Hệ thống thông tin cấp độ 3 là gì? Tiêu chí xác định thế nào?

1. Hệ thống thông tin cấp độ 3 là gì?

Căn cứ điểm c khoản 1 Điều 8 Luật An ninh mạng 2025, hệ thống thông tin cấp độ 3 là hệ thống khi bị sự cố hoặc có hành vi vi phạm pháp luật về an ninh mạng có thể làm tổn hại đặc biệt nghiêm trọng tới quyền và lợi ích hợp pháp của tổ chức, cá nhân; tổn hại nghiêm trọng tới lợi ích công cộng; tổn hại hoặc tổn hại nghiêm trọng tới trật tự, an toàn xã hội hoặc làm tổn hại tới an ninh quốc gia.

Đồng thời, theo Điều 13 Nghị định 331/2026/NĐ-CP, hệ thống thông tin cấp độ 3 là hệ thống đáp ứng một trong các tiêu chí liên quan đến xử lý thông tin bí mật nhà nước hoặc phục vụ quốc phòng, an ninh; cung cấp dịch vụ trực tuyến cho người dân, doanh nghiệp; cơ sở hạ tầng thông tin; hệ thống thông tin điều khiển công nghiệp hoặc các trường hợp khác được quy định tại Điều này.

2. Tiêu chí xác định hệ thống thông tin cấp độ 3 thế nào?

Căn cứ Điều 13 Nghị định 331/2026/NĐ-CP, hệ thống thông tin cấp độ 3 là hệ thống có một trong 05 nhóm tiêu chí sau đây:

Hệ thống xử lý thông tin bí mật nhà nước hoặc phục vụ quốc phòng, an ninh

Hệ thống xử lý thông tin bí mật nhà nước hoặc hệ thống phục vụ quốc phòng, an ninh khi bị phá hoại sẽ làm tổn hại tới an ninh quốc gia

Hệ thống thông tin phục vụ người dân, doanh nghiệp

Hệ thống thuộc một trong các loại hình sau:

• Cung cấp dịch vụ trực tuyến thuộc danh mục ngành, nghề đầu tư kinh doanh có điều kiện.
• Hệ thống thông tin giải quyết thủ tục hành chính.
• Cung cấp dịch vụ trực tuyến khác có xử lý thông tin riêng, thông tin cá nhân của từ 100.000 chủ thể dữ liệu đối với dữ liệu cá nhân cơ bản trở lên hoặc từ 10.000 chủ thể dữ liệu đối với dữ liệu cá nhân nhạy cảm trở lên.

Hệ thống cơ sở hạ tầng thông tin

Hệ thống cơ sở hạ tầng thông tin phục vụ hoạt động của các cơ quan, tổ chức trong phạm vi một bộ, một ngành, một tỉnh hoặc một số tỉnh.

Hệ thống thông tin điều khiển công nghiệp

Hệ thống thông tin điều khiển công nghiệp trực tiếp phục vụ điều khiển, vận hành hoạt động bình thường của các công trình xây dựng cấp II, cấp III hoặc cấp IV theo phân cấp của pháp luật về xây dựng.

Hệ thống thông tin khác

Hệ thống thông tin khác do Thủ tướng Chính phủ quyết định hoặc được đánh giá rủi ro an ninh mạng theo Khung quản lý rủi ro an ninh mạng.

Ngoài các tiêu chí trên, khoản 5 Điều 10 Nghị định 331/2026/NĐ-CP quy định trường hợp kết quả đánh giá rủi ro an ninh mạng cho thấy mức độ rủi ro cao hơn so với cấp độ đã được xác định, chủ quản hệ thống thông tin phải đề xuất áp dụng cấp độ cao hơn để bảo đảm an ninh mạng.

