Trong kỷ nguyên số hóa toàn diện và sự bùng nổ của các cuộc tấn công mạng quy mô lớn, việc bảo vệ an toàn cho các hạ tầng thông tin trọng yếu không còn là lựa chọn mang tính khuyến khích, mà là yêu cầu pháp lý sống còn. Đặc biệt, đối với các hệ thống thông tin quan trọng về an ninh quốc gia, pháp luật Việt Nam đặt ra hàng rào kiểm soát chặt chẽ thông qua thủ tục đánh giá, cấp chứng nhận điều kiện an ninh mạng trước khi hệ thống chính thức được hòa mạng đưa vào sử dụng. Căn cứ quy định tại Luật An ninh mạng 2025 và hướng dẫn chi tiết tại Nghị định 333/2026/NĐ-CP, các đơn vị chủ quản cần nắm chắc hồ sơ, trình tự và các mốc thời gian then chốt để không làm gián đoạn tiến độ vận hành.
Khi nào hệ thống thông tin bắt buộc phải có chứng nhận đủ điều kiện an ninh mạng?
Không phải mọi hệ thống máy chủ hay mạng nội bộ thông thường đều phải xin cấp giấy chứng nhận này. Căn cứ theo khoản 1 Điều 6 Nghị định 333/2026/NĐ-CP và khoản 2 Điều 6 Nghị định 333/2026/NĐ-CP, đối tượng bắt buộc thực hiện là hệ thống thông tin quan trọng về an ninh quốc gia.
Thủ tục đánh giá điều kiện an ninh mạng là quy trình nghiệp vụ do cơ quan nhà nước có thẩm quyền triển khai nhằm thẩm tra, rà soát thực tế và xác định mức độ sẵn sàng, khả năng kháng cự trước các mối đe dọa không gian mạng của hệ thống. Yêu cầu tiên quyết là việc đánh giá, chứng nhận phải được hoàn thành trước khi đưa vào vận hành, sử dụng chính thức. Nếu chủ quản đưa hệ thống vào khai thác khi chưa được cấp chứng nhận, đơn vị không chỉ đối mặt với nguy cơ mất an toàn dữ liệu mà còn vi phạm nghiêm trọng kỷ luật hành chính.
Bên cạnh đó, việc đạt được chứng nhận ban đầu không đồng nghĩa với "tấm kim bài miễn tử". Pháp luật quy định chủ quản hệ thống thông tin có trách nhiệm phải thường xuyên duy trì việc đáp ứng đầy đủ điều kiện an ninh mạng trong toàn bộ vòng đời quản lý, vận hành và khai thác hệ thống.
Thành phần hồ sơ đề nghị chứng nhận đủ điều kiện an ninh mạng gồm những gì?
Hồ sơ là căn cứ đầu tiên để cơ quan chuyên trách đánh giá mức độ tuân thủ tiêu chuẩn kỹ thuật và tính hợp pháp của dự án. Theo quy định tại khoản 6 Điều 6 Nghị định 333/2026/NĐ-CP, chủ quản hệ thống thông tin cần chuẩn bị 01 bộ hồ sơ hoàn chỉnh gồm các tài liệu sau:
- Văn bản đề nghị chứng nhận đủ điều kiện an ninh mạng: Lập theo Mẫu số 02 Phụ lục ban hành kèm theo Nghị định 333/2026/NĐ-CP;
- Hồ sơ dự án: Báo cáo nghiên cứu khả thi, hồ sơ thiết kế kỹ thuật, hồ sơ thiết kế thi công hoặc các tài liệu tương đương phản ánh đầy đủ kiến trúc, cấu hình của dự án đầu tư xây dựng, nâng cấp hoặc mở rộng hệ thống thông tin;
- Hồ sơ giải pháp bảo đảm an ninh mạng: Phương án kỹ thuật, quy trình kiểm soát truy cập, phòng chống mã độc, bảo vệ cơ sở dữ liệu và kế hoạch ứng phó sự cố chuyên biệt đối với hệ thống thông tin quan trọng về an ninh quốc gia;
- Kết quả thẩm định an ninh mạng: Các văn bản, biên bản thể hiện kết quả thẩm định an ninh mạng của cơ quan chuyên trách (nếu dự án đã qua bước thẩm định trước đó);
- Tài liệu kỹ thuật bổ trợ: Bất kỳ tài liệu, chứng chỉ hoặc biên bản kiểm thử an toàn nào khác có liên quan đến nội dung đề nghị đánh giá nhằm làm rõ mức độ an toàn của hệ thống.
Cơ quan nào có thẩm quyền tiếp nhận và cấp chứng nhận?
Để tránh việc gửi nhầm địa chỉ gây lãng phí thời gian giải quyết, khoản 5 Điều 6 Nghị định 333/2026/NĐ-CP đã phân định rõ thẩm quyền tiếp nhận, đánh giá và cấp giấy chứng nhận theo ba khối cơ quan chủ quản:
- Bộ Công an: Có thẩm quyền đánh giá, cấp chứng nhận đối với đại đa số các hệ thống thông tin quan trọng về an ninh quốc gia trong các cơ quan nhà nước, tổ chức xã hội, doanh nghiệp và các lĩnh vực kinh tế - xã hội then chốt (trừ hệ thống thuộc thẩm quyền của Bộ Quốc phòng và Ban Cơ yếu Chính phủ).
