được đánh giá, log phải có khả năng truy vết và sự cố phải có người chịu trách nhiệm xử lý.

Đối với doanh nghiệp Việt Nam, ưu tiên trước mắt không phải mua thêm công cụ, mà là xác định hệ thống và dữ liệu thuộc phạm vi nào, rà lại năng lực giám sát, lưu log, ứng cứu sự cố và quản trị dữ liệu. Khi khoảng cách giữa chính sách nội bộ và vận hành kỹ thuật được thu hẹp, doanh nghiệp mới có nền tảng tốt hơn để vừa đáp ứng nghĩa vụ pháp lý vừa nâng khả năng chống chịu trước rủi ro mạng.

Nguồn tham khảo

Xử lý hành vi sử dụng công nghệ thông tin xâm phạm an ninh quốc gia trên không gian mạng

Quy trình xử lý tin giả, tin sai sự thật

Mức xử phạt vi phạm hành chính đối với hành vi vi phạm về bảo vệ dữ liệu cá nhân

Biện pháp bảo vệ an ninh mạng đối với hệ thống thông tin

Quy định về hoạt động bảo đảm an ninh thông tin mạng của doanh nghiệp

Nghị định số 328/2026/NĐ-CP của Chính phủ