Hệ thống thông tin quan trọng về an ninh quốc gia phải đáp ứng những điều kiện an ninh mạng nào trước khi vận hành?

1. Hệ thống thông tin quan trọng về an ninh quốc gia phải đáp ứng những điều kiện an ninh mạng nào trước khi vận hành?

Theo khoản 2 và khoản 3 Điều 6 Nghị định 333/2026/NĐ-CP, hệ thống thông tin quan trọng về an ninh quốc gia phải được đánh giá, chứng nhận đủ điều kiện an ninh mạng trước khi đưa vào vận hành, sử dụng. Hệ thống chỉ được đánh giá đủ điều kiện khi đáp ứng các yêu cầu về quy định, quy trình bảo vệ an ninh mạng; tổ chức nhân sự; quản lý, vận hành hệ thống; biện pháp kỹ thuật và bảo vệ thông tin, dữ liệu.

Cụ thể, khoản 3 Điều 6 Nghị định 333/2026/NĐ-CP quy định hệ thống thông tin quan trọng về an ninh quốc gia được đánh giá đủ điều kiện an ninh mạng khi đáp ứng các yêu cầu sau đây:

• Có quy định, quy trình, phương án bảo đảm an ninh mạng phù hợp với quy định của pháp luật về an ninh mạng, bảo vệ bí mật nhà nước, tiêu chuẩn, quy chuẩn kỹ thuật về an ninh mạng và tiêu chuẩn kỹ thuật chuyên ngành có liên quan;
• Xác định rõ hệ thống thông tin, thông tin, dữ liệu, hạ tầng kỹ thuật và thành phần quan trọng cần ưu tiên bảo vệ; quy trình quản lý, vận hành, khai thác, sử dụng, bảo vệ hệ thống thông tin, dữ liệu, hạ tầng kỹ thuật; trách nhiệm của từng bộ phận, cá nhân trong quản lý, vận hành, sử dụng hệ thống;
• Có bộ phận hoặc nhân sự phụ trách vận hành, quản trị hệ thống và bảo vệ an ninh mạng; nhân sự thực hiện nhiệm vụ này có trình độ chuyên môn phù hợp về an ninh mạng, công nghệ thông tin hoặc lĩnh vực kỹ thuật có liên quan và có trách nhiệm bảo mật thông tin liên quan đến hệ thống thông tin trong thời gian thực hiện nhiệm vụ và sau khi chấm dứt nhiệm vụ;
• Hoạt động vận hành, quản trị hệ thống và bảo vệ an ninh mạng được phân định rõ chức năng, nhiệm vụ, quyền hạn, trách nhiệm; bảo đảm kiểm soát chéo, hạn chế xung đột nhiệm vụ và đáp ứng yêu cầu bảo vệ an ninh mạng;
• Thiết bị, phần cứng, phần mềm, cơ sở dữ liệu, mã nguồn, chương trình ứng dụng, công cụ phát triển và thành phần kỹ thuật khác của hệ thống được kiểm tra, quản lý, rà soát, cập nhật, khắc phục điểm yếu, lỗ hổng bảo mật, mã độc, phần cứng độc hại và nguy cơ mất an ninh mạng trước khi đưa vào sử dụng và trong quá trình vận hành;
• Sản phẩm, thiết bị, phần cứng, phần mềm đã được lực lượng chuyên trách bảo vệ an ninh mạng cảnh báo, thông báo nguy cơ gây mất an ninh mạng không được đưa vào sử dụng hoặc chỉ được đưa vào sử dụng sau khi đã có biện pháp xử lý, khắc phục nguy cơ gây mất an ninh mạng;
• Có biện pháp quản lý, kiểm tra, kiểm soát việc kết nối, sử dụng, vận chuyển, lưu trữ, sửa chữa, tiêu hủy thiết bị công nghệ thông tin, phương tiện truyền thông, vật mang tin, thiết bị di động, thiết bị và phương tiện lưu trữ thông tin phục vụ hoạt động của hệ thống thông tin;
• Có biện pháp kỹ thuật để giám sát, phát hiện, cảnh báo, ngăn chặn, xử lý nguy cơ, sự cố an ninh mạng; tách biệt môi trường vận hành chính thức với môi trường phát triển, kiểm tra, thử nghiệm; kiểm soát việc cài đặt, sử dụng phần mềm, dịch vụ, công cụ, phương tiện trên hệ thống;
• Có phương án sao lưu dự phòng dữ liệu, kiểm tra khả năng khôi phục dữ liệu; phân vùng mạng theo đối tượng sử dụng, mục đích sử dụng, mức độ quan trọng của tài nguyên hệ thống; kiểm soát kết nối, kiểm soát truy cập giữa các vùng mạng và tài nguyên quan trọng của hệ thống;
• Có giải pháp phát hiện, ngăn chặn truy cập không tin cậy, xâm nhập trái phép, tấn công từ chối dịch vụ và hình thức tấn công mạng khác; dò tìm, phát hiện, cảnh báo và xử lý điểm yếu, lỗ hổng kỹ thuật, kết nối, thiết bị, phần mềm cài đặt trái phép vào hệ thống;
• Ghi, quản lý, lưu trữ nhật ký hoạt động của hệ thống thông tin, người sử dụng, lỗi phát sinh và sự cố an ninh mạng theo quy định của pháp luật, tiêu chuẩn, quy chuẩn kỹ thuật có liên quan và yêu cầu bảo vệ an ninh mạng;
• Có biện pháp quản lý tài khoản, phân quyền sử dụng, kiểm soát truy cập, quản lý mã khóa bí mật, phương thức xác thực; kiểm soát việc tạo lập, cấp phát, sử dụng, giám sát tài khoản có quyền quản trị; rà soát, kiểm tra, xét duyệt lại quyền truy cập của người sử dụng;
• Có biện pháp bảo đảm an ninh vật lý đối với địa điểm lắp đặt hệ thống, trung tâm dữ liệu, khu vực đặt máy chủ, thiết bị mạng, thiết bị lưu trữ và khu vực kỹ thuật trọng yếu; bảo đảm nguồn điện, hệ thống hỗ trợ vận hành liên tục, kiểm soát ra vào và phòng ngừa nguy cơ xâm nhập, thu thập thông tin trái phép bằng thiết bị, phương tiện kỹ thuật;
• Việc xử lý, lưu trữ, truyền đưa thông tin thuộc bí mật nhà nước trên hệ thống thông tin phải tuân thủ quy định của pháp luật về bảo vệ bí mật nhà nước, pháp luật về cơ yếu, pháp luật về an ninh mạng và quy định khác của pháp luật có liên quan; hệ thống thông tin xử lý bí mật nhà nước phải được áp dụng biện pháp bảo vệ phù hợp với cấp độ bí mật và yêu cầu bảo vệ an ninh mạng.

