Chương 1 Nghị định 331/2026/NĐ-CP về bảo vệ an ninh mạng đối với hệ thống thông tin

1. Xử lý thông tin là việc thực hiện một hoặc một số thao tác tạo lập, cung cấp, truyền đưa, thu thập, xử lý, lưu trữ, chia sẻ và trao đổi thông tin trên không gian mạng.

2. Đơn vị chuyên trách về an ninh mạng là đơn vị có chức năng, nhiệm vụ bảo đảm an ninh mạng của chủ quản hệ thống thông tin.

3. Bộ phận chuyên trách về an ninh mạng là bộ phận thuộc đơn vị chuyên trách về công nghệ thông tin hoặc chuyển đổi số, do chủ quản hệ thống thông tin thành lập hoặc chỉ định để thực thi nhiệm vụ bảo đảm an ninh mạng và ứng phó sự cố an ninh mạng (trường hợp không thành lập được đơn vị chuyên trách về an ninh mạng).

4. Cấp độ an ninh mạng hệ thống thông tin được hiểu là cấp độ hệ thống thông tin.

5. Dịch vụ trực tuyến là dịch vụ do doanh nghiệp hoặc cơ quan nhà nước cung cấp trên môi trường mạng cho các tổ chức, cá nhân.

1. Đối với các bộ, cơ quan ngang bộ, Ủy ban nhân dân cấp tỉnh, chủ quản hệ thống thông tin là:

2. Đối với doanh nghiệp và tổ chức khác trừ quy định tại điểm a, điểm b khoản 1 Điều này, chủ quản hệ thống thông tin là cấp có thẩm quyền quyết định đầu tư xây dựng, thiết lập, nâng cấp, mở rộng hệ thống thông tin.

3. Trong trường hợp cần thiết, chủ quản hệ thống thông tin ủy quyền cho một tổ chức trực thuộc có đủ năng lực để thay mặt thực hiện trách nhiệm của chủ quản hệ thống thông tin quy định tại khoản 2 Điều 31 Nghị định này.

Việc ủy quyền trách nhiệm chủ quản hệ thống thông tin phải được thực hiện bằng văn bản, trong đó nêu rõ phạm vi của hệ thống, trách nhiệm của tổ chức được ủy quyền và thời hạn ủy quyền.

1. Đơn vị vận hành hệ thống thông tin là đơn vị được chủ quản hệ thống thông tin giao nhiệm vụ vận hành hệ thống thông tin.

2. Trong trường hợp hệ thống thông tin gồm nhiều hệ thống thành phần hoặc phân tán, có nhiều hơn một đơn vị vận hành hệ thống thông tin, chủ quản hệ thống thông tin có trách nhiệm chỉ định một đơn vị chủ trì thực hiện quyền và nghĩa vụ của đơn vị vận hành hệ thống thông tin theo quy định của pháp luật.

3. Trong trường hợp thuê dịch vụ công nghệ thông tin, đơn vị vận hành hệ thống thông tin được xác định như sau:

1. Việc bảo đảm an ninh mạng hệ thống thông tin theo cấp độ trong hoạt động của cơ quan, tổ chức được thực hiện thường xuyên, liên tục từ khâu thiết kế, xây dựng, vận hành đến khi hủy bỏ; tuân thủ theo tiêu chuẩn, quy chuẩn kỹ thuật.

2. Việc bảo đảm an ninh mạng hệ thống thông tin theo cấp độ trong hoạt động của cơ quan, tổ chức được thực hiện một cách tổng thể, đồng bộ, tập trung trong việc đầu tư các giải pháp bảo vệ, có sự dùng chung, chia sẻ tài nguyên để tối ưu hiệu năng, tránh đầu tư thừa, trùng lặp.

3. Việc phân bổ, bố trí nguồn lực để bảo đảm an ninh mạng hệ thống thông tin thực hiện theo thứ tự ưu tiên từ cấp độ cao xuống cấp độ thấp.

4. Bộ Quốc phòng quản lý về an ninh mạng với nhiệm vụ quân sự, quốc phòng; Bộ Công an quản lý về an ninh mạng đối với các hoạt động dân sự, kinh tế của các đơn vị quân đội theo thẩm quyền; các nội dung giao thoa (nếu có), Bộ Công an và Bộ Quốc phòng thống nhất bằng quy chế phối hợp.

1. Hệ thống thông tin phải có chức năng nghiệp vụ rõ ràng; có xử lý dữ liệu; có người dùng, đối tượng vận hành hoặc đối tượng phục vụ cụ thể; có kết quả đầu ra dưới dạng thông tin, dữ liệu phục vụ hoạt động quản lý, điều hành, giao dịch hoặc cung cấp dịch vụ.

2. Phạm vi của hệ thống thông tin:

1. Việc xác định hệ thống thông tin để xác định cấp độ căn cứ trên nguyên tắc như sau:

2. Trường hợp hệ thống thông tin đồng thời đáp ứng nhiều tiêu chí thuộc các cấp độ khác nhau thì áp dụng cấp độ cao nhất.

3. Không xác định phạm vi hệ thống thông tin một cách hình thức nhằm làm thay đổi cấp độ hệ thống thông tin hoặc giảm yêu cầu bảo đảm an ninh mạng. Trường hợp phát hiện việc phân tách hoặc hợp nhất hệ thống thông tin không phù hợp với quy định, cơ quan, đơn vị có thẩm quyền yêu cầu xác định lại hệ thống thông tin và cấp độ tương ứng.