Luật An ninh mạng 2025: 5 nghĩa vụ mới doanh nghiệp SME dễ vô tình vi phạm
Luật An ninh mạng số 116/2025/QH15 (hiệu lực 01/07/2026) thay thế Luật 2018: lưu trữ dữ liệu tại Việt Nam, phản hồi cơ quan chức năng trong 3-24 giờ, phân loại cấp độ hệ thống theo TCVN 11930:2017, dành tối thiểu 15% ngân sách chuyển đổi số cho an ninh mạng và kiểm soát AI/Deepfake.
Tình huống thực tế
Một công ty phần mềm 40 nhân viên ở quận 7 vận hành ứng dụng đặt lịch thu thập thông tin khách hàng, toàn bộ dữ liệu đặt trên cloud nước ngoài. Kể từ 01/07/2026 — ngày Luật An ninh mạng số 116/2025/QH15 có hiệu lực — công ty này nằm trong diện bắt buộc lưu trữ dữ liệu người dùng Việt Nam tại Việt Nam, phản hồi cơ quan chức năng trong vòng 24 giờ và xác định cấp độ hệ thống thông tin theo tiêu chuẩn. Hạ tầng hiện tại không đáp ứng bất kỳ yêu cầu nào. Không chỉ 'công ty công nghệ lớn' mới bị điều chỉnh: luật mới áp dụng cho mọi tổ chức thu thập, xử lý thông tin cá nhân và dữ liệu do người dùng Việt Nam tạo ra. KTS Group là đơn vị cung cấp dịch vụ CNTT tại TP.HCM với hơn 10 năm kinh nghiệm và 500+ khách hàng doanh nghiệp SME — hỗ trợ doanh nghiệp rà soát hiện trạng và triển khai hạ tầng đáp ứng luật mới. Liên hệ 0888 820 478 để được tư vấn miễn phí.
Vấn đề & Nguyên nhân
1. Phải lưu trữ dữ liệu tại Việt Nam, doanh nghiệp nước ngoài phải thành lập văn phòng đại diện
Theo Điều 25 Luật An ninh mạng số 116/2025/QH15, doanh nghiệp trong và ngoài nước có thu thập, khai thác, xử lý thông tin cá nhân, dữ liệu quan hệ và dữ liệu do người dùng tại Việt Nam tạo ra phải lưu trữ toàn bộ các loại dữ liệu này tại Việt Nam tro...
2. Phản hồi cơ quan chức năng trong khung giờ chặt: 24 giờ, khẩn cấp 3-6 giờ
Luật mới thiết lập cơ chế phối hợp, phản hồi nhanh giữa doanh nghiệp và cơ quan chức năng: cung cấp dữ liệu, thông tin người dùng cho lực lượng chuyên trách của Bộ Công an chậm nhất 24 giờ, trường hợp khẩn cấp (đe dọa an ninh quốc gia, tính mạng con ...
3. Phải phân loại cấp độ hệ thống thông tin theo TCVN 11930:2017
Điều 8 và Điều 10 quy định hệ thống thông tin được phân loại từ Cấp độ 1 đến Cấp độ 5 theo TCVN 11930:2017 làm cơ sở xác định yêu cầu bảo vệ. Hệ thống cấp độ 1-2 được chủ động đánh giá rủi ro, chọn biện pháp phù hợp. Hệ thống từ cấp độ 3 trở lên bắt ...
4. Dự án chuyển đổi số phải dành tối thiểu 15% kinh phí cho an ninh mạng
Điều 38 Luật An ninh mạng 2025 yêu cầu cơ quan, tổ chức, doanh nghiệp nhà nước khi triển khai dự án chuyển đổi số hoặc ứng dụng công nghệ thông tin phải dành tối thiểu 15% tổng kinh phí cho các giải pháp bảo đảm an ninh mạng. Quan điểm chính sách: an...
