Khi nào phải đánh giá rủi ro an ninh mạng đối với hệ thống thông tin?

1. Khi nào phải đánh giá rủi ro an ninh mạng đối với hệ thống thông tin?

Theo khoản 2 Điều 10 Nghị định 331/2026/NĐ-CP, chủ quản hệ thống thông tin có trách nhiệm thực hiện đánh giá rủi ro an ninh mạng trong 05 trường hợp sau:

• Trường hợp 1: Khi xác định cấp độ hệ thống thông tin lần đầu.
• Trường hợp 2: Khi có thay đổi về chức năng, phạm vi phục vụ, đối tượng sử dụng, loại thông tin xử lý hoặc công nghệ triển khai hệ thống thông tin.
• Trường hợp 3: Khi hệ thống thông tin mở rộng quy mô, tích hợp, kết nối liên thông hoặc chia sẻ dữ liệu với hệ thống khác.
• Trường hợp 4: Khi xảy ra sự cố an ninh mạng nghiêm trọng hoặc có nguy cơ cao ảnh hưởng đến an ninh quốc gia, trật tự, an toàn xã hội, lợi ích công cộng.
• Trường hợp 5: Khi có yêu cầu của cơ quan nhà nước có thẩm quyền.

Đồng thời, khoản 1 Điều 10 Nghị định này quy định quản lý rủi ro an ninh mạng là quá trình xác định, đánh giá, xử lý và kiểm soát các rủi ro có thể gây tổn hại đến an ninh mạng của hệ thống thông tin, làm căn cứ hỗ trợ xác định cấp độ hệ thống thông tin và áp dụng biện pháp bảo đảm an ninh mạng phù hợp.

Như vậy, việc đánh giá rủi ro an ninh mạng được thực hiện khi xác định cấp độ lần đầu, khi hệ thống có những thay đổi theo quy định, khi xảy ra sự cố hoặc nguy cơ cao và khi có yêu cầu của cơ quan có thẩm quyền.

2. Nội dung đánh giá rủi ro an ninh mạng đối với hệ thống thông tin gồm những gì?

Căn cứ khoản 3 Điều 10 Nghị định 331/2026/NĐ-CP, nội dung đánh giá rủi ro an ninh mạng bao gồm tối thiểu các yếu tố sau:

2.1. Xác định và phân loại tài sản của hệ thống thông tin.

• Xác định tài sản, chức năng trọng yếu.

• Xác định vai trò của tài sản trong hệ thống thông tin.

• Phân loại tài sản theo thứ tự quan trọng trong hệ thống thông tin.

2.2. Xác định loại thông tin được xử lý, lưu trữ, truyền đưa qua hệ thống, bao gồm:

• Thông tin công cộng.
• Thông tin riêng.
• Thông tin cá nhân.
• Thông tin bí mật nhà nước.

2.3. Nhận diện rủi ro an ninh mạng.

• Xác định mối đe dọa.

• Xác định điểm yếu, lỗ hổng bảo mật.

• Xác định khả năng bị khai thác.

2.4. Đánh giá khả năng xảy ra sự cố và mức độ tác động, hậu quả đối với:

• An ninh quốc gia.

• Trật tự, an toàn xã hội.

• Quyền và lợi ích hợp pháp của tổ chức, cá nhân.

• Lợi ích công cộng.

2.5. Đánh giá năng lực hiện có trong việc:

• Phòng ngừa sự cố an ninh mạng.
• Phát hiện sự cố an ninh mạng.
• Ứng phó sự cố an ninh mạng.
• Khắc phục sự cố an ninh mạng.

2.6. Xây dựng kế hoạch và triển khai các biện pháp giảm thiểu rủi ro

Tương ứng với các rủi ro đã xác định.

2.7. Thực hiện truyền thông rủi ro và báo cáo đến cơ quan có thẩm quyền.

Các nội dung trên được quy định tại các điểm a, b, c, d, đ, e và g khoản 3 Điều 10 Nghị định 331/2026/NĐ-CP.

3. Kết quả đánh giá rủi ro an ninh mạng được sử dụng để làm gì?

Theo khoản 4 Điều 10 Nghị định 331/2026/NĐ-CP, kết quả đánh giá rủi ro an ninh mạng là căn cứ để thực hiện các nội dung sau:

• Đề xuất, xác định hoặc điều chỉnh cấp độ hệ thống thông tin theo quy định tại các Điều 11 đến Điều 16 Nghị định này.
• Lựa chọn, triển khai biện pháp bảo đảm an ninh mạng tương ứng với cấp độ hệ thống thông tin.
• Xây dựng, điều chỉnh phương án bảo vệ hệ thống thông tin, phương án ứng cứu sự cố an ninh mạng.

