Hệ thống thông tin cấp độ 3: Nền tảng an ninh mạng quốc gia và những quy định cần biết

Trong bối cảnh chuyển đổi số mạnh mẽ, an ninh mạng trở thành yếu tố then chốt đảm bảo sự ổn định và phát triển của mọi quốc gia. Tại Việt Nam, việc phân loại và bảo vệ hệ thống thông tin theo cấp độ là một trong những biện pháp trọng yếu để đối phó với các mối đe dọa trên không gian mạng. Trong đó, hệ thống thông tin cấp độ 3 đóng vai trò đặc biệt quan trọng, là xương sống của nhiều hoạt động thiết yếu, từ quản lý nhà nước đến cung cấp dịch vụ công cho người dân và doanh nghiệp. Vậy, hệ thống thông tin cấp độ 3 được định nghĩa như thế nào, những tiêu chí nào để xác định, và các yêu cầu bảo đảm an ninh mạng ra sao? Bài viết này sẽ đi sâu phân tích các quy định pháp luật mới nhất, đặc biệt là từ Nghị định 331/2026/NĐ-CP và Luật An ninh mạng 2025, để cung cấp cái nhìn toàn diện về vấn đề này.

1. Hệ thống thông tin cấp độ 3 là gì?

Theo điểm c khoản 1 Điều 8 Luật An ninh mạng 2025, hệ thống thông tin cấp độ 3 được định nghĩa là hệ thống mà khi xảy ra sự cố hoặc hành vi vi phạm pháp luật về an ninh mạng, có thể gây ra những tổn hại đặc biệt nghiêm trọng. Cụ thể, những tổn hại này bao gồm:

• Tổn hại đặc biệt nghiêm trọng tới quyền và lợi ích hợp pháp của các tổ chức, cá nhân.
• Tổn hại nghiêm trọng tới lợi ích công cộng.
• Tổn hại hoặc tổn hại nghiêm trọng tới trật tự, an toàn xã hội.
• Làm tổn hại tới an ninh quốc gia.

Để cụ thể hóa quy định này, Nghị định 331/2026/NĐ-CP, tại Điều 13, đã đưa ra các tiêu chí chi tiết để xác định hệ thống thông tin cấp độ 3. Các tiêu chí này tập trung vào tính chất và mức độ ảnh hưởng của hệ thống đối với an ninh quốc gia, lợi ích công cộng và hoạt động của xã hội.

2. Tiêu chí xác định hệ thống thông tin cấp độ 3 theo quy định mới nhất

Việc xác định cấp độ của hệ thống thông tin là bước đầu tiên và quan trọng nhất để áp dụng các biện pháp bảo vệ phù hợp. Theo Điều 13 Nghị định 331/2026/NĐ-CP, một hệ thống thông tin được xếp vào cấp độ 3 nếu đáp ứng một trong các nhóm tiêu chí sau:

2.1. Hệ thống xử lý thông tin bí mật nhà nước hoặc phục vụ quốc phòng, an ninh

Đây là nhóm tiêu chí quan trọng hàng đầu. Một hệ thống thông tin được coi là cấp độ 3 nếu nó xử lý thông tin bí mật nhà nước hoặc phục vụ trực tiếp cho các hoạt động quốc phòng, an ninh, và khi bị phá hoại, sẽ gây tổn hại nghiêm trọng đến an ninh quốc gia. Điều này nhấn mạnh tầm quan trọng của việc bảo vệ các thông tin nhạy cảm và hạ tầng thiết yếu liên quan đến chủ quyền và an toàn đất nước.

2.2. Hệ thống thông tin phục vụ người dân, doanh nghiệp

Các hệ thống này có ảnh hưởng trực tiếp đến đời sống và hoạt động kinh tế - xã hội. Cụ thể, bao gồm:

• Hệ thống cung cấp dịch vụ trực tuyến thuộc danh mục ngành, nghề đầu tư kinh doanh có điều kiện: Những dịch vụ này thường có tác động lớn đến cộng đồng và yêu cầu mức độ tin cậy cao.
• Hệ thống thông tin giải quyết thủ tục hành chính: Đây là các hệ thống cốt lõi giúp người dân và doanh nghiệp thực hiện các giao dịch với cơ quan nhà nước. Sự cố trên các hệ thống này có thể gây đình trệ hoạt động hành chính, ảnh hưởng đến quyền lợi của hàng triệu người.
• Hệ thống cung cấp dịch vụ trực tuyến khác có xử lý thông tin riêng, thông tin cá nhân: Đặc biệt là các hệ thống xử lý từ 100.000 chủ thể dữ liệu cá nhân cơ bản trở lên hoặc từ 10.000 chủ thể dữ liệu cá nhân nhạy cảm trở lên. Điều này cho thấy sự quan tâm đặc biệt đến bảo vệ dữ liệu cá nhân trong kỷ nguyên số.

