Hệ thống thông tin cấp độ 4 là gì? Tiêu chí xác định thế nào?

1. Hệ thống thông tin cấp độ 4 là gì?

Căn cứ điểm d khoản 1 Điều 8 Luật An ninh mạng 2025, hệ thống thông tin cấp độ 4 là hệ thống khi bị sự cố hoặc có hành vi vi phạm pháp luật về an ninh mạng có thể làm tổn hại đặc biệt nghiêm trọng tới lợi ích công cộng, trật tự, an toàn xã hội hoặc làm tổn hại nghiêm trọng tới an ninh quốc gia.

Đồng thời, Điều 14 Nghị định 331/2026/NĐ-CP quy định hệ thống thông tin cấp độ 4 là hệ thống đáp ứng một trong các tiêu chí liên quan đến xử lý thông tin bí mật nhà nước hoặc phục vụ quốc phòng, an ninh; hệ thống thông tin quốc gia phục vụ phát triển Chính phủ điện tử; cơ sở hạ tầng thông tin phục vụ hoạt động trên phạm vi toàn quốc; hệ thống thông tin điều khiển công nghiệp hoặc các trường hợp khác được quy định tại Điều này.

2. Tiêu chí xác định hệ thống thông tin cấp độ 4 thế nào?

Căn cứ Điều 14 Nghị định 331/2026/NĐ-CP, hệ thống thông tin cấp độ 4 là hệ thống có một trong 04 tiêu chí sau đây:

Hệ thống thông tin liên quan đến bí mật nhà nước, quốc phòng, an ninh.

Hệ thống thông tin xử lý thông tin bí mật nhà nước hoặc hệ thống phục vụ quốc phòng, an ninh khi bị phá hoại sẽ làm tổn hại nghiêm trọng tới an ninh quốc gia.

Hệ thống thông tin quốc gia hoặc hệ thống cơ sở hạ tầng thông tin trên phạm vi toàn quốc.

Hệ thống thông tin quốc gia phục vụ phát triển Chính phủ điện tử hoặc hệ thống cơ sở hạ tầng thông tin phục vụ hoạt động của các cơ quan, tổ chức trên phạm vi toàn quốc, yêu cầu vận hành 24/7 và không chấp nhận ngừng vận hành mà không có kế hoạch trước.

Hệ thống thông tin điều khiển công nghiệp.

Hệ thống thông tin điều khiển công nghiệp trực tiếp phục vụ điều khiển, vận hành hoạt động bình thường của các công trình xây dựng cấp I theo phân cấp của pháp luật về xây dựng.

Hệ thống thông tin khác.

Hệ thống thông tin khác do Thủ tướng Chính phủ quyết định hoặc được đánh giá rủi ro an ninh mạng theo Khung quản lý rủi ro an ninh mạng.

Ngoài các tiêu chí trên, khoản 2 Điều 8 Nghị định 331/2026/NĐ-CP quy định trường hợp hệ thống thông tin đồng thời đáp ứng nhiều tiêu chí thuộc các cấp độ khác nhau thì áp dụng cấp độ cao nhất.

Theo khoản 5 Điều 10 Nghị định này, trường hợp kết quả đánh giá rủi ro an ninh mạng cho thấy mức độ rủi ro cao hơn so với cấp độ đã được xác định, chủ quản hệ thống thông tin phải đề xuất áp dụng cấp độ cao hơn để bảo đảm an ninh mạng.

3. Ai có thẩm quyền thẩm định, phê duyệt hệ thống thông tin cấp độ 4?

Theo khoản 3 Điều 18 Nghị định 331/2026/NĐ-CP, thẩm quyền thẩm định hồ sơ đề xuất hệ thống thông tin cấp độ 4 được quy định như sau:

• Bộ Công an: Chủ trì, phối hợp với chủ quản hệ thống thông tin và các bộ, ngành có liên quan thực hiện thẩm định hồ sơ đề xuất cấp độ, trừ trường hợp thuộc thẩm quyền của Bộ Quốc phòng và Ban Cơ yếu Chính phủ. Bộ Công an chủ trì thẩm định hồ sơ đối với hệ thống thông tin của cơ quan, tổ chức thuộc phạm vi quản lý của Bộ Công an.
• Bộ Quốc phòng: Chủ trì thực hiện thẩm định hồ sơ đề xuất cấp độ đối với hệ thống thông tin quân sự.
• Ban Cơ yếu Chính phủ: Chủ trì thực hiện thẩm định hồ sơ đề xuất cấp độ đối với hệ thống thông tin cơ yếu của cơ quan, tổ chức thuộc Ban Cơ yếu Chính phủ.

Về thẩm quyền phê duyệt, điểm d khoản 3 Điều 18 Nghị định này quy định chủ quản hệ thống thông tin phê duyệt hồ sơ đề xuất cấp độ đối với hệ thống thông tin cấp độ 4.

