Từ ngày 01/7/2026, Luật An ninh mạng số 116/2025/QH15 đã chính thức có hiệu lực và đang được áp dụng trực tiếp vào thực tế vận hành của doanh nghiệp. Nhiều SME hiện vẫn hoạt động theo quy định cũ mà chưa kịp cập nhật, đặc biệt là các đơn vị không thuộc nhóm công nghệ nhưng có sử dụng website bán hàng, ứng dụng đặt lịch hoặc hệ thống lưu trữ thông tin khách hàng. Phần lớn những doanh nghiệp này đều thuộc phạm vi điều chỉnh của đạo luật mới nhưng lại hoàn toàn chưa nhận ra.
Câu hỏi đầu tiên mà tôi thường nhận được từ các chủ doanh nghiệp là: công ty mình có thuộc diện áp dụng hay không, và nếu có thì phải bắt đầu từ đâu? Trong bài viết này, tôi sẽ giải đáp thắc mắc dưới góc nhìn của một người đồng hành cùng doanh nghiệp: không đi sâu vào ngôn ngữ pháp lý phức tạp, mà tập trung làm rõ doanh nghiệp cần làm gì, làm khi nào và tại sao.
Luật An ninh mạng 2025 là gì, và vì sao nó khác luật cũ
Luật An ninh mạng số 116/2025/QH15 được Quốc hội khóa XV thông qua ngày 10/12/2025 tại Kỳ họp thứ 10 với kết cấu gồm 8 chương. Điểm cốt lõi doanh nghiệp cần chú ý là luật này hợp nhất và thay thế đồng thời hai luật cũ — Luật An ninh mạng 2018 (số 24/2018/QH14) cùng Luật An toàn thông tin mạng 2015 (số 86/2015/QH13, đã sửa đổi năm 2018).
Trước đây, sự tồn tại song song của hai đạo luật gây ra nhiều quy định trùng lặp, khiến doanh nghiệp phải thực hiện hai bộ thủ tục cho cùng một đối tượng quản lý. Việc hợp nhất giúp xóa bỏ sự chồng chéo này, đồng thời đặt trách nhiệm chủ động cao hơn lên doanh nghiệp, thay vì tâm lý thụ động chờ yêu cầu từ cơ quan chức năng mới xử lý.
Đáng chú ý, luật lần đầu tiên luật hóa đầy đủ khái niệm “an ninh dữ liệu” như một nội dung độc lập, tách biệt rõ ràng với khái niệm an toàn thông tin mạng trước đây. Thay đổi này thể hiện tư duy quản lý hiện đại: bảo vệ dữ liệu như một tài nguyên số chiến lược, không đơn thuần chỉ bảo vệ hạ tầng kỹ thuật.
Doanh nghiệp nào chịu ảnh hưởng?
Rất nhiều SME đang hiểu sai khi cho rằng luật mới chỉ điều chỉnh các công ty công nghệ hoặc đơn vị kinh doanh sản phẩm bảo mật. Thực tế cho thấy, phạm vi tác động của Luật An ninh mạng 2025 rộng lớn hơn thế nhiều.
Về nguyên tắc, luật áp dụng đối với mọi cơ quan, tổ chức, cá nhân Việt Nam mà không phân biệt ngành nghề hoạt động. Tuy nhiên, các nhóm đối tượng chịu trách nhiệm trực tiếp và cụ thể nhất bao gồm:
-
Doanh nghiệp cung cấp dịch vụ trên mạng viễn thông, mạng Internet, dịch vụ gia tăng trên không gian mạng (website bán hàng, app đặt hàng, cổng thông tin khách hàng, dịch vụ email/lưu trữ…)
-
Chủ quản hệ thống thông tin — tức bất kỳ doanh nghiệp nào đang vận hành hệ thống lưu trữ, xử lý dữ liệu khách hàng, nhân viên, giao dịch
-
Doanh nghiệp kinh doanh sản phẩm, dịch vụ an ninh mạng (nhóm này có thêm yêu cầu về giấy phép)
Tóm lại, nếu công ty sở hữu website thu thập thông tin khách hàng, dùng phần mềm quản lý nội bộ lưu dữ liệu nhân viên, hay vận hành hệ thống bán hàng online — doanh nghiệp của bạn gần như chắc chắn thuộc phạm vi điều chỉnh, bất kể quy mô lớn hay nhỏ.
