Trạng thái và phạm vi
Liên kết đến phần này ↗Nghị định 331/2026/NĐ-CP được Chính phủ ban hành và có hiệu lực ngay ngày 19 tháng 8 năm 2026. Văn bản gồm 40 điều trong sáu chương, do Bộ Công an làm cơ quan đầu mối. Đây là văn bản đã ban hành và đang có hiệu lực, không phải đề xuất hay dự thảo.
Nghị định cụ thể hóa cơ chế phân loại được Luật An ninh mạng giao quy định: tiêu chí cấp 1–5; hồ sơ đề xuất cấp độ; thẩm định và phê duyệt; tiêu chí hệ thống thông tin quan trọng về an ninh quốc gia; biện pháp bảo vệ theo cấp; phân tách điện toán đám mây và trung tâm dữ liệu; thang báo cáo sự cố; cùng chu kỳ báo cáo hằng năm.
Giữa cấp 2 và cấp 3, tiêu chí nêu ngưỡng 100.000 chủ thể dữ liệu đối với dữ liệu cá nhân cơ bản và 10.000 đối với dữ liệu cá nhân nhạy cảm. Hệ thống điều khiển công nghiệp còn được phân theo cấp công trình xây dựng. Đây là các nhánh tiêu chí, không phải công thức tự động quyết định cấp độ; kết luận vẫn phải qua hồ sơ, thẩm định và phê duyệt. Dự thảo ưu tiên trước đây được giữ để truy vết quá trình chuẩn bị nhưng không còn phản ánh pháp luật hiện hành.
Quan hệ với khung pháp lý cấp trên
Liên kết đến phần này ↗Luật An ninh mạng số 116/2025/QH15 phân hệ thống thông tin thành năm cấp và giao Chính phủ quy định tiêu chí, thẩm quyền, thủ tục. Nghị định 331 cụ thể hóa khoản 2 Điều 8, khoản 5 Điều 9, khoản 6 Điều 10 và khoản 5 Điều 12 của Luật.
Văn bản đã ký không bãi bỏ Nghị định 85/2016/NĐ-CP. Theo Điều 39, hệ thống đã đầu tư hoặc đang xây dựng trước ngày 1 tháng 7 năm 2026 hoàn tất thẩm định và phê duyệt cấp độ theo Nghị định 85/2016 trong 6 tháng kể từ ngày Luật có hiệu lực, rồi đáp ứng điều kiện theo cấp của Nghị định 331 trong 12 tháng. Hai cơ chế cùng tồn tại với vai trò khác nhau trong giai đoạn chuyển tiếp; mỗi quyết định phân cấp phải nêu rõ văn bản áp dụng.
Nghị định 331 không quy định tiền phạt riêng. Chế tài liên quan được xử lý qua Nghị định 330/2026/NĐ-CP; mọi mức tiền phạt dẫn từ văn bản đó phải kèm quy tắc áp dụng cho cá nhân hay tổ chức.
