Chương 5 Nghị định 331/2026/NĐ-CP về bảo vệ an ninh mạng đối với hệ thống thông tin

a) Nội dung đánh giá điều kiện an ninh mạng bao gồm: chính sách, quy chế, quy trình bảo đảm an ninh mạng; tổ chức bộ máy, nhân sự phụ trách an ninh mạng; biện pháp quản lý và kỹ thuật bảo vệ an ninh mạng hệ thống thông tin; khả năng giám sát, phát hiện, ứng phó và khắc phục sự cố an ninh mạng; việc tuân thủ quy định của pháp luật về an ninh mạng và các quy định có liên quan;

b) Đánh giá điều kiện an ninh mạng được thực hiện trong trường hợp: trước khi đưa hệ thống thông tin vào vận hành; khi có thay đổi lớn về chức năng, quy mô, công nghệ hoặc mức độ rủi ro an ninh mạng; theo yêu cầu của cơ quan có thẩm quyền;

c) Kết quả đánh giá điều kiện an ninh mạng là căn cứ để: xác định hệ thống thông tin đủ hoặc không đủ điều kiện đưa vào vận hành, sử dụng; yêu cầu bổ sung, hoàn thiện các biện pháp bảo đảm an ninh mạng; phục vụ công tác quản lý nhà nước về an ninh mạng.

a) Hoạt động kiểm tra, giám sát và đánh giá hiệu quả được thực hiện: định kỳ theo cấp độ hệ thống thông tin và mức độ rủi ro an ninh mạng; thường xuyên thông qua hoạt động giám sát an ninh mạng; đột xuất khi có dấu hiệu vi phạm quy định về bảo đảm an ninh mạng hoặc nguy cơ mất an ninh mạng; theo yêu cầu của cơ quan có thẩm quyền;

b) Việc đánh giá hiệu quả các biện pháp bảo đảm an ninh mạng phải bảo đảm: xác định được mức độ hiệu quả của các biện pháp trong việc giảm thiểu rủi ro an ninh mạng; đánh giá khả năng đáp ứng yêu cầu bảo vệ hệ thống thông tin theo cấp độ; làm căn cứ để điều chỉnh, bổ sung hoặc thay thế các biện pháp quản lý và kỹ thuật không còn phù hợp;

c) Kết quả kiểm tra, giám sát và đánh giá hiệu quả là căn cứ: để tổ chức khắc phục, xử lý các tồn tại, điểm yếu, lỗ hổng bảo mật; phục vụ công tác quản lý nhà nước về an ninh mạng.

a) Bảo đảm an ninh mạng trong thiết kế, xây dựng;

b) Bảo đảm an ninh mạng hệ thống thông tin trong quá trình vận hành;

c) Kiểm tra, đánh giá an ninh mạng;

d) Quản lý rủi ro an ninh mạng;

đ) Giám sát an ninh mạng;

e) Dự phòng, ứng phó sự cố an ninh mạng, khôi phục sau thảm họa;

g) Kết thúc vận hành, khai thác, thanh lý, hủy bỏ.

a) Thiết lập chính sách an ninh mạng;

b) Tổ chức bảo đảm an ninh mạng;

c) Bảo đảm nguồn nhân lực;

d) Quản lý thiết kế, xây dựng hệ thống;

đ) Quản lý vận hành hệ thống;

e) Phương án quản lý rủi ro an ninh mạng;

g) Phương án kết thúc vận hành, khai thác, thanh lý, hủy bỏ hệ thống thông tin.

a) Bảo đảm an toàn mạng;

b) Bảo đảm an toàn máy chủ;

c) Bảo đảm an toàn ứng dụng;

d) Bảo đảm an toàn dữ liệu.

a) Đối với hệ thống thông tin cấp độ 1, 2, 3: phương án bảo đảm an ninh mạng phải xem xét khả năng dùng chung giữa các hệ thống thông tin đối với các giải pháp bảo vệ, chia sẻ tài nguyên để tối ưu hiệu năng, tránh đầu tư thừa, trùng lặp, lãng phí;

b) Đối với hệ thống thông tin cấp độ 4, 5: phương án bảo đảm an ninh mạng cần được thiết kế bảo đảm tính sẵn sàng, phân tách và hạn chế ảnh hưởng đến toàn bộ hệ thống khi một thành phần trong hệ thống hoặc có liên quan tới hệ thống bị mất an ninh mạng.

a) Phải được thiết kế tách riêng, độc lập với các hệ thống khác về lô-gic và có biện pháp quản lý truy cập giữa các hệ thống;

b) Các vùng mạng trong hệ thống phải được thiết kế tách riêng, độc lập với nhau về lô-gic và có biện pháp quản lý truy cập giữa các vùng mạng;

c) Có phân vùng lưu trữ được phân tách độc lập về lô-gic.

