Hồ sơ, thủ tục đề nghị chứng nhận đủ điều kiện an ninh mạng được quy định thế nào?

1. Hồ sơ, thủ tục đề nghị chứng nhận đủ điều kiện an ninh mạng được quy định thế nào?

1.1. Hồ sơ đề nghị chứng nhận đủ điều kiện an ninh mạng

Hệ thống thông tin quan trọng về an ninh quốc gia phải được đánh giá, chứng nhận đủ điều kiện an ninh mạng trước khi đưa vào vận hành, sử dụng; chủ quản hệ thống thông tin có trách nhiệm duy trì việc đáp ứng điều kiện an ninh mạng trong suốt quá trình quản lý, vận hành, khai thác hệ thống.

Theo đó, khi thực hiện thủ tục đề nghị chứng nhận đủ điều kiện an ninh mạng, các cá nhân và tổ chức lưu ý chuẩn bị hồ sơ theo quy định tại khoản 6 Điều 6 Nghị định 333/2026/NĐ-CP, bao gồm:

• Văn bản đề nghị chứng nhận đủ điều kiện an ninh mạng theo Mẫu số 02 Phụ lục ban hành kèm theo Nghị định này;
• Báo cáo nghiên cứu khả thi, hồ sơ thiết kế kỹ thuật, hồ sơ thiết kế thi công hoặc tài liệu tương đương của dự án đầu tư xây dựng, nâng cấp, mở rộng hệ thống thông tin;
• Hồ sơ giải pháp bảo đảm an ninh mạng đối với hệ thống thông tin quan trọng về an ninh quốc gia;
• Tài liệu thể hiện kết quả thẩm định an ninh mạng (nếu có);
• Tài liệu khác có liên quan đến nội dung đề nghị đánh giá (nếu có).

1.2. Trình tự, thủ tục đề nghị chứng nhận đủ điều kiện an ninh mạng

Theo khoản 7 Điều 6 Nghị định 333/2026/NĐ-CP, trình tự, thủ tục đánh giá điều kiện an ninh mạng được thực hiện như sau:

“7. Trình tự, thủ tục đánh giá điều kiện an ninh mạng được thực hiện như sau:
a) Chủ quản hệ thống thông tin gửi 01 bộ hồ sơ đề nghị đánh giá điều kiện an ninh mạng đến cơ quan có thẩm quyền quy định tại khoản 5 Điều này;
b) Trong thời hạn tối đa 03 ngày làm việc kể từ ngày nhận được hồ sơ, cơ quan có thẩm quyền có trách nhiệm kiểm tra tính hợp lệ của hồ sơ. Trường hợp hồ sơ hợp lệ thì cấp giấy tiếp nhận hồ sơ ngay sau khi hoàn thành việc kiểm tra. Trường hợp hồ sơ chưa hợp lệ thì thông báo bằng văn bản để chủ quản hệ thống thông tin bổ sung, hoàn thiện hồ sơ;
c) Trong thời hạn tối đa 25 ngày làm việc kể từ ngày cấp giấy tiếp nhận hồ sơ hợp lệ, cơ quan có thẩm quyền tổ chức đánh giá điều kiện an ninh mạng;
d) Trường hợp hệ thống thông tin đáp ứng đủ điều kiện an ninh mạng, Thủ trưởng cơ quan có thẩm quyền cấp Giấy chứng nhận đủ điều kiện an ninh mạng đối với hệ thống thông tin;
đ) Trường hợp hệ thống thông tin chưa đáp ứng điều kiện an ninh mạng, cơ quan có thẩm quyền thông báo bằng văn bản, nêu rõ nội dung chưa đáp ứng và yêu cầu chủ quản hệ thống thông tin bổ sung, hoàn thiện, nâng cấp, khắc phục trước khi đưa hệ thống thông tin vào vận hành, sử dụng.”

Theo quy định trên, quá trình giải quyết hồ sơ có hai mốc thời hạn cần lưu ý:

• Tối đa 03 ngày làm việc kể từ ngày nhận hồ sơ: Cơ quan có thẩm quyền kiểm tra tính hợp lệ và cấp giấy tiếp nhận nếu hồ sơ hợp lệ. Nếu chưa hợp lệ, cơ quan này phải thông báo bằng văn bản để chủ quản hệ thống bổ sung, hoàn thiện.
• Tối đa 25 ngày làm việc kể từ ngày cấp giấy tiếp nhận hồ sơ hợp lệ: Cơ quan có thẩm quyền tổ chức đánh giá điều kiện an ninh mạng.

Cần phân biệt rằng thời hạn 25 ngày làm việc được tính từ ngày cấp giấy tiếp nhận hồ sơ hợp lệ, không phải từ ngày chủ quản hệ thống thông tin gửi hồ sơ lần đầu.

Sau khi đánh giá, hệ thống đáp ứng đủ điều kiện sẽ được cấp Giấy chứng nhận. Ngược lại, nếu chưa đáp ứng điều kiện, chủ quản hệ thống phải thực hiện các yêu cầu bổ sung, hoàn thiện, nâng cấp hoặc khắc phục theo thông báo của cơ quan có thẩm quyền.

