Trong bối cảnh chuyển đổi số đang diễn ra sâu rộng, hệ thống thông tin ngày càng giữ vai trò thiết yếu trong hoạt động của cơ quan nhà nước, tổ chức và doanh nghiệp. Cùng với đó, các nguy cơ tấn công mạng, xâm nhập trái phép, phá hoại hoặc làm gián đoạn hoạt động của hệ thống có xu hướng gia tăng cả về quy mô và mức độ phức tạp. Việc hoàn thiện hành lang pháp lý về bảo vệ an ninh mạng đối với hệ thống thông tin vì vậy có ý nghĩa quan trọng trong bảo đảm hoạt động ổn định, an toàn của các hệ thống số.

Xác định cấp độ hệ thống thông tin và hệ thống thông tin quan trọng về an ninh quốc gia

Một trong những nội dung trọng tâm của Nghị định 331/2026/NĐ-CP là quy định về xác định cấp độ của hệ thống thông tin, qua đó làm cơ sở áp dụng các biện pháp bảo vệ an ninh mạng tương ứng.

Nghị định quy định hệ thống thông tin được xác định theo các cấp độ từ 1 đến 5.

Tiêu chí xác định cấp độ 1

Hệ thống thông tin cấp độ 1 là hệ thống phục vụ hoạt động nội bộ của cơ quan, tổ chức và chỉ xử lý thông tin công cộng.

Hệ thống thông tin được đánh giá rủi ro an ninh mạng theo Khung quản lý rủi ro an ninh mạng.

Tiêu chí xác định cấp độ 2

Hệ thống thông tin cấp độ 2 là hệ thống thông tin có một trong các tiêu chí cụ thể sau:

1. Hệ thống thông tin phục vụ hoạt động nội bộ của cơ quan, tổ chức và có xử lý thông tin riêng, thông tin cá nhân của người sử dụng nhưng không xử lý thông tin bí mật nhà nước.

2. Hệ thống thông tin phục vụ người dân, doanh nghiệp thuộc một trong các loại hình như sau:

a) Cung cấp dịch vụ trực tuyến không thuộc danh mục ngành, nghề đầu tư kinh doanh có điều kiện;

b) Cung cấp dịch vụ trực tuyến khác có xử lý thông tin riêng, thông tin cá nhân của dưới 100.000 chủ thể dữ liệu đối với dữ liệu cá nhân cơ bản hoặc dưới 10.000 chủ thể dữ liệu đối với dữ liệu cá nhân nhạy cảm.

3. Hệ  thống cơ sở hạ tầng thông tin phục vụ hoạt động của một cơ quan, tổ chức.

4. Hệ thống thông tin khác do Thủ tướng Chính phủ quyết định hoặc được đánh giá rủi ro an ninh mạng theo Khung quản lý rủi ro an ninh mạng.

Tiêu chí xác định cấp độ 3

Hệ thống thông tin cấp độ 3 là hệ thống có một trong các tiêu chí sau:

1. Hệ thống xử lý thông tin bí mật nhà nước hoặc hệ thống phục vụ quốc phòng, an ninh khi bị phá hoại sẽ làm tổn hại tới an ninh quốc gia.

2. Hệ thống thông tin phục vụ người dân, doanh nghiệp thuộc một trong các loại hình như sau:

a) Cung cấp dịch vụ trực tuyến thuộc danh mục ngành, nghề đầu tư kinh doanh có điều kiện;

b) Hệ thống thông tin giải quyết thủ tục hành chính;

c) Cung cấp dịch vụ trực tuyến khác có xử lý thông tin riêng, thông tin cá nhân của từ 100.000 chủ thể dữ liệu đối với dữ liệu cá nhân cơ bản trở lên hoặc từ 10.000 chủ thể dữ liệu đối với dữ liệu cá nhân nhạy cảm trở lên.

3. Hệ thống cơ sở hạ tầng thông tin phục vụ hoạt động của các cơ quan, tổ chức trong phạm vi một bộ, một ngành, một tỉnh hoặc một số tỉnh.

