Nghị định số 331/2026/NĐ-CP của Chính phủ quy định rõ trách nhiệm của chủ quản, đơn vị vận hành và các đơn vị chuyên trách trong bảo đảm an ninh mạng đối với hệ thống thông tin, yêu cầu công tác bảo vệ an ninh mạng được thực hiện thường xuyên, liên tục trong suốt vòng đời của hệ thống.

Theo Nghị định số 331/2026/NĐ-CP, bảo đảm an ninh mạng đối với hệ thống thông tin phải được thực hiện thường xuyên, liên tục từ khâu thiết kế, xây dựng, vận hành đến khi hủy bỏ, đồng thời tuân thủ các tiêu chuẩn, quy chuẩn kỹ thuật. Việc đầu tư các giải pháp bảo vệ cần được thực hiện tổng thể, đồng bộ, có sự dùng chung, chia sẻ tài nguyên nhằm tối ưu hiệu năng, tránh đầu tư thừa, trùng lặp.

Nghị định quy định người đứng đầu cơ quan, tổ chức là chủ quản hệ thống thông tin có trách nhiệm trực tiếp chỉ đạo và chịu trách nhiệm trước pháp luật về công tác bảo vệ an ninh mạng trong hoạt động của cơ quan, tổ chức; bố trí bộ phận hoặc nhân sự chuyên trách về an ninh mạng phù hợp với cấp độ bảo vệ của hệ thống. Trường hợp chưa có đơn vị chuyên trách về an ninh mạng độc lập, đơn vị chuyên trách về công nghệ thông tin hoặc chuyển đổi số có thể được chỉ định thực hiện nhiệm vụ này và chủ quản hệ thống thông tin phải thành lập hoặc chỉ định bộ phận chuyên trách về an ninh mạng.

Chủ quản hệ thống thông tin đồng thời có trách nhiệm chỉ đạo đơn vị vận hành xác định, lập hồ sơ đề xuất cấp độ; tổ chức thẩm định, phê duyệt hồ sơ theo quy định; chỉ đạo thực hiện đầy đủ các nhiệm vụ, biện pháp bảo vệ an ninh mạng; tổ chức kiểm tra, đánh giá an ninh mạng và quản lý rủi ro trong phạm vi cơ quan, tổ chức. Việc kiểm tra, đánh giá có thể được thực hiện theo hình thức tự đánh giá nội bộ, nhưng phải bảo đảm tính độc lập của bộ phận thực hiện đánh giá đối với đơn vị trực tiếp vận hành hệ thống.

Đối với đơn vị vận hành hệ thống thông tin, Nghị định yêu cầu thực hiện các biện pháp bảo vệ an ninh mạng theo phương án đã được chủ quản phê duyệt và theo quy định của pháp luật; định kỳ đánh giá hiệu quả của các biện pháp bảo vệ để báo cáo chủ quản điều chỉnh khi cần thiết. Đơn vị vận hành cũng phải phối hợp với đơn vị hoặc bộ phận chuyên trách về an ninh mạng để xử lý, khắc phục các điểm yếu, lỗ hổng bảo mật và nguy cơ mất an ninh mạng trong hệ thống.

Một yêu cầu quan trọng khác là đánh giá điều kiện an ninh mạng trước khi đưa hệ thống vào vận hành, sử dụng. Nội dung đánh giá bao gồm chính sách, quy chế, quy trình bảo đảm an ninh mạng; tổ chức bộ máy, nhân sự phụ trách; các biện pháp quản lý và kỹ thuật; khả năng giám sát, phát hiện, ứng phó, khắc phục sự cố và việc tuân thủ các quy định pháp luật có liên quan. Việc đánh giá cũng được thực hiện khi hệ thống có thay đổi lớn về chức năng, quy mô, công nghệ hoặc mức độ rủi ro an ninh mạng, hoặc theo yêu cầu của cơ quan có thẩm quyền.

Nghị định yêu cầu phương án bảo đảm an ninh mạng phải bao gồm các nội dung về bảo đảm an ninh mạng trong thiết kế, xây dựng và quá trình vận hành; kiểm tra, đánh giá; quản lý và giám sát rủi ro; dự phòng, ứng phó sự cố, khôi phục sau thảm họa; đồng thời xác định các yêu cầu khi kết thúc vận hành, khai thác, thanh lý, hủy bỏ hệ thống.

Các yêu cầu bảo đảm an ninh mạng được chia thành yêu cầu về quản lý và yêu cầu về kỹ thuật. Về quản lý, tập trung vào chính sách an ninh mạng, tổ chức bảo đảm an ninh mạng, nguồn nhân lực, quản lý thiết kế, xây dựng, vận hành, quản lý rủi ro và kết thúc vận hành hệ thống. Về kỹ thuật, tập trung vào bảo đảm an toàn mạng, an toàn máy chủ, an toàn ứng dụng và an toàn dữ liệu.

Đối với hệ thống thông tin được đầu tư xây dựng mới hoặc mở rộng, nâng cấp, Nghị định yêu cầu phải triển khai đầy đủ phương án bảo đảm an ninh mạng đã được phê duyệt và đáp ứng các yêu cầu về an ninh mạng trước khi đưa vào vận hành, khai thác. Quy chế bảo đảm an ninh mạng của hệ thống cũng phải được xây dựng, phê duyệt, ban hành trước khi hồ sơ đề xuất cấp độ được phê duyệt.

Bên cạnh đó, công tác kiểm tra, giám sát và đánh giá hiệu quả các biện pháp bảo đảm an ninh mạng được thực hiện định kỳ theo cấp độ và mức độ rủi ro, thường xuyên thông qua hoạt động giám sát an ninh mạng, hoặc đột xuất khi có dấu hiệu vi phạm, nguy cơ mất an ninh mạng hoặc theo yêu cầu của cơ quan có thẩm quyền. Kết quả kiểm tra, đánh giá là căn cứ để khắc phục các tồn tại, điểm yếu, lỗ hổng bảo mật và điều chỉnh các biện pháp bảo vệ khi cần thiết.

Với những quy định trên, Nghị định số 331/2026/NĐ-CP đặt yêu cầu bảo đảm an ninh mạng trở thành một nhiệm vụ xuyên suốt trong toàn bộ vòng đời của hệ thống thông tin, gắn trách nhiệm cụ thể với chủ quản, đơn vị vận hành và các bộ phận chuyên trách. Nghị định có hiệu lực thi hành từ ngày 19/8/2026, là cơ sở để các cơ quan, tổ chức rà soát, tổ chức thực hiện và tăng cường các biện pháp bảo vệ phù hợp với cấp độ, đặc điểm và mức độ rủi ro của từng hệ thống thông tin.