Quy định kỹ thuật và nghĩa vụ tuân thủ
Liên kết đến phần này ↗| Điều khoản | Nội dung | Hệ quả vận hành |
|---|---|---|
| Điều 7, 8 | Xác định hệ thống theo hoạt động thực tế, không chia hoặc gộp hình thức | Phạm vi cần lý do vận hành có thể bảo vệ được |
| Điều 9 | Bốn nhóm bí mật và các loại hệ thống | Phân loại thông tin đi trước phân loại hệ thống |
| Điều 10 | Năm trường hợp đánh giá rủi ro với bảy nội dung tối thiểu | Đánh giá là hoạt động theo sự kiện kích hoạt, không phải rà soát tùy ý |
| Điều 11–15 | Tiêu chí cấp 1–5 và các ngưỡng dữ liệu giữa cấp 2, 3 | Số chủ thể dữ liệu trở thành bằng chứng phân loại |
| Điều 16, 17 | Tiêu chí hệ thống quan trọng; mọi hệ thống cấp 5 tự động thuộc danh mục | Cấp 5 kéo theo cơ chế hệ thống quan trọng |
| Điều 18–24 | Hồ sơ, tuyến thẩm định và thẩm quyền phê duyệt theo cấp đề xuất | Chất lượng hồ sơ chi phối thời hạn; cơ quan xử lý phụ thuộc cấp |
| Điều 28, 30 | Đánh giá trước vận hành và Quy chế an ninh mạng trước phê duyệt | Kết quả không đạt chặn vận hành; Quy chế là điều kiện tiên quyết |
| Khoản 8, 9 Điều 30 | Phân tách logic cho cấp 3–4; vật lý cho cấp 5 và hệ thống quan trọng | Kiến trúc lưu trữ là dữ kiện tuân thủ theo cấp |
| Điều 31 | Báo cáo ngay, 24 giờ và 72 giờ; trách nhiệm người đứng đầu | Mỗi nấc cần bằng chứng có dấu thời gian |
| Điều 35, 36 | Chu kỳ hằng năm với ngày luật định và mười hai nội dung | Lịch do Nghị định cố định, không phải quy ước nội bộ |
Nghĩa vụ và thời hạn
Liên kết đến phần này ↗| Nghĩa vụ | Thời hạn | Căn cứ |
|---|---|---|
| Hiệu lực | 19 tháng 8 năm 2026 | Điều 38 |
| Phản hồi hồ sơ chưa đầy đủ | 5 ngày làm việc | Khoản 2 Điều 23 |
| Thẩm định hồ sơ cấp 3 | 15 ngày làm việc | Điểm a khoản 3 Điều 23 |
| Thẩm định hồ sơ cấp 4 hoặc 5 | 25 ngày làm việc | Điểm b khoản 3 Điều 23 |
| Xử lý hồ sơ phê duyệt | 7 ngày làm việc | Khoản 2 Điều 24 |
| Báo cáo nguyên nhân, phạm vi, khắc phục sự cố | 72 giờ từ khi phát hiện | Điểm d khoản 2 Điều 31 |
| Thông báo ban đầu sự cố nghiêm trọng | 24 giờ từ khi phát hiện | Điểm d khoản 2 Điều 31 |
| Sự cố có dấu hiệu an ninh quốc gia hoặc gián đoạn nghiêm trọng | Ngay khi phát hiện | Điểm d khoản 2 Điều 31 |
| Kỳ dữ liệu báo cáo | 15 tháng 12 đến 14 tháng 12 năm sau | Khoản 3 Điều 35 |
| Báo cáo cho chủ quản | Trước 20 tháng 12 | Điểm a khoản 4 Điều 35 |
| Báo cáo cho Bộ Công an | Trước 25 tháng 12 | Điểm b khoản 4 Điều 35 |
| Công bố danh sách hệ thống | Trước 15 tháng 1 | Điểm e khoản 2 Điều 9 |
| Thẩm định chuyển tiếp theo Nghị định 85/2016 | 6 tháng từ ngày Luật có hiệu lực | Khoản 1 Điều 39 |
| Đáp ứng điều kiện theo cấp | 12 tháng từ ngày Luật có hiệu lực | Khoản 1 Điều 39 |
Văn bản không quy định thời hạn thẩm định hồ sơ cấp 1 và cấp 2, vốn do đơn vị chuyên trách của chủ quản xử lý. Không được tự điền một con số.
Biểu mẫu và bằng chứng
Liên kết đến phần này ↗Phụ lục quy định tám biểu mẫu chính thức, Mẫu số 01–08, bao quát hồ sơ đề xuất cấp độ, thẩm định, phê duyệt và báo cáo hằng năm. Phải giữ đúng tiêu đề, cấu trúc của nguồn đã ký. Mọi mẫu khác do ComplianceOne cung cấp chỉ là mẫu chuẩn bị nội bộ và phải ghi nhãn rõ ràng.
ComplianceOne hỗ trợ tuân thủ như thế nào
Liên kết đến phần này ↗ComplianceOne ghi cơ chế năm cấp, tiêu chí, ngưỡng chủ thể dữ liệu và lưu ý về thủ tục thẩm định, phê duyệt để cấp độ là kết luận có bằng chứng chứ không phải lựa chọn trong danh sách. Các mốc 5, 15, 25 và 7 ngày làm việc; ba nấc sự cố; cùng ngày trong chu kỳ hằng năm được quản lý như thời hạn có trích dẫn.
