Trách nhiệm của doanh nghiệp theo Luật An ninh mạng 2025: Bảo mật không còn là lựa chọn
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ 1/1/2026, còn Luật An ninh mạng số 116/2025/QH15 có hiệu lực từ 1/7/2026. Các quy định mới tăng trách nhiệm của doanh nghiệp trong bảo vệ dữ liệu, quản trị rủi ro, xử lý sự cố và phối hợp với cơ quan chức năng. Đây là thay đổi pháp lý, không gắn với CVE cụ thể.
Bảo vệ dữ liệu và an ninh mạng đang chuyển từ một vấn đề kỹ thuật sang một phần của trách nhiệm quản trị doanh nghiệp. Doanh nghiệp không chỉ cung cấp sản phẩm, nền tảng hay dịch vụ, mà còn phải chịu trách nhiệm đối với cách hệ thống và dữ liệu thuộc phạm vi của mình được bảo vệ.
Đáng lo ngại hơn khi rủi ro dữ liệu tại Việt Nam ngày càng gia tăng.Theo số liệu được công bố, trong 6 tháng đầu năm 2026, các đơn vị chuyên trách ghi nhận khoảng 2 triệu cảnh báo tấn công mạng, trong đó gần một nửa có yếu tố liên quan đến trí tuệ nhân tạo. AI đang được tội phạm mạng tận dụng để tự động hóa quá trình dò quét, tìm kiếm điểm yếu và đẩy nhanh các bước xâm nhập hệ thống.
Song song đó, hoạt động mua bán trái phép dữ liệu cá nhân tiếp tục diễn biến phức tạp. Riêng trong năm 2025, cơ quan chức năng phát hiện hơn 40 vụ việc, liên quan khoảng 160 triệu bản ghi dữ liệu.
Hai luật mới thay đổi trách nhiệm doanh nghiệp như thế nào?
Điểm đáng chú ý không nằm ở việc doanh nghiệp phải mua thêm một sản phẩm bảo mật cụ thể. Thay đổi lớn hơn là yêu cầu doanh nghiệp có khả năng chứng minh mình đã tổ chức việc bảo vệ hệ thống và dữ liệu một cách phù hợp.
Luật An ninh mạng 2025 hợp nhất nhiều nội dung trước đây được điều chỉnh trong Luật An ninh mạng 2018 và Luật An toàn thông tin mạng 2015, đồng thời làm rõ hơn trách nhiệm của doanh nghiệp cung cấp dịch vụ trên không gian mạng. Luật có hiệu lực từ 1/7/2026.
Trong khi đó, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, có hiệu lực từ 1/1/2026, đặt trách nhiệm cụ thể lên các bên tham gia xử lý dữ liệu. Bên kiểm soát dữ liệu phải áp dụng biện pháp quản lý và kỹ thuật phù hợp, bảo đảm quyền của chủ thể dữ liệu, ngăn chặn thu thập trái phép và phối hợp với cơ quan có thẩm quyền khi cần thiết.
Điều này cũng có nghĩa trách nhiệm không kết thúc khi doanh nghiệp thuê Cloud, SaaS, đơn vị marketing, call center hay nhà cung cấp CNTT bên ngoài. Quan hệ giữa bên kiểm soát dữ liệu, bên xử lý dữ liệu và bên thứ ba phải được xác định rõ trong hợp đồng và quy trình thực tế.
Doanh nghiệp cần chú ý những nghĩa vụ cụ thể nào?
Không phải mọi quy định đều áp dụng giống nhau cho tất cả doanh nghiệp. Một doanh nghiệp thông thường xử lý dữ liệu khách hàng có nghĩa vụ khác với doanh nghiệp viễn thông, Internet hoặc nền tảng cung cấp dịch vụ trực tuyến tại Việt Nam.
Nhóm yêu cầu | Doanh nghiệp cần lưu ý |
Bảo vệ dữ liệu cá nhân | Áp dụng biện pháp quản lý và kỹ thuật phù hợp; kiểm soát mục đích xử lý; bảo đảm quyền của chủ thể dữ liệu. |
Đánh giá tác động | Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân phải được lưu giữ và, với đối tượng thuộc diện áp dụng, nộp trong vòng 60 ngày kể từ khi bắt đầu xử lý dữ liệu. |
Xử lý vi phạm dữ liệu | Một số vi phạm có khả năng gây tổn hại theo Điều 23 phải được thông báo cho cơ quan chuyên trách chậm nhất 72 giờ kể từ khi phát hiện. |
Nhà cung cấp dịch vụ số | Có các nghĩa vụ riêng về xác thực người dùng, bảo vệ tài khoản, cung cấp thông tin và xử lý nội dung theo yêu cầu hợp lệ của cơ quan có thẩm quyền. |
Bằng chứng tuân thủ | Nhật ký, hợp đồng, hồ sơ đánh giá, chính sách truy cập và tài liệu xử lý sự cố cần đủ để doanh nghiệp chứng minh biện pháp đã thực hiện. |
Nghị định 356/2025/NĐ-CP quy định hồ sơ đánh giá tác động xử lý dữ liệu cá nhân phải luôn sẵn sàng để phục vụ kiểm tra và được nộp trong thời hạn 60 ngày kể từ ngày bắt đầu xử lý dữ liệu. Luật cũng yêu cầu cập nhật hồ sơ trong những trường hợp có thay đổi theo quy định.
