Trạng thái và phạm vi hiện hành
Liên kết đến phần này ↗Nghị định 333/2026/NĐ-CP được Chính phủ ban hành và có hiệu lực ngay ngày 19 tháng 8 năm 2026, không có thời gian ân hạn. Văn bản gồm 32 điều trong sáu chương, do Bộ Công an làm cơ quan chủ trì. Đây là văn bản đã ban hành, đang có hiệu lực và không phải dự thảo.
Nghị định quy định trình tự áp dụng các biện pháp bảo vệ an ninh mạng, gồm thẩm định, đánh giá điều kiện, giám sát, kiểm tra, ứng phó sự cố, mật mã, gỡ bỏ thông tin, thu thập dữ liệu điện tử, đình chỉ hệ thống và thu hồi tên miền. Văn bản còn điều chỉnh trách nhiệm bảo đảm an toàn thông tin mạng của nhà cung cấp trong và ngoài nước, cơ chế định danh địa chỉ IP và hệ thống đào tạo nâng cao về an ninh mạng có chứng nhận.
Phạm vi nhà cung cấp cần được đánh giá thận trọng. Nghĩa vụ áp dụng cho dịch vụ trên mạng viễn thông, Internet và dịch vụ gia tăng trên không gian mạng; nhóm cuối được xác định bằng cách dẫn chiếu đến dịch vụ viễn thông giá trị gia tăng, không phải bằng danh sách loại hình nền tảng. Vì vậy, việc một dịch vụ cụ thể có thuộc phạm vi hay không phụ thuộc phân loại theo pháp luật viễn thông và cách triển khai thực tế, cần phân tích pháp lý theo từng trường hợp.
Nghị định này thay thế dự thảo triển khai chung từng được theo dõi trong giai đoạn tham vấn. Hồ sơ dự thảo được giữ để bảo toàn lịch sử chuẩn bị nhưng không còn mô tả pháp luật hiện hành.
Quan hệ với Luật An ninh mạng và các nghị định liên quan
Liên kết đến phần này ↗Luật An ninh mạng 116/2025/QH15 có hiệu lực từ ngày 1 tháng 7 năm 2026 là văn bản mẹ. Nghị định 333 cung cấp thủ tục và các mốc định lượng mà Luật giao Chính phủ quy định: cách thẩm định, đánh giá điều kiện, giám sát và kiểm tra; trách nhiệm của nhà cung cấp và thời hạn phản hồi; định danh địa chỉ IP; cùng lộ trình đào tạo có chứng nhận.
Nghị định 333 không quy định mức tiền phạt riêng. Chế tài đối với các nhóm nghĩa vụ nằm trong Nghị định 330/2026/NĐ-CP; mọi con số từ Nghị định 330 phải kèm quy tắc xác định mức phạt theo đối tượng cá nhân hoặc tổ chức. Trong cụm văn bản ngày 19 tháng 8, Nghị định 331 điều chỉnh bảo vệ hệ thống thông tin, Nghị định 327 điều chỉnh xử lý thông tin vi phạm và Nghị định 332 điều chỉnh cấp phép sản phẩm, dịch vụ.