Hai cơ chế năm cấp vẫn tách biệt: quyết định theo Nghị định 85/2016 giữ nguyên căn tính trong thời kỳ chuyển tiếp, không tự động chuyển sang thang Nghị định 331. Bằng chứng sự cố, đánh giá và báo cáo liên kết với hồ sơ hệ thống, cấp đã phê duyệt và dữ kiện phân tách lưu trữ. ComplianceOne hỗ trợ kiểm kê, cấu trúc hồ sơ và truy vết; không thực hiện thẩm định, phê duyệt hay chứng nhận của cơ quan nhà nước.
Các mô-đun liên quan
Liên kết đến phần này ↗| Mô-đun | Hỗ trợ |
|---|---|
| Quản trị chương trình | Phân công xác định cấp, lập hồ sơ và chuyển tiếp theo nghĩa vụ có ngày |
| Đánh giá rủi ro | Theo dõi năm trường hợp kích hoạt và bảy nội dung tối thiểu |
| Phân loại dữ liệu | Giữ bằng chứng phân loại thông tin |
| Ứng phó sự cố | Theo dõi báo cáo ngay, 24 giờ, 72 giờ |
| Chương trình giám sát | Quản lý chu kỳ hằng năm và yếu tố xác định lại |
| Nhật ký kiểm toán | Lưu lịch sử xác định, thẩm định, phê duyệt, báo cáo |
Danh sách kiểm tra mức độ sẵn sàng
Liên kết đến phần này ↗- Xác định phạm vi từng hệ thống theo hoạt động thực tế và lưu lý do.
- Biết số chủ thể dữ liệu cơ bản, nhạy cảm khi có thể chạm ngưỡng cấp 2/cấp 3.
- Hoàn thiện hồ sơ trước khi nộp vì thời hạn chạy từ hồ sơ hợp lệ.
- Ban hành Quy chế trước phê duyệt và đưa đánh giá trước vận hành vào kế hoạch.
- Phân tách logic cho cấp 3–4, vật lý cho cấp 5 và hệ thống quan trọng.
- Có bằng chứng cho báo cáo ngay, 24 giờ và 72 giờ.
- Đưa các ngày 14, 20 và 25 tháng 12 vào lịch.
- Đưa hệ thống trước 1 tháng 7 năm 2026 vào lộ trình 6 tháng và 12 tháng.
- Mỗi quyết định nêu rõ Nghị định 331 hay Nghị định 85/2016.
- Rà soát hệ thống cấp 5 theo tiêu chí hệ thống quan trọng.
Nguồn và ranh giới sử dụng
Liên kết đến phần này ↗Nội dung được đối chiếu với Nghị định 331/2026/NĐ-CP đã ký. Trang chỉ mô tả nghĩa vụ và hỗ trợ chuẩn bị hồ sơ; không diễn giải kết quả thẩm định cho một hệ thống cụ thể và không thay thế văn bản chính thức hoặc quyết định của cơ quan có thẩm quyền.
Trách nhiệm vận hành
Liên kết đến phần này ↗Tiêu chí, số liệu và ý kiến thẩm định phải gắn với quyết định để có thể bảo vệ khi xem xét lại. Không nói Nghị định 331 đã bãi bỏ Nghị định 85/2016; không coi hai thang là thay thế nhau; không coi hoàn tất hồ sơ trong phần mềm là vượt qua cổng thẩm định; không tự đặt thời hạn cho cấp 1 hoặc 2.
Xem Luật An ninh mạng, Nghị định 333 và Nghị định 330.
Bước tiếp theo
Liên kết đến phần này ↗Doanh nghiệp có thể thí điểm xác định cấp độ, chuẩn bị hồ sơ, bằng chứng thời hạn sự cố và chu kỳ hằng năm. Đặt lịch demo hoặc liên hệ.
Tuyên bố miễn trừ
Liên kết đến phần này ↗Nội dung này cung cấp thông tin và không thay thế tư vấn pháp lý.