Điều 31 Nghị định 331/2026/NĐ-CP về bảo vệ an ninh mạng đối với hệ thống thông tin

a) Trực tiếp chỉ đạo và chịu trách nhiệm trước pháp luật về công tác bảo vệ an ninh mạng trong hoạt động của cơ quan, tổ chức mình;

b) Bố trí bộ phận hoặc nhân sự chuyên trách về an ninh mạng phù hợp với cấp độ bảo vệ của hệ thống; chỉ định cá nhân, bộ phận phụ trách về an ninh mạng đối với hệ thống sử dụng ngân sách nhà nước;

c) Trong trường hợp chưa có đơn vị chuyên trách về an ninh mạng độc lập:

Chỉ định đơn vị chuyên trách về công nghệ thông tin hoặc chuyển đổi số làm nhiệm vụ đơn vị chuyên trách về an ninh mạng;

Thành lập hoặc chỉ định bộ phận chuyên trách về an ninh mạng.

a) Chỉ đạo đơn vị vận hành hệ thống thông tin xác định, lập hồ sơ đề xuất cấp độ hệ thống thông tin, hệ thống thông tin quan trọng về an ninh quốc gia; tổ chức thẩm định và phê duyệt hồ sơ đề xuất cấp độ theo quy định tại Nghị định này;

b) Chỉ đạo, tổ chức thực hiện đầy đủ các nhiệm vụ, biện pháp bảo vệ an ninh mạng đối với hệ thống thông tin quy định tại Nghị định này và quy định của pháp luật có liên quan;

c) Chỉ đạo, tổ chức thực hiện kiểm tra, đánh giá an ninh mạng và quản lý rủi ro an ninh mạng trong phạm vi cơ quan, tổ chức của mình; đồng thời, chịu trách nhiệm trước pháp luật về tính trung thực, đầy đủ và chính xác của kết quả đánh giá, cụ thể như sau:

Việc kiểm tra, đánh giá an ninh mạng và quản lý rủi ro an ninh mạng có thể được thực hiện theo hình thức tự đánh giá nội bộ, với điều kiện việc đánh giá phải do bộ phận hoặc đơn vị độc lập với đơn vị trực tiếp vận hành hệ thống thực hiện, tuân thủ biểu mẫu, tiêu chí và phương pháp đánh giá do cơ quan nhà nước có thẩm quyền ban hành;

Việc kiểm tra, đánh giá bởi tổ chức chuyên môn được cơ quan có thẩm quyền cấp phép; tổ chức sự nghiệp nhà nước có chức năng, nhiệm vụ phù hợp hoặc do tổ chức chuyên môn được cấp có thẩm quyền chỉ định thực hiện được thực hiện trong các trường hợp sau đây: hệ thống thông tin cấp độ 5 hoặc hệ thống thông tin quan trọng về an ninh quốc gia; khi xảy ra sự cố an ninh mạng nghiêm trọng hoặc có nguy cơ cao ảnh hưởng đến an ninh quốc gia, trật tự, an toàn xã hội; khi có thay đổi lớn về chức năng, phạm vi, kiến trúc hoặc công nghệ của hệ thống thông tin; khi có dấu hiệu việc tự đánh giá không bảo đảm tính trung thực, đầy đủ, chính xác; khi có yêu cầu của cơ quan nhà nước có thẩm quyền hoặc do chủ quản hệ thống thông tin tổ chức thực hiện;

d) Báo cáo sự cố an ninh mạng với cơ quan chuyên trách của Bộ Công an (đối với hệ thống do Bộ Quốc phòng quản lý, chủ quản hệ thống báo cáo sự cố về lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Quốc phòng để phối hợp xử lý theo thẩm quyền):

Báo cáo về nguyên nhân, phạm vi ảnh hưởng, biện pháp khắc phục trong thời hạn 72 giờ kể từ thời điểm phát hiện sự cố; trường hợp sự cố phức tạp, chủ quản hệ thống thông tin báo cáo thông tin sơ bộ, biện pháp khắc phục và gửi báo cáo cập nhật, báo cáo kết thúc sau khi hoàn thành điều tra, khắc phục và đánh giá tác động;

Thông báo ban đầu về sự cố an ninh mạng nghiêm trọng trong thời hạn 24 giờ kể từ khi phát hiện;

Trường hợp sự cố có dấu hiệu xâm phạm an ninh quốc gia, trật tự, an toàn xã hội hoặc gây gián đoạn nghiêm trọng hoạt động của hệ thống thông tin, việc báo cáo phải được thực hiện ngay khi phát hiện.