Hệ thống thông tin được chia thành mấy cấp độ an ninh mạng? Tiêu chí xác định thế nào?

1. Hệ thống thông tin được chia thành mấy cấp độ an ninh mạng?

Theo khoản 1 Điều 8 Luật An ninh mạng 2025, hệ thống thông tin được phân loại theo 05 cấp độ, căn cứ vào mức độ tổn hại khi bị sự cố hoặc có hành vi vi phạm pháp luật về an ninh mạng:

• Cấp độ 1: Có thể làm tổn hại tới quyền và lợi ích hợp pháp của tổ chức, cá nhân.
• Cấp độ 2: Có thể làm tổn hại nghiêm trọng tới quyền và lợi ích hợp pháp của tổ chức, cá nhân hoặc làm tổn hại tới lợi ích công cộng.
• Cấp độ 3: Có thể làm tổn hại đặc biệt nghiêm trọng tới quyền và lợi ích hợp pháp của tổ chức, cá nhân; tổn hại nghiêm trọng tới lợi ích công cộng; tổn hại hoặc tổn hại nghiêm trọng tới trật tự, an toàn xã hội hoặc làm tổn hại tới an ninh quốc gia.
• Cấp độ 4: Có thể làm tổn hại đặc biệt nghiêm trọng tới lợi ích công cộng, trật tự, an toàn xã hội hoặc làm tổn hại nghiêm trọng tới an ninh quốc gia.
• Cấp độ 5: Có thể làm tổn hại đặc biệt nghiêm trọng tới an ninh quốc gia.

Tiêu chí xác định từng cấp độ được quy định cụ thể tại Điều 11, Điều 12, Điều 13, Điều 14 và Điều 15 Nghị định Nghị định 331/2026/NĐ-CP. 

2. Tiêu chí xác định 05 cấp độ an ninh mạng của hệ thống thông tin

2.1. Tiêu chí xác định hệ thống thông tin cấp độ 1

Theo Điều 11 Nghị định 331/2026/NĐ-CP, hệ thống thông tin cấp độ 1 được xác định theo các tiêu chí sau:

• Hệ thống phục vụ hoạt động nội bộ của cơ quan, tổ chức và chỉ xử lý thông tin công cộng.
• Hệ thống thông tin được đánh giá rủi ro an ninh mạng theo Khung quản lý rủi ro an ninh mạng.

2.2. Tiêu chí xác định hệ thống thông tin cấp độ 2

Theo Điều 12 Nghị định 331/2026/NĐ-CP, hệ thống thông tin cấp độ 2 là hệ thống có một trong các tiêu chí sau:

- Hệ thống phục vụ hoạt động nội bộ của cơ quan, tổ chức và có xử lý thông tin riêng, thông tin cá nhân của người sử dụng nhưng không xử lý thông tin bí mật nhà nước.

- Hệ thống phục vụ người dân, doanh nghiệp thuộc một trong các loại hình:

• Cung cấp dịch vụ trực tuyến không thuộc danh mục ngành, nghề đầu tư kinh doanh có điều kiện;
• Cung cấp dịch vụ trực tuyến khác có xử lý thông tin riêng, thông tin cá nhân của dưới 100.000 chủ thể dữ liệu đối với dữ liệu cá nhân cơ bản hoặc dưới 10.000 chủ thể dữ liệu đối với dữ liệu cá nhân nhạy cảm.

- Hệ thống cơ sở hạ tầng thông tin phục vụ hoạt động của một cơ quan, tổ chức.

- Hệ thống thông tin khác do Thủ tướng Chính phủ quyết định hoặc được đánh giá rủi ro an ninh mạng theo Khung quản lý rủi ro an ninh mạng.

2.3. Tiêu chí xác định hệ thống thông tin cấp độ 3

Theo Điều 13 Nghị định 331/2026/NĐ-CP, hệ thống thông tin cấp độ 3 là hệ thống có một trong các tiêu chí sau:

- Hệ thống xử lý thông tin bí mật nhà nước hoặc hệ thống phục vụ quốc phòng, an ninh khi bị phá hoại sẽ làm tổn hại tới an ninh quốc gia.

- Hệ thống phục vụ người dân, doanh nghiệp thuộc một trong các loại hình:

• Cung cấp dịch vụ trực tuyến thuộc danh mục ngành, nghề đầu tư kinh doanh có điều kiện;
• Hệ thống thông tin giải quyết thủ tục hành chính;
• Cung cấp dịch vụ trực tuyến khác có xử lý thông tin riêng, thông tin cá nhân của từ 100.000 chủ thể dữ liệu đối với dữ liệu cá nhân cơ bản trở lên hoặc từ 10.000 chủ thể dữ liệu đối với dữ liệu cá nhân nhạy cảm trở lên.

- Hệ thống cơ sở hạ tầng thông tin phục vụ hoạt động của các cơ quan, tổ chức trong phạm vi một bộ, một ngành, một tỉnh hoặc một số tỉnh.

