Trong kỷ nguyên số hóa toàn diện, an ninh mạng không còn là trách nhiệm riêng của các chuyên gia công nghệ mà đã trở thành bài toán sống còn đối với sự vận hành của mọi cơ quan nhà nước và doanh nghiệp. Bất kỳ một sự cố gián đoạn hay rò rỉ dữ liệu nào cũng có thể dẫn tới những hệ lụy khôn lường về kinh tế, uy tín và an ninh quốc gia. Nhằm thiết lập hàng rào phòng thủ vững chắc và tương xứng với mức độ rủi ro, hệ thống pháp luật Việt Nam đã quy định cơ chế bảo đảm an toàn, an ninh mạng theo từng cấp độ cụ thể. Vậy hệ thống thông tin được chia thành mấy cấp độ an ninh mạng? Tiêu chí nào phân định ranh giới giữa các cấp độ này và những nguyên tắc nào cần đặc biệt lưu ý khi lập hồ sơ đề xuất cấp độ?

1. Hệ thống thông tin được chia thành mấy cấp độ an ninh mạng?

Căn cứ theo quy định tại khoản 1 Điều 8 Luật An ninh mạng 2025, hệ thống thông tin được phân loại theo 05 cấp độ an ninh mạng. Việc phân cấp này được xác định căn cứ vào mức độ tổn hại thực tế hoặc tiềm ẩn khi hệ thống gặp sự cố an ninh mạng hoặc bị tấn công, phá hoại bởi các hành vi vi phạm pháp luật:

• Cấp độ 1: Khi hệ thống gặp sự cố hoặc bị tấn công xâm nhập có thể làm tổn hại tới quyền và lợi ích hợp pháp của tổ chức, cá nhân nhưng không ảnh hưởng đến lợi ích công cộng hay an ninh quốc gia.
• Cấp độ 2: Khi bị sự cố có thể làm tổn hại nghiêm trọng tới quyền và lợi ích hợp pháp của tổ chức, cá nhân hoặc bắt đầu gây tổn hại tới lợi ích công cộng.
• Cấp độ 3: Mức độ rủi ro gia tăng đáng kể khi sự cố có thể làm tổn hại đặc biệt nghiêm trọng tới quyền, lợi ích hợp pháp của tổ chức, cá nhân; tổn hại nghiêm trọng tới lợi ích công cộng; hoặc gây tổn hại, tổn hại nghiêm trọng tới trật tự, an toàn xã hội, thậm chí đe dọa an ninh quốc gia.
• Cấp độ 4: Khi hệ thống gặp sự cố có thể gây tổn hại đặc biệt nghiêm trọng tới lợi ích công cộng, trật tự an toàn xã hội hoặc làm tổn hại nghiêm trọng trực tiếp tới an ninh quốc gia.
• Cấp độ 5: Cấp độ an ninh mạng tối cao, áp dụng cho các hệ thống mang tính huyết mạch mà khi bị tê liệt hay phá hoại sẽ gây tổn hại đặc biệt nghiêm trọng tới an ninh quốc gia và sự tồn vong của đất nước.

Để triển khai đồng bộ và thống nhất quy định của Luật An ninh mạng 2025, Chính phủ đã ban hành Nghị định 331/2026/NĐ-CP về bảo vệ an ninh mạng đối với hệ thống thông tin, đặt ra các tiêu chuẩn định lượng và định tính hết sức cụ thể cho từng cấp độ.

2. Tiêu chí xác định 05 cấp độ an ninh mạng của hệ thống thông tin

Các tiêu chí xác định cấp độ an ninh mạng đóng vai trò là kim chỉ nam giúp chủ quản hệ thống thông tin nhận diện chính xác quy mô, tính chất dữ liệu và mức độ ảnh hưởng của hệ thống mà mình quản trị.

2.1. Tiêu chí xác định hệ thống thông tin cấp độ 1

Theo Điều 11 Nghị định 331/2026/NĐ-CP, hệ thống thông tin cấp độ 1 gồm các hệ thống thỏa mãn một trong các tiêu chí sau:

• Hệ thống thông tin chỉ phục vụ hoạt động nội bộ của cơ quan, tổ chức và chỉ xử lý, truyền tải thông tin công cộng.
• Hệ thống thông tin được xếp vào cấp độ 1 dựa trên kết quả đánh giá rủi ro an ninh mạng theo Khung quản lý rủi ro an ninh mạng do cơ quan có thẩm quyền ban hành.

