Hồ sơ đề xuất cấp độ hệ thống thông tin gồm những gì?

1. Hồ sơ đề xuất cấp độ hệ thống thông tin gồm những gì?

Theo Điều 21 Nghị định 331/2026/NĐ-CP, hồ sơ đề xuất cấp độ hệ thống thông tin bao gồm 05 thành phần sau:

(1) Tài liệu mô tả, thuyết minh tổng quan về hệ thống thông tin.

(2) Tài liệu thiết kế là một trong những tài liệu sau:

• Đối với dự án đầu tư xây dựng mới hoặc mở rộng, nâng cấp hệ thống thông tin: Thiết kế sơ bộ hoặc tài liệu có giá trị tương đương.
• Đối với hệ thống thông tin đang vận hành: Thiết kế thi công đã được cấp có thẩm quyền phê duyệt hoặc tài liệu có giá trị tương đương.

(3) Tài liệu thuyết minh về việc đề xuất cấp độ căn cứ trên các tiêu chí theo quy định của pháp luật.

(4) Tài liệu thuyết minh phương án bảo đảm an ninh mạng theo cấp độ tương ứng.

(5) Ý kiến về mặt chuyên môn của đơn vị chuyên trách về an ninh mạng đối với hệ thống thông tin đề xuất cấp độ 4 hoặc cấp độ 5.

Như vậy, thành phần hồ sơ được xác định theo Điều 21 Nghị định 331/2026/NĐ-CP, trong đó tài liệu thiết kế được quy định riêng đối với hệ thống xây dựng mới, mở rộng, nâng cấp và hệ thống đang vận hành. Đối với hệ thống thông tin đề xuất cấp độ 4 hoặc cấp độ 5, hồ sơ phải có thêm ý kiến chuyên môn của đơn vị chuyên trách về an ninh mạng.

2. Nội dung thuyết minh hồ sơ đề xuất cấp độ hệ thống thông tin

Căn cứ Điều 22 Nghị định 331/2026/NĐ-CP, thuyết minh hồ sơ đề xuất cấp độ hệ thống thông tin bao gồm các nội dung sau:

2.1. Thuyết minh tổng quan về hệ thống thông tin

Theo khoản 3 Điều 22, nội dung thuyết minh tổng quan về hệ thống thông tin gồm:

• Thông tin về chủ quản hệ thống thông tin: Tên chủ quản hệ thống thông tin; quy định chức năng, nhiệm vụ và quyền hạn; người đại diện, chức vụ; địa chỉ; thông tin liên hệ, bao gồm số điện thoại, thư điện tử.
• Thông tin về đơn vị vận hành hệ thống thông tin: Tên đơn vị vận hành; quy định chức năng, nhiệm vụ và quyền hạn; người đại diện, chức vụ; địa chỉ; thông tin liên hệ, bao gồm số điện thoại, thư điện tử.
• Mô tả phạm vi, quy mô của hệ thống thông tin: Làm rõ phạm vi của hệ thống, quy mô của hệ thống và đối tượng phục vụ.
• Mô tả kiến trúc hệ thống thông tin: Mô tả hiện trạng kiến trúc đối với hệ thống đang vận hành hoặc kiến trúc đối với hệ thống được xây dựng mới, nâng cấp, mở rộng.

Trong đó, nội dung mô tả kiến trúc hệ thống phải thể hiện cụ thể:

• Mô hình lô-gic, mô hình vật lý của hệ thống.
• Danh mục thiết bị và thiết bị mạng chính, bao gồm tên thiết bị/chủng loại, vị trí triển khai, mục đích sử dụng.
• Danh mục ứng dụng, dịch vụ cung cấp bởi hệ thống, bao gồm tên dịch vụ, máy chủ triển khai/vị trí triển khai/hệ điều hành máy chủ, mục đích sử dụng dịch vụ.
• Quy hoạch các vùng mạng và địa chỉ IP, bao gồm vùng mạng, địa chỉ IP nội bộ (IP Private), địa chỉ IP công khai (IP Public).

2.2. Thuyết minh về việc đề xuất cấp độ

Theo khoản 4 Điều 22 Nghị định 331/2026/NĐ-CP, nội dung thuyết minh gồm:

• Danh mục các hệ thống thông tin và cấp độ tương ứng, bao gồm tên hệ thống thông tin, cấp độ đề xuất, căn cứ đề xuất đối với từng hệ thống thông tin.
• Thuyết minh chi tiết đối với các hệ thống thông tin, trong đó làm rõ loại thông tin được xử lý, loại hệ thống thông tin và căn cứ đề xuất cấp độ.
• Nhận diện sơ bộ các nguy cơ, rủi ro an ninh mạng chính có thể phát sinh đối với hệ thống thông tin và mức độ ảnh hưởng dự kiến, làm căn cứ hỗ trợ đề xuất cấp độ.

