Chính phủ ban hành Nghị định về bảo vệ an ninh mạng đối với hệ thống thông tin

Ngày 19/8/2026, Chính phủ ban hành Nghị định số 331/2026/NĐ-CP về bảo vệ an ninh mạng đối với hệ thống thông tin. Nghị định gồm 6 Chương, 40 Điều, có hiệu lực từ ngày 19 tháng 8 năm 2026.

Nghị định quy định chi tiết các nội dung về:

- Tiêu chí xác định cấp độ hệ thống thông tin và hệ thống thông tin quan trọng về an ninh quốc gia.

- Thẩm quyền, trình tự, thủ tục xác định cấp độ, đối với hệ thống thông tin.

- Kiểm tra an ninh mạng đối với hệ thống thông tin của cơ quan, tổ chức không thuộc danh mục hệ thống thông tin quan trọng về an ninh quốc gia

- Nhiệm vụ, biện pháp, trách nhiệm bảo đảm an ninh mạng đối với hệ thống thông tin

Theo đó, tiêu chí xác định cấp độ hệ thống thông tin và hệ thống thông tin quan trọng về an ninh quốc gia như sau:

- Tiêu chí xác định hệ thống thông tin cấp độ 1 (Theo Điều 11, Nghị định số 331/2026/NĐ-CP):

1. Hệ thống thông tin cấp độ 1 là hệ thống phục vụ hoạt động nội bộ của cơ quan, tổ chức và chỉ xử lý thông tin công cộng.

2. Hệ thống thông tin được đánh giá rủi ro an ninh mạng theo Khung quản lý rủi ro an ninh mạng.

- Tiêu chí xác định hệ thống thông tin cấp độ 2 (Theo Điều 12, Nghị định số 331/2026/NĐ-CP).
Hệ thống thông tin cấp độ 2 là hệ thống thông tin có một trong các tiêu chí cụ thể sau:

1. Hệ thống thông tin phục vụ hoạt động nội bộ của cơ quan, tổ chức và có xử lý thông tin riêng, thông tin cá nhân của người sử dụng nhưng không xử lý thông tin bí mật nhà nước.

2. Hệ thống thông tin phục vụ người dân, doanh nghiệp thuộc một trong các loại hình như sau:

a) Cung cấp dịch vụ trực tuyến không thuộc danh mục ngành, nghề đầu tư kinh doanh có điều kiện;

b) Cung cấp dịch vụ trực tuyến khác có xử lý thông tin riêng, thông tin cá nhân của dưới 100.000 chủ thể dữ liệu đối với dữ liệu cá nhân cơ bản hoặc dưới 10.000 chủ thể dữ liệu đối với dữ liệu cá nhân nhạy cảm.

3. Hệ thống cơ sở hạ tầng thông tin phục vụ hoạt động của một cơ quan, tổ chức.

4. Hệ thống thông tin khác do Thủ tướng Chính phủ quyết định hoặc được đánh giá rủi ro an ninh mạng theo Khung quản lý rủi ro an ninh mạng.

- Tiêu chí xác định hệ thống thông tin cấp độ 3 (Theo Điều 13, Nghị định số 331/2026/NĐ-CP).
Hệ thống thông tin cấp độ 3 là hệ thống có một trong các tiêu chí sau:

1. Hệ thống xử lý thông tin bí mật nhà nước hoặc hệ thống phục vụ quốc phòng, an ninh khi bị phá hoại sẽ làm tổn hại tới an ninh quốc gia.

2. Hệ thống thông tin phục vụ người dân, doanh nghiệp thuộc một trong các loại hình như sau:

a) Cung cấp dịch vụ trực tuyến thuộc danh mục ngành, nghề đầu tư kinh doanh có điều kiện;

b) Hệ thống thông tin giải quyết thủ tục hành chính;

c) Cung cấp dịch vụ trực tuyến khác có xử lý thông tin riêng, thông tin cá nhân của từ 100.000 chủ thể dữ liệu đối với dữ liệu cá nhân cơ bản trở lên hoặc từ 10.000 chủ thể dữ liệu đối với dữ liệu cá nhân nhạy cảm trở lên.

3. Hệ thống cơ sở hạ tầng thông tin phục vụ hoạt động của các cơ quan, tổ chức trong phạm vi một bộ, một ngành, một tỉnh hoặc một số tỉnh.

4. Hệ thống thông tin điều khiển công nghiệp trực tiếp phục vụ điều khiển, vận hành hoạt động bình thường của các công trình xây dựng cấp II, cấp III hoặc cấp IV theo phân cấp của pháp luật về xây dựng.

5. Hệ thống thông tin khác do Thủ tướng Chính phủ quyết định hoặc được đánh giá rủi ro an ninh mạng theo Khung quản lý rủi ro an ninh mạng.

- Tiêu chí xác định hệ thống thông tin cấp độ 4 (Theo Điều 14, Nghị định số 331/2026/NĐ-CP).
Hệ thống thông tin cấp độ 4 là hệ thống có một trong các tiêu chí sau:

1. Hệ thống thông tin xử lý thông tin bí mật nhà nước hoặc hệ thống phục vụ quốc phòng, an ninh khi bị phá hoại sẽ làm tổn hại nghiêm trọng tới an ninh quốc gia.

