An toàn thông tin cấp độ 4 là gì, vì sao sàn phải đạt?

Tin “sàn X đạt an toàn thông tin cấp độ 4” xuất hiện dày từ tháng 10/2026, nhưng ít bài nói cấp độ 4 nằm ở đâu trong thang đo của pháp luật, ai ký và nó chứng minh được gì. Phần dưới dẫn nguyên văn luật và nghị định đang hiệu lực, không dựa vào lời kể lại.

An toàn thông tin cấp độ 4 là gì?

Cấp độ 4 là mức thứ hai từ trên xuống trong thang 5 cấp độ mà pháp luật dùng để xếp hệ thống thông tin theo mức tổn hại nếu gặp sự cố. Hệ thống thông tin ở đây là toàn bộ máy chủ, phần mềm, mạng và dữ liệu một tổ chức dùng để vận hành dịch vụ, với sàn là nền tảng giao dịch, ví và cơ sở dữ liệu khách hàng.

Từ 01/7/2026, thang đo này nằm ở Luật An ninh mạng số 116/2025/QH15. Luật này thay Luật An toàn thông tin mạng 86/2015/QH13 và Luật An ninh mạng 24/2018/QH14 (Điều 44). Luật quy định cấp độ 4 như sau:

“d) Cấp độ 4 có thể làm tổn hại đặc biệt nghiêm trọng tới lợi ích công cộng, trật tự, an toàn xã hội hoặc làm tổn hại nghiêm trọng tới an ninh quốc gia;”

Luật An ninh mạng 116/2025/QH15, Điều 8 khoản 1

Tên gọi trong tin tức vẫn là “an toàn thông tin” hay “an toàn hệ thống thông tin” vì Nghị quyết 05/2025/NQ-CP (nghị quyết của Chính phủ về thí điểm thị trường tài sản mã hóa) ra đời khi luật cũ còn hiệu lực. Nghị quyết lấy Luật An toàn thông tin mạng 86/2015 và Luật An ninh mạng 24/2018 làm căn cứ, cả hai hết hiệu lực từ 01/7/2026, và đòi cấp độ 4 “theo quy định pháp luật về an toàn thông tin”. Trong các văn bản chúng tôi đã đối chiếu, chưa thấy văn bản nào sửa câu chữ này của Nghị quyết 05.

Theo cách đọc của VietnamBit, quy định về cấp độ nay nằm ở Luật An ninh mạng 116/2025/QH15 và Nghị định 331/2026/NĐ-CP, văn bản hướng dẫn luật mới. Nghị định 331 chỉ nói thuật ngữ “an toàn hệ thống thông tin” trong tiêu chuẩn, quy chuẩn kỹ thuật được hiểu tương đương “an ninh mạng” trong phạm vi nghị định (Điều 39 khoản 2), không nói về câu chữ của Nghị quyết 05. Định nghĩa ngắn cũng có ở mục cấp độ 4 trong bảng thuật ngữ.

Thang 5 cấp độ khác nhau thế nào?

Cấp càng cao thì tổn hại có thể xảy ra càng lớn, và cơ quan thẩm định càng ở cấp cao hơn. Cấp 1, 2, 3 do đơn vị an ninh mạng của chính chủ quản thẩm định. Từ cấp 4, Bộ Công an chủ trì thẩm định.

Cấp độ	Sự cố có thể gây tổn hại (Luật Điều 8)	Ai thẩm định (NĐ 331 Điều 18)	Ai phê duyệt
1	Quyền, lợi ích hợp pháp của tổ chức, cá nhân	Đơn vị an ninh mạng của chủ quản	Đơn vị đó, báo cáo chủ quản
2	Nghiêm trọng tới quyền, lợi ích tổ chức, cá nhân hoặc tổn hại lợi ích công cộng	Đơn vị an ninh mạng của chủ quản	Đơn vị đó, báo cáo chủ quản
3	Đặc biệt nghiêm trọng tới quyền, lợi ích tổ chức, cá nhân; nghiêm trọng tới lợi ích công cộng; tổn hại trật tự, an toàn xã hội; hoặc tổn hại an ninh quốc gia	Đơn vị an ninh mạng của chủ quản	Chủ quản hệ thống
4	Đặc biệt nghiêm trọng tới lợi ích công cộng, trật tự, an toàn xã hội hoặc nghiêm trọng tới an ninh quốc gia	Bộ Công an chủ trì	Chủ quản hệ thống
5	Đặc biệt nghiêm trọng tới an ninh quốc gia	Bộ Công an chủ trì	Thủ tướng phê duyệt danh mục; chủ quản phê duyệt phương án an ninh mạng

Cột 2 rút gọn từ Luật An ninh mạng 116/2025/QH15 Điều 8 khoản 1. Bộ Quốc phòng, Ban Cơ yếu Chính phủ thẩm định cấp 4, 5 với hệ thống quân sự, cơ yếu. Đối chiếu văn bản gốc ngày 31/10/2026.

“Chủ quản hệ thống thông tin” với doanh nghiệp là cấp có thẩm quyền quyết định đầu tư xây dựng, nâng cấp hệ thống đó (Nghị định 331 Điều 4 khoản 2). Với một sàn, đó là chính doanh nghiệp xin phép.

Tiêu chí cấp độ 4 trong Nghị định 331 nói gì?

