Nghị định 331/2026/NĐ-CP về bảo vệ an ninh mạng đối với hệ thống thông tin có những nội dung gì?

Nghị định 331/2026/NĐ-CP về bảo vệ an ninh mạng đối với hệ thống thông tin có những nội dung gì?

Ngày 19/8/2026, Chính phủ ban hành Nghị định 331/2026/NĐ-CP quy định về bảo vệ an ninh mạng đối với hệ thống thông tin.

>>> Tải về Toàn văn Nghị định 331/2026/NĐ-CP

(1) Phạm vi điều chỉnh

Nghị định 331/2026/NĐ-CP quy định chi tiết khoản 2 Điều 8, khoản 5 Điều 9, khoản 6 Điều 10, khoản 5 Điều 12 Luật An ninh mạng 2025, cụ thể: tiêu chí xác định cấp độ hệ thống thông tin; quy định thẩm quyền, trình tự, thủ tục xác định cấp độ hệ thống thông tin và biện pháp, trách nhiệm, nghĩa vụ bảo đảm an ninh mạng theo từng cấp độ của hệ thống thông tin; tiêu chí xác định hệ thống thông tin quan trọng về an ninh quốc gia; nhiệm vụ bảo vệ an ninh mạng đối với hệ thống thông tin; biện pháp bảo vệ an ninh mạng đối với hệ thống thông tin; kiểm tra an ninh mạng đối với hệ thống thông tin của cơ quan, tổ chức không thuộc danh mục hệ thống thông tin quan trọng về an ninh quốc gia.

(2) Đối tượng áp dụng

Nghị định 331/2026/NĐ-CP áp dụng đối với cơ quan, tổ chức, cá nhân tham gia hoặc có liên quan đến hoạt động xây dựng, thiết lập, quản lý, vận hành, nâng cấp, mở rộng hệ thống thông tin tại Việt Nam phục vụ ứng dụng công nghệ thông tin trong hoạt động của cơ quan, tổ chức nhà nước, ứng dụng công nghệ thông tin trong việc cung cấp dịch vụ trực tuyến phục vụ người dân và doanh nghiệp.

Khuyến khích tổ chức, cá nhân liên quan khác áp dụng các quy định tại Nghị định 331/2026/NĐ-CP để bảo vệ hệ thống thông tin.

(3) Hiệu lực thi hành

Nghị định 331/2026/NĐ-CP có hiệu lực thi hành từ ngày 19/8/2026.

Theo đó, đơn vị vận hành hệ thống thông tin được quy định tại Điều 5 Nghị định 331/2026/NĐ-CP như sau:

- Đơn vị vận hành hệ thống thông tin là đơn vị được chủ quản hệ thống thông tin giao nhiệm vụ vận hành hệ thống thông tin.

- Trong trường hợp hệ thống thông tin gồm nhiều hệ thống thành phần hoặc phân tán, có nhiều hơn một đơn vị vận hành hệ thống thông tin, chủ quản hệ thống thông tin có trách nhiệm chỉ định một đơn vị chủ trì thực hiện quyền và nghĩa vụ của đơn vị vận hành hệ thống thông tin theo quy định của pháp luật.

- Trong trường hợp thuê dịch vụ công nghệ thông tin, đơn vị vận hành hệ thống thông tin được xác định như sau:

+ Trường hợp đã xác định được đơn vị cung cấp dịch vụ theo quy định của pháp luật, đơn vị vận hành được xác định theo thỏa thuận trong hợp đồng giữa các bên; hợp đồng phải quy định chi tiết trách nhiệm, thẩm quyền của các bên trong quản trị dữ liệu, kiểm soát truy cập, bảo đảm an ninh mạng, bảo đảm phù hợp với quy định của pháp luật dân sự và pháp luật về an ninh mạng;

+ Trường hợp hết thời hạn cung cấp dịch vụ, nếu hệ thống thông tin vẫn tiếp tục duy trì hoạt động, đơn vị vận hành được xác định theo các điều khoản cam kết duy trì, chuyển giao dịch vụ trong hợp đồng hoặc theo thỏa thuận mới giữa các bên;

+ Trường hợp khác, đơn vị chủ trì thuê dịch vụ đóng vai trò là đơn vị vận hành.

Nghị định 331/2026/NĐ-CP về bảo vệ an ninh mạng đối với hệ thống thông tin có những nội dung gì?

Phân loại thông tin về hệ thống thông tin được quy định như thế nào?

Căn cứ theo Điều 9 Nghị định 331/2026/NĐ-CP như sau:

(1) Thông tin xử lý qua hệ thống thông tin được phân loại theo thuộc tính bí mật như sau:

- Thông tin công cộng là thông tin trên mạng của một tổ chức, cá nhân được công khai cho tất cả các đối tượng mà không cần xác định danh tính, địa chỉ cụ thể của các đối tượng đó;

- Thông tin riêng là thông tin trên mạng của một tổ chức, cá nhân mà tổ chức, cá nhân đó không công khai hoặc chỉ công khai cho một hoặc một nhóm đối tượng đã được xác định danh tính, địa chỉ cụ thể;

- Thông tin cá nhân là thông tin trên mạng gắn với việc xác định danh tính một người cụ thể;

- Thông tin bí mật nhà nước là thông tin ở mức Mật, Tối Mật, Tuyệt Mật theo quy định của pháp luật về bảo vệ bí mật nhà nước.