- Hệ thống thông tin điều khiển công nghiệp trực tiếp phục vụ điều khiển, vận hành hoạt động bình thường của các công trình xây dựng cấp II, cấp III hoặc cấp IV theo phân cấp của pháp luật về xây dựng.

- Hệ thống thông tin khác do Thủ tướng Chính phủ quyết định hoặc được đánh giá rủi ro an ninh mạng theo Khung quản lý rủi ro an ninh mạng.

2.4. Tiêu chí xác định hệ thống thông tin cấp độ 4

Theo Điều 14 Nghị định 331/2026/NĐ-CP, hệ thống thông tin cấp độ 4 là hệ thống có một trong các tiêu chí sau:

- Hệ thống xử lý thông tin bí mật nhà nước hoặc hệ thống phục vụ quốc phòng, an ninh khi bị phá hoại sẽ làm tổn hại nghiêm trọng tới an ninh quốc gia.

- Hệ thống thông tin quốc gia phục vụ phát triển Chính phủ điện tử hoặc hệ thống cơ sở hạ tầng thông tin phục vụ hoạt động của các cơ quan, tổ chức trên phạm vi toàn quốc, yêu cầu vận hành 24/7 và không chấp nhận ngừng vận hành mà không có kế hoạch trước.

- Hệ thống thông tin điều khiển công nghiệp trực tiếp phục vụ điều khiển, vận hành hoạt động bình thường của các công trình xây dựng cấp I theo phân cấp của pháp luật về xây dựng.

- Hệ thống thông tin khác do Thủ tướng Chính phủ quyết định hoặc được đánh giá rủi ro an ninh mạng theo Khung quản lý rủi ro an ninh mạng.

2.5. Tiêu chí xác định hệ thống thông tin cấp độ 5

Theo Điều 15 Nghị định 331/2026/NĐ-CP, hệ thống thông tin cấp độ 5 là hệ thống có một trong các tiêu chí sau:

- Hệ thống xử lý thông tin bí mật nhà nước hoặc hệ thống phục vụ quốc phòng, an ninh, mang tính chiến lược khi bị phá hoại sẽ làm tổn hại đặc biệt nghiêm trọng tới an ninh quốc gia.

- Hệ thống phục vụ lưu trữ dữ liệu tập trung đối với một số loại hình thông tin, dữ liệu đặc biệt quan trọng của quốc gia.

- Hệ thống cơ sở hạ tầng thông tin quốc gia phục vụ kết nối liên thông hoạt động của Việt Nam với quốc tế.

- Hệ thống thông tin điều khiển công nghiệp trực tiếp phục vụ điều khiển, vận hành hoạt động bình thường của công trình xây dựng cấp đặc biệt theo phân cấp của pháp luật về xây dựng hoặc công trình quan trọng liên quan đến an ninh quốc gia theo pháp luật về an ninh quốc gia.

- Hệ thống thông tin khác do Thủ tướng Chính phủ quyết định hoặc được đánh giá rủi ro an ninh mạng theo Khung quản lý rủi ro an ninh mạng.

3. Nguyên tắc xác định cấp độ an ninh mạng của hệ thống thông tin

Theo Điều 8 Nghị định 331/2026/NĐ-CP, việc xác định cấp độ hệ thống thông tin thực hiện theo các nguyên tắc sau:

Thứ nhất, về xác định hệ thống thông tin để xác định cấp độ:

• Hệ thống thông tin chỉ có một chủ quản hệ thống thông tin.
• Hệ thống thông tin có thể hoạt động độc lập, được thiết lập nhằm trực tiếp phục vụ hoặc hỗ trợ hoạt động nghiệp vụ, sản xuất, kinh doanh cụ thể của cơ quan, tổ chức thuộc một trong các loại hình hệ thống thông tin quy định tại khoản 2 Điều 9 Nghị định này.

Thứ hai, về trường hợp đáp ứng nhiều tiêu chí: Trường hợp hệ thống thông tin đồng thời đáp ứng nhiều tiêu chí thuộc các cấp độ khác nhau thì áp dụng cấp độ cao nhất.

Thứ ba, về xác định phạm vi hệ thống thông tin:

• Không xác định phạm vi hệ thống thông tin một cách hình thức nhằm làm thay đổi cấp độ hệ thống thông tin hoặc giảm yêu cầu bảo đảm an ninh mạng.
• Trường hợp phát hiện việc phân tách hoặc hợp nhất hệ thống thông tin không phù hợp với quy định, cơ quan, đơn vị có thẩm quyền yêu cầu xác định lại hệ thống thông tin và cấp độ tương ứng.

Ngoài ra, theo khoản 5 Điều 10 Nghị định này, trường hợp kết quả đánh giá rủi ro an ninh mạng cho thấy mức độ rủi ro cao hơn so với cấp độ đã được xác định, chủ quản hệ thống thông tin phải đề xuất áp dụng cấp độ cao hơn để bảo đảm an ninh mạng.

Trên đây là thông tin giải đáp về "Hệ thống thông tin được chia thành mấy cấp độ an ninh mạng".