Quy định chính và tác động vận hành
Liên kết đến phần này ↗| Điều khoản | Nội dung | Tác động vận hành |
|---|---|---|
| Điều 5, 6 | Thẩm định thiết kế và đánh giá, chứng nhận điều kiện đối với hệ thống thông tin quan trọng về an ninh quốc gia; kiểm tra hồ sơ trong 3 ngày làm việc, hoàn thành trong 25 ngày làm việc | Chuẩn bị hồ sơ trước cổng phê duyệt và trước khi đưa hệ thống vào vận hành |
| Điều 8 | Tự kiểm tra hệ thống quan trọng và gửi kết quả bằng văn bản trước ngày 1 tháng 10 hằng năm | Quản lý báo cáo kiểm tra như nghĩa vụ định kỳ có ngày đến hạn |
| Điều 13 | Đình chỉ, chấm dứt hoạt động và thu hồi tên miền; yêu cầu khẩn cấp qua điện thoại, fax hoặc email phải được xác nhận bằng văn bản trong 24 giờ | Giữ yêu cầu ban đầu và văn bản xác nhận trong cùng hồ sơ |
| Điều 16 | Xác minh người dùng; cung cấp thông tin trong 24 giờ hoặc 3 giờ khi khẩn cấp; gỡ bỏ trong 24 giờ hoặc 6 giờ khi có tình huống khẩn cấp về an ninh quốc gia; khóa tài khoản; bảo đảm truy xuất nhật ký ít nhất 12 tháng | Mỗi thời hạn cần bằng chứng từ lúc nhận yêu cầu đến khi hoàn thành |
| Điều 16 khoản 4 | Hạn chế hiển thị hoặc khóa tối đa 60 ngày khi có từ 3 bài vi phạm trong 30 ngày; tối đa 180 ngày khi có từ 10 bài trong 90 ngày; ba trường hợp khóa vô thời hạn và các căn cứ khôi phục | Quyết định khóa phải giữ số lần vi phạm, căn cứ và kết quả rà soát khôi phục |
| Điều 18 | Nhà cung cấp viễn thông, Internet, lưu trữ, trung tâm dữ liệu và ứng dụng viễn thông chặn, gỡ bỏ trong 24 giờ kể từ yêu cầu bằng văn bản, điện thoại hoặc email | Đầu mối tiếp nhận phải bao phủ cả kênh không phải văn bản |
| Điều 19, 20 | Lưu trữ dữ liệu tại Việt Nam tối thiểu 24 tháng; thành lập chi nhánh hoặc văn phòng đại diện khi đủ điều kiện; thực hiện trong 12 tháng kể từ quyết định | Theo dõi cả ngưỡng ba lần thông báo và quyết định chính thức |
| Điều 21–23 | Ghi nhật ký phiên, lưu nhật ký phân bổ IP 12 tháng, cung cấp thông tin định danh IP trong 24 giờ hoặc 3 giờ khi khẩn cấp và không khai thác thương mại | Dữ liệu định danh IP là bằng chứng phục vụ cơ quan có thẩm quyền, có thời hạn lưu riêng |
| Điều 24–28 | Đào tạo nâng cao có chứng nhận; thời hạn 24 tháng cho nhân sự đang giữ vị trí luật định và 36 tháng cho nhân sự của chủ quản hệ thống cấp 3–5 | Lập kế hoạch rà soát, ngân sách và bằng chứng hoàn thành theo hạn định |
| Điều 31 | Hồ sơ thẩm định và đánh giá điều kiện đang xử lý theo Nghị định 53/2022 tiếp tục theo văn bản đó | Hồ sơ chuyển tiếp giữ nguyên thủ tục cũ; hồ sơ mới áp dụng Nghị định 333 |
Thời hạn và mốc thủ tục
Liên kết đến phần này ↗| Nghĩa vụ | Thời hạn | Căn cứ |
|---|---|---|
| Cung cấp thông tin người dùng | 24 giờ; 3 giờ khi khẩn cấp | Điều 16 khoản 3 điểm c |
| Chặn, gỡ bỏ thông tin, dịch vụ, ứng dụng | 24 giờ; 6 giờ trong tình huống khẩn cấp về an ninh quốc gia | Điều 16 khoản 4 điểm b |
| Chặn, gỡ bỏ ở lớp hạ tầng | 24 giờ | Điều 18 khoản 2 điểm a |
| Truy xuất nhật ký hệ thống | Ít nhất 12 tháng | Điều 16 khoản 6 điểm c; Điều 20 khoản 3 |
| Lưu nhật ký phân bổ, quản lý IP | 12 tháng | Điều 22 khoản 3 |
| Cung cấp thông tin định danh IP | 24 giờ; 3 giờ khi khẩn cấp | Điều 23 khoản 2 điểm c |
| Lưu trữ dữ liệu theo yêu cầu tại Việt Nam | Ít nhất 24 tháng | Điều 20 khoản 1 |
| Thực hiện quyết định lưu trữ và hiện diện tại Việt Nam | 12 tháng từ quyết định | Điều 19 khoản 6 điểm c |
| Kiểm tra hồ sơ thẩm định hoặc đánh giá | 3 ngày làm việc | Điều 5 khoản 7 điểm b; Điều 6 khoản 7 điểm b |
| Hoàn thành và thông báo kết quả | 25 ngày làm việc | Điều 5 khoản 7 điểm c, khoản 8; Điều 6 khoản 7 điểm c |
| Báo cáo tự kiểm tra hệ thống quan trọng | Trước ngày 1 tháng 10 hằng năm | Điều 8 khoản 5 điểm b |
| Xác nhận bằng văn bản yêu cầu đình chỉ khẩn cấp | 24 giờ | Điều 13 khoản 4 điểm d |
| Lộ trình đào tạo có chứng nhận | 24 tháng; 36 tháng với nhân sự hệ thống cấp 3–5 | Điều 24 khoản 8 |
Các thời hạn trên chỉ thuộc Nghị định 333. Chúng không được chuyển sang sự kiện được xử lý theo văn bản khác, đặc biệt là xung đột thông tin theo Nghị định 343/2026/NĐ-CP, vì các Điều 29–48 của Nghị định 343 không quy định thời hạn phản ứng bằng con số. Gán mốc 24 giờ, 6 giờ hoặc 3 giờ cho hồ sơ đó sẽ tạo ra một thời hạn mà văn bản không đặt ra.