a) Phải được thiết kế tách riêng, độc lập với các hệ thống khác về vật lý và có biện pháp quản lý truy cập giữa các hệ thống;

b) Các vùng mạng trong hệ thống phải được thiết kế tách riêng, độc lập với nhau về lô-gic và có biện pháp quản lý truy cập giữa các vùng mạng;

c) Có phân vùng lưu trữ được phân tách độc lập về vật lý;

d) Các thiết bị mạng chính phải được phân tách độc lập về vật lý;

đ) Các giải pháp an ninh mạng dùng chung được phép triển khai đối với các hệ thống thông tin tách biệt vật lý nếu các giải pháp này chỉ thực hiện chức năng giám sát, phát hiện, cảnh báo hoặc bảo vệ ở lớp biên, không tạo ra khả năng truy cập, điều khiển hoặc can thiệp trực tiếp vào dữ liệu, tài nguyên và hoạt động nội bộ của hệ thống thông tin.

a) Trực tiếp chỉ đạo và chịu trách nhiệm trước pháp luật về công tác bảo vệ an ninh mạng trong hoạt động của cơ quan, tổ chức mình;

b) Bố trí bộ phận hoặc nhân sự chuyên trách về an ninh mạng phù hợp với cấp độ bảo vệ của hệ thống; chỉ định cá nhân, bộ phận phụ trách về an ninh mạng đối với hệ thống sử dụng ngân sách nhà nước;

c) Trong trường hợp chưa có đơn vị chuyên trách về an ninh mạng độc lập:

Chỉ định đơn vị chuyên trách về công nghệ thông tin hoặc chuyển đổi số làm nhiệm vụ đơn vị chuyên trách về an ninh mạng;

Thành lập hoặc chỉ định bộ phận chuyên trách về an ninh mạng.

a) Chỉ đạo đơn vị vận hành hệ thống thông tin xác định, lập hồ sơ đề xuất cấp độ hệ thống thông tin, hệ thống thông tin quan trọng về an ninh quốc gia; tổ chức thẩm định và phê duyệt hồ sơ đề xuất cấp độ theo quy định tại Nghị định này;

b) Chỉ đạo, tổ chức thực hiện đầy đủ các nhiệm vụ, biện pháp bảo vệ an ninh mạng đối với hệ thống thông tin quy định tại Nghị định này và quy định của pháp luật có liên quan;

c) Chỉ đạo, tổ chức thực hiện kiểm tra, đánh giá an ninh mạng và quản lý rủi ro an ninh mạng trong phạm vi cơ quan, tổ chức của mình; đồng thời, chịu trách nhiệm trước pháp luật về tính trung thực, đầy đủ và chính xác của kết quả đánh giá, cụ thể như sau:

Việc kiểm tra, đánh giá an ninh mạng và quản lý rủi ro an ninh mạng có thể được thực hiện theo hình thức tự đánh giá nội bộ, với điều kiện việc đánh giá phải do bộ phận hoặc đơn vị độc lập với đơn vị trực tiếp vận hành hệ thống thực hiện, tuân thủ biểu mẫu, tiêu chí và phương pháp đánh giá do cơ quan nhà nước có thẩm quyền ban hành;

Việc kiểm tra, đánh giá bởi tổ chức chuyên môn được cơ quan có thẩm quyền cấp phép; tổ chức sự nghiệp nhà nước có chức năng, nhiệm vụ phù hợp hoặc do tổ chức chuyên môn được cấp có thẩm quyền chỉ định thực hiện được thực hiện trong các trường hợp sau đây: hệ thống thông tin cấp độ 5 hoặc hệ thống thông tin quan trọng về an ninh quốc gia; khi xảy ra sự cố an ninh mạng nghiêm trọng hoặc có nguy cơ cao ảnh hưởng đến an ninh quốc gia, trật tự, an toàn xã hội; khi có thay đổi lớn về chức năng, phạm vi, kiến trúc hoặc công nghệ của hệ thống thông tin; khi có dấu hiệu việc tự đánh giá không bảo đảm tính trung thực, đầy đủ, chính xác; khi có yêu cầu của cơ quan nhà nước có thẩm quyền hoặc do chủ quản hệ thống thông tin tổ chức thực hiện;

d) Báo cáo sự cố an ninh mạng với cơ quan chuyên trách của Bộ Công an (đối với hệ thống do Bộ Quốc phòng quản lý, chủ quản hệ thống báo cáo sự cố về lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Quốc phòng để phối hợp xử lý theo thẩm quyền):