Những thay đổi doanh nghiệp cần nắm — không cần đọc hết 8 chương
Trách nhiệm chủ động phòng ngừa, không chỉ chờ yêu cầu
Căn cứ Điều 14, chủ quản hệ thống thông tin và doanh nghiệp cung cấp dịch vụ phải chủ động triển khai biện pháp quản lý và kỹ thuật nhằm kịp thời phòng ngừa, phát hiện, ngăn chặn cũng như gỡ bỏ thông tin vi phạm pháp luật trên hệ thống của mình. Doanh nghiệp không thể tiếp tục thụ động chờ thông báo hay yêu cầu xử lý từ cơ quan quản lý như trước đây.
Đối với các hành vi vi phạm nghiêm trọng, khi nhận được chỉ đạo từ lực lượng chuyên trách, doanh nghiệp bắt buộc phải xử lý trong thời hạn quy định. Các hướng dẫn thực thi thực tế hiện nêu rõ mốc thời gian tối đa là 24 giờ kể từ thời điểm nhận yêu cầu.
Luật quy định 5 cấp độ an toàn hệ thống thông tin như thế nào
Nhiều doanh nghiệp thường bỏ qua nội dung này do cảm giác thiên về kỹ thuật, nhưng đây lại là căn cứ then chốt giúp bạn biết mình cần áp dụng biện pháp bảo vệ ở mức nào. Luật không cào bằng mà phân hóa rõ ràng để tránh gây áp lực không cần thiết cho các hệ thống nhỏ.
Theo Điều 8 của luật, hệ thống thông tin được phân thành 1 trong 5 cấp độ dựa trên quy mô thiệt hại thực tế có thể xảy ra khi xảy ra sự cố hoặc bị tấn công:
| Cấp độ | Mức độ ảnh hưởng khi xảy ra sự cố |
| Cấp 1 | Ảnh hưởng đến quyền, lợi ích hợp pháp của tổ chức/cá nhân — mức thấp nhất |
| Cấp 2 | Ảnh hưởng nghiêm trọng đến quyền, lợi ích hợp pháp của tổ chức/cá nhân, hoặc ảnh hưởng đến lợi ích công cộng |
| Cấp 3 | Ảnh hưởng đặc biệt nghiêm trọng đến tổ chức/cá nhân; ảnh hưởng nghiêm trọng đến lợi ích công cộng, trật tự xã hội, hoặc an ninh quốc gia |
| Cấp 4 | Ảnh hưởng đặc biệt nghiêm trọng đến lợi ích công cộng, trật tự xã hội, hoặc ảnh hưởng nghiêm trọng đến an ninh quốc gia |
| Cấp 5 | Ảnh hưởng đặc biệt nghiêm trọng đến an ninh quốc gia — mức cao nhất, gắn với hệ thống thông tin quan trọng về an ninh quốc gia |
Điểm cốt lõi SME cần lưu ý: cấp độ hệ thống càng cao thì nghĩa vụ pháp lý càng lớn. Khi ở cấp độ 1 và 2, doanh nghiệp được chủ động lựa chọn biện pháp bảo vệ phù hợp với điều kiện, năng lực và tài chính thực tế của mình. Mặc dù vậy, từ cấp độ 3 trở lên, quy định siết chặt hơn nhiều: hệ thống bắt buộc phải kiểm thử kỹ thuật xâm nhập thực tế do đơn vị đánh giá độc lập thực hiện định kỳ, việc tự kiểm tra nội bộ sẽ không còn hợp lệ.
Phần lớn doanh nghiệp SME sở hữu website bán hàng, ứng dụng đặt lịch hoặc CRM nội bộ không chứa bí mật nhà nước sẽ thuộc cấp độ 1 hoặc 2. Điều này giảm bớt gánh nặng tuân thủ ban đầu, nhưng tôi vẫn khuyên bạn nên chủ động xác định đúng cấp độ hệ thống của mình. Nếu doanh nghiệp xử lý dữ liệu nhạy cảm quy mô lớn như thông tin thanh toán hay hồ sơ hàng chục nghìn người dùng, nguy cơ bị xếp vào cấp độ 3 là hoàn toàn có thể xảy ra.
