Nghị định 333/2026/NĐ-CP: Doanh nghiệp cần lưu ý gì về an ninh mạng?
- Evelyn Carter
- 5 giờ trước
- 10 phút đọc
Ngày 19/8/2026, Chính phủ ban hành Nghị định 333/2026/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật An ninh mạng. Đáng chú ý, Nghị định có hiệu lực ngay từ ngày ban hành, chỉ hơn một tháng sau khi Luật An ninh mạng số 116/2025/QH15 có hiệu lực từ ngày 1/7/2026.
Nghị định gồm 6 chương, 32 điều, quy định cụ thể từ các biện pháp thẩm định, kiểm tra, giám sát và ứng phó sự cố an ninh mạng đến trách nhiệm của doanh nghiệp cung cấp dịch vụ trên không gian mạng, quản lý định danh địa chỉ IP và đào tạo nhân lực chuyên sâu về an ninh mạng.
Với doanh nghiệp, thay đổi đáng quan tâm không chỉ nằm ở yêu cầu “bảo mật hệ thống”, mà còn liên quan trực tiếp đến quy trình xác thực người dùng, khả năng truy xuất log, thời gian phản hồi yêu cầu của cơ quan chức năng và quản trị dữ liệu.
Nghị định 333/2026/NĐ-CP quy định những nội dung gì?
Nghị định 333/2026/NĐ-CP quy định chi tiết một số biện pháp bảo vệ an ninh mạng như thẩm định, đánh giá điều kiện, kiểm tra, giám sát, ứng phó và khắc phục sự cố; đấu tranh bảo vệ an ninh mạng; sử dụng mật mã; yêu cầu xử lý thông tin trái pháp luật, thông tin sai sự thật, tin giả; thu thập dữ liệu điện tử và một số biện pháp liên quan đến hoạt động của hệ thống thông tin.
Nghị định đồng thời quy định cụ thể hoạt động bảo đảm an ninh thông tin mạng đối với doanh nghiệp trong nước và doanh nghiệp nước ngoài cung cấp dịch vụ trên mạng viễn thông, Internet và các dịch vụ gia tăng trên không gian mạng tại Việt Nam.
👉 Đây là bước cụ thể hóa đáng chú ý sau khi Luật An ninh mạng số 116/2025/QH15 có hiệu lực từ ngày 1/7/2026. Doanh nghiệp muốn nhìn tổng thể các nghĩa vụ liên quan có thể tham khảo thêm bài Luật An ninh mạng 2025: Doanh nghiệp cần làm gì để tuân thủ và bảo vệ dữ liệu?.
Điều quan trọng là không phải mọi nghĩa vụ đều áp dụng giống nhau cho tất cả doanh nghiệp. Phạm vi cần được đối chiếu theo mô hình hoạt động, loại dịch vụ cung cấp, hệ thống đang quản lý và vai trò của doanh nghiệp trên không gian mạng.
Tài khoản người dùng phải được xác thực trước khi đăng tải và tương tác
Điều 16 là một trong những nội dung đáng chú ý nhất đối với các nền tảng và doanh nghiệp cung cấp dịch vụ số tại Việt Nam.
Theo quy định, doanh nghiệp trong nước và doanh nghiệp nước ngoài cung cấp dịch vụ trên mạng viễn thông, Internet và các dịch vụ gia tăng trên không gian mạng tại Việt Nam phải thực hiện xác thực thông tin người sử dụng tại thời điểm đăng ký tài khoản số.
Việc xác thực được thực hiện bằng số điện thoại di động tại Việt Nam. Trường hợp người dùng không có số điện thoại di động tại Việt Nam, có thể sử dụng số định danh cá nhân hoặc phương thức định danh điện tử hợp pháp khác. Với người dùng sử dụng tính năng livestream nhằm mục đích thương mại, tài khoản phải được xác thực bằng số định danh cá nhân.