4. Hệ thống thông tin điều khiển công nghiệp trực tiếp phục vụ điều khiển, vận hành hoạt động bình thường của các công trình xây dựng cấp II, cấp III hoặc cấp IV theo phân cấp của pháp luật về xây dựng.

5. Hệ thống thông tin khác do Thủ tướng Chính phủ quyết định hoặc được đánh giá rủi ro an ninh mạng theo Khung quản lý rủi ro an ninh mạng.

Tiêu chí xác định cấp độ 4

Hệ thống thông tin cấp độ 4 là hệ thống có một trong các tiêu chí sau:

1. Hệ thống thông tin xử lý thông tin bí mật nhà nước hoặc hệ thống phục vụ quốc phòng, an ninh khi bị phá hoại sẽ làm tổn hại nghiêm trọng tới an ninh quốc gia.

2. Hệ thống thông tin quốc gia phục vụ phát triển Chính phủ điện tử hoặc hệ thống cơ sở hạ tầng thông tin phục vụ hoạt động của các cơ quan, tổ chức trên phạm vi toàn quốc, yêu cầu vận hành 24/7 và không chấp nhận ngừng vận hành mà không có kế hoạch trước.

3. Hệ thống thông tin điều khiển công nghiệp trực tiếp phục vụ điều khiển, vận hành hoạt động bình thường của các công trình xây dựng cấp I theo phân cấp của pháp luật về xây dựng.

Tiêu chí xác định cấp độ 5

Hệ thống thông tin cấp độ 5 là hệ thống có một trong các tiêu chí sau:

1. Hệ thống thông tin xử lý thông tin bí mật nhà nước hoặc hệ thống phục vụ quốc phòng, an ninh, mang tính chiến lược khi bị phá hoại sẽ làm tổn hại đặc biệt nghiêm trọng tới an ninh quốc gia.

2. Hệ thống thông tin phục vụ lưu trữ dữ liệu tập trung đối với một số loại hình thông tin, dữ liệu đặc biệt quan trọng của quốc gia.

3. Hệ thống cơ sở hạ tầng thông tin quốc gia phục vụ kết nối liên thông hoạt động của Việt Nam với quốc tế.

4. Hệ thống thông tin điều khiển công nghiệp trực tiếp phục vụ điều khiển, vận hành hoạt động bình thường của công trình xây dựng cấp đặc biệt theo phân cấp của pháp luật về xây dựng hoặc công trình quan trọng liên quan đến an ninh quốc gia theo pháp luật về an ninh quốc gia.

5. Hệ thống thông tin khác do Thủ tướng Chính phủ quyết định hoặc được đánh giá rủi ro an ninh mạng theo Khung quản lý rủi ro an ninh mạng.

Như vậy, hệ thống thông tin cấp độ 5 là hệ thống thông tin quan trọng về an ninh quốc gia. Việc xác định hệ thống thông tin quan trọng về an ninh quốc gia được đặt trên cơ sở các tiêu chí liên quan đến mức độ ảnh hưởng của hệ thống đối với hoạt động của công trình quan trọng, việc hoạch định chủ trương, chính sách thuộc phạm vi bí mật nhà nước và hoạt động chỉ đạo, điều hành trực tiếp của các cơ quan Đảng, Nhà nước ở Trung ương. 

Cách tiếp cận này tạo cơ sở để phân loại hệ thống thông tin theo mức độ quan trọng, từ đó xác định yêu cầu bảo vệ phù hợp với tính chất, quy mô và mức độ tác động của các nguy cơ an ninh mạng.

Bảo vệ an ninh mạng theo vòng đời của hệ thống

Nghị định đặt ra yêu cầu bảo vệ an ninh mạng không chỉ trong giai đoạn hệ thống được đưa vào vận hành mà gắn với quá trình quản lý và khai thác hệ thống thông tin.

Theo đó, việc bảo đảm an ninh mạng cần được triển khai đồng bộ thông qua các biện pháp quản lý, kỹ thuật và tổ chức phù hợp với cấp độ của hệ thống. Đây là cơ sở để các chủ quản hệ thống thông tin chủ động xây dựng phương án bảo vệ, thay vì chỉ tập trung xử lý khi sự cố hoặc cuộc tấn công mạng đã xảy ra.

