Hệ thống thông tin cấp độ 5 là gì? Tiêu chí xác định thế nào?

1. Hệ thống thông tin cấp độ 5 là gì?

Luật An ninh mạng 2025, hệ thống thông tin cấp độ 5 là hệ thống khi bị sự cố hoặc có hành vi vi phạm pháp luật về an ninh mạng có thể làm tổn hại đặc biệt nghiêm trọng tới an ninh quốc gia (Căn cứ điểm đ khoản 1 Điều 8).

Đồng thời, Điều 15 Nghị định 331/2026/NĐ-CP quy định hệ thống thông tin cấp độ 5 là hệ thống đáp ứng một trong các tiêu chí liên quan đến xử lý thông tin bí mật nhà nước hoặc phục vụ quốc phòng, an ninh mang tính chiến lược; lưu trữ dữ liệu đặc biệt quan trọng của quốc gia; cơ sở hạ tầng thông tin quốc gia phục vụ kết nối quốc tế; hệ thống thông tin điều khiển công nghiệp hoặc các trường hợp khác.

2. Tiêu chí xác định hệ thống thông tin cấp độ 5 thế nào?

Căn cứ Điều 15 Nghị định 331/2026/NĐ-CP, hệ thống thông tin cấp độ 5 được xác định khi có một trong 05 tiêu chí sau:

Thứ nhất, hệ thống thông tin liên quan đến bí mật nhà nước, quốc phòng, an ninh.

Hệ thống thông tin xử lý thông tin bí mật nhà nước hoặc hệ thống phục vụ quốc phòng, an ninh, mang tính chiến lược khi bị phá hoại sẽ làm tổn hại đặc biệt nghiêm trọng tới an ninh quốc gia.

Thứ hai, hệ thống thông tin phục vụ lưu trữ dữ liệu tập trung.

Hệ thống thông tin phục vụ lưu trữ dữ liệu tập trung đối với một số loại hình thông tin, dữ liệu đặc biệt quan trọng của quốc gia.

Thứ ba, hệ thống cơ sở hạ tầng thông tin quốc gia.

Hệ thống cơ sở hạ tầng thông tin quốc gia phục vụ kết nối liên thông hoạt động của Việt Nam với quốc tế.

Thứ tư, hệ thống thông tin điều khiển công nghiệp.

Hệ thống thông tin điều khiển công nghiệp trực tiếp phục vụ điều khiển, vận hành hoạt động bình thường của:

• Công trình xây dựng cấp đặc biệt theo phân cấp của pháp luật về xây dựng.
• Công trình quan trọng liên quan đến an ninh quốc gia theo pháp luật về an ninh quốc gia.

Thứ năm, hệ thống thông tin khác.

Hệ thống thông tin khác do Thủ tướng Chính phủ quyết định hoặc được đánh giá rủi ro an ninh mạng theo Khung quản lý rủi ro an ninh mạng.

Ngoài ra, khoản 2 Điều 8 Nghị định 331/2026/NĐ-CP quy định trường hợp hệ thống thông tin đồng thời đáp ứng nhiều tiêu chí thuộc các cấp độ khác nhau thì áp dụng cấp độ cao nhất.

Theo khoản 5 Điều 10 Nghị định này, trường hợp kết quả đánh giá rủi ro an ninh mạng cho thấy mức độ rủi ro cao hơn so với cấp độ đã được xác định, chủ quản hệ thống thông tin phải đề xuất áp dụng cấp độ cao hơn để bảo đảm an ninh mạng.

3. Ai có thẩm quyền thẩm định, phê duyệt hệ thống thông tin cấp độ 5?

Theo khoản 3 Điều 18 Nghị định 331/2026/NĐ-CP, thẩm quyền thẩm định hồ sơ đề xuất cấp độ 5 được quy định như sau:

• Bộ Công an: Chủ trì, phối hợp với chủ quản hệ thống thông tin và các bộ, ngành có liên quan thực hiện thẩm định hồ sơ đề xuất cấp độ, trừ trường hợp thuộc thẩm quyền của Bộ Quốc phòng và Ban Cơ yếu Chính phủ. Bộ Công an chủ trì thẩm định hồ sơ đối với hệ thống thông tin của cơ quan, tổ chức thuộc phạm vi quản lý của Bộ Công an.
• Bộ Quốc phòng: Chủ trì thẩm định hồ sơ đề xuất cấp độ đối với hệ thống thông tin quân sự.
• Ban Cơ yếu Chính phủ: Chủ trì thẩm định hồ sơ đề xuất cấp độ đối với hệ thống thông tin cơ yếu của cơ quan, tổ chức thuộc Ban Cơ yếu Chính phủ.

