Trong thời đại chuyển đổi số và công nghệ thông tin phát triển thần tốc, an ninh mạng đã trở thành “lá chắn” sống còn của mọi cơ quan nhà nước lẫn doanh nghiệp tư nhân. Việc xác định cấp độ an toàn, an ninh mạng cho từng hệ thống công nghệ thông tin không chỉ là giải pháp kỹ thuật phòng ngừa rủi ro rò rỉ dữ liệu, mà còn là trách nhiệm pháp lý bắt buộc theo quy định hiện hành. Tuy nhiên, không ít đơn vị vẫn đang lúng túng tự hỏi: Hệ thống thông tin cấp độ 1 là gì? Những hệ thống nào trong cơ quan chỉ thuộc cấp độ 1 và thủ tục lập hồ sơ, thẩm định phê duyệt diễn ra như thế nào?

1. Hệ thống thông tin cấp độ 1 là gì theo quy định pháp luật mới nhất?

Căn cứ theo quy định tại điểm a khoản 1 Điều 8 Luật An ninh mạng 2025, hệ thống thông tin được phân loại theo 5 cấp độ dựa trên mức độ ảnh hưởng và thiệt hại thực tế hoặc tiềm tàng. Trong đó, hệ thống thông tin cấp độ 1 được định nghĩa là hệ thống khi bị sự cố gián đoạn hoặc bị tấn công xâm nhập trái phép có thể làm tổn hại tới quyền và lợi ích hợp pháp của tổ chức, cá nhân ở mức độ cơ bản nhất, không gây ảnh hưởng nghiêm trọng đến lợi ích công cộng hay an ninh quốc gia.

Cụ thể hóa điều luật này, tại khoản 1 Điều 11 Nghị định 331/2026/NĐ-CP của Chính phủ quy định rõ:

“Hệ thống thông tin cấp độ 1 là hệ thống phục vụ hoạt động nội bộ của cơ quan, tổ chức và chỉ xử lý thông tin công cộng.”

Để hiểu đúng và áp dụng thống nhất quy chuẩn này trên thực tế, các nhà quản trị mạng và bộ phận pháp chế cần đối chiếu với các định nghĩa nền tảng tại Điều 9 Nghị định 331/2026/NĐ-CP:

• Hệ thống thông tin phục vụ hoạt động nội bộ: Theo điểm a khoản 2 Điều 9 Nghị định 331/2026/NĐ-CP, đây là hệ thống được thiết lập chỉ phục vụ công tác quản trị, điều hành và vận hành nội bộ của một cơ quan, tổ chức cụ thể (ví dụ mạng nội bộ quản lý văn phòng phẩm, chấm công không chứa dữ liệu cá nhân nhạy cảm, cổng thông tin giới thiệu nội bộ đơn giản).
• Thông tin công cộng: Theo điểm a khoản 1 Điều 9 Nghị định 331/2026/NĐ-CP, đây là thông tin trên môi trường mạng của một tổ chức, cá nhân được công khai rộng rãi cho tất cả các đối tượng mà không cần xác định danh tính, địa chỉ cụ thể của người tiếp cận thông tin.

Như vậy, một hệ thống chỉ được xem là cấp độ 1 khi hội tụ đồng thời cả hai yếu tố: phục vụ nội bộ và nội dung dữ liệu luân chuyển hoặc hiển thị hoàn toàn là thông tin công cộng.

2. Tiêu chí xác định hệ thống thông tin cấp độ 1 và các trường hợp ngoại lệ

Việc gắn nhãn cấp độ không thể thực hiện theo cảm tính mà phải tuân thủ nghiêm ngặt các tiêu chí kỹ thuật và nghiệp vụ được ban hành đồng bộ.

2.1. Bộ tiêu chí xác định hệ thống thông tin cấp độ 1

Căn cứ quy định tại Điều 11 Nghị định 331/2026/NĐ-CP, tiêu chí nhận diện bao gồm:

• Hệ thống phục vụ hoạt động nội bộ của cơ quan, tổ chức và chỉ xử lý thông tin công cộng.
• Hệ thống thông tin đã được đánh giá rủi ro an ninh mạng theo đúng Khung quản lý rủi ro an ninh mạng do cơ quan có thẩm quyền ban hành.

