Điều 10 Nghị định 331/2026/NĐ-CP về bảo vệ an ninh mạng đối với hệ thống thông tin

a) Khi xác định cấp độ hệ thống thông tin lần đầu;

b) Khi có thay đổi về chức năng, phạm vi phục vụ, đối tượng sử dụng, loại thông tin xử lý hoặc công nghệ triển khai hệ thống thông tin;

c) Khi hệ thống thông tin mở rộng quy mô, tích hợp, kết nối liên thông hoặc chia sẻ dữ liệu với hệ thống khác;

d) Khi xảy ra sự cố an ninh mạng nghiêm trọng hoặc có nguy cơ cao ảnh hưởng đến an ninh quốc gia, trật tự, an toàn xã hội, lợi ích công cộng;

đ) Khi có yêu cầu của cơ quan nhà nước có thẩm quyền.

a) Xác định tài sản, chức năng trọng yếu, vai trò của tài sản trong hệ thống thông tin và phân loại tài sản theo thứ tự quan trọng trong hệ thống thông tin;

b) Xác định loại thông tin được xử lý, lưu trữ, truyền đưa qua hệ thống, bao gồm thông tin công cộng, thông tin riêng, thông tin cá nhân, thông tin bí mật nhà nước;

c) Nhận diện rủi ro an ninh mạng dựa trên xác định mối đe dọa, điểm yếu, lỗ hổng bảo mật và khả năng bị khai thác;

d) Đánh giá khả năng xảy ra sự cố và mức độ tác động, hậu quả đối với an ninh quốc gia, trật tự, an toàn xã hội, quyền và lợi ích hợp pháp của tổ chức, cá nhân, lợi ích công cộng;

đ) Đánh giá năng lực hiện có trong việc phòng ngừa, phát hiện, ứng phó và khắc phục sự cố an ninh mạng;

e) Xây dựng kế hoạch và triển khai các biện pháp giảm thiểu rủi ro tương ứng với các rủi ro đã xác định;

g) Thực hiện truyền thông rủi ro và báo cáo đến cơ quan có thẩm quyền.

a) Đề xuất, xác định hoặc điều chỉnh cấp độ hệ thống thông tin theo quy định tại các Điều 11 đến Điều 16 Nghị định này;

b) Lựa chọn, triển khai biện pháp bảo đảm an ninh mạng tương ứng với cấp độ hệ thống thông tin;

c) Xây dựng, điều chỉnh phương án bảo vệ hệ thống thông tin, phương án ứng cứu sự cố an ninh mạng.