Võ Hồng Như Ý

Lưu ý: Đây là bài viết tổng hợp và so sánh theo quan điểm cá nhân, không đại diện cho cơ quan, tổ chức nào.

1. Tổng quan

Nghị định số 85/2016/NĐ-CP ngày 01/7/2016 quy định về bảo đảm an toàn hệ thống thông tin theo cấp độ. Ngày 19/8/2026, Chính phủ ban hành Nghị định số 331/2026/NĐ-CP về bảo vệ an ninh mạng đối với hệ thống thông tin; ngày hiệu lực được xác định tại Điều 38 của nghị định.

Từ góc độ quản trị hệ thống và an toàn thông tin, tôi lựa chọn phân tích một số nội dung tác động đáng chú ý đến việc phân loại hệ thống, quản lý rủi ro, thiết kế hạ tầng, ứng phó sự cố và thực hiện nghĩa vụ báo cáo.

2. Bảng so sánh

Dưới đây là những điểm khác nhau tôi thấy đáng chú ý khi đọc hai nghị định.

3. Những điểm thay đổi đáng chú ý

3.1. Phạm vi điều chỉnh và thuật ngữ

Nghị định 85/2016/NĐ-CP đặt trọng tâm vào bảo đảm an toàn hệ thống thông tin theo cấp độ trên cơ sở Luật An toàn thông tin mạng năm 2015. Nghị định 331/2026/NĐ-CP, dựa trên Luật An ninh mạng số 116/2025/QH15, quy định thêm tiêu chí hệ thống thông tin quan trọng về an ninh quốc gia, nhiệm vụ và biện pháp bảo vệ an ninh mạng, kiểm tra an ninh mạng.

Quan điểm cá nhân: Sự thay đổi cho thấy yêu cầu bảo vệ hệ thống cần được xem xét đồng thời từ khía cạnh kỹ thuật, quản trị rủi ro và trách nhiệm pháp lý. Khi rà soát hồ sơ, cũng cần thống nhất thuật ngữ theo văn bản áp dụng.

3.2. Cơ quan quản lý và thẩm quyền thẩm định

Theo Nghị định 85/2016/NĐ-CP, Bộ Thông tin và Truyền thông thực hiện nhiệm vụ quản lý, hướng dẫn, thẩm định theo thẩm quyền. Nghị định 331/2026/NĐ-CP quy định nhiệm vụ của Bộ Công an; đồng thời có phân công đối với hệ thống thông tin quân sự và hệ thống thông tin cơ yếu thuộc phạm vi quản lý tương ứng (Điều 18, Điều 34 và Điều 40).

Quan điểm cá nhân: Các đơn vị cần xác định đúng đầu mối và thẩm quyền đối với hồ sơ đề xuất cấp độ, đặc biệt là hệ thống cấp độ 4 và 5.

3.3. Quản lý rủi ro an ninh mạng

Điều 10 Nghị định 331/2026/NĐ-CP quy định riêng về quản lý rủi ro an ninh mạng, bao gồm các trường hợp đánh giá, nội dung và việc sử dụng kết quả đánh giá. Những trường hợp cần lưu ý gồm xác định cấp độ lần đầu, thay đổi hoặc mở rộng hệ thống, xảy ra sự cố và trường hợp cơ quan có thẩm quyền yêu cầu, theo điều kiện cụ thể của điều luật.

Quan điểm cá nhân: Đánh giá rủi ro nên gắn với toàn bộ vòng đời hệ thống, không chỉ là thủ tục hoàn thiện hồ sơ ban đầu. Kết quả đánh giá cần được sử dụng để điều chỉnh biện pháp bảo vệ thực tế.

3.4. Tiêu chí cấp độ và dữ liệu cá nhân

Đối với một số loại dịch vụ trực tuyến được quy định tại Điều 12 và Điều 13 Nghị định 331/2026/NĐ-CP, tiêu chí phân loại có xét đến loại dữ liệu cá nhân và số lượng chủ thể dữ liệu. Các ngưỡng 100.000 và 10.000 chủ thể dữ liệu chỉ áp dụng đối với những trường hợp tương ứng theo điều khoản, không phải tiêu chí chung để phân loại mọi HTTT. Cần đối chiếu đồng thời các tiêu chí khác và nguyên tắc xác định cấp độ cao nhất.

Quan điểm cá nhân: Khi xác định cấp độ phải kiểm kê loại dữ liệu, quy mô đối tượng dữ liệu, chức năng và phạm vi phục vụ; không được chỉ căn cứ một ngưỡng số lượng. Những con số trên không thay thế toàn bộ tiêu chí pháp lý.