1.3. Cơ quan có thẩm quyền chứng nhận đủ điều kiện an ninh mạng

Khoản 5 Điều 6 Nghị định 333/2026/NĐ-CP quy định:

“a) Bộ Công an đánh giá, chứng nhận đủ điều kiện an ninh mạng đối với hệ thống thông tin quan trọng về an ninh quốc gia, trừ trường hợp quy định tại điểm b và điểm c khoản này;
b) Bộ Quốc phòng đánh giá, chứng nhận đủ điều kiện an ninh mạng đối với hệ thống thông tin quân sự;
c) Ban Cơ yếu Chính phủ đánh giá, chứng nhận đủ điều kiện an ninh mạng đối với hệ thống thông tin cơ yếu thuộc Ban Cơ yếu Chính phủ.”

Như vậy, thẩm quyền đánh giá, chứng nhận được phân định theo từng loại hệ thống thông tin:

• Bộ Công an thực hiện đối với hệ thống thông tin quan trọng về an ninh quốc gia, trừ những hệ thống thuộc thẩm quyền của Bộ Quốc phòng hoặc Ban Cơ yếu Chính phủ.
• Bộ Quốc phòng thực hiện đối với hệ thống thông tin quân sự.
• Ban Cơ yếu Chính phủ thực hiện đối với hệ thống thông tin cơ yếu thuộc Ban Cơ yếu Chính phủ.

Chủ quản hệ thống thông tin căn cứ vào loại hệ thống thuộc phạm vi quản lý để gửi hồ sơ đến đúng cơ quan có thẩm quyền.

Đồng thời, theo điểm d khoản 7 Điều 6 Nghị định 333/2026/NĐ-CP, khi hệ thống đáp ứng đủ điều kiện an ninh mạng, Thủ trưởng cơ quan có thẩm quyền thực hiện việc cấp Giấy chứng nhận đủ điều kiện an ninh mạng.

2. Khi nào hệ thống thông tin phải được chứng nhận đủ điều kiện an ninh mạng?

Khoản 1 và khoản 2 Điều 6 Nghị định 333/2026/NĐ-CP quy định:

“Điều 6. Trình tự, thủ tục đánh giá điều kiện an ninh mạng đối với hệ thống thông tin quan trọng về an ninh quốc gia
1. Đánh giá điều kiện an ninh mạng là thủ tục do cơ quan có thẩm quyền thực hiện để xem xét, xác định mức độ đáp ứng điều kiện an ninh mạng của hệ thống thông tin quan trọng về an ninh quốc gia trước khi đưa vào vận hành, sử dụng.
2. Hệ thống thông tin quan trọng về an ninh quốc gia phải được đánh giá, chứng nhận đủ điều kiện an ninh mạng trước khi đưa vào vận hành, sử dụng; chủ quản hệ thống thông tin có trách nhiệm duy trì việc đáp ứng điều kiện an ninh mạng trong suốt quá trình quản lý, vận hành, khai thác hệ thống.”

Theo đó, việc đánh giá, chứng nhận đủ điều kiện an ninh mạng phải được hoàn thành trước khi hệ thống thông tin quan trọng về an ninh quốc gia được đưa vào vận hành, sử dụng.

Ngoài việc được chứng nhận trước khi vận hành, chủ quản hệ thống thông tin còn có trách nhiệm duy trì các điều kiện an ninh mạng trong suốt quá trình quản lý, vận hành và khai thác.

3. Hệ thống thông tin chưa đáp ứng điều kiện an ninh mạng phải xử lý thế nào?

Theo khoản 8 Điều 6 Nghị định 333/2026/NĐ-CP:

“Chủ quản hệ thống thông tin có trách nhiệm bổ sung, hoàn thiện, nâng cấp, khắc phục các nội dung chưa đáp ứng theo yêu cầu của cơ quan có thẩm quyền quy định tại điểm đ khoản 7 Điều này và bảo đảm hệ thống thông tin đáp ứng điều kiện an ninh mạng trước khi đưa vào vận hành, sử dụng.”

Như vậy, nếu kết quả đánh giá xác định hệ thống thông tin chưa đáp ứng điều kiện an ninh mạng, chủ quản hệ thống phải thực hiện những yêu cầu được cơ quan có thẩm quyền thông báo bằng văn bản.

Việc bổ sung, hoàn thiện, nâng cấp hoặc khắc phục phải bảo đảm hệ thống đáp ứng điều kiện an ninh mạng trước khi đưa vào vận hành, sử dụng.

Bên cạnh đó, khoản 9 Điều 6 Nghị định 333/2026/NĐ-CP quy định:

“Việc duy trì điều kiện an ninh mạng của hệ thống thông tin được kiểm tra, hậu kiểm theo quy định của pháp luật. Trường hợp chủ quản hệ thống thông tin không thực hiện hoặc thực hiện không đầy đủ yêu cầu quy định tại khoản 8 Điều này mà đưa hệ thống thông tin vào vận hành, sử dụng thì bị xử lý theo quy định của pháp luật.”

Quy định này xác định trách nhiệm của chủ quản hệ thống trong việc khắc phục các nội dung chưa đáp ứng. Trường hợp không thực hiện hoặc thực hiện không đầy đủ yêu cầu nhưng vẫn đưa hệ thống vào vận hành, sử dụng thì sẽ bị xử lý theo quy định của pháp luật.

Trên đây là nội dung về “Hồ sơ, thủ tục đề nghị chứng nhận đủ điều kiện an ninh mạng được quy định thế nào?”. Bạn đọc có thể tra cứu toàn văn Nghị định 333/2026/NĐ-CP trên LuatVietnam.vn để tìm hiểu chi tiết các quy định về đánh giá, chứng nhận và bảo đảm điều kiện an ninh mạng đối với hệ thống thông tin quan trọng về an ninh quốc gia.