- Bộ Quốc phòng: Chịu trách nhiệm trực tiếp trong việc thẩm định, đánh giá và cấp chứng nhận đối với hệ thống thông tin quân sự chuyên ngành.
- Ban Cơ yếu Chính phủ: Đảm trách việc thẩm tra, đánh giá và cấp chứng nhận đủ điều kiện an ninh mạng đối với các hệ thống thông tin cơ yếu trực thuộc sự quản lý của Ban Cơ yếu Chính phủ.
Trình tự, thủ tục và các mốc thời gian thẩm định theo quy định
Trình tự thực hiện thủ tục đánh giá điều kiện an ninh mạng được chuẩn hóa theo khoản 7 Điều 6 Nghị định 333/2026/NĐ-CP thông qua các bước cụ thể sau:
Bước 1: Nộp hồ sơ
Chủ quản hệ thống thông tin gửi 01 bộ hồ sơ hợp lệ theo quy định đến cơ quan có thẩm quyền tương ứng (Bộ Công an, Bộ Quốc phòng hoặc Ban Cơ yếu Chính phủ).
Bước 2: Tiếp nhận và kiểm tra tính hợp lệ trong tối đa 03 ngày làm việc
Trong thời hạn tối đa 03 ngày làm việc kể từ ngày tiếp nhận, cơ quan thẩm quyền tiến hành rà soát các đầu mục tài liệu. Nếu hồ sơ đầy đủ, đúng biểu mẫu, cơ quan sẽ cấp ngay Giấy tiếp nhận hồ sơ. Trường hợp hồ sơ còn thiếu sót hoặc chưa chuẩn xác, cơ quan có thẩm quyền ra thông báo bằng văn bản để chủ quản hệ thống nhanh chóng sửa đổi, bổ sung.
Bước 3: Tổ chức đánh giá chuyên môn trong tối đa 25 ngày làm việc
Cơ quan quản lý an ninh mạng sẽ thành lập đoàn kiểm tra hoặc tổ chức kiểm thử, rà quét lỗ hổng kỹ thuật, thẩm tra quy trình quản trị an ninh trong thời hạn tối đa 25 ngày làm việc. Điểm quan trọng cần lưu ý: Thời hạn 25 ngày làm việc này được tính kể từ ngày cấp Giấy tiếp nhận hồ sơ hợp lệ, chứ không tính từ ngày nộp hồ sơ sơ bộ ban đầu.
Bước 4: Trả kết quả thẩm định
Căn cứ trên biên bản kết quả kiểm tra thực tế:
- Nếu hệ thống đạt chuẩn: Thủ trưởng cơ quan có thẩm quyền sẽ ký ban hành Giấy chứng nhận đủ điều kiện an ninh mạng, mở đường cho hệ thống chính thức được hòa mạng và khai thác thương mại, dịch vụ hoặc công vụ.
- Nếu hệ thống chưa đạt chuẩn: Cơ quan có thẩm quyền sẽ ra văn bản thông báo chi tiết danh mục các điểm yếu kỹ thuật, tính năng chưa an toàn và yêu cầu chủ quản khẩn trương nâng cấp, khắc phục triệt để.
Xử lý tình huống hệ thống chưa đáp ứng điều kiện an ninh mạng
Không ít trường hợp khi kiểm tra thực tế, hệ thống phát sinh các lỗ hổng zero-day, cấu hình tường lửa chưa chặt chẽ hoặc thiếu sót trong chính sách phân quyền dữ liệu. Trong tình huống này, chủ quản hệ thống không được phép vội vã đưa hệ thống vào khai thác chui. Theo khoản 8 Điều 6 Nghị định 333/2026/NĐ-CP, chủ quản phải có trách nhiệm:
- Tiếp thu văn bản thông báo tồn tại và lập tức phối hợp cùng đơn vị tích hợp hệ thống, đối tác bảo mật để vá lỗ hổng, bổ sung thiết bị hoặc hoàn thiện chính sách an ninh theo đúng hướng dẫn.
- Sau khi hoàn thành công tác khắc phục, tiến hành gửi văn bản báo cáo kết quả kèm bằng chứng kỹ thuật đã khắc phục đến cơ quan thẩm định để được tái kiểm tra hoặc cấp chứng nhận theo quy trình.
- Chỉ đưa hệ thống thông tin vào vận hành chính thức khi đã giải quyết toàn bộ các cảnh báo an ninh và được cấp chứng nhận hợp lệ.
Việc chủ động chuẩn bị kỹ lưỡng từ hồ sơ thiết kế đến các giải pháp phòng thủ chuyên sâu sẽ giúp các cơ quan, doanh nghiệp rút ngắn đáng kể thời gian thẩm định, tránh lãng phí nguồn lực đầu tư và đảm bảo an toàn tuyệt đối cho không gian mạng quốc gia.