Ngoài các điều kiện trên, khoản 4 Điều 6 Nghị định 333/2026/NĐ-CP quy định nội dung đánh giá còn bao gồm các yêu cầu khác có liên quan trực tiếp đến việc bảo đảm an ninh mạng đối với hệ thống thông tin được đánh giá.

2. Cơ quan nào có thẩm quyền đánh giá, chứng nhận đủ điều kiện an ninh mạng?

Theo khoản 5 Điều 6 Nghị định 333/2026/NĐ-CP, thẩm quyền đánh giá, chứng nhận đủ điều kiện an ninh mạng được quy định như sau:

• Bộ Công an đánh giá, chứng nhận đủ điều kiện an ninh mạng đối với hệ thống thông tin quan trọng về an ninh quốc gia, trừ trường hợp quy định tại điểm b và điểm c khoản này;
• Bộ Quốc phòng đánh giá, chứng nhận đủ điều kiện an ninh mạng đối với hệ thống thông tin quân sự;
• Ban Cơ yếu Chính phủ đánh giá, chứng nhận đủ điều kiện an ninh mạng đối với hệ thống thông tin cơ yếu thuộc Ban Cơ yếu Chính phủ.

Như vậy, thẩm quyền đánh giá, chứng nhận được xác định theo loại hệ thống thông tin. Trong đó, hệ thống thông tin quân sự thuộc thẩm quyền của Bộ Quốc phòng, còn hệ thống thông tin cơ yếu thuộc Ban Cơ yếu Chính phủ do Ban Cơ yếu Chính phủ thực hiện đánh giá, chứng nhận.