Đối với hệ thống thông tin được đề xuất cấp độ 4 hoặc cấp độ 5, khoản 5 Điều 22 quy định việc thuyết minh đề xuất cấp độ phải bao gồm báo cáo đánh giá rủi ro an ninh mạng ở mức độ chi tiết hơn, làm rõ thêm:

• Các hệ thống thông tin khác có liên quan, có kết nối đến hoặc có ảnh hưởng quan trọng tới hoạt động bình thường của hệ thống được đề xuất cấp độ.
• Các nguy cơ tấn công mạng và mức độ ảnh hưởng đối với hệ thống thông tin được đề xuất cấp độ.
• Phạm vi và mức độ ảnh hưởng tới lợi ích công cộng, trật tự, an toàn xã hội hoặc an ninh quốc gia khi bị tấn công mạng gây mất an ninh mạng hoặc gián đoạn hoạt động của hệ thống thông tin.
• Yêu cầu phải vận hành 24/7 và không chấp nhận ngừng vận hành mà không có kế hoạch trước đối với các hệ thống thông tin theo khoản 2 Điều 14 Nghị định này.

2.3. Thuyết minh phương án bảo đảm an ninh mạng

Theo khoản 6 Điều 22 Nghị định 331/2026/NĐ-CP, nội dung thuyết minh phương án bảo đảm an ninh mạng phải đáp ứng các yêu cầu về quản lý, kỹ thuật tương ứng với cấp độ đề xuất.

Trong đó, phải mô tả chi tiết về phương án triển khai đối với từng yêu cầu.

Ngoài ra, khoản 1 Điều 22 quy định đối với hệ thống thông tin được đầu tư xây dựng mới hoặc mở rộng, nâng cấp, tùy thuộc hình thức đầu tư, phương án kỹ thuật trong Báo cáo kinh tế - kỹ thuật, Thiết kế cơ sở thuộc Báo cáo nghiên cứu khả thi, Kế hoạch thuê dịch vụ công nghệ thông tin hoặc Đề cương và dự toán chi tiết phải đáp ứng yêu cầu của phương án bảo đảm an ninh mạng theo cấp độ được đề xuất và được thuyết minh trong hồ sơ đề xuất cấp độ.

3. Ai có trách nhiệm lập hồ sơ đề xuất cấp độ hệ thống thông tin?

Theo khoản 1 Điều 20 Nghị định 331/2026/NĐ-CP, đối với hệ thống thông tin đang vận hành, đơn vị vận hành hệ thống thông tin có trách nhiệm lập hồ sơ đề xuất cấp độ theo Điều 21.

Việc gửi hồ sơ được quy định theo từng cấp độ:

• Hệ thống thông tin cấp độ 1, cấp độ 2: Đơn vị vận hành gửi hồ sơ tới đơn vị thẩm định theo khoản 1 Điều 18.
• Hệ thống thông tin cấp độ 3: Đơn vị vận hành gửi hồ sơ tới đơn vị thẩm định theo điểm a khoản 2 Điều 18.
• Hệ thống thông tin cấp độ 4, cấp độ 5: Đơn vị vận hành gửi hồ sơ tới đơn vị chuyên trách về an ninh mạng của chủ quản hệ thống thông tin để xin ý kiến chuyên môn về sự phù hợp của đề xuất cấp độ và phương án bảo đảm an ninh mạng.

Đối với cấp độ 4 và cấp độ 5, sau khi xin ý kiến chuyên môn, đơn vị vận hành trình chủ quản hệ thống thông tin hồ sơ đề xuất cấp độ để gửi cơ quan thẩm định có thẩm quyền theo khoản 3 Điều 18 Nghị định này.

Bên cạnh đó, điểm a khoản 2 Điều 31 quy định chủ quản hệ thống thông tin có trách nhiệm chỉ đạo đơn vị vận hành xác định, lập hồ sơ đề xuất cấp độ; tổ chức thẩm định và phê duyệt hồ sơ theo quy định.

4. Thời gian thẩm định, phê duyệt hồ sơ đề xuất cấp độ hệ thống thông tin là bao lâu?

Theo Điều 23 và Điều 24 Nghị định 331/2026/NĐ-CP, thời gian thẩm định, phê duyệt hồ sơ được quy định như sau:

Về thời gian phản hồi hồ sơ chưa hợp lệ:

• Thời gian phản hồi, hướng dẫn bổ sung tối đa là 05 ngày làm việc kể từ ngày nhận hồ sơ.

Về thời gian thẩm định hồ sơ:

• Đối với hệ thống thông tin đề xuất cấp độ 3: Tối đa 15 ngày làm việc kể từ ngày nhận đủ hồ sơ hợp lệ.
• Đối với hệ thống thông tin đề xuất cấp độ 4 hoặc cấp độ 5: Tối đa 25 ngày làm việc kể từ ngày nhận đủ hồ sơ hợp lệ.

Về thời gian xử lý hồ sơ phê duyệt cấp độ:

• Tối đa 07 ngày làm việc kể từ ngày nhận đủ hồ sơ hợp lệ.

Đồng thời, khoản 1 Điều 24 quy định hồ sơ phê duyệt đề xuất cấp độ gồm:

• Hồ sơ đề xuất cấp độ.
• Ý kiến thẩm định của cơ quan chủ trì thẩm định đối với hệ thống thông tin đề xuất từ cấp độ 3 trở lên.

Trên đây là thông tin về "Hồ sơ đề xuất cấp độ hệ thống thông tin gồm những gì?" theo Nghị định 331/2026/NĐ-CP. Theo dõi LuatVietnam.vn để cập nhật các quy định pháp luật mới nhất.