3. Ai có thẩm quyền thẩm định, phê duyệt hệ thống thông tin cấp độ 3?

Theo khoản 2 Điều 18 Nghị định 331/2026/NĐ-CP, thẩm quyền thẩm định và phê duyệt hồ sơ đề xuất cấp độ đối với hệ thống thông tin cấp độ 3 được quy định như sau:

• Đơn vị chuyên trách về an ninh mạng của chủ quản hệ thống thông tin: Thực hiện thẩm định hồ sơ đề xuất cấp độ.
• Chủ quản hệ thống thông tin: Phê duyệt hồ sơ đề xuất cấp độ.

4. Trình tự xác định cấp độ đối với hệ thống thông tin đang vận hành 

Đối với hệ thống thông tin đang vận hành, Điều 20 Nghị định 331/2026/NĐ-CP quy định trình tự xác định cấp độ gồm các bước:

Bước 1: Lập hồ sơ đề xuất cấp độ

Đơn vị vận hành hệ thống thông tin lập hồ sơ đề xuất cấp độ theo Điều 21 Nghị định này và gửi đến đơn vị thẩm định theo điểm a khoản 2 Điều 18.

Bước 2: Thẩm định hồ sơ đề xuất cấp độ

Cơ quan có thẩm quyền thực hiện thẩm định hồ sơ theo Điều 23 Nghị định 331/2026/NĐ-CP.

Theo điểm a khoản 3 Điều 23, thời gian thẩm định hồ sơ đề xuất cấp độ 3 tối đa là 15 ngày làm việc kể từ ngày nhận đủ hồ sơ hợp lệ.

Bước 3: Phê duyệt đề xuất cấp độ

Đơn vị vận hành hệ thống thông tin trình chủ quản hệ thống thông tin phê duyệt đề xuất cấp độ.

Theo khoản 2 Điều 24 Nghị định này, thời gian xử lý hồ sơ phê duyệt cấp độ tối đa là 07 ngày làm việc kể từ ngày nhận đủ hồ sơ hợp lệ.

Đối với hệ thống thông tin cấp độ 3 được xác định thuộc Danh mục hệ thống thông tin quan trọng về an ninh quốc gia, khoản 4 Điều 20 quy định thực hiện trình tự, thủ tục xác định cấp độ như đối với hệ thống thông tin được đề xuất cấp độ 5.

4. Hệ thống thông tin cấp độ 3 phải đáp ứng những yêu cầu bảo đảm an ninh mạng nào?

Theo Điều 30 Nghị định 331/2026/NĐ-CP, việc bảo đảm an ninh mạng đối với hệ thống thông tin cấp độ 3 thực hiện theo yêu cầu cơ bản quy định tại Nghị định này và Tiêu chuẩn quốc gia về An ninh mạng - Hệ thống thông tin - Yêu cầu cơ bản.

Các yêu cầu tối thiểu bao gồm yêu cầu về quản lý và kỹ thuật, không bao gồm yêu cầu bảo đảm an ninh vật lý.

Về yêu cầu quản lý, khoản 3 Điều 30 quy định các nội dung:

• Thiết lập chính sách an ninh mạng.
• Tổ chức bảo đảm an ninh mạng.
• Bảo đảm nguồn nhân lực.
• Quản lý thiết kế, xây dựng hệ thống.
• Quản lý vận hành hệ thống.
• Phương án quản lý rủi ro an ninh mạng.
• Phương án kết thúc vận hành, khai thác, thanh lý, hủy bỏ hệ thống thông tin.

Về yêu cầu kỹ thuật, khoản 4 Điều 30 quy định:

• Bảo đảm an toàn mạng.
• Bảo đảm an toàn máy chủ.
• Bảo đảm an toàn ứng dụng.
• Bảo đảm an toàn dữ liệu.

Bên cạnh đó, điểm a khoản 5 Điều 30 quy định phương án bảo đảm an ninh mạng đối với hệ thống thông tin cấp độ 3 phải xem xét khả năng dùng chung giữa các hệ thống thông tin đối với các giải pháp bảo vệ, chia sẻ tài nguyên để tối ưu hiệu năng, tránh đầu tư thừa, trùng lặp, lãng phí.

Trên đây là giải đáp chi tiết về "Hệ thống thông tin cấp độ 3 là gì"