Cùng với việc xác định cấp độ, Nghị định cũng quy định về đánh giá điều kiện an ninh mạng, đánh giá rủi ro và triển khai các biện pháp bảo vệ tương ứng. Qua đó, yêu cầu bảo vệ được đặt ngay từ quá trình chuẩn bị và tổ chức vận hành hệ thống, góp phần hình thành cơ chế phòng ngừa chủ động.

Đánh giá rủi ro – cơ sở điều chỉnh mức độ bảo vệ

Một điểm đáng chú ý của Nghị định là quy định về đánh giá rủi ro an ninh mạng đối với hệ thống thông tin.

Theo quy định, trong một số trường hợp, chủ quản hệ thống thông tin phải thực hiện đánh giá rủi ro để xác định khả năng xảy ra các nguy cơ và mức độ tác động đối với hệ thống. Nếu kết quả đánh giá cho thấy mức độ rủi ro cao hơn so với cấp độ đã được xác định, chủ quản hệ thống phải đề xuất áp dụng cấp độ cao hơn để bảo đảm an ninh mạng. 

Quy định này góp phần chuyển hoạt động bảo vệ an ninh mạng từ cách tiếp cận thiên về tuân thủ sang quản trị dựa trên rủi ro, trong đó yêu cầu bảo vệ có thể được điều chỉnh phù hợp với thực tế và mức độ nguy cơ đối với từng hệ thống.

Vai trò của Ban Cơ yếu Chính phủ trong triển khai thực hiện Nghị định 331/2026/NĐ-CP

Đối với Ban Cơ yếu Chính phủ, Nghị định 331/2026/NĐ-CP cũng đặt ra các nhiệm vụ, trách nhiệm liên quan đến bảo đảm an ninh mạng trong phạm vi chức năng, nhiệm vụ được giao. Ban Cơ yếu Chính phủ có trách nhiệm bảo mật thông tin bằng mật mã cơ yếu và bảo đảm an ninh mạng theo cấp độ đối với hệ thống thông tin cơ yếu thuộc Ban Cơ yếu Chính phủ. Qua đó, góp phần bảo vệ bí mật nhà nước, dữ liệu và các hệ thống thông tin quan trọng, tăng cường khả năng phòng ngừa, ứng phó trước các nguy cơ mất an toàn, an ninh mạng.

Tạo hành lang pháp lý cho bảo vệ các hệ thống thông tin quan trọng

Việc Chính phủ ban hành Nghị định 331/2026/NĐ-CP trong thời điểm hoạt động chuyển đổi số, xây dựng Chính phủ số, kinh tế số và xã hội số ngày càng phát triển có ý nghĩa thiết thực đối với công tác bảo đảm an ninh mạng.

Với việc quy định cụ thể về cấp độ hệ thống thông tin, tiêu chí xác định hệ thống thông tin quan trọng về an ninh quốc gia, đánh giá rủi ro, điều kiện an ninh mạng và trách nhiệm của các chủ thể liên quan, Nghị định tạo cơ sở pháp lý để tổ chức bảo vệ hệ thống thông tin theo hướng chủ động, phân loại theo mức độ quan trọng và gắn với rủi ro thực tế.

Đặc biệt, việc xác định hệ thống thông tin cấp độ 5 là hệ thống thông tin quan trọng về an ninh quốc gia cho thấy yêu cầu bảo vệ được đặt ở mức cao nhất đối với những hệ thống mà sự cố, gián đoạn hoặc bị xâm phạm có thể gây tác động nghiêm trọng đến an ninh quốc gia và hoạt động của các cơ quan, tổ chức trọng yếu.

Kết luận

Nghị định 331/2026/NĐ-CP vì vậy được kỳ vọng sẽ góp phần nâng cao năng lực phòng ngừa, phát hiện và ứng phó với các nguy cơ an ninh mạng; đồng thời thúc đẩy các cơ quan, tổ chức, doanh nghiệp nâng cao trách nhiệm trong quản trị, vận hành và bảo vệ hệ thống thông tin, qua đó củng cố nền tảng an ninh cho quá trình chuyển đổi số quốc gia.