Doanh nghiệp làm đánh giá cấp độ an toàn thông tin như thế nào
Dù Luật An ninh mạng 2025 đã xác lập khung 5 cấp độ, các bước lập hồ sơ, thẩm định và phê duyệt thực tế hiện vẫn căn cứ theo Nghị định 85/2016/NĐ-CP cùng Thông tư 12/2022/TT-BTTTT. Khi Chính phủ ban hành nghị định hướng dẫn chi tiết mới, các nguyên tắc nền tảng vẫn sẽ được giữ vững. Doanh nghiệp chỉ cần nắm rõ quy trình 4 bước cơ bản sau:
Bước 1 — Xác định hệ thống thông tin. Bắt đầu bằng việc kiểm kê toàn bộ hạ tầng đang vận hành như website, ứng dụng di động, hệ thống CRM, email doanh nghiệp hay phần mềm kế toán. Mỗi hệ thống phải được xem xét độc lập chứ không đánh giá gộp chung.
Bước 2 — Phân loại thông tin đang xử lý. Xác định chính xác dạng dữ liệu hệ thống đang lưu giữ, bao gồm thông tin công khai, dữ liệu cá nhân của khách hàng, hồ sơ tài chính hay các thông tin nhạy cảm khác. Bản chất dữ liệu càng quan trọng thì cấp độ an toàn yêu cầu càng cao.
Bước 3 — Phân loại hệ thống thông tin. Căn cứ vào quy mô, đối tượng phục vụ (nội bộ hay công khai) và mức độ tổn thất thực tế nếu hệ thống bị gián đoạn để đưa ra đánh giá tương ứng.
Bước 4 — Xác định cấp độ và lập hồ sơ đề xuất cấp độ. Doanh nghiệp hoàn thiện Hồ sơ đề xuất cấp độ an toàn thông tin để mô tả hiện trạng hệ thống và biện pháp bảo vệ. Tài liệu này phải đảm bảo 3 tiêu chí nền tảng: tính bí mật (chống truy cập trái phép), tính toàn vẹn (chống sai lệch dữ liệu) và tính sẵn sàng (đảm bảo hệ thống vận hành liên tục).
Đối với các hệ thống cấp độ 1–2, hồ sơ chỉ cần do bộ phận IT hoặc nhân sự phụ trách của doanh nghiệp thẩm định, sau đó trình người đứng đầu phê duyệt. Doanh nghiệp không bắt buộc phải thuê tư vấn ngoài, nhưng với các đội ngũ thiếu nhân sự chuyên sâu về bảo mật, sự hỗ trợ từ chuyên gia ban đầu sẽ giúp tiết kiệm thời gian và tránh các sai sót thủ tục.
Lưu ý thực tế từ tôi: bạn không nên chờ đến khi có sự cố mới bắt đầu làm hồ sơ. Việc chuẩn bị tài liệu này nên tiến hành song song với đợt rà soát hạ tầng, tạo dựng cơ sở pháp lý vững chắc sẵn sàng cho các đợt thanh tra chuyên ngành.
Yêu cầu lưu trữ và bảo mật dữ liệu
Doanh nghiệp cung cấp dịch vụ trên không gian mạng có nghĩa vụ triển khai hạ tầng bảo mật kỹ thuật để bảo vệ dữ liệu người dùng, đồng thời phát hiện và ứng cứu kịp thời khi xảy ra sự cố lộ rò thông tin. Đây là thời điểm bạn cần rà soát lại nơi lưu trữ: máy chủ đang đặt ở đâu và có đáp ứng đúng quy định về lưu trữ dữ liệu tại Việt Nam hay không.
Hành vi bị nghiêm cấm — bổ sung nhiều điểm mới
Bên cạnh các hành vi cấm truyền thống như tấn công mạng hay phát tán mã độc, luật mới đã bổ sung quy định nghiêm cấm sử dụng AI và công nghệ mới để giả mạo hình ảnh, video, giọng nói trái pháp luật. Đồng thời, hành vi thu thập, mua bán, chia sẻ dữ liệu cá nhân trái phép bị cấm tuyệt đối. Các doanh nghiệp cần kiểm tra lại toàn bộ luồng thu thập và xử lý dữ liệu khách hàng để tránh vô tình mắc phải các sai phạm này.