2.3. Hệ thống cơ sở hạ tầng thông tin

Hệ thống cơ sở hạ tầng thông tin phục vụ hoạt động của các cơ quan, tổ chức trong phạm vi một bộ, một ngành, một tỉnh hoặc một số tỉnh cũng được xếp vào cấp độ 3. Đây là những hạ tầng nền tảng, đảm bảo hoạt động thông suốt của các cơ quan nhà nước và các ngành kinh tế trọng yếu.

2.4. Hệ thống thông tin điều khiển công nghiệp

Các hệ thống điều khiển công nghiệp trực tiếp phục vụ điều khiển, vận hành hoạt động bình thường của các công trình xây dựng cấp II, cấp III hoặc cấp IV theo phân cấp của pháp luật về xây dựng. Sự cố đối với các hệ thống này có thể gây ra hậu quả nghiêm trọng về kinh tế, môi trường và an toàn con người.

2.5. Hệ thống thông tin khác

Ngoài các tiêu chí trên, hệ thống thông tin cấp độ 3 còn có thể được xác định theo quyết định của Thủ tướng Chính phủ hoặc thông qua đánh giá rủi ro an ninh mạng theo Khung quản lý rủi ro an ninh mạng. Điều này thể hiện sự linh hoạt và khả năng thích ứng của pháp luật trước những diễn biến phức tạp của an ninh mạng.

Đáng chú ý, khoản 5 Điều 10 Nghị định 331/2026/NĐ-CP cũng quy định rõ: nếu kết quả đánh giá rủi ro an ninh mạng cho thấy mức độ rủi ro cao hơn so với cấp độ đã được xác định ban đầu, chủ quản hệ thống thông tin phải chủ động đề xuất áp dụng cấp độ cao hơn để tăng cường bảo đảm an ninh mạng. Điều này thể hiện nguyên tắc thận trọng và chủ động trong công tác bảo vệ an ninh mạng.

3. Thẩm quyền thẩm định và phê duyệt hệ thống thông tin cấp độ 3

Việc xác định cấp độ hệ thống thông tin không chỉ dừng lại ở việc đánh giá tiêu chí mà còn liên quan đến quy trình thẩm định và phê duyệt chặt chẽ. Theo khoản 2 Điều 18 Nghị định 331/2026/NĐ-CP, thẩm quyền thẩm định và phê duyệt hồ sơ đề xuất cấp độ đối với hệ thống thông tin cấp độ 3 được phân định rõ ràng:

• Đơn vị chuyên trách về an ninh mạng của chủ quản hệ thống thông tin: Có trách nhiệm thực hiện thẩm định hồ sơ đề xuất cấp độ. Đây là đơn vị có chuyên môn sâu về an ninh mạng, đảm bảo tính khách quan và chính xác trong quá trình đánh giá.
• Chủ quản hệ thống thông tin: Là cơ quan có thẩm quyền phê duyệt hồ sơ đề xuất cấp độ. Điều này khẳng định vai trò và trách nhiệm cao nhất của chủ quản trong việc đảm bảo an ninh cho hệ thống thông tin của mình.

4. Trình tự xác định cấp độ đối với hệ thống thông tin đang vận hành

Đối với các hệ thống thông tin đã và đang vận hành, quy trình xác định cấp độ được thực hiện theo một trình tự cụ thể nhằm đảm bảo tính pháp lý và hiệu quả. Điều 20 Nghị định 331/2026/NĐ-CP quy định trình tự này bao gồm các bước sau:

4.1. Bước 1: Lập hồ sơ đề xuất cấp độ

Đơn vị vận hành hệ thống thông tin có trách nhiệm lập hồ sơ đề xuất cấp độ theo quy định tại Điều 21 Nghị định này. Hồ sơ sau đó sẽ được gửi đến đơn vị thẩm định theo điểm a khoản 2 Điều 18.

4.2. Bước 2: Thẩm định hồ sơ đề xuất cấp độ

Cơ quan có thẩm quyền sẽ thực hiện thẩm định hồ sơ theo quy định tại Điều 23 Nghị định 331/2026/NĐ-CP. Thời gian thẩm định đối với hồ sơ đề xuất cấp độ 3 tối đa là 15 ngày làm việc, tính từ ngày nhận đủ hồ sơ hợp lệ.

4.3. Bước 3: Phê duyệt đề xuất cấp độ

Sau khi hoàn tất thẩm định, đơn vị vận hành hệ thống thông tin sẽ trình chủ quản hệ thống thông tin phê duyệt đề xuất cấp độ. Thời gian xử lý hồ sơ phê duyệt cấp độ tối đa là 07 ngày làm việc kể từ ngày nhận đủ hồ sơ hợp lệ.