2.2. Tiêu chí xác định hệ thống thông tin cấp độ 2

Căn cứ Điều 12 Nghị định 331/2026/NĐ-CP, hệ thống thông tin được xác định là cấp độ 2 nếu thuộc một trong các trường hợp:

• Hệ thống thông tin phục vụ hoạt động nội bộ của cơ quan, tổ chức có xử lý thông tin riêng, thông tin cá nhân của người sử dụng nhưng không xử lý thông tin bí mật nhà nước.
• Hệ thống thông tin phục vụ người dân, doanh nghiệp cung cấp dịch vụ trực tuyến không thuộc danh mục ngành, nghề đầu tư kinh doanh có điều kiện.
• Hệ thống thông tin cung cấp dịch vụ trực tuyến khác có xử lý thông tin riêng, thông tin cá nhân của dưới 100.000 chủ thể dữ liệu đối với dữ liệu cá nhân cơ bản hoặc dưới 10.000 chủ thể dữ liệu đối với dữ liệu cá nhân nhạy cảm.
• Hệ thống cơ sở hạ tầng thông tin chỉ phục vụ cho hoạt động của một cơ quan, tổ chức cụ thể.
• Hệ thống thông tin khác do Thủ tướng Chính phủ quyết định hoặc được đánh giá rủi ro an ninh mạng tương ứng cấp độ 2.

2.3. Tiêu chí xác định hệ thống thông tin cấp độ 3

Theo Điều 13 Nghị định 331/2026/NĐ-CP, cấp độ 3 là điểm phân ranh rất quan trọng, áp dụng cho các hệ thống có quy mô lớn hoặc tác động rộng rãi:

• Hệ thống xử lý thông tin bí mật nhà nước hoặc hệ thống phục vụ trực tiếp cho quốc phòng, an ninh mà khi bị phá hoại sẽ làm tổn hại tới an ninh quốc gia.
• Hệ thống giải quyết thủ tục hành chính công của các cơ quan nhà nước.
• Hệ thống cung cấp dịch vụ trực tuyến thuộc danh mục ngành, nghề đầu tư kinh doanh có điều kiện.
• Hệ thống cung cấp dịch vụ trực tuyến khác xử lý dữ liệu của từ 100.000 chủ thể dữ liệu cá nhân cơ bản trở lên hoặc từ 10.000 chủ thể dữ liệu cá nhân nhạy cảm trở lên.
• Hệ thống cơ sở hạ tầng thông tin phục vụ hoạt động của các cơ quan, tổ chức trong phạm vi một bộ, một ngành, một tỉnh hoặc liên tỉnh.
• Hệ thống điều khiển công nghiệp phục vụ vận hành công trình xây dựng cấp II, cấp III hoặc cấp IV.
• Hệ thống thông tin khác do Thủ tướng Chính phủ quyết định hoặc theo kết quả đánh giá rủi ro an ninh mạng.

2.4. Tiêu chí xác định hệ thống thông tin cấp độ 4

Theo quy định tại Điều 14 Nghị định 331/2026/NĐ-CP, hệ thống thông tin cấp độ 4 đòi hỏi chế độ bảo mật và giám sát nghiêm ngặt bậc nhất:

• Hệ thống xử lý thông tin bí mật nhà nước hoặc phục vụ quốc phòng, an ninh khi bị phá hoại sẽ làm tổn hại nghiêm trọng tới an ninh quốc gia.
• Hệ thống thông tin quốc gia phục vụ phát triển Chính phủ điện tử hoặc hệ thống cơ sở hạ tầng thông tin phục vụ trên phạm vi toàn quốc, có yêu cầu hoạt động liên tục 24/7 và không chấp nhận gián đoạn ngoài kế hoạch.
• Hệ thống điều khiển công nghiệp trực tiếp vận hành công trình xây dựng cấp I theo quy chuẩn pháp luật xây dựng.
• Các hệ thống trọng yếu khác do Thủ tướng Chính phủ chỉ định hoặc được phân loại qua Khung quản lý rủi ro an ninh mạng.