Cơ quan, doanh nghiệp cần thẩm định chính xác phạm vi dữ liệu trước khi đề xuất cấp độ hệ thống thông tin (ảnh minh họa)

2.2. Những nguyên tắc và bẫy pháp lý cần lưu ý khi xác định cấp độ

Khi phân loại cấp độ hệ thống thông tin, các đơn vị vận hành cần đặc biệt lưu tâm đến các nguyên tắc pháp lý cốt lõi tại Điều 8 Nghị định 331/2026/NĐ-CP để tránh sai phạm:

• Nguyên tắc áp dụng cấp độ cao nhất: Căn cứ khoản 2 Điều 8 Nghị định 331/2026/NĐ-CP, trường hợp một hệ thống thông tin đồng thời đáp ứng nhiều tiêu chí thuộc các cấp độ khác nhau thì bắt buộc phải áp dụng cấp độ cao nhất. Ví dụ: Một cổng thông tin nội bộ của công ty có một phân hệ nhỏ lưu trữ thông tin cá nhân khách hàng hoặc người lao động thì không còn là cấp độ 1 nữa mà sẽ bị chuyển lên cấp độ cao hơn.
• Nghiêm cấm chia tách hình thức để “hạ cấp” hệ thống: Theo khoản 3 Điều 8 Nghị định 331/2026/NĐ-CP, pháp luật nghiêm cấm việc xác định phạm vi hệ thống thông tin một cách hình thức nhằm làm thay đổi cấp độ hoặc trốn tránh các tiêu chuẩn bảo đảm an ninh mạng nghiêm ngặt. Nếu phát hiện hành vi cố ý phân tách hệ thống, cơ quan chức năng sẽ yêu cầu hợp nhất và xác định lại cấp độ theo luật.
• Trách nhiệm nâng cấp độ khi mức rủi ro gia tăng: Trường hợp kết quả đánh giá rủi ro an ninh mạng định kỳ cho thấy nguy cơ mất an toàn cao hơn cấp độ đã xác lập, chủ quản hệ thống có nghĩa vụ chủ động đề xuất áp dụng cấp độ cao hơn nhằm tăng cường giải pháp kỹ thuật phòng vệ.

3. Thẩm quyền và quy trình thẩm định, phê duyệt hồ sơ hệ thống thông tin cấp độ 1

Đối với hệ thống thông tin cấp độ 1, thủ tục hành chính và khâu phê duyệt được tinh giản tối đa nhằm tạo thuận lợi cho các cơ quan, đơn vị tự chủ quản trị.

3.1. Ai có thẩm quyền thẩm định và phê duyệt?

Theo quy định tại khoản 1 Điều 18 Nghị định 331/2026/NĐ-CP:

• Đơn vị chuyên trách về an ninh mạng của chủ quản hệ thống thông tin là cơ quan có thẩm quyền trực tiếp thực hiện thẩm định và phê duyệt hồ sơ đề xuất cấp độ đối với hệ thống thông tin cấp độ 1 (và cả cấp độ 2).
• Sau khi phê duyệt, đơn vị chuyên trách có trách nhiệm gửi báo cáo bằng văn bản cho chủ quản hệ thống thông tin để theo dõi, quản lý tập trung.
• Trường hợp đơn vị chuyên trách an ninh mạng đồng thời là bên được giao trực tiếp quản lý, vận hành hệ thống thông tin đó, nhằm bảo đảm tính khách quan, đơn vị phải trình chủ quản giao đơn vị trực thuộc khác đủ năng lực chủ trì thẩm định hoặc thành lập Hội đồng thẩm định độc lập theo khoản 4 Điều 18 Nghị định 331/2026/NĐ-CP.

