Ngày 19/8/2026, Chính phủ ban hành Nghị định số 331/2026/NĐ-CP về bảo vệ an ninh mạng đối với hệ thống thông tin. Nghị định quy định cụ thể tiêu chí xác định cấp độ hệ thống thông tin, thẩm quyền, trình tự, thủ tục xác định cấp độ và các yêu cầu bảo đảm an ninh mạng tương ứng.

Nghị định số 331/2026/NĐ-CP áp dụng đối với cơ quan, tổ chức, cá nhân tham gia hoặc có liên quan đến hoạt động xây dựng, thiết lập, quản lý, vận hành, nâng cấp, mở rộng hệ thống thông tin tại Việt Nam, phục vụ ứng dụng công nghệ thông tin trong hoạt động của cơ quan, tổ chức nhà nước và cung cấp dịch vụ trực tuyến cho người dân, doanh nghiệp.

Theo Nghị định, việc xác định hệ thống thông tin để xác định cấp độ phải căn cứ vào chức năng nghiệp vụ, dữ liệu được xử lý, người dùng hoặc đối tượng phục vụ và kết quả đầu ra của hệ thống. Phạm vi hệ thống thông tin phải phản ánh đúng bản chất vận hành thực tế, không phụ thuộc đơn thuần vào cách tổ chức hành chính, mô hình triển khai kỹ thuật hay cấu trúc hạ tầng vật lý. Đối với các hệ thống có kết nối, liên thông dữ liệu hoặc dùng chung tài nguyên hạ tầng, phải xem xét cả khả năng lan truyền rủi ro và ảnh hưởng dây chuyền.

Nghị định quy định 05 cấp độ hệ thống thông tin, từ cấp độ 1 đến cấp độ 5. Trường hợp một hệ thống đồng thời đáp ứng nhiều tiêu chí thuộc các cấp độ khác nhau thì áp dụng cấp độ cao nhất; không được xác định hoặc phân tách phạm vi hệ thống một cách hình thức nhằm làm thay đổi cấp độ hoặc giảm yêu cầu bảo đảm an ninh mạng.

Trong đó, hệ thống thông tin cấp độ 1 là hệ thống phục vụ hoạt động nội bộ của cơ quan, tổ chức và chỉ xử lý thông tin công cộng. Cấp độ 2 áp dụng đối với một số hệ thống phục vụ hoạt động nội bộ có xử lý thông tin riêng, thông tin cá nhân nhưng không xử lý thông tin bí mật nhà nước; hệ thống cung cấp một số dịch vụ trực tuyến hoặc hệ thống cơ sở hạ tầng thông tin phục vụ hoạt động của một cơ quan, tổ chức.

Cấp độ 3 bao gồm hệ thống xử lý thông tin bí mật nhà nước hoặc hệ thống phục vụ quốc phòng, an ninh theo tiêu chí quy định; hệ thống giải quyết thủ tục hành chính; một số hệ thống cung cấp dịch vụ trực tuyến có xử lý dữ liệu cá nhân với quy mô lớn; hệ thống cơ sở hạ tầng thông tin phục vụ hoạt động của các cơ quan, tổ chức trong phạm vi một bộ, một ngành, một tỉnh hoặc một số tỉnh.

Ở mức cao hơn, cấp độ 4 bao gồm một số hệ thống thông tin xử lý thông tin bí mật nhà nước, hệ thống quốc gia phục vụ phát triển Chính phủ điện tử hoặc hệ thống cơ sở hạ tầng thông tin trên phạm vi toàn quốc, yêu cầu vận hành 24/7 và không chấp nhận ngừng vận hành nếu không có kế hoạch trước. Cấp độ 5 áp dụng đối với các hệ thống có tính chất đặc biệt quan trọng, trong đó có hệ thống phục vụ lưu trữ dữ liệu tập trung đối với một số loại thông tin, dữ liệu đặc biệt quan trọng của quốc gia và hệ thống cơ sở hạ tầng thông tin quốc gia phục vụ kết nối liên thông Việt Nam với quốc tế.

Một điểm đáng chú ý là Nghị định yêu cầu đánh giá rủi ro an ninh mạng khi xác định cấp độ lần đầu và khi hệ thống có những thay đổi về chức năng, phạm vi phục vụ, đối tượng sử dụng, loại thông tin xử lý, công nghệ triển khai; khi mở rộng, tích hợp, kết nối liên thông, chia sẻ dữ liệu hoặc xảy ra sự cố an ninh mạng nghiêm trọng. Kết quả đánh giá rủi ro là căn cứ để đề xuất, xác định hoặc điều chỉnh cấp độ và lựa chọn biện pháp bảo đảm an ninh mạng phù hợp.

Nghị định cũng quy định cụ thể thẩm quyền thẩm định, phê duyệt cấp độ theo từng cấp độ hệ thống. Đối với hệ thống đề xuất cấp độ 3, thời gian thẩm định tối đa là 15 ngày làm việc kể từ khi nhận đủ hồ sơ hợp lệ; đối với cấp độ 4 hoặc cấp độ 5 là tối đa 25 ngày làm việc. Thời gian xử lý hồ sơ phê duyệt cấp độ tối đa là 07 ngày làm việc kể từ ngày nhận đủ hồ sơ hợp lệ.

Nghị định số 331/2026/NĐ-CP có hiệu lực thi hành từ ngày 19/8/2026. Việc xác định đúng phạm vi, cấp độ của hệ thống thông tin là cơ sở quan trọng để triển khai các biện pháp bảo vệ an ninh mạng phù hợp, bảo đảm an toàn trong quá trình xây dựng, vận hành và khai thác hệ thống thông tin.