Trong bối cảnh công nghệ phát triển mạnh mẽ và các nguy cơ mất an toàn thông tin, lộ bí mật Nhà nước qua các kênh kỹ thuật ngày càng gia tăng, việc thắt chặt quản lý đối với hệ thống thiết bị phần cứng, phần mềm đóng vai trò then chốt. Nhằm bảo vệ tuyệt đối an toàn thông tin quốc gia, pháp luật đã ban hành quy định bắt buộc phải kiểm định an ninh đối với các thiết bị kỹ thuật bảo vệ bí mật Nhà nước trước khi đưa vào vận hành thực tế.

Sự cần thiết của việc kiểm định an ninh thiết bị kỹ thuật

Công tác bảo vệ bí mật Nhà nước không chỉ dừng lại ở các quy trình văn thư hay quản lý con người, mà còn phụ thuộc đặc biệt lớn vào độ an toàn của hạ tầng kỹ thuật. Căn cứ theo quy định tại Luật Bảo vệ bí mật nhà nước 2025 cũng như các văn bản chỉ đạo như Chỉ thị 32/CT-TTg năm 2025 của Thủ tướng Chính phủ, việc rà soát, kiểm tra, đánh giá nguy cơ mất an toàn trên các phương tiện điện tử là yêu cầu cấp thiết hàng đầu.

Theo quy định tại khoản 1 Điều 8 Nghị định 315/2026/NĐ-CP, kiểm định an ninh được thực hiện đối với đối tượng kiểm định trước khi đưa vào sử dụng. Cụ thể, kể từ mốc thời gian Nghị định này chính thức có hiệu lực (từ ngày 01/5/2027), toàn bộ các thiết bị kỹ thuật thuộc diện bắt buộc kiểm định phải trải qua quá trình đánh giá và hoàn thành kiểm định an ninh mới đủ điều kiện đưa vào hoạt động.

Thế nào là kiểm định an ninh thiết bị kỹ thuật?

Khái niệm về kiểm định an ninh thiết bị kỹ thuật đã được làm rõ tại khoản 3 Điều 3 Nghị định 315/2026/NĐ-CP. Theo đó, kiểm định an ninh thiết bị kỹ thuật là hoạt động kiểm định, đánh giá, xác nhận mức độ đáp ứng yêu cầu an ninh của thiết bị kỹ thuật trước khi đưa vào sử dụng. Quá trình này nhằm phát hiện sớm các lỗ hổng bảo mật, mã độc, thiết bị nghe lén, quay lén hoặc các nguy cơ bị can thiệp kỹ thuật trái phép từ bên ngoài.

Việc kiểm định phải đảm bảo tuân thủ nghiêm ngặt các nguyên tắc tại Điều 4 Nghị định 315/2026/NĐ-CP, bao gồm:

• Bảo đảm tuân thủ đúng quy định của pháp luật, khách quan, kịp thời, chính xác và minh bạch;
• Có sự phân công, phối hợp chặt chẽ, hiệu quả giữa các cơ quan, tổ chức, đơn vị chuyên trách liên quan;
• Không gây cản trở, làm gián đoạn hay ảnh hưởng tiêu cực đến hoạt động bình thường của cơ quan, tổ chức quản lý, sử dụng thiết bị.

Danh mục thiết bị và điều kiện đưa vào kiểm định

Các đối tượng trang thiết bị thuộc diện bắt buộc phải kiểm định, kiểm tra an ninh được liệt kê chi tiết tại Phụ lục I ban hành kèm theo Nghị định 315/2026/NĐ-CP. Ngoài danh mục chung này, tại khoản 2 Điều 6 Nghị định 315/2026/NĐ-CP cũng giao thẩm quyền cho Bộ Quốc phòng chủ trì xây dựng, ban hành danh mục thiết bị kỹ thuật bắt buộc phải kiểm định, kiểm tra an ninh riêng thuộc lĩnh vực quốc phòng.

Về yêu cầu đầu vào đối với trang thiết bị, Điều 7 Nghị định 315/2026/NĐ-CP quy định rõ:

Thiết bị đưa vào kiểm định phải bảo đảm nguyên trạng của nhà sản xuất. Đối với thiết bị nhập khẩu, hồ sơ phải có Giấy chứng nhận xuất xứ (Certificate of Origin - CO), Chứng nhận chất lượng (Certificate of Quality - CQ), tài liệu kỹ thuật và các giấy tờ khác có liên quan nếu có.

Nội dung kiểm định và dán tem kiểm định an ninh

Theo Điều 11 Nghị định 315/2026/NĐ-CP, quy trình kiểm định an ninh bao gồm hai phần nội dung quan trọng bắt buộc:

• Kiểm định phần cứng: Đánh giá cấu trúc vật lý, linh kiện, mạch điện tử, kiểm tra khả năng tích hợp thiết bị thu phát sóng ẩn hoặc mã hóa phần cứng trái phép.
• Kiểm định phần mềm: Rà soát firmware, hệ điều hành, phần mềm điều khiển, ứng dụng cài đặt sẵn để phát hiện lỗ hổng an ninh, mã độc, cổng hậu (backdoor) hoặc các kết nối ngầm ngoài kiểm soát.

Thiết bị sau khi trải qua kiểm tra và đạt đầy đủ các tiêu chuẩn theo Bộ tiêu chí an ninh thiết bị kỹ thuật sẽ được cơ quan chuyên trách dán tem kiểm định chính thức. Trường hợp thiết bị không đạt yêu cầu an ninh sẽ bị từ chối dán tem và tuyệt đối không được đưa vào sử dụng trong các hệ thống xử lý, lưu trữ hay bảo vệ bí mật Nhà nước.

Lưu ý ngoại lệ: Đối với các đối tượng kiểm định do cơ quan có thẩm quyền cấp và đã được hoàn thành kiểm định an ninh trước đó thì không bắt buộc phải thực hiện lại quy trình kiểm định quy định tại Điều 10 Nghị định 315/2026/NĐ-CP.

Đối tượng chịu sự điều chỉnh của quy định

Các quy định về kiểm định an ninh thiết bị kỹ thuật tại Nghị định 315/2026/NĐ-CP có phạm vi áp dụng rộng rãi, bao gồm:

• Các cơ quan Đảng, cơ quan Nhà nước từ Trung ương đến địa phương;
• Tổ chức chính trị - xã hội;
• Doanh nghiệp nhà nước trực tiếp quản lý, vận hành và sử dụng thiết bị kỹ thuật bắt buộc phải kiểm định, kiểm tra an ninh;
• Đơn vị kiểm định, đơn vị kiểm tra an ninh chuyên trách cùng các cơ quan, tổ chức, cá nhân khác có liên quan.

Việc thực hiện nghiêm túc quy định kiểm định an ninh thiết bị kỹ thuật không chỉ giúp nâng cao hiệu quả công tác bảo vệ bí mật Nhà nước mà còn góp phần củng cố chủ quyền an ninh mạng quốc gia theo tinh thần của Luật An ninh mạng 2018 trong giai đoạn hiện nay.