3.2. Trình tự các bước thực hiện đối với hệ thống đang vận hành

Theo Điều 20 Nghị định 331/2026/NĐ-CP, quy trình triển khai gồm 3 bước chuẩn hóa:

1. Bước 1: Lập hồ sơ đề xuất cấp độ: Đơn vị vận hành hệ thống thông tin tiến hành rà soát hiện trạng, mô hình mạng, loại dữ liệu lưu trữ, lập hồ sơ đề xuất cấp độ theo quy định và chuyển tiếp đến đơn vị chuyên trách an ninh mạng của chủ quản.
2. Bước 2: Thẩm định hồ sơ: Đơn vị chuyên trách tổ chức kiểm tra sự phù hợp của thiết kế, kiến trúc mạng, phương án kỹ thuật và phương án quản lý vận hành so với tiêu chí cấp độ 1.
3. Bước 3: Phê duyệt hồ sơ đề xuất: Đơn vị chuyên trách ban hành quyết định phê duyệt cấp độ hệ thống thông tin và gửi văn bản báo cáo cho chủ quản hệ thống thông tin.

Về thời hạn giải quyết: Căn cứ khoản 2 Điều 24 Nghị định 331/2026/NĐ-CP, thời gian xử lý hồ sơ phê duyệt cấp độ tối đa không quá 07 ngày làm việc kể từ ngày nhận đủ hồ sơ hợp lệ.

4. 04 nguyên tắc bất di bất dịch trong bảo đảm an ninh mạng theo cấp độ

Dù là cấp độ thấp nhất trong thang 5 bậc, hệ thống thông tin cấp độ 1 vẫn phải tuân thủ nghiêm ngặt 04 nguyên tắc cốt lõi theo Điều 6 Nghị định 331/2026/NĐ-CP:

• Thực hiện thường xuyên, liên tục trong toàn bộ vòng đời: Việc bảo vệ không chỉ diễn ra khi có sự cố mà phải gắn liền từ giai đoạn thiết kế kiến trúc, lập trình, kiểm thử, triển khai vận hành cho đến lúc thu hồi hoặc hủy bỏ hệ thống, tuân thủ chặt chẽ tiêu chuẩn kỹ thuật chuyên ngành (khoản 1 Điều 6).
• Bảo đảm tổng thể, đồng bộ và dùng chung tài nguyên: Giải pháp bảo mật phải đồng bộ về cả hạ tầng phần cứng lẫn phần mềm, có tính chất tập trung để tránh lãng phí ngân sách hoặc đầu tư trùng lặp (khoản 2 Điều 6).
• Ưu tiên nguồn lực từ cấp cao xuống thấp: Ngân sách và nhân sự chuyên trách được phân bổ ưu tiên tối đa cho các hệ thống cấp độ cao (cấp độ 3, 4, 5). Đối với cấp độ 1, đơn vị cần tận dụng các giải pháp tự động hóa và hạ tầng sẵn có (khoản 3 Điều 6).
• Phân định rõ ràng trách nhiệm quản lý nhà nước: Bộ Quốc phòng chịu trách nhiệm quản lý an ninh mạng đối với các nhiệm vụ quốc phòng, quân sự; Bộ Công an quản lý an ninh mạng đối với các hoạt động dân sự, kinh tế và phối hợp chặt chẽ để không phát sinh khoảng trống pháp lý (khoản 4 Điều 6).

5. Lời khuyên pháp lý cho đơn vị vận hành hệ thống thông tin

Mặc dù hệ thống thông tin cấp độ 1 có mức độ rủi ro thấp nhất, các cơ quan, doanh nghiệp không nên chủ quan bỏ quên thủ tục lập hồ sơ đề xuất cấp độ. Việc chậm trễ phê duyệt hoặc xác định sai cấp độ hệ thống thông tin có thể dẫn tới các nguy cơ bị xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng.

Để đảm bảo tuân thủ đầy đủ, các đơn vị cần rà soát lại toàn bộ máy chủ, ứng dụng nội bộ, lập danh mục phân loại rõ nguồn dữ liệu xử lý là thông tin công cộng hay thông tin riêng, từ đó hoàn thiện hồ sơ gửi đơn vị chuyên trách an ninh mạng phê duyệt trong thời gian sớm nhất.