2.5. Tiêu chí xác định hệ thống thông tin cấp độ 5

Quy định tại Điều 15 Nghị định 331/2026/NĐ-CP nêu rõ các tiêu chí của hệ thống an ninh mạng cấp độ 5 – cấp độ đặc biệt:

• Hệ thống xử lý thông tin bí mật nhà nước hoặc hệ thống quốc phòng, an ninh mang tính chiến lược mà khi bị phá hoại sẽ làm tổn hại đặc biệt nghiêm trọng tới an ninh quốc gia.
• Hệ thống lưu trữ dữ liệu tập trung cấp quốc gia đối với các dữ liệu đặc biệt quan trọng.
• Hệ thống cơ sở hạ tầng thông tin quốc gia giữ vai trò kết nối liên thông mạng và dịch vụ của Việt Nam với cộng đồng quốc tế.
• Hệ thống thông tin điều khiển công nghiệp phục vụ công trình xây dựng cấp đặc biệt hoặc công trình quan trọng liên quan đến an ninh quốc gia.
• Hệ thống đặc biệt quan trọng do Thủ tướng Chính phủ quyết định.

3. Các nguyên tắc bắt buộc khi xác định cấp độ an ninh mạng

Việc xác định cấp độ không thể thực hiện một cách tùy tiện hay mang tính đối phó. Điều 8 Nghị định 331/2026/NĐ-CP đã thiết lập các nguyên tắc pháp lý có tính ràng buộc cao:

• Nguyên tắc một chủ quản: Mỗi hệ thống thông tin chỉ có duy nhất một cơ quan, tổ chức đứng tên chủ quản chịu trách nhiệm toàn diện trước pháp luật.
• Nguyên tắc hoạt động độc lập và phân loại dịch vụ: Hệ thống thông tin phải có khả năng vận hành độc lập, phục vụ hoặc hỗ trợ trực tiếp một nghiệp vụ cụ thể thuộc các loại hình hệ thống quy định tại Điều 9 Nghị định 331/2026/NĐ-CP (hệ thống nội bộ, hệ thống phục vụ người dân, hạ tầng thông tin dùng chung, hệ thống điều khiển công nghiệp...).
• Nguyên tắc áp dụng cấp độ cao nhất: Nếu một hệ thống thông tin đồng thời thỏa mãn nhiều tiêu chí thuộc các cấp độ khác nhau, chủ quản bắt buộc phải áp dụng cấp độ cao nhất để lập hồ sơ đề xuất và triển khai phương án bảo đảm an ninh mạng.
• Nghiêm cấm phân tách hình thức: Pháp luật nghiêm cấm hành vi cố tình chia nhỏ, tách rời hệ thống thông tin một cách hình thức nhằm hạ thấp cấp độ hoặc trốn tránh các tiêu chuẩn kiểm tra an ninh mạng nghiêm ngặt. Cơ quan chức năng có quyền bác bỏ và yêu cầu lập lại hồ sơ nếu phát hiện việc phân chia không đúng thực chất.

4. Quản lý rủi ro và đánh giá lại cấp độ an ninh mạng

Theo Điều 10 Nghị định 331/2026/NĐ-CP, cấp độ an ninh mạng không phải là trạng thái bất biến mà gắn liền với quá trình quản lý rủi ro liên tục. Chủ quản hệ thống thông tin phải chủ động thực hiện đánh giá rủi ro an ninh mạng định kỳ hoặc đột xuất khi có sự mở rộng quy mô dữ liệu, tích hợp liên thông hệ thống, hoặc sau khi xảy ra sự cố bảo mật.

Nếu kết quả đánh giá rủi ro cho thấy hệ thống có nguy cơ tổn hại vượt khỏi ngưỡng an toàn hiện tại, đơn vị phải khẩn trương đề xuất điều chỉnh lên cấp độ an ninh cao hơn, đồng thời bổ sung các giải pháp kỹ thuật và phương án ứng cứu sự cố tương ứng nhằm bảo đảm an toàn dữ liệu và tuân thủ tuyệt đối quy định của pháp luật.