Quyết định 1964/QĐ-TTg — Chỉ số bảo đảm an ninh mạng

Quyết định 1964/QĐ-TTg ban hành Chỉ số bảo đảm an ninh mạng, gồm 29 tiêu chí, có hiệu lực từ ngày ký 12 tháng 10 năm 2026. Bộ Công an là cơ quan thường trực. Đây là thang tự đánh giá, không phải quy chuẩn kỹ thuật bắt buộc hay một tiêu chuẩn tạo nghĩa vụ đạt điểm số nhất định.

Trong giai đoạn 2027–2028, các bộ, cơ quan ngang bộ và Ủy ban nhân dân cấp tỉnh triển khai thí điểm đối với hệ thống thông tin và đơn vị thuộc phạm vi quản lý. Công an cấp tỉnh tham mưu cho Ủy ban nhân dân. Cơ quan chủ quản có thể yêu cầu đơn vị vận hành tham gia thu thập bằng chứng theo phạm vi đó. Các tổ chức khác được tự nguyện áp dụng để tự đánh giá; không vì thế trở thành đối tượng phải báo cáo, được xếp hạng hoặc tham gia thí điểm nhà nước.

Phân biệt cấp độ của hệ thống với mức đánh giá. Cấp độ an toàn hệ thống thông tin từ 1 đến 5 xác định phạm vi áp dụng một số tiêu chí. Mức đánh giá từ 0 đến 3 thể hiện kết quả theo Chỉ số. Hai khái niệm này không thay thế nhau.

Luật An ninh mạng số 116 là căn cứ ban hành; Chỉ số đo lường việc bảo đảm an ninh mạng, không phải văn bản quy định chi tiết từng điều của Luật. Nghĩa vụ lập hồ sơ đề xuất cấp độ và phương án bảo đảm an toàn theo cấp độ đến từ pháp luật hiện hành, trong đó có Nghị định 331. Nhóm I đánh giá những hồ sơ đó; không tự tạo nghĩa vụ lập hồ sơ.

Hồ sơ cấp độ đã được phê duyệt trước ngày 12 tháng 10 năm 2026 vẫn là căn cứ đánh giá theo Điều 2(1) cho đến khi rà soát, điều chỉnh hoặc phê duyệt lại, kể cả hồ sơ theo Nghị định 85 trước đây. Hiệu lực chuyển tiếp của hồ sơ phải được xem riêng theo Điều 45(1) của Luật và Điều 39 Nghị định 331. Quyết định không dẫn chiếu Nghị định 343. TCVN 14423:2026 chỉ được nhắc như một định danh tiêu chuẩn bên ngoài; trang không sao chép nội dung có bản quyền, biến tiêu chuẩn thành nghĩa vụ hoặc đồng nhất điểm tự đánh giá với chứng nhận phù hợp tiêu chuẩn.

• Phạm vi thí điểm và tự nguyện: Điều 2(1), Điều 4(2) quy định công việc của cơ quan nhà nước trong thí điểm. Tổ chức khác tự đánh giá theo lựa chọn của mình, không tự nhận vai trò báo cáo thí điểm.
• Mức 0–3: Phụ lục III yêu cầu chọn mức cao nhất thực sự đạt được, có giải trình và bằng chứng của kỳ đánh giá. Loại trừ phải có lý do và bằng chứng; nếu không, nội dung được tính mức 0. Nhóm I chỉ dùng mức 3 hoặc 0 theo Phụ lục II và V.
• Cách tính: Phụ lục III–IV quy định cách tính cho từng hệ thống và cơ quan, với các ngưỡng 1,4; 2,1; 2,7. Kết quả chính thức thuộc cơ quan thường trực. ComplianceOne hiện không thực hiện phép tính này.
• Thống kê: Nhóm III có trọng số bằng 0. Số liệu III.2–III.8 không được thấp hơn số đã được cơ quan có thẩm quyền ghi nhận theo Phụ lục VII.
• Hạ tầng dùng chung và nhà cung cấp: Cơ quan chủ quản yêu cầu bên vận hành cung cấp thông tin. Đơn vị vận hành hạ tầng chung đánh giá phần của mình. Chứng nhận theo tiêu chuẩn khác của nhà cung cấp đám mây có thể làm bằng chứng cho nội dung được chứng nhận bao phủ. Việc phối hợp nhà cung cấp đi qua chủ quản và hợp đồng theo Phụ lục III, VI, các mục II.15 và II.16.1.3.
• Bí mật nhà nước: Tài liệu mật ở trong hệ thống được phép xử lý tương ứng. Chỉ thông tin không mật được phép sử dụng, số tổng hợp và tham chiếu phù hợp mới được đưa vào môi trường ComplianceOne thông thường. Không lưu tài liệu mật không có nghĩa là không đạt tiêu chí.

Hồ sơ tham chiếu lưu tiêu chí, trọng số, phạm vi hệ thống, quy tắc và nguồn căn cứ. Mọi nội dung tự nguyện được ghi rõ, không chuyển thành nghĩa vụ bắt buộc. Thay đổi việc bổ sung khung hoặc chế độ áp dụng được lưu trong lịch sử kiểm toán.

Mặc định, lớp nội dung theo ngành ở chế độ tham chiếu, không đề xuất áp dụng trực tiếp cho bất kỳ tổ chức nào. Nếu tổ chức chọn áp dụng trực tiếp, đó là tự đánh giá tự nguyện, không phải tham gia thí điểm nhà nước. Nội dung tham chiếu gồm 29 tiêu chí và một mục riêng về vai trò cơ quan nhà nước, mục này không được phân công cho tổ chức. Ở chế độ trực tiếp, 29 tiêu chí vẫn là nội dung tự nguyện. Bằng chứng thuộc diện hạn chế hoặc mật của III.7–III.8 được loại khỏi nơi lưu thông thường, không bị suy diễn thành thiếu tuân thủ.

Hướng dẫn giải thích phạm vi, cách đọc điểm, bảo mật, giai đoạn triển khai và hồ sơ cấp độ đã có. Hai quy trình làm việc nội bộ hỗ trợ tự đánh giá hệ thống và việc báo cáo thí điểm của cơ quan nhà nước; hai mẫu nội bộ và ba nhóm rủi ro hỗ trợ tổ chức hồ sơ, không đặt mức phạt. Lịch sử ghi nhận người thao tác và thời điểm.

Giới hạn hiện tại: chưa có sổ đánh giá định kỳ theo từng tiêu chí. Sản phẩm cung cấp nội dung tham chiếu, hướng dẫn, quy trình và mẫu làm việc. Sản phẩm không tính điểm, mức trưởng thành hay xếp loại; không nộp hồ sơ cho Bộ Công an; không thay công cụ đánh giá nhà nước; không xếp hạng, công bố kết quả hoặc cấp chứng nhận.