Biểu mẫu chính thức và yêu cầu dữ liệu
Liên kết đến phần này ↗Phụ lục ban hành ba biểu mẫu chính thức: Mẫu số 01 đề nghị thẩm định an ninh mạng, Mẫu số 02 đề nghị chứng nhận đủ điều kiện an ninh mạng và Mẫu số 03 đăng ký mạng lưới đào tạo. ComplianceOne phải giữ đúng tên và cấu trúc từ văn bản đã ký. Mọi mẫu khác do nền tảng cung cấp chỉ là mẫu chuẩn bị nội bộ và phải được ghi nhãn rõ, không được trình bày như biểu mẫu của cơ quan nhà nước.
ComplianceOne hỗ trợ như thế nào
Liên kết đến phần này ↗ComplianceOne quản lý Nghị định 333 như một khung đang có hiệu lực, trong đó mỗi nghĩa vụ, thời hạn và thời hạn lưu giữ đều gắn với điều khoản nguồn. Các mốc 24 giờ hoặc 3 giờ, 24 giờ hoặc 6 giờ, 12 tháng, 24 tháng và lộ trình đào tạo được vận hành thành hạn công việc có thể đo lường, thay vì chỉ nằm trong phần mô tả.
Tương tác với cơ quan có thẩm quyền có thể lưu yêu cầu, thời điểm tiếp nhận đã xác minh, kể cả yêu cầu qua điện thoại hoặc email, người phụ trách, tài liệu phản hồi, phê duyệt và bằng chứng hoàn thành. Câu hỏi về phạm vi nhà cung cấp vẫn được trình bày đúng như văn bản: dẫn chiếu sang pháp luật viễn thông và đánh dấu trường hợp chưa rõ để phân tích pháp lý theo triển khai cụ thể.
ComplianceOne không tự kết luận dịch vụ thuộc phạm vi, không tự thực hiện yêu cầu, không phê duyệt hồ sơ và không thay thế cơ quan thẩm định hoặc tư vấn pháp lý.
Mô-đun liên quan
Liên kết đến phần này ↗| Mô-đun | Vai trò |
|---|---|
| Quản trị chương trình | Phân công thẩm định, đánh giá, đào tạo và chuẩn bị lưu trữ dữ liệu theo hạn |
| Vận hành sự cố | Điều phối gỡ bỏ, đình chỉ và thực hiện yêu cầu trong một chuỗi bằng chứng |
| Ứng phó sự cố | Liên kết kế hoạch và thông báo cho lực lượng chuyên trách với hồ sơ vụ việc |
| Chương trình giám sát | Theo dõi tự kiểm tra định kỳ, lưu nhật ký và rà soát lưu trữ dữ liệu |
| Trách nhiệm truy cập | Duy trì bằng chứng xác minh, hạn chế và khóa tài khoản |
| Nhật ký kiểm toán | Giữ lịch sử yêu cầu, quyết định, phê duyệt và hoàn thành |
Danh sách kiểm tra mức sẵn sàng
Liên kết đến phần này ↗- Có hồ sơ phân tích phạm vi nhà cung cấp cho từng dịch vụ; trường hợp chưa rõ được chuyển tư vấn pháp lý.
- Có thể đáp ứng yêu cầu thông tin người dùng và định danh IP trong 24 giờ hoặc 3 giờ khi khẩn cấp, kèm dấu thời gian.
- Có thể chặn, gỡ bỏ trong 24 giờ hoặc 6 giờ khi có tình huống khẩn cấp về an ninh quốc gia.
