Hệ thống thông tin cấp độ 2 là gì? Tiêu chí xác định thế nào?

1. Hệ thống thông tin cấp độ 2 là gì?

Căn cứ điểm b khoản 1 Điều 8 Luật An ninh mạng 2025, hệ thống thông tin cấp độ 2 là hệ thống khi bị sự cố hoặc có hành vi vi phạm pháp luật về an ninh mạng có thể làm tổn hại nghiêm trọng tới quyền và lợi ích hợp pháp của tổ chức, cá nhân hoặc làm tổn hại tới lợi ích công cộng.

Đồng thời, theo Điều 12 Nghị định 331/2026/NĐ-CP, hệ thống thông tin cấp độ 2 là hệ thống thông tin đáp ứng một trong các tiêu chí liên quan đến hoạt động nội bộ, cung cấp dịch vụ trực tuyến, cơ sở hạ tầng thông tin hoặc các trường hợp khác được quy định tại Điều này.

Cụ thể, hệ thống thông tin cấp độ 2 bao gồm:

• Hệ thống phục vụ hoạt động nội bộ của cơ quan, tổ chức, có xử lý thông tin riêng, thông tin cá nhân nhưng không xử lý thông tin bí mật nhà nước; 
• Hệ thống phục vụ người dân, doanh nghiệp; 
• Hệ thống cơ sở hạ tầng thông tin phục vụ hoạt động của một cơ quan, tổ chức;
• Hệ thống thông tin khác do Thủ tướng Chính phủ quyết định hoặc được đánh giá rủi ro an ninh mạng theo Khung quản lý rủi ro an ninh mạng.

2.Tiêu chí xác định hệ thống thông tin cấp độ 2 thế nào?

Căn cứ Điều 12 Nghị định 331/2026/NĐ-CP, hệ thống thông tin cấp độ 2 được xác định khi có một trong các tiêu chí sau:

Hệ thống thông tin phục vụ hoạt động nội bộ của cơ quan, tổ chức.

• Có xử lý thông tin riêng, thông tin cá nhân của người sử dụng.

• Không xử lý thông tin bí mật nhà nước.

Hệ thống thông tin phục vụ người dân, doanh nghiệp thuộc một trong các loại hình:

• Cung cấp dịch vụ trực tuyến không thuộc danh mục ngành, nghề đầu tư kinh doanh có điều kiện.

• Cung cấp dịch vụ trực tuyến khác có xử lý thông tin riêng, thông tin cá nhân của dưới 100.000 chủ thể dữ liệu đối với dữ liệu cá nhân cơ bản hoặc dưới 10.000 chủ thể dữ liệu đối với dữ liệu cá nhân nhạy cảm.

Hệ thống cơ sở hạ tầng thông tin.

• Hệ thống cơ sở hạ tầng thông tin phục vụ hoạt động của một cơ quan, tổ chức.

Hệ thống thông tin khác.

• Hệ thống thông tin khác do Thủ tướng Chính phủ quyết định hoặc được đánh giá rủi ro an ninh mạng theo Khung quản lý rủi ro an ninh mạng.

Ngoài ra, khoản 2 Điều 8 Nghị định 331/2026/NĐ-CP quy định trường hợp hệ thống thông tin đồng thời đáp ứng nhiều tiêu chí thuộc các cấp độ khác nhau thì áp dụng cấp độ cao nhất.

Theo khoản 5 Điều 10 Nghị định này, trường hợp kết quả đánh giá rủi ro an ninh mạng cho thấy mức độ rủi ro cao hơn so với cấp độ đã được xác định, chủ quản hệ thống thông tin phải đề xuất áp dụng cấp độ cao hơn để bảo đảm an ninh mạng.