5. Quản lý chặt việc ứng dụng AI và công nghệ Deepfake
Điều 7 đưa trí tuệ nhân tạo vào phạm vi điều chỉnh: nghiêm cấm sử dụng AI hoặc công nghệ mới để giả mạo hình ảnh, video, giọng nói (deepfake) trái quy định; cấm phát tán thông tin sai sự thật gây hoang mang dư luận hoặc ảnh hưởng đến an ninh, trật tự...
Hậu quả nếu không xử lý
Giải pháp từng bước
Bước 1: Rà soát hiện trạng dữ liệu và xác định cấp độ hệ thống thông tin
Thực hiện kiểm toán dữ liệu (data audit): xác định luồng thông tin cá nhân, dữ liệu người dùng Việt Nam đang được thu thập, lưu trữ, xử lý ở đâu (cloud nước ngoài, server nội bộ, máy trạm). Đánh giá hạ tầng cloud và on-premise, phân loại cấp độ hệ thống theo TCVN 11930:2017. Kết quả rà soát là cơ sở để lập danh sách việc phải làm: di dời dữ liệu, bổ sung hạ tầng, thay đổi nhà cung cấp cloud trong nước đạt chuẩn.
Bước 2: Đầu tư hạ tầng bảo mật theo cấp độ hệ thống
Hệ thống từ cấp độ 3 trở lên cần đầy đủ: tường lửa doanh nghiệp (FortiGate), bảo vệ endpoint (Bitdefender GravityZone, Kaspersky Endpoint Security), sao lưu dữ liệu theo nguyên tắc 3-2-1 (NAS Synology + cloud), giám sát an ninh mạng 24/7, quản lý và lưu trữ nhật ký hệ thống đúng thời hạn. Với SME chưa có IT nội bộ, đây là lúc cần đơn vị dịch vụ CNTT đồng hành triển khai, thay vì tự lắp đặt thiếu bài bản.
Bước 3: Xây dựng quy trình ứng phó sự cố và phối hợp cơ quan chức năng
Thiết lập quy trình phản ứng sự cố (incident response): đội trực vận hành, quy trình tiếp nhận yêu cầu từ cơ quan chức năng, quy trình cung cấp dữ liệu trong 24 giờ / 3 giờ khẩn cấp, quy trình chặn lọc, ngăn chặn nội dung vi phạm trong 24 giờ / 6 giờ khẩn cấp. Lưu trữ nhật ký hệ thống đúng thời hạn và có khả năng xuất, bàn giao khi có yêu cầu. Quy trình này cần được viết thành tài liệu và diễn tập định kỳ — không thể 'ứng biến' khi có tình huống.
Bước 4: Đào tạo nhân sự và cập nhật tuân thủ định kỳ
Huấn luyện an toàn thông tin cho nhân viên (nhận diện phishing, quản lý mật khẩu, quy trình báo cáo sự cố), đào tạo chuyên sâu và chứng nhận cho nhân sự vận hành hệ thống cấp độ 3 trở lên tại doanh nghiệp nhà nước. Rà soát điều kiện kinh doanh và giấy phép nếu doanh nghiệp cung cấp dịch vụ an ninh mạng. Theo dõi văn bản hướng dẫn của Bộ Công an để cập nhật nghĩa vụ mới — KTS hỗ trợ rà soát, tư vấn và triển khai giải pháp hạ tầng đáp ứng Luật An ninh mạng 2025 — liên hệ 0888 820 478 để được khảo sát hiện trạng miễn phí.
Doanh nghiệp của bạn đã xác định cấp độ hệ thống và nghĩa vụ theo Luật An ninh mạng 2025 chưa?
Đội ngũ KTS sẵn sàng tư vấn miễn phí, không ràng buộc. Gọi ngay hoặc để lại SĐT — chúng tôi gọi lại trong 15 phút.
Tư vấn miễn phí • Không spam • Bảo mật thông tin