3. Hồ sơ đề nghị đánh giá điều kiện an ninh mạng gồm những gì?

Theo khoản 6 Điều 6 Nghị định 333/2026/NĐ-CP, hồ sơ đề nghị đánh giá điều kiện an ninh mạng gồm:

• Văn bản đề nghị chứng nhận đủ điều kiện an ninh mạng theo Mẫu số 02 Phụ lục ban hành kèm theo Nghị định này;
• Báo cáo nghiên cứu khả thi, hồ sơ thiết kế kỹ thuật, hồ sơ thiết kế thi công hoặc tài liệu tương đương của dự án đầu tư xây dựng, nâng cấp, mở rộng hệ thống thông tin;
• Hồ sơ giải pháp bảo đảm an ninh mạng đối với hệ thống thông tin quan trọng về an ninh quốc gia;
• Tài liệu thể hiện kết quả thẩm định an ninh mạng (nếu có);
• Tài liệu khác có liên quan đến nội dung đề nghị đánh giá (nếu có).

Đối với văn bản đề nghị chứng nhận đủ điều kiện an ninh mạng, Mẫu số 02 tại Phụ lục ban hành kèm Nghị định 333/2026/NĐ-CP quy định các thông tin chính về hệ thống thông tin gồm:

• Tên hệ thống thông tin;
• Đơn vị chủ quản hệ thống thông tin;
• Địa chỉ;
• Quyết định đưa hệ thống thông tin vào Danh mục hệ thống thông tin quan trọng về an ninh quốc gia, trong đó nêu rõ số, ngày tháng và trích yếu văn bản;
• Các tài liệu kèm theo hồ sơ đề nghị.

Văn bản đề nghị do đại diện cơ quan, tổ chức ký, ghi rõ họ tên, chức danh và đóng dấu.

4. Trình tự đánh giá, chứng nhận đủ điều kiện an ninh mạng trước khi vận hành được thực hiện thế nào?

Theo khoản 7 Điều 6 Nghị định 333/2026/NĐ-CP, trình tự, thủ tục đánh giá điều kiện an ninh mạng được thực hiện như sau:

• Chủ quản hệ thống thông tin gửi 01 bộ hồ sơ đề nghị đánh giá điều kiện an ninh mạng đến cơ quan có thẩm quyền quy định tại khoản 5 Điều này;
• Trong thời hạn tối đa 03 ngày làm việc kể từ ngày nhận được hồ sơ, cơ quan có thẩm quyền có trách nhiệm kiểm tra tính hợp lệ của hồ sơ. Trường hợp hồ sơ hợp lệ thì cấp giấy tiếp nhận hồ sơ ngay sau khi hoàn thành việc kiểm tra. Trường hợp hồ sơ chưa hợp lệ thì thông báo bằng văn bản để chủ quản hệ thống thông tin bổ sung, hoàn thiện hồ sơ;
• Trong thời hạn tối đa 25 ngày làm việc kể từ ngày cấp giấy tiếp nhận hồ sơ hợp lệ, cơ quan có thẩm quyền tổ chức đánh giá điều kiện an ninh mạng;
• Trường hợp hệ thống thông tin đáp ứng đủ điều kiện an ninh mạng, Thủ trưởng cơ quan có thẩm quyền cấp Giấy chứng nhận đủ điều kiện an ninh mạng đối với hệ thống thông tin;
• Trường hợp hệ thống thông tin chưa đáp ứng điều kiện an ninh mạng, cơ quan có thẩm quyền thông báo bằng văn bản, nêu rõ nội dung chưa đáp ứng và yêu cầu chủ quản hệ thống thông tin bổ sung, hoàn thiện, nâng cấp, khắc phục trước khi đưa hệ thống thông tin vào vận hành, sử dụng.

Về thời hạn giải quyết, quy định xác định hai mốc thời gian:

Trường hợp hệ thống chưa đáp ứng điều kiện, khoản 8 Điều 6 yêu cầu chủ quản hệ thống thông tin bổ sung, hoàn thiện, nâng cấp, khắc phục các nội dung chưa đáp ứng theo yêu cầu của cơ quan có thẩm quyền và bảo đảm hệ thống đủ điều kiện an ninh mạng trước khi vận hành, sử dụng.