Đối với sự cố, mốc 72 giờ không phải là yêu cầu báo cáo mọi lỗi kỹ thuật. Luật quy định nghĩa vụ thông báo khi phát hiện vi phạm bảo vệ dữ liệu cá nhân có khả năng gây những tổn hại được liệt kê tại Điều 23. Điều này đòi hỏi doanh nghiệp phải có quy trình phân loại và đánh giá sự cố đủ nhanh ngay từ khi phát hiện dấu hiệu bất thường.
Ngoài ra, Nghị định 356 dành một số cơ chế chuyển tiếp cho doanh nghiệp nhỏ và startup. Trong 5 năm kể từ khi Luật có hiệu lực, các đối tượng đủ điều kiện được lựa chọn chưa thực hiện một số nghĩa vụ tại Điều 21, Điều 22 và khoản 2 Điều 33. Tuy nhiên, ngoại lệ này không áp dụng cho một số trường hợp như trực tiếp xử lý dữ liệu nhạy cảm hoặc xử lý dữ liệu từ 100.000 chủ thể trở lên.
Doanh nghiệp cung cấp dịch vụ trên không gian mạng cần lưu ý những nghĩa vụ nào?
Các doanh nghiệp cung cấp dịch vụ viễn thông, Internet và dịch vụ gia tăng trên không gian mạng tại Việt Nam chịu thêm một nhóm nghĩa vụ riêng.
Nghị định 333/2026/NĐ-CP, có hiệu lực từ 19/8/2026, cụ thể hóa việc xác thực và bảo vệ tài khoản người dùng, phối hợp cung cấp thông tin, xử lý nội dung hoặc dịch vụ vi phạm pháp luật khi có yêu cầu hợp lệ.
Trong một số trường hợp, thời hạn thực hiện khá ngắn:
Thông tin người sử dụng theo yêu cầu hợp lệ phải được cung cấp chậm nhất trong 24 giờ; trường hợp khẩn cấp được quy định có thể rút xuống 3 giờ.
Yêu cầu hạn chế, xóa hoặc gỡ bỏ nội dung, dịch vụ, ứng dụng vi phạm phải hoàn thành chậm nhất trong 24 giờ; trường hợp khẩn cấp đe dọa an ninh quốc gia là 6 giờ.
Đây là điểm doanh nghiệp cần đặc biệt thận trọng khi diễn giải. Các thời hạn trên không nên được hiểu là nghĩa vụ chung áp dụng cho mọi doanh nghiệp Việt Nam; chúng gắn với nhóm doanh nghiệp cung cấp những dịch vụ được Luật và Nghị định xác định.
Vì sao trách nhiệm không thể giao riêng cho phòng IT?
Một chính sách firewall tốt không thể xử lý một hợp đồng chia sẻ dữ liệu sai mục đích. Tương tự, phần mềm bảo mật không thể tự quyết định doanh nghiệp có được phép giữ dữ liệu khách hàng bao lâu hoặc nhân viên marketing có thể xuất danh sách khách hàng sang một nền tảng bên thứ ba hay không.
Do đó, tuân thủ cần ít nhất sự phối hợp giữa:
Ban điều hành: xác định mức rủi ro chấp nhận được, ngân sách và trách nhiệm.
Pháp chế/tuân thủ: xác định căn cứ xử lý dữ liệu, hợp đồng và yêu cầu pháp luật.
IT/an ninh mạng: triển khai kiểm soát truy cập, nhật ký, bảo mật hệ thống và phản ứng sự cố.
Nhân sự: quản lý dữ liệu nhân viên và vòng đời tài khoản.
Marketing/sales: kiểm soát thu thập, consent và chia sẻ dữ liệu khách hàng.
Mua sắm/vendor management: đánh giá bên thứ ba trước khi chuyển giao dữ liệu.