Báo cáo về nguyên nhân, phạm vi ảnh hưởng, biện pháp khắc phục trong thời hạn 72 giờ kể từ thời điểm phát hiện sự cố; trường hợp sự cố phức tạp, chủ quản hệ thống thông tin báo cáo thông tin sơ bộ, biện pháp khắc phục và gửi báo cáo cập nhật, báo cáo kết thúc sau khi hoàn thành điều tra, khắc phục và đánh giá tác động;

Thông báo ban đầu về sự cố an ninh mạng nghiêm trọng trong thời hạn 24 giờ kể từ khi phát hiện;

Trường hợp sự cố có dấu hiệu xâm phạm an ninh quốc gia, trật tự, an toàn xã hội hoặc gây gián đoạn nghiêm trọng hoạt động của hệ thống thông tin, việc báo cáo phải được thực hiện ngay khi phát hiện.

a) Thực hiện thẩm định hồ sơ đề xuất cấp độ theo thẩm quyền quy định tại Nghị định này; kiểm tra, đánh giá tuân thủ an ninh mạng theo cấp độ;

b) Hướng dẫn chi tiết việc xác định hệ thống thông tin quy định tại Nghị định này;

c) Ban hành hoặc trình cơ quan nhà nước có thẩm quyền ban hành văn bản quy phạm pháp luật, tiêu chuẩn, quy chuẩn kỹ thuật quốc gia về bảo vệ an ninh mạng hệ thống thông tin, Khung quản lý rủi ro an ninh mạng;

d) Hướng dẫn các cơ quan, tổ chức thực hiện đào tạo, tuyên truyền, phổ biến nâng cao nhận thức và diễn tập về bảo vệ an ninh mạng đối với hệ thống thông tin;

đ) Quy định chi tiết về kiểm tra, đánh giá an ninh mạng và quản lý rủi ro an ninh mạng trong hoạt động của cơ quan, tổ chức nhà nước;

e) Triển khai hệ thống hạ tầng kỹ thuật tập trung quy mô quốc gia để hỗ trợ giám sát an ninh mạng cho các hệ thống thông tin cấp độ 3, 4, 5, hệ thống thông tin quan trọng về an ninh quốc gia.

a) Phê duyệt phương án bảo đảm an ninh mạng; trình Thủ tướng Chính phủ phê duyệt hồ sơ và danh mục đối với hệ thống thông tin quan trọng về an ninh quốc gia trong lĩnh vực quân sự;

b) Chỉ đạo lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Quốc phòng và cơ quan, đơn vị, doanh nghiệp trực thuộc Bộ Quốc phòng thẩm định, phê duyệt theo thẩm quyền quy định tại Điều 18 Nghị định này đối với hồ sơ đề xuất cấp độ, phương án bảo đảm an ninh mạng theo cấp độ đối với các hệ thống thông tin của cơ quan, đơn vị, doanh nghiệp thuộc Bộ Quốc phòng;

c) Chỉ đạo cơ quan, đơn vị, doanh nghiệp thuộc Bộ Quốc phòng phối hợp thực hiện theo hướng dẫn của lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Quốc phòng trong công tác bảo đảm an ninh mạng và thiết lập hệ thống kết nối, đấu nối đường truyền kỹ thuật, truyền tải dữ liệu và đáp ứng các điều kiện cần thiết khác phục vụ giám sát an ninh mạng;

d) Hướng dẫn các cơ quan, đơn vị, doanh nghiệp thuộc Bộ Quốc phòng thực hiện đào tạo, tuyên truyền, phổ biến nâng cao nhận thức và diễn tập về an ninh mạng.

a) Chỉ đạo các cơ quan, đơn vị trực thuộc thực hiện rà soát, phân loại, xác định cấp độ và phê duyệt hồ sơ đề xuất cấp độ đối với hệ thống thông tin thuộc phạm vi quản lý theo thẩm quyền; rà soát các hệ thống thông tin thuộc phạm vi quản lý đủ điều kiện đề xuất đưa vào Danh mục hệ thống thông tin quan trọng về an ninh quốc gia;

b) Đảm bảo hệ thống thông tin thuộc phạm vi quản lý được đầu tư, trang bị các giải pháp an ninh mạng đầy đủ, đồng bộ theo phương án bảo vệ tương ứng với cấp độ đã được phê duyệt;

c) Định kỳ hằng năm trao đổi Bộ Công an về tình hình thực hiện quy định bảo đảm an ninh mạng theo cấp độ tại bộ, ngành, địa phương mình để tổng hợp, báo cáo Chính phủ.