Điều 6 Nghị định 333/2026/NĐ-CP hướng dẫn Luật An ninh mạng

a) Có quy định, quy trình, phương án bảo đảm an ninh mạng phù hợp với quy định của pháp luật về an ninh mạng, bảo vệ bí mật nhà nước, tiêu chuẩn, quy chuẩn kỹ thuật về an ninh mạng và tiêu chuẩn kỹ thuật chuyên ngành có liên quan;

b) Xác định rõ hệ thống thông tin, thông tin, dữ liệu, hạ tầng kỹ thuật và thành phần quan trọng cần ưu tiên bảo vệ; quy trình quản lý, vận hành, khai thác, sử dụng, bảo vệ hệ thống thông tin, dữ liệu, hạ tầng kỹ thuật; trách nhiệm của từng bộ phận, cá nhân trong quản lý, vận hành, sử dụng hệ thống;

c) Có bộ phận hoặc nhân sự phụ trách vận hành, quản trị hệ thống và bảo vệ an ninh mạng; nhân sự thực hiện nhiệm vụ này có trình độ chuyên môn phù hợp về an ninh mạng, công nghệ thông tin hoặc lĩnh vực kỹ thuật có liên quan và có trách nhiệm bảo mật thông tin liên quan đến hệ thống thông tin trong thời gian thực hiện nhiệm vụ và sau khi chấm dứt nhiệm vụ;

d) Hoạt động vận hành, quản trị hệ thống và bảo vệ an ninh mạng được phân định rõ chức năng, nhiệm vụ, quyền hạn, trách nhiệm; bảo đảm kiểm soát chéo, hạn chế xung đột nhiệm vụ và đáp ứng yêu cầu bảo vệ an ninh mạng;

đ) Thiết bị, phần cứng, phần mềm, cơ sở dữ liệu, mã nguồn, chương trình ứng dụng, công cụ phát triển và thành phần kỹ thuật khác của hệ thống được kiểm tra, quản lý, rà soát, cập nhật, khắc phục điểm yếu, lỗ hổng bảo mật, mã độc, phần cứng độc hại và nguy cơ mất an ninh mạng trước khi đưa vào sử dụng và trong quá trình vận hành;

e) Sản phẩm, thiết bị, phần cứng, phần mềm đã được lực lượng chuyên trách bảo vệ an ninh mạng cảnh báo, thông báo nguy cơ gây mất an ninh mạng không được đưa vào sử dụng hoặc chỉ được đưa vào sử dụng sau khi đã có biện pháp xử lý, khắc phục nguy cơ gây mất an ninh mạng;

g) Có biện pháp quản lý, kiểm tra, kiểm soát việc kết nối, sử dụng, vận chuyển, lưu trữ, sửa chữa, tiêu hủy thiết bị công nghệ thông tin, phương tiện truyền thông, vật mang tin, thiết bị di động, thiết bị và phương tiện lưu trữ thông tin phục vụ hoạt động của hệ thống thông tin;

h) Có biện pháp kỹ thuật để giám sát, phát hiện, cảnh báo, ngăn chặn, xử lý nguy cơ, sự cố an ninh mạng; tách biệt môi trường vận hành chính thức với môi trường phát triển, kiểm tra, thử nghiệm; kiểm soát việc cài đặt, sử dụng phần mềm, dịch vụ, công cụ, phương tiện trên hệ thống;

i) Có phương án sao lưu dự phòng dữ liệu, kiểm tra khả năng khôi phục dữ liệu; phân vùng mạng theo đối tượng sử dụng, mục đích sử dụng, mức độ quan trọng của tài nguyên hệ thống; kiểm soát kết nối, kiểm soát truy cập giữa các vùng mạng và tài nguyên quan trọng của hệ thống;

k) Có giải pháp phát hiện, ngăn chặn truy cập không tin cậy, xâm nhập trái phép, tấn công từ chối dịch vụ và hình thức tấn công mạng khác; dò tìm, phát hiện, cảnh báo và xử lý điểm yếu, lỗ hổng kỹ thuật, kết nối, thiết bị, phần mềm cài đặt trái phép vào hệ thống;

l) Ghi, quản lý, lưu trữ nhật ký hoạt động của hệ thống thông tin, người sử dụng, lỗi phát sinh và sự cố an ninh mạng theo quy định của pháp luật, tiêu chuẩn, quy chuẩn kỹ thuật có liên quan và yêu cầu bảo vệ an ninh mạng;