Trách nhiệm khi có trẻ em sử dụng dịch vụ
Trường hợp sản phẩm hay dịch vụ số của doanh nghiệp cho phép người dùng là trẻ em, luật quy định cha mẹ hoặc người giám hộ phải trực tiếp đứng tên đăng ký và chịu trách nhiệm quản lý. Các doanh nghiệp đang vận hành nền tảng giáo dục, ứng dụng giải trí hay dịch vụ tiêu dùng cần nhanh chóng cập nhật lại quy trình xác thực này trên hệ thống.
Doanh nghiệp SME cần làm gì — theo thứ tự ưu tiên
Doanh nghiệp không nhất thiết phải triển khai đồng loạt mọi hoạt động cùng một lúc. Dưới đây là lộ trình gồm 6 bước tối ưu tôi khuyên các SME nên áp dụng:
Bước 1 — Xác định phạm vi áp dụng thực tế của doanh nghiệp mình. Lập danh mục chi tiết các hệ thống đang thu thập và lưu giữ dữ liệu như website thương mại, app di động, phần mềm CRM, hệ thống kế toán hay email doanh nghiệp.
Bước 2 — Rà soát nơi lưu trữ dữ liệu. Kiểm tra chính xác dữ liệu khách hàng và nhân sự đang lưu trữ tại đâu — server nội bộ, hạ tầng cloud trong nước hay quốc tế — để so sánh với chuẩn mực bảo mật của luật.
Bước 3 — Thiết lập hoặc rà lại quy trình ứng cứu sự cố. Chuẩn hóa quy trình xử lý sự cố bằng văn bản, trong đó quy định rõ người phát hiện, luồng báo cáo và mốc thời gian khắc phục. Văn bản này sẽ phục vụ trực tiếp cho quá trình kiểm tra tuân thủ.
Bước 4 — Lưu giữ hồ sơ, log, biên bản. Việc triển khai trên thực tế phải đi kèm chứng cứ pháp lý. Doanh nghiệp cần chủ động lưu trữ nhật ký hệ thống (log) và các biên bản vận hành để chứng minh năng lực kiểm soát liên tục.
Bước 5 — Cập nhật chính sách bảo mật/điều khoản sử dụng công khai trên website, đảm bảo phản ánh chính xác quy trình thu thập, lưu trữ cũng như mục đích sử dụng dữ liệu.
Bước 6 — Đào tạo nhân sự vận hành hệ thống nhằm nâng cao nhận thức về các quy định cấm và trách nhiệm báo cáo, loại bỏ rủi ro vi phạm xuất phát từ sự thiếu hiểu biết của nhân viên.
Nếu doanh nghiệp chưa từng thực hiện kiểm tra an toàn thông tin bài bản, dịch vụ đánh giá tư vấn bảo mật sẽ giúp bạn làm rõ bức tranh hiện trạng trước khi lập lộ trình chuẩn hóa. Bên cạnh đó, việc chủ động rà quét lỗ hổng bảo mật là giải pháp thiết thực để bịt các điểm yếu kỹ thuật — vốn là rủi ro hàng đầu dẫn đến rò rỉ dữ liệu.
Vì sao không nên trì hoãn
Báo cáo từ Hiệp hội An ninh mạng Quốc gia cho thấy trong năm 2025, các hệ thống thông tin tại Việt Nam đã hứng chịu khoảng 552.000 cuộc tấn công mạng. Mặc dù tổng số vụ tấn công giảm so với năm trước, tỷ lệ doanh nghiệp và tổ chức chịu thiệt hại thực tế lại tăng từ 46% lên 52,3%. Tình hình này cho thấy mức độ nguy hiểm của từng cuộc tấn công đang gia tăng đáng kể.
Nếu doanh nghiệp không tuân thủ quy định, rủi ro không dừng lại ở các khoản phạt tài chính. Luật đã quy định áp dụng chế tài ngừng cung cấp dịch vụ đối với các tổ chức cố tình để thông tin vi phạm nghiêm trọng tồn tại sau khi đã có văn bản yêu cầu từ lực lượng chuyên trách. Đối với các đơn vị phụ thuộc vào website hay ứng dụng để kinh doanh, việc đình chỉ vận hành sẽ lập tức làm gián đoạn dòng tiền và uy tín thương hiệu.