👉 Đáng chú ý hơn, Nghị định yêu cầu doanh nghiệp áp dụng biện pháp cần thiết để bảo vệ thông tin, tài khoản người dùng và chỉ cho phép tài khoản đã được xác thực đăng tải, chia sẻ thông tin và sử dụng các tính năng tương tác trên hệ thống.
Thời gian phản hồi có thể chỉ còn 3-6 giờ trong trường hợp khẩn cấp
Nghị định 333/2026/NĐ-CP cũng đặt ra các mốc thời gian cụ thể khi doanh nghiệp nhận được yêu cầu hợp lệ từ lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an.
Đối với yêu cầu cung cấp thông tin người sử dụng phục vụ xác minh, điều tra và xử lý hành vi vi phạm pháp luật, thời hạn cung cấp thông tin chậm nhất là 24 giờ. Trong trường hợp khẩn cấp đe dọa xâm hại an ninh quốc gia hoặc đe dọa tính mạng con người, thời hạn giảm xuống còn 3 giờ.
Đối với yêu cầu hạn chế, ngăn chặn truy cập, xóa bỏ thông tin hoặc gỡ bỏ dịch vụ, ứng dụng vi phạm pháp luật, thời hạn thông thường cũng là 24 giờ; trường hợp khẩn cấp đe dọa xâm hại an ninh quốc gia là 6 giờ.
Những mốc thời gian này cho thấy compliance không thể chỉ nằm trong tài liệu pháp chế. Doanh nghiệp thuộc phạm vi áp dụng cần có cơ chế tiếp nhận yêu cầu, xác minh tính hợp lệ, xác định dữ liệu liên quan, phê duyệt nội bộ và thực thi kỹ thuật đủ nhanh.
Nhật ký hệ thống phải có khả năng truy xuất ít nhất 12 tháng
Một yêu cầu có ảnh hưởng trực tiếp đến hạ tầng kỹ thuật là lưu trữ và quản lý nhật ký hệ thống.
Theo Điều 16, log tối thiểu phải có thông tin về tài khoản người sử dụng, thời gian đăng nhập và đăng xuất, địa chỉ IP, cổng nguồn khi đăng nhập/đăng xuất và nhật ký xử lý thông tin được đăng tải. Dữ liệu phải có khả năng truy xuất ít nhất 12 tháng để phục vụ xác minh, điều tra và xử lý hành vi vi phạm pháp luật.
Đối với doanh nghiệp viễn thông và Internet, các yêu cầu về định danh IP còn chi tiết hơn. Nhật ký cấp phát, quản lý địa chỉ IP phải ghi nhận những thông tin như IP nguồn, cổng nguồn, IP đích, cổng đích, giao thức kết nối và thông tin ánh xạ khi sử dụng NAT. Dữ liệu này cũng phải được lưu trữ đầy đủ, liên tục tối thiểu 12 tháng và bảo đảm tính toàn vẹn, an toàn, bảo mật.
Tài khoản phải được xác thực trước khi đăng tải, chia sẻ và tương tác
Một trong những nội dung nổi bật nhất nằm tại Điều 16.
Theo quy định được Báo Điện tử Chính phủ công bố, doanh nghiệp trong nước và doanh nghiệp nước ngoài cung cấp các dịch vụ thuộc phạm vi điều chỉnh phải thực hiện xác thực thông tin người dùng khi đăng ký tài khoản số.
Tài khoản được xác thực bằng số điện thoại di động tại Việt Nam. Nếu người dùng không có số điện thoại tại Việt Nam, việc xác thực có thể thực hiện bằng số định danh cá nhân hoặc phương thức định danh điện tử hợp pháp khác.
Đối với người sử dụng tính năng livestream nhằm mục đích thương mại, tài khoản phải được xác thực bằng số định danh cá nhân.
Đáng chú ý hơn, Nghị định yêu cầu chỉ cho phép tài khoản đã được xác thực thực hiện việc đăng tải, chia sẻ thông tin và sử dụng các tính năng tương tác trên hệ thống.