(2) Hệ thống thông tin được phân loại theo chức năng phục vụ hoạt động nghiệp vụ như sau:

- Hệ thống thông tin phục vụ hoạt động nội bộ là hệ thống chỉ phục vụ hoạt động quản trị, vận hành nội bộ của cơ quan, tổ chức;

- Hệ thống thông tin phục vụ người dân, doanh nghiệp là hệ thống trực tiếp hoặc hỗ trợ cung cấp dịch vụ trực tuyến, bao gồm dịch vụ công trực tuyến và dịch vụ trực tuyến khác trong các lĩnh vực viễn thông, công nghệ thông tin, thương mại, tài chính, ngân hàng, y tế, giáo dục và các lĩnh vực chuyên ngành khác;

- Hệ thống cơ sở hạ tầng thông tin là tập hợp trang thiết bị, đường truyền dẫn kết nối phục vụ chung hoạt động của nhiều cơ quan, tổ chức như mạng diện rộng, cơ sở dữ liệu, trung tâm dữ liệu, điện toán đám mây; xác thực điện tử, chứng thực điện tử, chữ ký số; kết nối liên thông các hệ thống thông tin;

- Hệ thống thông tin điều khiển công nghiệp là hệ thống có chức năng giám sát, thu thập dữ liệu, quản lý và kiểm soát các hạng mục quan trọng phục vụ điều khiển, vận hành hoạt động bình thường của các công trình xây dựng;

- Hệ thống thông tin khác là hệ thống thông tin không thuộc các loại hình được nêu tại các điểm a, b, c, d khoản này, được sử dụng để trực tiếp phục vụ hoặc hỗ trợ hoạt động nghiệp vụ, sản xuất, kinh doanh cụ thể của cơ quan, tổ chức theo lĩnh vực chuyên ngành;

- Định kỳ hằng năm (trước ngày 15 tháng 01), Bộ Công an có trách nhiệm cập nhật, bổ sung danh mục các hệ thống thông tin theo quy định tại các điểm a, b, c, d, đ khoản này và công bố trên Cổng thông tin điện tử của Bộ Công an (trừ hệ thống thông tin quân sự và hệ thống thông tin cơ yếu thuộc Ban Cơ yếu Chính phủ).

Điều kiện chung về kinh doanh sản phẩm, dịch vụ an ninh mạng thế nào?

Tổ chức, doanh nghiệp kinh doanh sản phẩm, dịch vụ an ninh mạng được cấp Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng khi đáp ứng đủ điều kiện được quy định tại Điều 6 Nghị định 332/2026/NĐ-CP sau đây:

(1) Được thành lập theo quy định của pháp luật Việt Nam, không vi phạm quy định của pháp luật về kinh doanh sản phẩm, dịch vụ an ninh mạng. Đối với các tổ chức kinh tế có vốn đầu tư nước ngoài, thời hạn đầu tư tại Việt Nam phải còn nhiều hơn 05 năm kể từ ngày được cấp Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng.

(2) Điều kiện về nhân sự:

- Người đại diện theo pháp luật, người quản lý hoặc người được người đại diện theo pháp luật, người quản lý ủy quyền không thuộc một trong các trường hợp sau đây:

Người Việt Nam đã bị khởi tố hình sự mà các cơ quan tiến hành tố tụng của Việt Nam hoặc của nước ngoài đang tiến hành điều tra, truy tố, xét xử hoặc có tiền án về các tội xâm phạm an ninh quốc gia hoặc được cơ quan có thẩm quyền xác định là có hoạt động xâm phạm an ninh quốc gia hoặc các tội khác do lỗi cố ý, chưa được xóa án tích; đang trong thời gian được tạm hoãn chấp hành hình phạt tù; đang bị quản chế, cấm cư trú, cấm đảm nhiệm chức vụ, cấm kinh doanh ngành, nghề kinh doanh có điều kiện về an ninh, trật tự theo quyết định của Tòa án hoặc đang bị áp dụng biện pháp giáo dục tại xã, phường, đặc khu; đang được tạm hoãn, tạm đình chỉ chấp hành quyết định đưa vào cơ sở giáo dục bắt buộc hoặc đưa vào cơ sở cai nghiện bắt buộc.

Người Việt Nam định cư ở nước ngoài mang hộ chiếu nước ngoài và người nước ngoài chưa được cơ quan có thẩm quyền của Việt Nam cấp phép cư trú, lao động tại Việt Nam;

- Tổ chức, doanh nghiệp phải có nhân sự chịu trách nhiệm kỹ thuật phù hợp với loại hình sản phẩm, dịch vụ kinh doanh. Nhân sự này phải có bằng đại học trở lên hoặc có chứng chỉ chuyên ngành an ninh mạng, an toàn thông tin, công nghệ thông tin, điện tử viễn thông.

(3) Điều kiện về kỹ thuật: Có hệ thống trang thiết bị, cơ sở vật chất và công nghệ phù hợp với hoạt động đầu tư, kinh doanh và loại hình sản phẩm, dịch vụ an ninh mạng đăng ký kinh doanh.