Nếu hệ thống của bạn đang lưu trữ dữ liệu ở nơi chưa đáp ứng yêu cầu lưu trữ trong nước, đây là thời điểm thích hợp để xem xét lại phương án hạ tầng. Việc chuyển đổi sang giải pháp lưu trữ đám mây S3 Storage đặt tại các trung tâm dữ liệu trong nước không chỉ giải quyết triệt để yêu cầu pháp lý, mà còn tối ưu tốc độ truy cập cho khách hàng Việt Nam.
Câu hỏi thường gặp
SME nhỏ, chưa từng bị tấn công mạng, có cần quan tâm luật này không?
Có. Luật áp dụng dựa trên loại hình dịch vụ và phương thức xử lý dữ liệu, hoàn toàn không phụ thuộc vào quy mô doanh nghiệp hay lịch sử sự cố. Chỉ cần sở hữu website có thu thập thông tin người dùng, doanh nghiệp của bạn đã thuộc phạm vi điều chỉnh.
Doanh nghiệp có hệ thống thông tin đã phân loại theo luật cũ thì phải làm lại từ đầu không?
Không cần phân loại lại từ đầu. Các hệ thống vẫn được giữ nguyên cấp độ đã xác định trước đây, tuy nhiên doanh nghiệp có thời hạn 12 tháng kể từ ngày luật có hiệu lực (đến hết ngày 30/6/2027) để hoàn thiện đầy đủ các điều kiện an toàn theo tiêu chuẩn mới.
Không tuân thủ thì hậu quả cụ thể là gì?
Tùy theo tính chất vi phạm, doanh nghiệp có thể nhận yêu cầu khắc phục từ cơ quan thẩm quyền, hoặc chịu áp dụng chế tài ngừng cung cấp dịch vụ nếu không xử lý vi phạm nghiêm trọng theo đúng chỉ đạo.
Có cần thuê đơn vị tư vấn riêng để tuân thủ luật này không?
Việc này không bắt buộc đối với hệ thống cấp độ 1–2. Mặc dù vậy, nếu bộ phận nội bộ chưa có chuyên môn sâu về an toàn thông tin, một lượt tư vấn ban đầu sẽ giúp xác định chính xác công việc cần làm, tránh lãng phí nguồn lực và bỏ sót nghĩa vụ pháp lý.
Checklist nhanh cho doanh nghiệp
-
[ ] Đã xác định hệ thống/dữ liệu nào thuộc phạm vi điều chỉnh của luật
-
[ ] Đã xác định hệ thống của mình thuộc cấp độ 1–2 (tự chủ biện pháp) hay có khả năng ở cấp 3+ (cần đánh giá độc lập định kỳ)
-
[ ] Đã có (hoặc đang lập) Hồ sơ đề xuất cấp độ an toàn thông tin cho hệ thống chính
-
[ ] Đã rà soát nơi lưu trữ dữ liệu khách hàng, nhân viên
-
[ ] Đã có quy trình ứng cứu sự cố bằng văn bản
-
[ ] Đã lưu log, hồ sơ chứng minh việc duy trì kiểm soát
-
[ ] Đã cập nhật chính sách bảo mật công khai trên website
-
[ ] Đã đào tạo nhân sự vận hành về trách nhiệm và hành vi bị cấm
-
[ ] Đã đánh dấu mốc 30/6/2027 nếu hệ thống cần đáp ứng điều kiện chuyển tiếp
Luật An ninh mạng 2025 không tạo ra rào cản cản trở sự phát triển, mà phản ánh đúng thực tế: dữ liệu khách hàng luôn là mục tiêu tấn công, dù quy mô doanh nghiệp lớn hay nhỏ. Việc chủ động kiểm tra và chuẩn hóa ngay từ đầu luôn mang lại hiệu quả chi phí tối ưu hơn so với việc khắc phục hậu quả sự cố.
Nếu chưa chắc chắn về mức độ đáp ứng quy định hiện tại của hệ thống, bạn có thể liên hệ tư vấn để tôi trực tiếp đồng hành rà soát chi tiết trên hạ tầng thực tế của doanh nghiệp.