Đối với hệ thống thông tin đang vận hành, Điều 20 Nghị định 331/2026/NĐ-CP quy định trình tự xác định cấp độ gồm:

Bước 1: Lập hồ sơ đề xuất cấp độ

Đơn vị vận hành hệ thống thông tin lập hồ sơ đề xuất cấp độ theo Điều 21 Nghị định này.

Đơn vị vận hành gửi hồ sơ tới đơn vị chuyên trách về an ninh mạng của chủ quản hệ thống thông tin để xin ý kiến chuyên môn về sự phù hợp của đề xuất cấp độ và phương án bảo đảm an ninh mạng hệ thống thông tin theo cấp độ.

Sau đó, đơn vị vận hành trình chủ quản hệ thống thông tin hồ sơ đề xuất cấp độ để gửi cơ quan thẩm định có thẩm quyền.

Bước 2: Thẩm định hồ sơ đề xuất cấp độ

Cơ quan có thẩm quyền thực hiện thẩm định hồ sơ theo Điều 23 Nghị định 331/2026/NĐ-CP.

Theo điểm b khoản 3 Điều 23, thời gian thẩm định hồ sơ đề xuất cấp độ 4 tối đa là 25 ngày làm việc kể từ ngày nhận đủ hồ sơ hợp lệ.

Bước 3: Phê duyệt đề xuất cấp độ

Đơn vị vận hành hệ thống thông tin trình chủ quản hệ thống thông tin phê duyệt đề xuất cấp độ.

Theo khoản 2 Điều 24 Nghị định này, thời gian xử lý hồ sơ phê duyệt cấp độ tối đa là 07 ngày làm việc kể từ ngày nhận đủ hồ sơ hợp lệ.

Ngoài ra, khoản 4 Điều 20 quy định đối với hệ thống thông tin cấp độ 4 được xác định thuộc Danh mục hệ thống thông tin quan trọng về an ninh quốc gia, các đơn vị thực hiện trình tự, thủ tục xác định cấp độ như đối với hệ thống thông tin được đề xuất cấp độ 5.

4. Hệ thống thông tin cấp độ 4 phải đáp ứng những yêu cầu bảo đảm an ninh mạng nào?

Theo Điều 30 Nghị định 331/2026/NĐ-CP, việc bảo đảm an ninh mạng hệ thống thông tin theo cấp độ được thực hiện theo yêu cầu cơ bản tại Nghị định này và Tiêu chuẩn quốc gia về An ninh mạng - Hệ thống thông tin - Yêu cầu cơ bản.

Các yêu cầu tối thiểu bao gồm yêu cầu cơ bản về quản lý và kỹ thuật, không bao gồm yêu cầu bảo đảm an ninh vật lý.

Về yêu cầu quản lý, khoản 3 Điều 30 quy định các nội dung:

• Thiết lập chính sách an ninh mạng.
• Tổ chức bảo đảm an ninh mạng.
• Bảo đảm nguồn nhân lực.
• Quản lý thiết kế, xây dựng hệ thống.
• Quản lý vận hành hệ thống.
• Phương án quản lý rủi ro an ninh mạng.
• Phương án kết thúc vận hành, khai thác, thanh lý, hủy bỏ hệ thống thông tin.

Về yêu cầu kỹ thuật, khoản 4 Điều 30 quy định:

• Bảo đảm an toàn mạng.
• Bảo đảm an toàn máy chủ.
• Bảo đảm an toàn ứng dụng.
• Bảo đảm an toàn dữ liệu.

Theo điểm b khoản 5 Điều 30, phương án bảo đảm an ninh mạng đối với hệ thống thông tin cấp độ 4 cần được thiết kế bảo đảm tính sẵn sàng, phân tách và hạn chế ảnh hưởng đến toàn bộ hệ thống khi một thành phần trong hệ thống hoặc có liên quan tới hệ thống bị mất an ninh mạng.

Trường hợp hệ thống thông tin cấp độ 4 được triển khai dưới hình thức thuê dịch vụ công nghệ thông tin tại trung tâm dữ liệu hoặc điện toán đám mây, khoản 8 Điều 30 quy định thiết kế hệ thống phải đáp ứng các yêu cầu:

• Phải được thiết kế tách riêng, độc lập với các hệ thống khác về lô-gic và có biện pháp quản lý truy cập giữa các hệ thống.
• Các vùng mạng trong hệ thống phải được thiết kế tách riêng, độc lập với nhau về lô-gic và có biện pháp quản lý truy cập giữa các vùng mạng.
• Có phân vùng lưu trữ được phân tách độc lập về lô-gic.

Trên đây là thông tin về "Hệ thống thông tin cấp độ 4 là gì? Tiêu chí xác định thế nào?" theo Nghị định 331/2026/NĐ-CP. Theo dõi LuatVietnam.vn để cập nhật các quy định pháp luật mới nhất.