Nghị định 331/2026/NĐ-CP: Quy tắc xác định cấp độ bảo mật cho hệ thống thông tin

Nghị định số 331/2026/NĐ-CP, ban hành ngày 19/8/2026, là một văn bản pháp lý quan trọng cụ thể hóa Luật An ninh mạng số 116/2025/QH15, nhằm tăng cường bảo vệ an ninh mạng tại Việt Nam. Văn bản này quy định chi tiết về việc xác định và phân loại các cấp độ an toàn của hệ thống thông tin, giúp người dùng và các tổ chức hiểu rõ hơn về mức độ bảo mật cần thiết cho từng loại hệ thống mà họ tương tác hàng ngày.

Các điểm chính về Nghị định 331/2026/NĐ-CP

Nghị định 331/2026/NĐ-CP có hiệu lực thi hành từ ngày ban hành (19/8/2026).
Hệ thống thông tin được phân loại thành 5 cấp độ an toàn, từ thấp nhất (Cấp độ 1) đến cao nhất (Cấp độ 5), dựa trên tầm quan trọng và rủi ro an ninh mạng.
Chủ quản hệ thống thông tin có trách nhiệm đánh giá rủi ro và áp dụng cấp độ bảo vệ cao nhất nếu hệ thống đáp ứng nhiều tiêu chí phân loại.
Các hệ thống đã xác định cấp độ trước ngày 01/7/2026 có thời hạn chuyển tiếp để tuân thủ các quy định mới.
Người dùng cần chủ động tìm hiểu và tuân thủ các quy định để bảo vệ thông tin cá nhân.

Phân loại 5 cấp độ an toàn hệ thống thông tin

Nghị định 331/2026/NĐ-CP quy định rõ ràng về 5 cấp độ an toàn của hệ thống thông tin, mỗi cấp độ tương ứng với mức độ quan trọng và rủi ro an ninh mạng khác nhau. Việc hiểu rõ các cấp độ này giúp người dùng nhận thức được tầm quan trọng của dữ liệu mà họ đang chia sẻ và cách các tổ chức bảo vệ chúng.

Cấp độ 1: Hệ thống thông tin cơ bản

Đây là cấp độ thấp nhất, áp dụng cho các hệ thống phục vụ hoạt động nội bộ của cơ quan, tổ chức và chỉ xử lý thông tin công cộng. Khi bị phá hoại, hệ thống này có thể làm tổn hại tới quyền và lợi ích hợp pháp của tổ chức, cá nhân nhưng không gây ảnh hưởng đến lợi ích công cộng, trật tự, an toàn xã hội, quốc phòng, an ninh quốc gia.

Cấp độ 2: Hệ thống thông tin có xử lý dữ liệu cá nhân

Cấp độ 2 dành cho các hệ thống phục vụ hoạt động nội bộ có xử lý thông tin riêng, thông tin cá nhân của người sử dụng nhưng không xử lý thông tin bí mật nhà nước. Ngoài ra, các hệ thống cung cấp dịch vụ trực tuyến không thuộc danh mục ngành, nghề kinh doanh có điều kiện, phục vụ dưới 1.000 người dùng hoặc dưới 100.000 chủ thể dữ liệu cá nhân cơ bản, dưới 10.000 chủ thể dữ liệu cá nhân nhạy cảm cũng thuộc cấp độ này.

Một sự cố có thể gây tổn hại nghiêm trọng tới quyền và lợi ích hợp pháp của tổ chức, cá nhân hoặc lợi ích công cộng.

Cấp độ 3: Hệ thống quan trọng với dữ liệu nhạy cảm

Cấp độ này áp dụng cho các hệ thống xử lý thông tin bí mật nhà nước hoặc hệ thống phục vụ quốc phòng, an ninh mà khi bị phá hoại sẽ làm tổn hại tới an ninh quốc gia. Nó cũng bao gồm các hệ thống cung cấp dịch vụ trực tuyến thuộc danh mục ngành, nghề đầu tư kinh doanh có điều kiện, hoặc hệ thống xử lý từ 100.000 chủ thể dữ liệu cá nhân cơ bản hoặc từ 10.000 chủ thể dữ liệu cá nhân nhạy cảm trở lên.

Sự cố ở cấp độ này có thể gây tổn hại đặc biệt nghiêm trọng tới quyền và lợi ích hợp pháp của tổ chức, cá nhân, tổn hại nghiêm trọng tới lợi ích công cộng, trật tự, an toàn xã hội hoặc an ninh quốc gia.

Cấp độ 4: Hệ thống thông tin quốc gia và bí mật nhà nước nghiêm trọng

Cấp độ 4 áp dụng cho hệ thống xử lý bí mật nhà nước, quốc phòng, an ninh mà khi bị phá hoại có thể gây tổn hại nghiêm trọng đến an ninh quốc gia. Các hệ thống thông tin quốc gia phục vụ các hoạt động quan trọng cũng thuộc cấp độ này. Hậu quả của một cuộc tấn công có thể làm tổn hại đặc biệt nghiêm trọng tới lợi ích công cộng, trật tự, an toàn xã hội hoặc làm tổn hại nghiêm trọng tới an ninh quốc gia.