Về thẩm quyền phê duyệt, điểm d và điểm đ khoản 3 Điều 18 Nghị định này quy định:

• Chủ quản hệ thống thông tin: Phê duyệt phương án bảo đảm an ninh mạng đối với hệ thống thông tin cấp độ 5.
• Thủ tướng Chính phủ: Phê duyệt Danh mục hệ thống thông tin cấp độ 5 (Danh mục hệ thống thông tin quan trọng về an ninh quốc gia).

Như vậy, việc thẩm định hồ sơ đề xuất cấp độ 5 thuộc thẩm quyền của Bộ Công an, Bộ Quốc phòng hoặc Ban Cơ yếu Chính phủ tùy theo loại hệ thống thông tin. Việc phê duyệt được phân định giữa Thủ tướng Chính phủ đối với Danh mục hệ thống thông tin cấp độ 5 và chủ quản hệ thống thông tin đối với phương án bảo đảm an ninh mạng.

4. Hệ thống thông tin cấp độ 5 phải đáp ứng những yêu cầu bảo đảm an ninh mạng nào?

Căn cứ Điều 30 Nghị định 331/2026/NĐ-CP, việc bảo đảm an ninh mạng đối với hệ thống thông tin cấp độ 5 phải đáp ứng các yêu cầu cơ bản quy định tại Nghị định này và Tiêu chuẩn quốc gia về An ninh mạng - Hệ thống thông tin - Yêu cầu cơ bản.

Theo khoản 2 Điều 30, các yêu cầu tối thiểu bao gồm yêu cầu về quản lý và yêu cầu về kỹ thuật, không bao gồm yêu cầu bảo đảm an ninh vật lý.

• Đối với yêu cầu về quản lý, khoản 3 Điều 30 quy định phải ban hành và triển khai các quy định liên quan đến việc thiết lập chính sách an ninh mạng; tổ chức bảo đảm an ninh mạng; bảo đảm nguồn nhân lực; quản lý thiết kế, xây dựng và vận hành hệ thống. Đồng thời, phải có phương án quản lý rủi ro an ninh mạng và phương án kết thúc vận hành, khai thác, thanh lý, hủy bỏ hệ thống thông tin.
• Đối với yêu cầu về kỹ thuật, khoản 4 Điều 30 quy định 04 nội dung cần bảo đảm, gồm: an toàn mạng, an toàn máy chủ, an toàn ứng dụng và an toàn dữ liệu.

Riêng về thiết kế phương án bảo đảm an ninh mạng, điểm b khoản 5 Điều 30 yêu cầu hệ thống thông tin cấp độ 5 phải được thiết kế bảo đảm tính sẵn sàng, phân tách và hạn chế ảnh hưởng đến toàn bộ hệ thống khi một thành phần trong hệ thống hoặc có liên quan tới hệ thống bị mất an ninh mạng.

Trường hợp hệ thống thông tin cấp độ 5 được triển khai dưới hình thức thuê dịch vụ công nghệ thông tin tại trung tâm dữ liệu hoặc điện toán đám mây, khoản 9 Điều 30 quy định thiết kế hệ thống phải đáp ứng:

• Được thiết kế tách riêng, độc lập với các hệ thống khác về vật lý và có biện pháp quản lý truy cập giữa các hệ thống.
• Các vùng mạng trong hệ thống được thiết kế tách riêng, độc lập với nhau về lô-gic và có biện pháp quản lý truy cập giữa các vùng mạng.
• Có phân vùng lưu trữ được phân tách độc lập về vật lý.
• Các thiết bị mạng chính phải được phân tách độc lập về vật lý.
• Các giải pháp an ninh mạng dùng chung được phép triển khai đối với các hệ thống thông tin tách biệt vật lý nếu chỉ thực hiện chức năng giám sát, phát hiện, cảnh báo hoặc bảo vệ ở lớp biên, không tạo ra khả năng truy cập, điều khiển hoặc can thiệp trực tiếp vào dữ liệu, tài nguyên và hoạt động nội bộ của hệ thống thông tin.

Ngoài ra, khoản 6 Điều 30 quy định hệ thống thông tin khi được đầu tư xây dựng mới hoặc mở rộng, nâng cấp phải triển khai đầy đủ phương án bảo đảm an ninh mạng đã được phê duyệt tại hồ sơ đề xuất cấp độ và đáp ứng các yêu cầu tại Điều 29, Điều 30 trước khi đưa vào vận hành, khai thác.

Trên đây là thông tin về "Hệ thống thông tin cấp độ 5 là gì? Tiêu chí xác định thế nào?" theo Nghị định 331/2026/NĐ-CP. Theo dõi LuatVietnam.vn để cập nhật các quy định pháp luật mới nhất.