Đã có Bảng so sánh Nghị định 331/2026/NĐ-CP với các văn bản liên quan về bảo vệ an ninh mạng

Tiêu chí

Quy định cũ

Quy định mới tại Nghị định 331/2026/NĐ-CP

Điểm mới đáng chú ý

Phạm vi điều chỉnh

Chủ yếu quy định tiêu chí, thẩm quyền, trình tự xác định cấp độ và trách nhiệm bảo đảm an toàn hệ thống thông tin theo cấp độ.

Quy định rộng hơn về cấp độ hệ thống thông tin, hệ thống thông tin quan trọng về an ninh quốc gia, nhiệm vụ và biện pháp bảo vệ an ninh mạng, kiểm tra an ninh mạng.

Mở rộng đáng kể phạm vi điều chỉnh, chuyển trọng tâm từ bảo đảm an toàn hệ thống thông tin sang bảo vệ an ninh mạng toàn diện hơn.

Đối tượng áp dụng

Cơ quan, tổ chức, cá nhân tham gia hoặc liên quan đến xây dựng, thiết lập, quản lý, vận hành, nâng cấp, mở rộng hệ thống thông tin tại Việt Nam.

Cơ bản giữ nguyên.

Không có thay đổi đáng kể.

Thuật ngữ chuyên trách

Sử dụng các khái niệm “đơn vị chuyên trách về an toàn thông tin”, “bộ phận chuyên trách về an toàn thông tin”.

Chuyển thành “đơn vị chuyên trách về an ninh mạng”, “bộ phận chuyên trách về an ninh mạng”; làm rõ vị trí và trường hợp thành lập/chỉ định bộ phận chuyên trách.

Thống nhất thuật ngữ theo hướng an ninh mạng, đồng thời làm rõ cơ cấu tổ chức thực hiện nhiệm vụ.

Cấp độ an ninh mạng hệ thống thông tin

Chưa có khái niệm riêng.

Quy định “cấp độ an ninh mạng hệ thống thông tin” được hiểu là cấp độ hệ thống thông tin.

Bổ sung khái niệm mới, thống nhất cách hiểu về cấp độ trong quản lý an ninh mạng.

Chủ quản hệ thống thông tin

Quy định chủ quản đối với bộ, cơ quan ngang bộ, cơ quan thuộc Chính phủ, UBND tỉnh/thành phố và các chủ thể khác.

Điều chỉnh cách xác định chủ quản; không còn liệt kê “cơ quan thuộc Chính phủ” trong nhóm tương ứng; sử dụng khái niệm “UBND cấp tỉnh”.

Điều chỉnh phạm vi và cách xác định chủ quản hệ thống thông tin, phù hợp cơ cấu, thuật ngữ quản lý hiện hành.

Đơn vị vận hành khi thuê dịch vụ CNTT

Khi đã xác định đơn vị cung cấp dịch vụ thì đơn vị cung cấp dịch vụ được xác định là đơn vị vận hành.

Đơn vị vận hành được xác định theo thỏa thuận trong hợp đồng; hợp đồng phải quy định trách nhiệm, thẩm quyền về quản trị dữ liệu, kiểm soát truy cập, bảo đảm an ninh mạng.

Không còn mặc nhiên coi bên cung cấp dịch vụ là đơn vị vận hành, tăng vai trò của thỏa thuận hợp đồng và phân định trách nhiệm.

Đơn vị vận hành sau khi hết thời hạn cung cấp dịch vụ

Nếu hệ thống tiếp tục hoạt động thì đơn vị chủ trì thuê dịch vụ là đơn vị vận hành.

Xác định theo cam kết duy trì, chuyển giao trong hợp đồng hoặc theo thỏa thuận mới giữa các bên.

Linh hoạt hơn trong xác định đơn vị vận hành, gắn với cơ chế chuyển giao và thỏa thuận thực tế.

Nguyên tắc bảo đảm an ninh mạng theo cấp độ

Bảo đảm an toàn hệ thống thông tin thường xuyên, liên tục; đầu tư đồng bộ; ưu tiên nguồn lực cho cấp độ cao.

Cơ bản kế thừa các nguyên tắc này và bổ sung phân định quản lý an ninh mạng giữa Bộ Công an và Bộ Quốc phòng.

Bổ sung phân định thẩm quyền quản lý nhà nước về an ninh mạng, nhất là đối với hoạt động quân sự, quốc phòng và hoạt động dân sự, kinh tế của đơn vị quân đội.

Xác định hệ thống thông tin

Chưa có quy định riêng, chi tiết về tiêu chí nhận diện và phạm vi hệ thống.

Quy định hệ thống phải có chức năng nghiệp vụ, xử lý dữ liệu, đối tượng sử dụng/vận hành, kết quả đầu ra; quy định cụ thể căn cứ xác định phạm vi hệ thống.

Bổ sung khung tiêu chí xác định hệ thống thông tin và phạm vi hệ thống, bám sát bản chất vận hành thực tế.

Xác định phạm vi hệ thống thông tin

Chưa quy định chi tiết.

Căn cứ chức năng nghiệp vụ, dòng chảy dữ liệu, mức độ phụ thuộc vận hành, phạm vi ảnh hưởng của sự cố; xem xét nguy cơ lan truyền rủi ro khi các hệ thống kết nối, chia sẻ tài nguyên.

Không xác định phạm vi chỉ theo tổ chức hành chính hoặc hạ tầng vật lý, mà dựa trên mối liên hệ nghiệp vụ, dữ liệu và rủi ro thực tế.

Nguyên tắc xác định cấp độ

Trường hợp hệ thống gồm nhiều hệ thống thành phần có cấp độ khác nhau thì lấy cấp độ cao nhất.

Nếu hệ thống đồng thời đáp ứng nhiều tiêu chí của các cấp độ khác nhau thì áp dụng cấp độ cao nhất.

Mở rộng trường hợp áp dụng nguyên tắc cấp độ cao nhất, không chỉ giới hạn ở hệ thống có nhiều hệ thống thành phần.

Ngăn ngừa phân tách/hợp nhất hệ thống để giảm cấp độ

Chưa quy định cụ thể.

Không được xác định phạm vi hệ thống một cách hình thức nhằm thay đổi cấp độ hoặc giảm yêu cầu bảo đảm an ninh mạng; có thể bị yêu cầu xác định lại.

Bổ sung cơ chế chống “chia nhỏ” hoặc “hợp nhất” hệ thống mang tính hình thức để hạ cấp độ an ninh mạng.

Phân loại thông tin và hệ thống thông tin

Phân loại thông tin thành công cộng, riêng, cá nhân, bí mật nhà nước; phân loại hệ thống theo chức năng.

Cơ bản kế thừa các nhóm phân loại cũ.

Không thay đổi lớn về hệ thống phân loại.

Cập nhật danh mục các loại hệ thống thông tin

Cục An toàn thông tin - Bộ TT&TT cập nhật hằng quý, công bố trên Cổng thông tin Bộ TT&TT.

Bộ Công an cập nhật hằng năm, trước ngày 15/01, công bố trên Cổng thông tin Bộ Công an; loại trừ hệ thống quân sự và hệ thống cơ yếu thuộc Ban Cơ yếu Chính phủ.

Chuyển cơ quan thực hiện từ Bộ TT&TT sang Bộ Công an và thay đổi tần suất từ hằng quý sang hằng năm.