Đồng thời, khoản 10 Điều 6 quy định Giấy chứng nhận đủ điều kiện an ninh mạng là căn cứ để chủ quản hệ thống thông tin đưa hệ thống thông tin quan trọng về an ninh quốc gia vào vận hành, sử dụng theo quy định của pháp luật.

5. Sau khi được chứng nhận, hệ thống thông tin có phải tiếp tục duy trì điều kiện an ninh mạng không?

Theo khoản 2 Điều 6 Nghị định 333/2026/NĐ-CP:

"Hệ thống thông tin quan trọng về an ninh quốc gia phải được đánh giá, chứng nhận đủ điều kiện an ninh mạng trước khi đưa vào vận hành, sử dụng; chủ quản hệ thống thông tin có trách nhiệm duy trì việc đáp ứng điều kiện an ninh mạng trong suốt quá trình quản lý, vận hành, khai thác hệ thống."

Như vậy, việc đáp ứng điều kiện an ninh mạng không chỉ được thực hiện tại thời điểm trước khi vận hành mà còn phải được duy trì trong suốt quá trình quản lý, vận hành và khai thác hệ thống.

Về việc kiểm tra, hậu kiểm, khoản 9 Điều 6 Nghị định này quy định:

"Việc duy trì điều kiện an ninh mạng của hệ thống thông tin được kiểm tra, hậu kiểm theo quy định của pháp luật. Trường hợp chủ quản hệ thống thông tin không thực hiện hoặc thực hiện không đầy đủ yêu cầu quy định tại khoản 8 Điều này mà đưa hệ thống thông tin vào vận hành, sử dụng thì bị xử lý theo quy định của pháp luật."

Bên cạnh đó, Điều 7 Nghị định 333/2026/NĐ-CP quy định trách nhiệm tổ chức giám sát an ninh mạng của chủ quản hệ thống thông tin. Theo khoản 2 Điều 7, chủ quản hệ thống phải xây dựng cơ chế tự giám sát, tự cảnh báo, tiếp nhận cảnh báo về nguy cơ đe dọa an ninh mạng, sự cố an ninh mạng, điểm yếu, lỗ hổng bảo mật; duy trì hệ thống giám sát an ninh mạng và hệ thống phòng, chống mã độc tập trung đáp ứng yêu cầu kết nối, chia sẻ dữ liệu cảnh báo với cơ quan có thẩm quyền.

Riêng đối với hệ thống thông tin quan trọng về an ninh quốc gia, khoản 3 Điều 7 yêu cầu chủ quản hệ thống phối hợp thường xuyên với lực lượng chuyên trách bảo vệ an ninh mạng trong việc tổ chức giám sát; bảo đảm điều kiện kỹ thuật, nhân lực và thông tin cần thiết phục vụ hoạt động giám sát theo yêu cầu bảo vệ an ninh quốc gia.

Về hiệu lực thi hành, theo Điều 30 Nghị định 333/2026/NĐ-CP, Nghị định có hiệu lực từ ngày 19/8/2026.

Đối với hồ sơ đề nghị thẩm định an ninh mạng, hồ sơ đề nghị đánh giá điều kiện an ninh mạng đã được cơ quan có thẩm quyền tiếp nhận hợp lệ theo Nghị định 53/2022/NĐ-CP trước ngày 19/8/2026 mà chưa có kết quả giải quyết, Điều 31 Nghị định 333/2026/NĐ-CP quy định tiếp tục giải quyết theo Nghị định 53/2022/NĐ-CP.

Trên đây là nội dung về “Hệ thống thông tin quan trọng về an ninh quốc gia phải đáp ứng những điều kiện an ninh mạng nào trước khi vận hành?”. Vui lòng xem chi tiết Nghị định 333/2026/NĐ-CP trên LuatVietnam.vn cùng các tính năng Tình trạng hiệu lực, Lược đồ và Nội dung văn bản để tra cứu các quy định liên quan.