2. Hệ thống thông tin quốc gia phục vụ phát triển Chính phủ điện tử hoặc hệ thống cơ sở hạ tầng thông tin phục vụ hoạt động của các cơ quan, tổ chức trên phạm vi toàn quốc, yêu cầu vận hành 24/7 và không chấp nhận ngừng vận hành mà không có kế hoạch trước.

3. Hệ thống thông tin điều khiển công nghiệp trực tiếp phục vụ điều khiển, vận hành hoạt động bình thường của các công trình xây dựng cấp I theo phân m cấp của pháp luật về xây dựng.

4. Hệ thống thông tin khác do Thủ tướng Chính phủ quyết định hoặc được đánh giá rủi ro an ninh mạng theo Khung quản lý rủi ro an ninh mạng.

- Tiêu chí xác định hệ thống thông tin cấp độ 5 (Theo Điều 15, Nghị định số 331/2026/NĐ-CP).

1. Hệ thống thông tin xử lý thông tin bí mật nhà nước hoặc hệ thống phục vụ quốc phòng, an ninh, mang tính chiến lược khi bị phá hoại sẽ làm tổn hại đặc biệt nghiêm trọng tới an ninh quốc gia.

2. Hệ thống thông tin phục vụ lưu trữ dữ liệu tập trung đối với một số loại hình thông tin, dữ liệu đặc biệt quan trọng của quốc gia.

3. Hệ thống cơ sở hạ tầng thông tin quốc gia phục vụ kết nối liên thông hoạt động của Việt Nam với quốc tế.

4. Hệ thống thông tin điều khiển công nghiệp trực tiếp phục vụ điều khiển, vận hành hoạt động bình thường của công trình xây dựng cấp đặc biệt theo phân cấp của pháp luật về xây dựng hoặc công trình quan trọng liên quan đến an ninh quốc gia theo pháp luật về an ninh quốc gia.

5. Hệ thống thông tin khác do Thủ tướng Chính phủ quyết định hoặc được đánh giá rủi ro an ninh mạng theo Khung quản lý rủi ro an ninh mạng.

- Tiêu chí xác định hệ thống thông tin quan trọng về an ninh quốc gia (Theo Điều 16, Nghị định số 331/2026/NĐ-CP).

- Hệ thống thông tin quan trọng về an ninh quốc gia đáp ứng một trong các tiêu chí sau đây:

1. Hệ thống thông tin phục vụ chỉ đạo, điều hành của các công trình quan trọng liên quan đến an ninh quốc gia theo quy định của pháp luật.

2. Hệ thống thông tin phục vụ chỉ đạo, điều hành, điều khiển hoạt động của công trình viễn thông quan trọng liên quan đến an ninh quốc gia theo quy định của pháp luật.

3. Hệ thống thông tin thuộc các lĩnh vực được quy định tại khoản 2 Điều 9 Luật An ninh mạng khi bị sự cố, xâm nhập, chiếm quyền điều khiển, làm sai lệch, gián đoạn, ngưng trệ, tê liệt, tấn công hoặc phá hoại sẽ gây ra một trong các hậu quả sau đây:

a) Trực tiếp tác động đến độc lập, chủ quyền, thống nhất và toàn vẹn lãnh thổ của Tổ quốc, sự tồn tại của chế độ và Nhà nước Cộng hòa xã hội chủ nghĩa Việt Nam;

b) Gây hậu quả nghiêm trọng đến an ninh quốc gia, đối ngoại làm suy yếu khả năng phòng thủ, bảo vệ Tổ quốc;

c) Gây hậu quả nghiêm trọng đến nền kinh tế quốc dân;

d) Gây thảm họa đối với đời sống con người, môi trường sinh thái;

đ) Gây hậu quả nghiêm trọng đến hoạt động của công trình xây dựng cấp đặc biệt theo phân cấp của pháp luật về xây dựng;

e) Gây hậu quả nghiêm trọng đến hoạt động hoạch định chủ trương, chính sách thuộc phạm vi bí mật nhà nước;

g) Ảnh hưởng nghiêm trọng đến sự chỉ đạo điều hành trực tiếp của các cơ quan Đảng, Nhà nước ở trung ương.

4. Hệ thống thông tin cấp độ 5 là hệ thống thông tin quan trọng về an ninh quốc gia.

* Quy định chuyển tiếp như sau:

1. Đối với hệ thống thông tin đang trong quá trình đầu tư, xây dựng trước ngày 01 tháng 7 năm 2026, trong thời hạn 06 tháng kể từ ngày Luật An ninh mạng số 116/2025/QH15 có hiệu lực thi hành, các cơ quan, tổ chức có liên quan hoàn thành việc thẩm định, phê duyệt cấp độ theo quy định tại Nghị định số 85/2016/NĐ-CP. Trong thời hạn 12 tháng kể từ ngày Luật An ninh mạng số 116/2025/QH15 có hiệu lực thi hành, phải bảo đảm điều kiện, tiêu chuẩn, biện pháp bảo vệ an ninh mạng tương ứng với cấp độ theo quy định của Nghị định này.

2. Đối với các tiêu chuẩn, quy chuẩn kỹ thuật sử dụng thuật ngữ “an toàn thông tin mạng” hoặc “an toàn hệ thống thông tin” được hiểu tương đương với thuật ngữ “an ninh mạng” trong phạm vi áp dụng của Nghị định này.