Đối với mạng xã hội, nền tảng nội dung, ứng dụng có tài khoản người dùng hoặc các dịch vụ trực tuyến có chức năng tương tác, yêu cầu này có thể tác động trực tiếp đến luồng đăng ký tài khoản, cơ chế IAM, quy trình lưu và đối soát thông tin định danh.
Doanh nghiệp có thể phải phản hồi trong vòng 3 giờ trong tình huống khẩn cấp
Nghị định đặt ra các mốc thời gian khá cụ thể khi doanh nghiệp nhận được yêu cầu hợp lệ từ lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an.
Đối với yêu cầu cung cấp thông tin người sử dụng để phục vụ xác minh, điều tra và xử lý hành vi vi phạm pháp luật, thời gian cung cấp thông tin chậm nhất là 24 giờ kể từ thời điểm nhận yêu cầu.
Trong trường hợp khẩn cấp đe dọa xâm hại an ninh quốc gia hoặc đe dọa tính mạng con người, thời hạn này giảm xuống còn 3 giờ.
Đối với yêu cầu hạn chế, ngăn chặn truy cập, xóa thông tin hoặc gỡ bỏ dịch vụ, ứng dụng vi phạm, thời hạn thông thường cũng là 24 giờ. Trường hợp khẩn cấp đe dọa an ninh quốc gia, yêu cầu phải được hoàn thành chậm nhất trong 6 giờ.
Những con số này cho thấy compliance không thể chỉ là nhiệm vụ của bộ phận pháp chế.
Doanh nghiệp cần có sẵn quy trình để:
xác thực nguồn và tính hợp lệ của yêu cầu;
xác định dữ liệu hoặc tài khoản liên quan;
chuyển yêu cầu đến đúng người có thẩm quyền;
phối hợp giữa Legal, IT, Security và quản trị nền tảng;
truy xuất và thực thi yêu cầu trong thời gian quy định;
lưu lại bằng chứng về quá trình xử lý.
Đây cũng là lý do doanh nghiệp cần nhìn rộng hơn vào trách nhiệm của doanh nghiệp trước Luật An ninh mạng 2025, thay vì chỉ xem tuân thủ là việc cập nhật chính sách hoặc điều khoản sử dụng.
Nhật ký hệ thống phải có khả năng truy xuất ít nhất 12 tháng
Yêu cầu về logging là một trong những nội dung có ảnh hưởng rõ nhất đến hạ tầng kỹ thuật.
Theo Nghị định, nhật ký hệ thống tối thiểu phải chứa các thông tin về:
tài khoản người sử dụng dịch vụ;
thời gian đăng nhập và đăng xuất;
địa chỉ IP;
cổng nguồn tại thời điểm đăng nhập, đăng xuất;
nhật ký xử lý thông tin được đăng tải.
Thời gian lưu trữ phải bảo đảm dữ liệu có thể được truy xuất ít nhất trong vòng 12 tháng, phục vụ xác minh, điều tra và xử lý hành vi vi phạm pháp luật.
Doanh nghiệp cần kiểm tra liệu log có được thu thập đầy đủ từ những hệ thống quan trọng hay không, dữ liệu có bị ghi đè quá sớm không, timestamp giữa các hệ thống có đồng nhất không, quyền truy cập log được kiểm soát như thế nào và liệu dữ liệu có thể tìm kiếm, trích xuất nhanh khi cần thiết hay không.
Lưu trữ dữ liệu và kiến trúc hệ thống cũng cần được rà soát
Bên cạnh tài khoản và nhật ký hệ thống, Nghị định 333/2026/NĐ-CP còn đặt ra bối cảnh mới để doanh nghiệp xem xét lại cách dữ liệu được quản lý, đặc biệt với các mô hình sử dụng cloud, SaaS hoặc hạ tầng xuyên biên giới.
Doanh nghiệp không nên mặc định rằng mọi dữ liệu đều phải đặt tại Việt Nam hoặc mọi tổ chức đều chịu cùng một nghĩa vụ. Phạm vi áp dụng cần được đối chiếu với từng điều khoản, loại hình doanh nghiệp và mô hình cung cấp dịch vụ.