Khi một hệ thống đồng thời đáp ứng nhiều tiêu chí xác định cấp độ, phải xác định theo cấp độ cao nhất tương ứng theo khoản 2 Điều 8 Nghị định 331/2026/NĐ-CP. Vì vậy, không nên chỉ đối chiếu một tiêu chí riêng lẻ, chẳng hạn số lượng chủ thể dữ liệu, để kết luận cấp độ hệ thống.

3.5. Hệ thống thông tin quan trọng về an ninh quốc gia

Điều 16 và Điều 17 Nghị định 331/2026/NĐ-CP quy định tiêu chí, trách nhiệm rà soát và lập hồ sơ liên quan đến Danh mục hệ thống thông tin quan trọng về an ninh quốc gia. Việc đối chiếu cần thực hiện trên cơ sở đặc điểm và phạm vi của từng hệ thống.

Quan điểm cá nhân: Việc phân loại phải dựa vào tiêu chí pháp luật thay vì suy đoán từ tên gọi hoặc tính chất quan trọng theo nhận định chủ quan.

3.6. Thời hạn xử lý hồ sơ cấp độ

• Hồ sơ cấp độ 3: tối đa 15 ngày làm việc theo Nghị định 331/2026/NĐ-CP.
• Hồ sơ cấp độ 4 và 5: tối đa 25 ngày làm việc theo Nghị định 331/2026/NĐ-CP; quy định trước đây là tối đa 30 ngày.
• Phê duyệt: tối đa 7 ngày làm việc; có quy định về thời gian phản hồi, hướng dẫn bổ sung hồ sơ chưa hợp lệ.

Quan điểm cá nhân: Khi lập tiến độ, cần phân biệt ngày với ngày làm việc và xác định thời điểm nhận đủ hồ sơ hợp lệ; không nên mặc nhiên kết luận tổng thời gian xử lý đã giảm.

3.7. Yêu cầu phân tách hạ tầng trung tâm dữ liệu và đám mây

Khoản 8, khoản 9 Điều 30 Nghị định 331/2026/NĐ-CP quy định yêu cầu phân tách đối với hệ thống sử dụng dịch vụ trung tâm dữ liệu hoặc điện toán đám mây: các hệ thống cấp độ 3, 4 có yêu cầu phân tách lô-gic; cấp độ 5 hoặc hệ thống thông tin quan trọng về an ninh quốc gia có yêu cầu phân tách vật lý đối với những thành phần được nêu cụ thể, kết hợp phân tách lô-gic các vùng mạng.

Quan điểm cá nhân: Đây là nội dung ảnh hưởng trực tiếp đến thiết kế kiến trúc, hợp đồng thuê dịch vụ và khả năng đáp ứng của nhà cung cấp. Yêu cầu bảo vệ cần được đưa vào ngay giai đoạn thiết kế và lựa chọn dịch vụ (Security by Design).

3.8. Kiểm tra, đánh giá và thử nghiệm xâm nhập

Điều 27 Nghị định 331/2026/NĐ-CP quy định về kiểm tra, đánh giá tuân thủ, hiệu quả biện pháp bảo vệ, phát hiện mã độc, lỗ hổng, điểm yếu và thử nghiệm xâm nhập; đề cập các hình thức hộp đen (black-box), hộp xám (gray-box), hộp trắng (white-box).

Quan điểm cá nhân: Hình thức kiểm tra phải phù hợp mục tiêu, phạm vi và mức độ truy cập được phép. Hiệu quả còn phụ thuộc vào việc theo dõi, khắc phục các phát hiện sau đánh giá.

3.9. Báo cáo sự cố an ninh mạng

Điểm d khoản 2 Điều 31 Nghị định 331/2026/NĐ-CP xác định các mốc báo cáo cần phân biệt: báo cáo nguyên nhân, phạm vi ảnh hưởng, biện pháp khắc phục trong 72 giờ kể từ khi phát hiện; thông báo ban đầu đối với sự cố nghiêm trọng trong 24 giờ; và trường hợp phải báo cáo ngay theo điều kiện được quy định.

Quan điểm cá nhân: Quy trình Incident Response cần xác định đầu mối báo cáo và cách thức tổng hợp thông tin song song với hoạt động xác minh, cô lập và khôi phục; tuyệt đối tránh hiểu các mốc này là một thời hạn chung cho mọi sự cố.

