Nghị định 331/2026: doanh nghiệp cần làm gì

Nghị định 331/2026 thay đổi căn cứ xác lập cấp độ

Ngày 19-8-2026, Chính phủ ban hành Nghị định số 331/2026/NĐ-CP quy định về bảo vệ an ninh mạng đối với hệ thống thông tin. Văn bản hướng dẫn cụ thể việc xác định cấp độ, giải quyết các vướng mắc thực tiễn như thẩm định hệ thống hiện hữu, xử lý khi quy mô người dùng tăng vượt ngưỡng và nguyên tắc lựa chọn cấp độ bảo vệ (Báo Hà Nội Mới). Cổng thông tin Bộ Công an xếp nội dung này vào nhóm quy định mới về bảo vệ an ninh mạng.

Nguyên tắc chọn cấp: không tách hệ thống để hạ cấp

Khoản 2 Điều 8 quy định khi một hệ thống đồng thời đáp ứng nhiều tiêu chí thuộc các cấp độ khác nhau, chủ quản hệ thống phải áp dụng cấp độ cao nhất để phê duyệt phương án bảo vệ. Khoản 3 Điều 8 nghiêm cấm phân tách phạm vi hệ thống một cách hình thức nhằm giảm cấp độ hoặc giảm yêu cầu bảo vệ.

Nếu cơ quan có thẩm quyền phát hiện phân tách hoặc hợp nhất không phù hợp, chủ quản hệ thống bị yêu cầu xác định lại hệ thống và cấp độ tương ứng. Với đội ngũ vận hành, nguyên tắc này đòi hỏi bản vẽ topology, phân vùng mạng và dữ liệu phải nhất quán với hồ sơ cấp độ. Không thể dùng việc tách tên miền phụ, tách cơ sở dữ liệu hoặc tách nhóm người dùng như một cách né ngưỡng.

Ngưỡng dữ liệu kích hoạt xác định lại cấp độ

Quy mô dữ liệu về số lượng chủ thể dữ liệu cá nhân cơ bản hoặc nhạy cảm là tiêu chí cứng phân định Cấp độ 2 và Cấp độ 3.

Dữ liệu	Cấp độ 2	Cấp độ 3
Chủ thể dữ liệu cá nhân cơ bản	dưới 100.000	từ 100.000 trở lên
Chủ thể dữ liệu cá nhân nhạy cảm	dưới 10.000	từ 10.000 trở lên

Khi người dùng tăng vượt ngưỡng, doanh nghiệp cần xử lý theo ba bước. Thứ nhất, đánh giá rủi ro an ninh mạng khi có thay đổi về đối tượng sử dụng, phạm vi phục vụ hoặc mở rộng quy mô, kết nối, chia sẻ dữ liệu. Thứ hai, nếu đánh giá rủi ro chi tiết xác nhận mức rủi ro cao hơn cấp hiện tại, phải đề xuất bảo vệ theo cấp cao hơn. Thứ ba, lập lại Hồ sơ đề xuất cấp độ và phương án bảo vệ theo trình tự, thủ tục như lần đầu để trình cơ quan có thẩm quyền phê duyệt theo Điều 25.

Lộ trình cho hệ thống xây dựng trước 1-7-2026

Khoản 1 Điều 39 nêu rõ hai mốc chuyển đổi. Các hệ thống thông tin của doanh nghiệp đang trong quá trình đầu tư, xây dựng trước ngày 1-7-2026 phải hoàn thành thẩm định, phê duyệt cấp độ theo Nghị định số 85/2016/NĐ-CP trong thời hạn 06 tháng kể từ ngày Luật An ninh mạng số 116/2025/QH15 có hiệu lực thi hành. Trong thời hạn 12 tháng kể từ cùng mốc hiệu lực này, hệ thống phải bảo đảm đầy đủ các điều kiện, tiêu chuẩn và biện pháp bảo vệ an ninh mạng tương ứng với cấp độ quy định tại Nghị định số 331/2026/NĐ-CP.

Luật An ninh mạng số 116/2025/QH15 có hiệu lực từ ngày 1-7-2026, nên hai mốc trên lần lượt là 1-1-2027 và 1-7-2027. Với hệ thống đang vận hành nhưng thực tế yêu cầu xác định lại cấp độ, như chuyển từ tiêu chí cũ sang tiêu chí mới, trình tự và thủ tục phê duyệt thực hiện tương tự quy trình xác định cấp độ lần đầu quy định tại Điều 25.

Dùng chung hạ tầng và trách nhiệm người đứng đầu

Nghị định khuyến khích dùng chung và chia sẻ tài nguyên để tránh đầu tư thừa, trùng lặp và lãng phí. Với Cấp độ 1, 2 và 3, phương án bảo vệ phải chủ động xem xét khả năng dùng chung các giải pháp bảo vệ và chia sẻ tài nguyên giữa các hệ thống thông tin nội bộ. Hệ thống Cấp độ 3 và 4 có thể triển khai dùng chung hạ tầng vật lý tại Cloud hoặc Data Center, miễn thiết kế tách riêng và độc lập về logic đối với hệ thống, phân vùng mạng bên trong và phân vùng lưu trữ dữ liệu. Cấp độ 5 yêu cầu tách biệt hoàn toàn về vật lý với hệ thống, phân vùng lưu trữ và thiết bị mạng chính, nhưng vẫn cho phép dùng chung giải pháp an ninh mạng nếu giải pháp đó chỉ thực hiện giám sát, phát hiện, cảnh báo hoặc bảo vệ ở lớp biên, không tạo khả năng truy cập, điều khiển hay can thiệp trực tiếp vào dữ liệu nghiệp vụ.

Điều 31 đặt trách nhiệm chỉ đạo và chịu trách nhiệm trước pháp luật lên người đứng đầu cơ quan, tổ chức. Người đứng đầu phải bố trí bộ phận hoặc nhân sự chuyên trách an ninh mạng phù hợp cấp độ, chỉ định cá nhân, bộ phận phụ trách an ninh mạng với hệ thống dùng ngân sách nhà nước. Khi chưa có đơn vị chuyên trách độc lập, cần chỉ định đơn vị CNTT hoặc chuyển đổi số làm nhiệm vụ chuyên trách an ninh mạng, hoặc thành lập bộ phận chuyên trách theo quy định.

Bắt đầu từ đâu khi chuyển từ Nghị định 85

Doanh nghiệp nên đối chiếu danh mục hệ thống, ngưỡng dữ liệu và hồ sơ cấp độ hiện tại. Với hệ thống nằm gần ngưỡng 100.000 chủ thể dữ liệu cơ bản hoặc 10.000 chủ thể dữ liệu nhạy cảm, cần chuẩn bị kịch bản đánh giá rủi ro ngay khi quy mô thay đổi. Với hệ thống Cấp độ 3 trở lên, cần rà soát thiết kế tách logic, phân vùng mạng, lưu trữ và khả năng giám sát trước khi lập hồ sơ.

Việc đối chiếu này nặng về hồ sơ pháp lý, kỹ thuật và cần hiểu đúng cấu trúc hệ thống. Đội ngũ vận hành có thể chuẩn bị dữ liệu, nhưng doanh nghiệp thường cần hỗ trợ để lập hồ sơ cấp độ và phương án bảo vệ trình cơ quan có thẩm quyền. TechShield cung cấp dịch vụ tư vấn hồ sơ cấp độ an toàn hệ thống thông tin cho doanh nghiệp đang rà soát quá trình chuyển đổi từ Nghị định 85 sang Nghị định 331/2026/NĐ-CP.