- Đầu mối tiếp nhận bao phủ điện thoại và email; yêu cầu đình chỉ khẩn cấp được xác nhận bằng văn bản trong 24 giờ.
- Nhật ký hệ thống và phân bổ IP có thể truy xuất ít nhất 12 tháng.
- Đã đánh giá dữ liệu thuộc phạm vi lưu tại Việt Nam, thời hạn tối thiểu 24 tháng và điều kiện hiện diện tại Việt Nam.
- Quyết định khóa tài khoản giữ số lần vi phạm, căn cứ và rà soát khôi phục.
- Hệ thống quan trọng có hồ sơ thẩm định, đánh giá điều kiện và báo cáo tự kiểm tra trước ngày 1 tháng 10.
- Đã lập kế hoạch cho thời hạn đào tạo 24 tháng và 36 tháng.
- Hồ sơ đang xử lý theo Nghị định 53/2022 được giữ trên tuyến chuyển tiếp, không khởi động lại.
Giá trị vận hành trong giai đoạn có hiệu lực ngay
Liên kết đến phần này ↗Nghị định có hiệu lực ngay khi ký nên không có khoảng chuẩn bị giữa dự thảo và nghĩa vụ hiện hành. Mỗi hồ sơ cần thể hiện thời điểm và chế độ pháp lý áp dụng. Mỗi thời hạn phải gắn với điều khoản, để khi cần giải thích vì sao áp dụng 3 giờ thay vì 24 giờ, tổ chức có thể dẫn đến văn bản đã ký chứ không dựa vào quy ước nội bộ.
Phạm vi không được mở rộng quá mức. Các trường hợp giáp ranh trong định nghĩa nhà cung cấp cần được nêu là cần phân tích pháp lý, thay vì mặc nhiên đưa vào hoặc loại ra. Hồ sơ dự thảo được giữ nguyên danh tính và quan hệ kế thừa để lịch sử chuẩn bị không bị xóa.
Nội dung liên quan
Liên kết đến phần này ↗- Luật An ninh mạng Việt Nam 2025 — khung mẹ.
- Hồ sơ dự thảo đã được thay thế — lịch sử văn bản.
- Nghị định 330/2026/NĐ-CP — lớp chế tài.
- Nghị định 331/2026/NĐ-CP — văn bản cùng cụm.
- Nghị định 343/2026/NĐ-CP — quy trình chỉ đạo khác, không có thời hạn phản ứng xung đột thông tin được công bố.
- Tổng quan khung pháp lý Việt Nam.
Xem vận hành Nghị định 333 trong thực tế
Liên kết đến phần này ↗Xem cách ComplianceOne quản lý thời hạn phản hồi, thời hạn lưu giữ, điều kiện lưu trữ dữ liệu và bằng chứng phục vụ kiểm tra theo một nghị định đang có hiệu lực.
Bước tiếp theo
Liên kết đến phần này ↗Bắt đầu chương trình thử nghiệm
Kiểm thử thời hạn phản hồi, bằng chứng lưu giữ, mức sẵn sàng lưu trữ dữ liệu và lộ trình đào tạo theo văn bản đã ký.
Trao đổi nhu cầu tuân thủ
Rà soát phân tích phạm vi nhà cung cấp, mức sẵn sàng đáp ứng yêu cầu và những thay đổi từ dự thảo sang văn bản đã ban hành.
Nguồn và ranh giới sử dụng
Liên kết đến phần này ↗Nội dung phải được đọc cùng Nghị định 333/2026/NĐ-CP và các văn bản chính thức liên quan. Nghị định 333 không quy định mức tiền phạt riêng; mọi mẫu ngoài ba biểu mẫu phụ lục là mẫu chuẩn bị nội bộ. Phạm vi nhà cung cấp phải được xác định theo pháp luật viễn thông và triển khai thực tế, không theo giả định về loại nền tảng.
Trách nhiệm vận hành
Liên kết đến phần này ↗ComplianceOne không tự xác nhận một tổ chức thuộc phạm vi, không tự thực hiện yêu cầu của cơ quan, không phê duyệt hồ sơ và không thay thế cơ quan thẩm định. Việc phân loại dịch vụ, xác định nghĩa vụ và phê duyệt hành động thuộc tổ chức, người có thẩm quyền và tư vấn pháp lý. Nội dung cung cấp thông tin, không thay thế tư vấn pháp lý.