m) Có biện pháp quản lý tài khoản, phân quyền sử dụng, kiểm soát truy cập, quản lý mã khóa bí mật, phương thức xác thực; kiểm soát việc tạo lập, cấp phát, sử dụng, giám sát tài khoản có quyền quản trị; rà soát, kiểm tra, xét duyệt lại quyền truy cập của người sử dụng;

n) Có biện pháp bảo đảm an ninh vật lý đối với địa điểm lắp đặt hệ thống, trung tâm dữ liệu, khu vực đặt máy chủ, thiết bị mạng, thiết bị lưu trữ và khu vực kỹ thuật trọng yếu; bảo đảm nguồn điện, hệ thống hỗ trợ vận hành liên tục, kiểm soát ra vào và phòng ngừa nguy cơ xâm nhập, thu thập thông tin trái phép bằng thiết bị, phương tiện kỹ thuật;

o) Việc xử lý, lưu trữ, truyền đưa thông tin thuộc bí mật nhà nước trên hệ thống thông tin phải tuân thủ quy định của pháp luật về bảo vệ bí mật nhà nước, pháp luật về cơ yếu, pháp luật về an ninh mạng và quy định khác của pháp luật có liên quan; hệ thống thông tin xử lý bí mật nhà nước phải được áp dụng biện pháp bảo vệ phù hợp với cấp độ bí mật và yêu cầu bảo vệ an ninh mạng.

a) Bộ Công an đánh giá, chứng nhận đủ điều kiện an ninh mạng đối với hệ thống thông tin quan trọng về an ninh quốc gia, trừ trường hợp quy định tại điểm b và điểm c khoản này;

b) Bộ Quốc phòng đánh giá, chứng nhận đủ điều kiện an ninh mạng đối với hệ thống thông tin quân sự;

c) Ban Cơ yếu Chính phủ đánh giá, chứng nhận đủ điều kiện an ninh mạng đối với hệ thống thông tin cơ yếu thuộc Ban Cơ yếu Chính phủ.

a) Văn bản đề nghị chứng nhận đủ điều kiện an ninh mạng theo Mẫu số 02 Phụ lục ban hành kèm theo Nghị định này;

b) Báo cáo nghiên cứu khả thi, hồ sơ thiết kế kỹ thuật, hồ sơ thiết kế thi công hoặc tài liệu tương đương của dự án đầu tư xây dựng, nâng cấp, mở rộng hệ thống thông tin;

c) Hồ sơ giải pháp bảo đảm an ninh mạng đối với hệ thống thông tin quan trọng về an ninh quốc gia;

d) Tài liệu thể hiện kết quả thẩm định an ninh mạng (nếu có);

đ) Tài liệu khác có liên quan đến nội dung đề nghị đánh giá (nếu có).

a) Chủ quản hệ thống thông tin gửi 01 bộ hồ sơ đề nghị đánh giá điều kiện an ninh mạng đến cơ quan có thẩm quyền quy định tại khoản 5 Điều này;

b) Trong thời hạn tối đa 03 ngày làm việc kể từ ngày nhận được hồ sơ, cơ quan có thẩm quyền có trách nhiệm kiểm tra tính hợp lệ của hồ sơ. Trường hợp hồ sơ hợp lệ thì cấp giấy tiếp nhận hồ sơ ngay sau khi hoàn thành việc kiểm tra. Trường hợp hồ sơ chưa hợp lệ thì thông báo bằng văn bản để chủ quản hệ thống thông tin bổ sung, hoàn thiện hồ sơ;

c) Trong thời hạn tối đa 25 ngày làm việc kể từ ngày cấp giấy tiếp nhận hồ sơ hợp lệ, cơ quan có thẩm quyền tổ chức đánh giá điều kiện an ninh mạng;

d) Trường hợp hệ thống thông tin đáp ứng đủ điều kiện an ninh mạng, Thủ trưởng cơ quan có thẩm quyền cấp Giấy chứng nhận đủ điều kiện an ninh mạng đối với hệ thống thông tin;

đ) Trường hợp hệ thống thông tin chưa đáp ứng điều kiện an ninh mạng, cơ quan có thẩm quyền thông báo bằng văn bản, nêu rõ nội dung chưa đáp ứng và yêu cầu chủ quản hệ thống thông tin bổ sung, hoàn thiện, nâng cấp, khắc phục trước khi đưa hệ thống thông tin vào vận hành, sử dụng.