3. Ai có thẩm quyền thẩm định, phê duyệt hệ thống thông tin cấp độ 2?

Theo khoản 1 Điều 18 Nghị định 331/2026/NĐ-CP, đơn vị chuyên trách về an ninh mạng của chủ quản hệ thống thông tin thực hiện thẩm định, phê duyệt hồ sơ đề xuất cấp độ đối với hệ thống thông tin được đề xuất là cấp độ 2, sau đó gửi báo cáo chủ quản hệ thống thông tin.

Đối với hệ thống thông tin đang vận hành, Điều 20 Nghị định này quy định trình tự xác định cấp độ như sau:

• Lập hồ sơ đề xuất cấp độ: Đơn vị vận hành hệ thống thông tin lập hồ sơ theo Điều 21 Nghị định 331/2026/NĐ-CP và gửi tới đơn vị thẩm định theo khoản 1 Điều 18.
• Thẩm định hồ sơ: Cơ quan có thẩm quyền thực hiện thẩm định hồ sơ đề xuất cấp độ theo Điều 23.
• Phê duyệt đề xuất cấp độ: Đơn vị chuyên trách về an ninh mạng của chủ quản hệ thống thông tin phê duyệt đề xuất cấp độ và gửi báo cáo chủ quản hệ thống thông tin.

Theo Điều 21 Nghị định 331/2026/NĐ-CP, hồ sơ đề xuất cấp độ bao gồm:

• Tài liệu mô tả, thuyết minh tổng quan về hệ thống thông tin.
• Tài liệu thiết kế: thiết kế sơ bộ hoặc tài liệu có giá trị tương đương đối với dự án đầu tư xây dựng mới, mở rộng, nâng cấp; thiết kế thi công đã được cấp có thẩm quyền phê duyệt hoặc tài liệu có giá trị tương đương đối với hệ thống đang vận hành.
• Tài liệu thuyết minh về việc đề xuất cấp độ căn cứ trên các tiêu chí theo quy định của pháp luật.
• Tài liệu thuyết minh phương án bảo đảm an ninh mạng theo cấp độ tương ứng.

Về thời gian giải quyết, khoản 2 Điều 24 Nghị định 331/2026/NĐ-CP quy định thời gian xử lý hồ sơ phê duyệt cấp độ tối đa là 07 ngày làm việc kể từ ngày nhận đủ hồ sơ hợp lệ.

4. Hệ thống thông tin phải đáp ứng những yêu cầu bảo đảm an ninh mạng nào?

Căn cứ Điều 30 Nghị định 331/2026/NĐ-CP, việc bảo đảm an ninh mạng hệ thống thông tin theo cấp độ thực hiện theo yêu cầu cơ bản quy định tại Nghị định này và Tiêu chuẩn quốc gia về An ninh mạng - Hệ thống thông tin - Yêu cầu cơ bản.

Các yêu cầu tối thiểu gồm yêu cầu cơ bản về quản lý và yêu cầu cơ bản về kỹ thuật, không bao gồm yêu cầu bảo đảm an ninh vật lý.

Về yêu cầu quản lý, khoản 3 Điều 30 quy định các nội dung:

• Thiết lập chính sách an ninh mạng.
• Tổ chức bảo đảm an ninh mạng.
• Bảo đảm nguồn nhân lực.
• Quản lý thiết kế, xây dựng hệ thống.
• Quản lý vận hành hệ thống.
• Phương án quản lý rủi ro an ninh mạng.
• Phương án kết thúc vận hành, khai thác, thanh lý, hủy bỏ hệ thống thông tin.

Về yêu cầu kỹ thuật, khoản 4 Điều 30 quy định:

• Bảo đảm an toàn mạng.
• Bảo đảm an toàn máy chủ.
• Bảo đảm an toàn ứng dụng.
• Bảo đảm an toàn dữ liệu.

Trên đây là thông tin về "Hệ thống thông tin cấp độ 2 là gì? Tiêu chí xác định thế nào?" theo Nghị định 331/2026/NĐ-CP. Thể theo dõi LuatVietnam.vn để cập nhật các quy định pháp luật mới nhất.