3.10. Chế độ báo cáo, biểu mẫu và chuyển tiếp

Điều 35 Nghị định 331/2026/NĐ-CP xác định kỳ số liệu từ ngày 15/12 năm trước đến ngày 14/12 năm báo cáo, cùng các mốc trước ngày 20/12 và 25/12 đối với các chủ thể báo cáo tương ứng. Nghị định bổ sung Mẫu số 08 về báo cáo; Điều 39 quy định việc chuyển tiếp đối với những trường hợp thuộc phạm vi điều chỉnh. Việc Nghị định 331/2026/NĐ-CP được ban hành không đồng nghĩa mọi hồ sơ, dự án hay nghĩa vụ đang áp dụng theo Nghị định 85/2016/NĐ-CP đều tự động chấm dứt trong cùng một thời điểm; cần đối chiếu các quy định về hiệu lực, sửa đổi, bãi bỏ và chuyển tiếp. Đặc biệt, cần phân biệt HTTT đang đầu tư, xây dựng trước ngày 01/7/2026 với HTTT đã vận hành; không mặc nhiên áp dụng một phương án xử lý hồ sơ cho tất cả hệ thống.

Quan điểm cá nhân: Cần rà soát biểu mẫu, lịch báo cáo và phân loại hồ sơ đang thực hiện để áp dụng đúng quy định chuyển tiếp, tránh áp dụng cơ học các mốc thời gian cho mọi dự án.

4. Nhận xét từ góc độ kỹ thuật

• Quản lý rủi ro cần thực hiện xuyên suốt vòng đời hệ thống, đặc biệt khi thay đổi kiến trúc, dữ liệu hoặc phạm vi phục vụ.
• Kiến trúc hạ tầng và yêu cầu phân tách cần được xác định từ giai đoạn thiết kế, mua sắm hoặc thuê dịch vụ.
• Tuân thủ pháp luật cần có sự phối hợp giữa chủ quản hệ thống, bộ phận an toàn thông tin, đơn vị vận hành và nhà cung cấp.

5. Kết luận

Theo quan điểm cá nhân, những nội dung đáng chú ý nhất trong Nghị định 331/2026/NĐ-CP đối với người làm công tác quản trị hệ thống và an toàn thông tin là quản lý rủi ro, yêu cầu kiến trúc hạ tầng, kiểm tra đánh giá và trách nhiệm báo cáo sự cố. Các cơ quan, tổ chức cần căn cứ đầy đủ văn bản pháp luật, tình trạng và cấp độ cụ thể của từng hệ thống trước khi áp dụng.

6. Một số tình huống thực tế

1. Hệ thống đã được phê duyệt cấp độ theo Nghị định 85/2016/NĐ-CP, có phải làm lại toàn bộ hồ sơ ngay không?

Không nên kết luận phải làm lại toàn bộ chỉ vì nghị định thay đổi. Trước hết cần xác định tình trạng hệ thống, thời điểm đầu tư, xây dựng, phạm vi thay đổi và điều khoản chuyển tiếp tại Điều 39 Nghị định 331/2026/NĐ-CP. Sau đó đối chiếu các yêu cầu đang áp dụng để xác định nội dung phải cập nhật.

2. Thuê dịch vụ Cloud thì bên cung cấp chịu trách nhiệm hoàn toàn về yêu cầu phân tách hạ tầng?

Không. Chủ quản và các đơn vị liên quan cần làm rõ trách nhiệm theo mô hình dịch vụ, hợp đồng và cấp độ của hệ thống. Các yêu cầu về phân tách lô-gic hoặc vật lý phải được kiểm tra đối với hạ tầng và cấu hình thực tế theo Điều 30; không nên chỉ dựa vào cam kết chung của nhà cung cấp.

3. Khi nhận cảnh báo nghi ngờ có sự cố, có phải gửi ngay báo cáo đầy đủ trong 24 giờ?

Cần xác minh, phân loại sự cố và áp dụng đúng trường hợp báo cáo theo Điều 31. Quy định phân biệt thông báo ban đầu trong 24 giờ đối với sự cố nghiêm trọng, báo cáo thông tin về nguyên nhân, phạm vi và biện pháp khắc phục trong 72 giờ, cùng các trường hợp phải báo cáo ngay. Chủ quản HTTT và các đơn vị liên quan cần xác định đúng chủ thể có nghĩa vụ báo cáo, cơ quan tiếp nhận, thời điểm bắt đầu tính hạn và trách nhiệm phối hợp theo Điều 31. Quy trình nội bộ nên quy định đầu mối và trách nhiệm kích hoạt tương ứng.

Rà soát nội dung: 29/10/2026. Các nhận xét dưới đây phản ánh quan điểm cá nhân trên cơ sở tài liệu công khai; khi áp dụng cho từng hệ thống cần đối chiếu văn bản gốc và căn cứ pháp lý cụ thể.

Tài liệu tham khảo

• Nghị định số 85/2016/NĐ-CP, Cổng thông tin văn bản Chính phủ.
• Nghị định số 331/2026/NĐ-CP, Cổng thông tin văn bản Chính phủ.

If you found this helpful, you can buy me a coffee and keep me going. Thank you!
https://buymeacoffee.com/vohongnhuy1996
Y – 29/10/2026