Những quy định mới về bảo vệ an ninh mạng đối với hệ thống thông tin

Ngày 19/8/2026, Chính phủ ban hành Nghị định số 331/2026/NĐ-CP quy định về bảo vệ an ninh mạng đối với hệ thống thông tin, tạo hành lang pháp lý cụ thể hơn trong việc xác định cấp độ bảo vệ an ninh mạng và tổ chức các biện pháp bảo vệ phù hợp với tính chất, quy mô, mức độ rủi ro của từng hệ thống.

Một trong những nội dung đáng chú ý của Nghị định số 331/2026/NĐ-CP là quy định cụ thể về việc xác định cấp độ bảo vệ an ninh mạng đối với hệ thống thông tin. Trường hợp một hệ thống đồng thời đáp ứng nhiều tiêu chí phân loại thuộc các cấp độ bảo vệ khác nhau, chủ quản hệ thống phải áp dụng cấp độ cao nhất. Đáng chú ý, quy định mới nghiêm cấm việc cố tình phân tách phạm vi hệ thống một cách hình thức nhằm làm giảm cấp độ an ninh mạng hoặc giảm các yêu cầu bảo vệ. Trường hợp phát hiện việc phân tách hoặc hợp nhất hệ thống thông tin không phù hợp với quy định, cơ quan, đơn vị có thẩm quyền yêu cầu xác định lại hệ thống thông tin và cấp độ tương ứng. Quy định này nhằm bảo đảm việc phân loại cấp độ được thực hiện thực chất, phản ánh đúng quy mô và mức độ quan trọng của hệ thống, qua đó hạn chế nguy cơ bỏ sót các hệ thống có nguy cơ cao.

Trong quá trình vận hành, hệ thống thông tin có thể mở rộng về số lượng người dùng, phạm vi cung cấp dịch vụ, kết nối, chia sẻ dữ liệu hoặc thay đổi về tính chất hoạt động. Đây là những yếu tố có thể làm gia tăng nguy cơ đe dọa an ninh mạng. Nghị định quy định quy mô dữ liệu về số lượng chủ thể dữ liệu cá nhân là một trong những tiêu chí quan trọng trong việc phân định giữa Cấp độ 2 và Cấp độ 3. Theo đó, mốc dưới 100.000 chủ thể dữ liệu đối với dữ liệu cá nhân cơ bản hoặc dưới 10.000 chủ thể dữ liệu đối với dữ liệu cá nhân nhạy cảm được xác định cho Cấp độ 2; từ các ngưỡng này trở lên là một trong những căn cứ để xác định Cấp độ 3. Khi quy mô hệ thống có sự thay đổi, chủ quản hệ thống cần thực hiện đánh giá rủi ro an ninh mạng. Nếu kết quả đánh giá rủi ro an ninh mạng cho thấy mức độ rủi ro cao hơn so với cấp độ đã được xác định, chủ quản hệ thống thông tin phải đề xuất áp dụng cấp độ cao hơn để bảo đảm an ninh mạng. Điều này đặt ra yêu cầu các cơ quan, tổ chức, doanh nghiệp không chỉ thực hiện việc xác định cấp độ một lần, mà cần thường xuyên rà soát, đánh giá và cập nhật theo sự thay đổi thực tế của hệ thống.

Một điểm mới đáng chú ý là nguyên tắc bảo đảm an ninh mạng theo cấp độ trong hoạt động của cơ quan, tổ chức được thực hiện một cách tổng thể, đồng bộ, tập trung trong việc đầu tư các giải pháp bảo vệ, có sự dùng chung, chia sẻ tài nguyên để tối ưu hiệu năng, tránh đầu tư thừa, trùng lặp. Nghị định số 331/2026/NĐ-CP cũng nhấn mạnh trách nhiệm của người đứng đầu cơ quan, tổ chức - chủ quản hệ thống thông tin. Người đứng đầu có trách nhiệm chỉ đạo công tác bảo vệ an ninh mạng và chịu trách nhiệm trước pháp luật về công tác bảo vệ an ninh mạng trong hoạt động của cơ quan, tổ chức mình; đồng thời phải bố trí bộ phận hoặc nhân sự chuyên trách về an ninh mạng phù hợp với cấp độ bảo vệ của hệ thống; chỉ định cá nhân, bộ phận phụ trách về an ninh mạng đối với hệ thống sử dụng ngân sách nhà nước. Trường hợp cơ quan, tổ chức chưa có đơn vị chuyên trách độc lập về an ninh mạng, có thể chỉ định đơn vị chuyên trách về công nghệ thông tin hoặc chuyển đổi số thực hiện nhiệm vụ này theo quy định. Quy định trên cho thấy bảo vệ an ninh mạng không chỉ là nhiệm vụ của cán bộ công nghệ thông tin hay bộ phận kỹ thuật, mà là trách nhiệm quản lý của người đứng đầu và trách nhiệm phối hợp của toàn cơ quan, tổ chức.

Trước những yêu cầu mới, các cơ quan, tổ chức, doanh nghiệp trên địa bàn tỉnh Vĩnh Long cần chủ động rà soát hiện trạng hệ thống thông tin thuộc phạm vi quản lý; xác định đúng phạm vi, quy mô và cấp độ bảo vệ; kịp thời đánh giá lại cấp độ khi có sự thay đổi về người dùng, dữ liệu, kết nối hoặc phạm vi cung cấp dịch vụ. Đồng thời, cần quan tâm xây dựng phương án bảo vệ an ninh mạng phù hợp với cấp độ được xác định; phân công rõ trách nhiệm của người đứng đầu, bộ phận chuyên trách và cá nhân phụ trách; thường xuyên kiểm tra, giám sát, phát hiện sớm các dấu hiệu bất thường và tổ chức ứng phó khi xảy ra sự cố.

Phòng An ninh mạng, Công an tỉnh Vĩnh Long khuyến nghị các cơ quan, tổ chức, doanh nghiệp trên địa bàn không chủ quan trước nguy cơ đe dọa an ninh mạng; chủ động nghiên cứu, triển khai các quy định mới, nâng cao năng lực bảo vệ hệ thống thông tin và dữ liệu, góp phần bảo đảm hoạt động ổn định, liên tục, an toàn trên không gian mạng./.