Bức tranh rủi ro an ninh mạng cho thấy dữ liệu cá nhân có thể bị khai thác qua nhiều con đường: tài khoản bị chiếm quyền, phân quyền không phù hợp, API hoặc hệ thống cấu hình yếu, thiết bị không được kiểm soát và nhà cung cấp bên thứ ba.
Doanh nghiệp có thể tham khảo báo cáo tình hình an ninh mạng Việt Nam quý II/2026 để đặt nghĩa vụ pháp lý trong bối cảnh các mối đe dọa thực tế.
Doanh nghiệp cần làm gì ngay để giảm rủi ro tuân thủ?
Ưu tiên đầu tiên là xác định doanh nghiệp đang sở hữu và xử lý dữ liệu gì, thay vì bắt đầu bằng việc mua thêm công cụ.
Checklist hành động:
Lập danh mục dữ liệu cá nhân, dữ liệu nhạy cảm và hệ thống đang lưu trữ dữ liệu.
Xác định doanh nghiệp đang đóng vai trò bên kiểm soát, bên xử lý hay bên thứ ba trong từng quy trình.
Vẽ luồng dữ liệu từ thu thập, sử dụng, chia sẻ, sao lưu đến xóa dữ liệu.
Rà soát consent, thông báo quyền riêng tư, mục đích xử lý và chính sách lưu trữ.
Kiểm tra hợp đồng với Cloud, SaaS, agency, call center và các nhà cung cấp có quyền truy cập dữ liệu.
Rà soát tài khoản đặc quyền, MFA, Least Privilege và tài khoản nhân viên đã nghỉ việc.
Thiết lập logging đủ để phát hiện, điều tra và xác định thời điểm xảy ra sự cố.
Xây dựng quy trình Incident Response có đầu mối pháp chế và cơ chế đánh giá nghĩa vụ thông báo trong 72 giờ.
Đánh giá định kỳ website, API, Cloud và các tài sản Internet-facing.
Tổ chức đào tạo nhân viên theo vai trò thay vì chỉ đào tạo nhận thức chung.
Nghị định 330/2026/NĐ-CP đã có hiệu lực từ 19/8/2026 và đưa ra cơ chế xử phạt cụ thể đối với các vi phạm về an ninh mạng và bảo vệ dữ liệu cá nhân. Ngoài phạt tiền, tùy hành vi còn có thể áp dụng các biện pháp như đình chỉ hoạt động, tước quyền sử dụng giấy phép hoặc chứng chỉ trong thời hạn nhất định, hoặc buộc xóa dữ liệu được thu thập, xử lý trái quy định.
Vì vậy, doanh nghiệp nên coi tài liệu, log và bằng chứng kỹ thuật là một phần của tuân thủ. Việc kiểm tra, đánh giá an toàn thông tin hoặc Pentest có kiểm soát giúp xác định các điểm yếu thực tế trước khi chúng trở thành sự cố.
Góc nhìn chuyên gia từ IPSIP Việt Nam cho thấy điều gì?
Luật An ninh mạng 2025 và Luật Bảo vệ dữ liệu cá nhân đang đưa an ninh mạng ra khỏi phạm vi của riêng đội kỹ thuật. Trách nhiệm của doanh nghiệp ngày càng gắn với khả năng hiểu dữ liệu, kiểm soát quyền truy cập, quản lý nhà cung cấp, phát hiện sự cố và chứng minh các biện pháp đã được triển khai.
Với doanh nghiệp Việt Nam, ưu tiên phù hợp không phải là đầu tư dàn trải vào nhiều công cụ, mà là xác định đúng phạm vi nghĩa vụ, dữ liệu quan trọng và những khoảng trống có khả năng tạo ra rủi ro lớn nhất. Từ đó, pháp lý, quản trị và kỹ thuật mới có thể vận hành như một hệ thống thống nhất.
Nguồn tham khảo
Hiệp hội An ninh mạng Quốc gia (NCA) - Trách nhiệm doanh nghiệp – yêu cầu bắt buộc trong Luật An ninh mạng 2025 và Luật Bảo vệ dữ liệu cá nhân
Bộ Công an - Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15
Cơ sở dữ liệu quốc gia về văn bản pháp luật - Luật An ninh mạng số 116/2025/QH15
Chính phủ - Nghị định 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân
Báo Điện tử Chính phủ - Quy định về hoạt động bảo đảm an ninh thông tin mạng của doanh nghiệp theo Nghị định 333/2026/NĐ-CP
Cổng Thông tin điện tử Chính phủ - Nghị định 330/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân
Bình luận