Đặc biệt, khoản 4 Điều 20 Nghị định này cũng quy định rằng, đối với hệ thống thông tin cấp độ 3 được xác định thuộc Danh mục hệ thống thông tin quan trọng về an ninh quốc gia, trình tự, thủ tục xác định cấp độ sẽ được thực hiện như đối với hệ thống thông tin được đề xuất cấp độ 5, thể hiện mức độ ưu tiên và yêu cầu nghiêm ngặt hơn.

5. Yêu cầu bảo đảm an ninh mạng đối với hệ thống thông tin cấp độ 3

Để đảm bảo an toàn cho các hệ thống thông tin cấp độ 3, Điều 30 Nghị định 331/2026/NĐ-CP đã đưa ra các yêu cầu cơ bản về bảo đảm an ninh mạng. Các yêu cầu này được xây dựng dựa trên Tiêu chuẩn quốc gia về An ninh mạng - Hệ thống thông tin - Yêu cầu cơ bản, bao gồm cả yêu cầu về quản lý và kỹ thuật, nhưng không bao gồm yêu cầu bảo đảm an ninh vật lý.

5.1. Yêu cầu về quản lý

Các yêu cầu quản lý tập trung vào việc thiết lập và triển khai các quy định nội bộ nhằm đảm bảo an ninh mạng một cách toàn diện. Cụ thể, khoản 3 Điều 30 quy định các nội dung sau:

• Thiết lập chính sách an ninh mạng: Xây dựng các quy tắc, hướng dẫn và quy trình để bảo vệ thông tin và hệ thống.
• Tổ chức bảo đảm an ninh mạng: Phân công trách nhiệm, thiết lập cơ cấu tổ chức và các vai trò liên quan đến an ninh mạng.
• Bảo đảm nguồn nhân lực: Đào tạo, nâng cao nhận thức và kỹ năng cho đội ngũ cán bộ, nhân viên về an ninh mạng.
• Quản lý thiết kế, xây dựng hệ thống: Đảm bảo các yếu tố an ninh được tích hợp ngay từ giai đoạn thiết kế và xây dựng hệ thống.
• Quản lý vận hành hệ thống: Giám sát, duy trì và cập nhật các biện pháp an ninh trong suốt quá trình vận hành.
• Phương án quản lý rủi ro an ninh mạng: Xây dựng kế hoạch và biện pháp để nhận diện, đánh giá và giảm thiểu rủi ro.
• Phương án kết thúc vận hành, khai thác, thanh lý, hủy bỏ hệ thống thông tin: Đảm bảo thông tin được xử lý an toàn khi hệ thống không còn được sử dụng.

5.2. Yêu cầu về kỹ thuật

Bên cạnh các yêu cầu quản lý, các biện pháp kỹ thuật là không thể thiếu để bảo vệ hệ thống thông tin cấp độ 3. khoản 4 Điều 30 quy định các yêu cầu kỹ thuật cơ bản bao gồm:

• Bảo đảm an toàn mạng: Triển khai các giải pháp bảo vệ mạng như tường lửa, hệ thống phát hiện và ngăn chặn xâm nhập (IDS/IPS).
• Bảo đảm an toàn máy chủ: Cấu hình bảo mật, vá lỗi định kỳ, kiểm soát truy cập và giám sát hoạt động máy chủ.
• Bảo đảm an toàn ứng dụng: Kiểm tra lỗ hổng bảo mật, mã hóa dữ liệu và quản lý quyền truy cập ứng dụng.
• Bảo đảm an toàn dữ liệu: Sao lưu, phục hồi dữ liệu, mã hóa dữ liệu nhạy cảm và kiểm soát truy cập dữ liệu.

Ngoài ra, điểm a khoản 5 Điều 30 cũng nhấn mạnh rằng phương án bảo đảm an ninh mạng đối với hệ thống thông tin cấp độ 3 phải xem xét khả năng dùng chung giữa các hệ thống thông tin đối với các giải pháp bảo vệ, chia sẻ tài nguyên để tối ưu hiệu năng, tránh đầu tư thừa, trùng lặp, lãng phí. Điều này khuyến khích việc tối ưu hóa nguồn lực và tăng cường hiệu quả bảo vệ.

Kết luận

Hệ thống thông tin cấp độ 3 là một thành phần không thể thiếu trong bức tranh an ninh mạng quốc gia, đòi hỏi sự quan tâm và tuân thủ nghiêm ngặt các quy định pháp luật. Với những tiêu chí xác định rõ ràng, quy trình thẩm định và phê duyệt chặt chẽ, cùng với các yêu cầu bảo đảm an ninh mạng toàn diện về cả quản lý và kỹ thuật, Việt Nam đang từng bước xây dựng một không gian mạng an toàn, vững chắc. Việc hiểu rõ và thực hiện đúng các quy định này không chỉ là trách nhiệm của các chủ quản hệ thống thông tin mà còn góp phần vào sự phát triển bền vững của đất nước trong kỷ nguyên số.