Cấp độ 5: Hệ thống thông tin cực kỳ quan trọng

Đây là cấp độ cao nhất, dành cho các hệ thống thông tin cực kỳ quan trọng, xử lý thông tin bí mật nhà nước hoặc các hệ thống phục vụ cho quốc phòng, an ninh, mà khi bị tấn công sẽ gây thiệt hại đặc biệt nghiêm trọng cho quốc phòng và an ninh quốc gia.

Trách nhiệm của chủ quản hệ thống thông tin

Theo Nghị định 331/2026/NĐ-CP, chủ quản hệ thống thông tin có vai trò then chốt trong việc đảm bảo an ninh mạng. Họ phải thực hiện đánh giá rủi ro an ninh mạng trong nhiều trường hợp, bao gồm khi xác định cấp độ lần đầu, khi có thay đổi về chức năng, phạm vi phục vụ, đối tượng sử dụng, loại thông tin xử lý hoặc công nghệ triển khai. Việc đánh giá cũng cần được thực hiện khi hệ thống mở rộng quy mô, tích hợp, kết nối liên thông hoặc chia sẻ dữ liệu với hệ thống khác, hoặc khi xảy ra sự cố an ninh mạng nghiêm trọng.

Nguyên tắc quan trọng là khi một hệ thống đáp ứng nhiều tiêu chí phân loại thuộc các cấp độ khác nhau, chủ quản phải áp dụng cấp độ cao nhất để phê duyệt phương án bảo vệ. Nghiêm cấm việc cố tình phân tách phạm vi hệ thống một cách hình thức để giảm cấp độ an ninh mạng hoặc giảm yêu cầu bảo vệ.

Người dùng cần làm gì để bảo vệ thông tin cá nhân?

Trong bối cảnh các quy định về an ninh mạng ngày càng chặt chẽ, người dùng cá nhân cũng cần chủ động nâng cao ý thức và thực hiện các biện pháp bảo vệ thông tin của mình. Dưới đây là một số khuyến nghị:

Tìm hiểu về chính sách bảo mật: Khi sử dụng bất kỳ ứng dụng hay dịch vụ trực tuyến nào, hãy dành thời gian đọc và hiểu chính sách bảo mật của họ. Điều này giúp bạn biết được loại dữ liệu nào đang được thu thập, cách thức sử dụng và bảo vệ.
Sử dụng mật khẩu mạnh và xác thực hai yếu tố: Luôn tạo mật khẩu phức tạp, khó đoán và kích hoạt xác thực hai yếu tố (2FA) cho tất cả các tài khoản quan trọng.
Cảnh giác với các chiêu trò lừa đảo: Luôn kiểm tra kỹ các email, tin nhắn hoặc thông báo yêu cầu cung cấp thông tin cá nhân. Các tổ chức uy tín sẽ không bao giờ yêu cầu bạn cung cấp mật khẩu hoặc thông tin nhạy cảm qua các kênh không an toàn.
Cập nhật phần mềm thường xuyên: Đảm bảo hệ điều hành, trình duyệt web và các ứng dụng trên thiết bị của bạn luôn được cập nhật phiên bản mới nhất để vá các lỗ hổng bảo mật.
Sao lưu dữ liệu quan trọng: Thường xuyên sao lưu dữ liệu cá nhân vào các thiết bị lưu trữ an toàn hoặc dịch vụ đám mây đáng tin cậy.
Báo cáo các dấu hiệu bất thường: Nếu bạn phát hiện bất kỳ dấu hiệu nào cho thấy một hệ thống thông tin không tuân thủ các quy định bảo mật hoặc có nguy cơ bị tấn công, hãy báo cáo cho cơ quan chức năng hoặc nhà cung cấp dịch vụ.

Tầm quan trọng của Nghị định 331/2026/NĐ-CP đối với người dùng

Nghị định 331/2026/NĐ-CP không chỉ là một văn bản pháp lý mà còn là một công cụ quan trọng giúp nâng cao nhận thức và trách nhiệm của cả tổ chức lẫn cá nhân trong việc bảo vệ an ninh mạng. Đối với người dùng, việc hiểu rõ các quy tắc phân loại cấp độ bảo mật sẽ giúp họ đánh giá mức độ an toàn của các ứng dụng và dịch vụ mà họ sử dụng, từ đó đưa ra các quyết định sáng suốt hơn trong việc chia sẻ và bảo vệ thông tin cá nhân.

Nó cũng là cơ sở để người dùng yêu cầu các nhà cung cấp dịch vụ tuân thủ các tiêu chuẩn bảo mật cao nhất, góp phần xây dựng một không gian mạng an toàn và đáng tin cậy hơn.

Tuyên bố miễn trừ trách nhiệm: Nội dung này chỉ mang tính chất giáo dục và thông tin, không phải là lời khuyên tài chính hoặc pháp lý chuyên nghiệp. Người dùng cần chủ động tìm hiểu và tuân thủ các quy định về an ninh mạng để bảo vệ thông tin cá nhân và tài sản của mình.

Chưa phân loại