Đối với các tổ chức đang sử dụng hạ tầng quốc tế, multi-cloud hoặc nhiều nhà cung cấp SaaS, việc lập bản đồ vị trí dữ liệu và luồng xử lý dữ liệu là bước cần thiết để xác định nghĩa vụ thực tế.
👉 IPSIP Việt Nam đã có phân tích riêng về quy định an ninh mạng và lưu trữ dữ liệu tại Việt Nam, doanh nghiệp có thể tham khảo thêm khi rà soát kiến trúc dữ liệu và dịch vụ xuyên biên giới.
Doanh nghiệp nên làm gì sau khi Nghị định 333 có hiệu lực?
Nghị định đã có hiệu lực từ 19/8/2026, do đó doanh nghiệp thuộc phạm vi điều chỉnh nên ưu tiên rà soát ngay khả năng đáp ứng thực tế thay vì chỉ cập nhật hồ sơ pháp lý.
Trước mắt, có 5 nhóm công việc nên được kiểm tra:
1. Xác định phạm vi áp dụng
Đầu tiên cần xác định doanh nghiệp có thuộc nhóm cung cấp dịch vụ được Điều 16 điều chỉnh hay không, đồng thời xác định hệ thống, dữ liệu và hoạt động nào nằm trong phạm vi.
2. Kiểm tra cơ chế xác thực tài khoản
Đối chiếu cách đăng ký, xác thực và quản lý tài khoản hiện tại với yêu cầu mới, đặc biệt đối với nền tảng cho phép người dùng đăng bài, chia sẻ, tương tác hoặc livestream thương mại.
3. Audit khả năng logging
Kiểm kê nguồn log, trường dữ liệu, thời gian lưu, khả năng bảo vệ tính toàn vẹn và tốc độ truy xuất.
Đây là bước đặc biệt quan trọng nếu hệ thống gồm nhiều môi trường cloud, ứng dụng SaaS, firewall, endpoint và hệ thống nội bộ.
4. Thiết lập quy trình phản hồi yêu cầu
Các mốc 24 giờ, 6 giờ và 3 giờ đòi hỏi doanh nghiệp phải có người chịu trách nhiệm, quy trình escalation và kênh phối hợp rõ ràng giữa Legal, IT và Security.
5. Rà soát nhà cung cấp bên thứ ba
Nếu dữ liệu, log, tài khoản hoặc hạ tầng đang do nhà cung cấp cloud, MSP, SaaS hoặc đối tác công nghệ quản lý, doanh nghiệp cần kiểm tra khả năng hỗ trợ truy xuất dữ liệu, lưu log và xử lý yêu cầu trong thời gian quy định.
👉 Nghị định 333/2026/NĐ-CP đưa nhiều yêu cầu của Luật An ninh mạng xuống mức triển khai cụ thể hơn, đặc biệt trong các lĩnh vực xác thực người dùng, xử lý thông tin vi phạm, phản hồi yêu cầu của cơ quan chức năng và quản lý nhật ký hệ thống.
Điểm đáng chú ý đối với doanh nghiệp là khoảng cách giữa “đã có chính sách” và “hệ thống thực tế có đáp ứng được hay không”.
Một quy định yêu cầu phản hồi trong 3 giờ hoặc truy xuất log của 12 tháng trước không thể được giải quyết chỉ bằng tài liệu compliance. Doanh nghiệp cần kiểm tra từ quy trình vận hành, hệ thống định danh, logging, lưu trữ đến khả năng phối hợp giữa con người và công nghệ.
Vì vậy, bước phù hợp sau khi Nghị định 333/2026/NĐ-CP có hiệu lực là đánh giá khoảng cách giữa yêu cầu pháp lý và trạng thái hiện tại của hệ thống, từ đó ưu tiên các hạng mục cần khắc phục thay vì triển khai thay đổi một cách dàn trải.
Nguồn tham khảo
Bình luận