Đặc biệt, khoản 5 Điều 10 quy định trường hợp kết quả đánh giá rủi ro an ninh mạng cho thấy mức độ rủi ro cao hơn so với cấp độ đã được xác định, chủ quản hệ thống thông tin phải đề xuất áp dụng cấp độ cao hơn để bảo đảm an ninh mạng.

Bên cạnh đó, theo khoản 6 và khoản 7 Điều 10:

• Chủ quản hệ thống thông tin có trách nhiệm lưu giữ hồ sơ đánh giá rủi ro an ninh mạng và cung cấp cho cơ quan nhà nước có thẩm quyền khi phục vụ công tác thanh tra, kiểm tra, giám sát theo quy định của pháp luật.
• Cơ quan nhà nước có thẩm quyền, đơn vị chức năng căn cứ kết quả đánh giá rủi ro an ninh mạng để yêu cầu hay đề xuất chủ quản hệ thống thông tin rà soát, đánh giá lại cấp độ hệ thống thông tin và áp dụng biện pháp bảo đảm an ninh mạng phù hợp trong trường hợp cần thiết.

Theo khoản 8 Điều 10, việc đánh giá rủi ro an ninh mạng được thực hiện theo quy định của Bộ trưởng Bộ Công an, trừ hệ thống thông tin quân sự và hệ thống thông tin cơ yếu thuộc Ban Cơ yếu Chính phủ.

4. Ai có trách nhiệm thực hiện đánh giá rủi ro an ninh mạng?

Theo khoản 2 Điều 10 Nghị định 331/2026/NĐ-CP, chủ quản hệ thống thông tin có trách nhiệm thực hiện đánh giá rủi ro an ninh mạng trong các trường hợp đã nêu tại mục 1.

Đồng thời, điểm c khoản 2 Điều 31 Nghị định này quy định chủ quản hệ thống thông tin có trách nhiệm chỉ đạo, tổ chức thực hiện kiểm tra, đánh giá an ninh mạng và quản lý rủi ro an ninh mạng trong phạm vi cơ quan, tổ chức của mình; chịu trách nhiệm trước pháp luật về tính trung thực, đầy đủ và chính xác của kết quả đánh giá.

Việc kiểm tra, đánh giá an ninh mạng và quản lý rủi ro an ninh mạng được thực hiện như sau:

Đối với hình thức tự đánh giá nội bộ:

• Việc đánh giá phải do bộ phận hoặc đơn vị độc lập với đơn vị trực tiếp vận hành hệ thống thực hiện.
• Tuân thủ biểu mẫu, tiêu chí và phương pháp đánh giá do cơ quan nhà nước có thẩm quyền ban hành.

Đối với việc kiểm tra, đánh giá bởi tổ chức chuyên môn, khoản 2 Điều 31 quy định việc đánh giá được thực hiện bởi tổ chức chuyên môn được cơ quan có thẩm quyền cấp phép, tổ chức sự nghiệp nhà nước có chức năng, nhiệm vụ phù hợp hoặc tổ chức chuyên môn được cấp có thẩm quyền chỉ định trong các trường hợp:

• Hệ thống thông tin cấp độ 5 hoặc hệ thống thông tin quan trọng về an ninh quốc gia.
• Khi xảy ra sự cố an ninh mạng nghiêm trọng hoặc có nguy cơ cao ảnh hưởng đến an ninh quốc gia, trật tự, an toàn xã hội.
• Khi có thay đổi lớn về chức năng, phạm vi, kiến trúc hoặc công nghệ của hệ thống thông tin.
• Khi có dấu hiệu việc tự đánh giá không bảo đảm tính trung thực, đầy đủ, chính xác.
• Khi có yêu cầu của cơ quan nhà nước có thẩm quyền hoặc do chủ quản hệ thống thông tin tổ chức thực hiện.

Riêng đối với hệ thống thông tin quân sự, khoản 4 Điều 31 quy định việc kiểm tra, đánh giá an ninh mạng và đánh giá rủi ro an ninh mạng đối với hệ thống từ cấp độ 3 trở lên do Bộ Quốc phòng tổ chức thực hiện thông qua bộ phận chuyên trách về an ninh mạng hoặc tổ chức chuyên môn do Bộ Quốc phòng chỉ định, phù hợp với quy định riêng của Bộ Quốc phòng về bảo vệ an ninh mạng.

Trên đây là thông tin về "Khi nào phải đánh giá rủi ro an ninh mạng đối với hệ thống thông tin?" theo Nghị định 331/2026/NĐ-CP. Theo dõi LuatVietnam.vn để cập nhật các quy định pháp luật mới nhất.