Nghị định 331/2026/NĐ-CP liệt kê bốn nhóm hệ thống cấp độ 4, không nhóm nào gọi tên sàn tài sản mã hóa. Nghị định ký ngày 19/8/2026, có hiệu lực cùng ngày (Điều 38), đăng Công báo số 499 ngày 04/9/2026. Điều 14 viết:

“Hệ thống thông tin cấp độ 4 là hệ thống có một trong các tiêu chí sau:

1. Hệ thống thông tin xử lý thông tin bí mật nhà nước hoặc hệ thống phục vụ quốc phòng, an ninh khi bị phá hoại sẽ làm tổn hại nghiêm trọng tới an ninh quốc gia.
2. Hệ thống thông tin quốc gia phục vụ phát triển Chính phủ điện tử hoặc hệ thống cơ sở hạ tầng thông tin phục vụ hoạt động của các cơ quan, tổ chức trên phạm vi toàn quốc, yêu cầu vận hành 24/7 và không chấp nhận ngừng vận hành mà không có kế hoạch trước.
3. Hệ thống thông tin điều khiển công nghiệp trực tiếp phục vụ điều khiển, vận hành hoạt động bình thường của các công trình xây dựng cấp I theo phân cấp của pháp luật về xây dựng.
4. Hệ thống thông tin khác do Thủ tướng Chính phủ quyết định hoặc được đánh giá rủi ro an ninh mạng theo Khung quản lý rủi ro an ninh mạng.”

Theo cách đọc của VietnamBit, tiêu chí chung xếp dịch vụ trực tuyến cho người dân, doanh nghiệp ở cấp độ 2 hoặc 3, và Điều 14 không có nhóm dịch vụ trực tuyến. Điều 13 khoản 2 xếp vào cấp 3 dịch vụ trực tuyến thuộc ngành nghề kinh doanh có điều kiện, hoặc xử lý thông tin cá nhân từ 100.000 người trở lên (từ 10.000 người với dữ liệu nhạy cảm).

Cũng theo cách đọc đó, mức cấp độ 4 với sàn đến từ Nghị quyết 05, một văn bản riêng cho thị trường thí điểm, chứ không tự suy ra từ tiêu chí chung, trừ trường hợp hệ thống được xếp theo khoản 4 Điều 14 (Thủ tướng quyết định hoặc đánh giá rủi ro an ninh mạng). Khi một hệ thống khớp nhiều tiêu chí, áp cấp cao nhất (Nghị định 331 Điều 8 khoản 2).

Vì sao Nghị quyết 05 buộc sàn đạt cấp độ 4?

Nghị quyết 05 đặt cấp độ 4 thành điều kiện cấp phép và giao Bộ Công an thẩm định, nhưng không viết ra lý do. Điều kiện nằm ở Điều 8 khoản 7:

“Hệ thống công nghệ thông tin của Tổ chức cung cấp dịch vụ tài sản mã hóa phải đáp ứng tiêu chuẩn cấp độ 4 an toàn hệ thống công nghệ thông tin theo quy định pháp luật về an toàn thông tin trước khi đưa vào vận hành, khai thác.”

Nghị quyết 05/2025/NQ-CP, Điều 8 khoản 7

Hồ sơ xin phép phải có tài liệu chứng minh điều đó:

“7. Văn bản thẩm định của Bộ Công an đối với hồ sơ đề xuất an toàn hệ thống thông tin cấp độ 4 của tổ chức đăng ký.”

Nghị quyết 05/2025/NQ-CP, Điều 9 khoản 7

Nghị quyết còn giao Bộ Công an “chủ trì thẩm định mức độ bảo mật, an ninh, an toàn mạng đối với tổ chức cung cấp dịch vụ tài sản mã hóa” (Điều 17 khoản 3). Bộ phận công nghệ của sàn phải có tối thiểu 10 người có văn bằng, chứng chỉ về an toàn thông tin mạng (Điều 8 khoản 5 điểm c, điểm này dẫn Điều 50 Luật An toàn thông tin mạng, luật đã hết hiệu lực từ 01/7/2026).

Văn bản không giải thích vì sao chọn mức 4. Những gì văn bản cho thấy là sàn giữ tiền và tài sản mã hóa của khách, phải “bảo đảm an ninh, an toàn hệ thống công nghệ thông tin” (Điều 15 khoản 2 điểm a). Sàn cũng phải bồi thường theo quy định pháp luật khi khách mất tài sản do hệ thống bảo mật mất an toàn, bị xâm nhập (điểm m).

Ai thẩm định, ai phê duyệt cấp độ 4?

Bộ Công an thẩm định, còn doanh nghiệp, với tư cách chủ quản hệ thống, ký quyết định phê duyệt. Nghị định 331 Điều 18 khoản 3 viết Bộ Công an “chủ trì, phối hợp với chủ quản hệ thống thông tin và các bộ, ngành có liên quan thực hiện thẩm định hồ sơ đề xuất cấp độ”. Điểm d cùng khoản: “Chủ quản hệ thống thông tin phê duyệt hồ sơ đề xuất cấp độ đối với hệ thống thông tin cấp độ 4”.

Trong tin tức, đơn vị thẩm định thường được nhắc là Cục A05, tức Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao thuộc Bộ Công an. Các bước theo Nghị định 331 Điều 20, viết cho hệ thống đang vận hành. Hệ thống xây mới thì lồng thuyết minh cấp độ vào hồ sơ dự án (Điều 19), thời hạn thẩm định ở Điều 23 áp chung:

1. Lập hồ sơ đề xuất cấp độ gồm 5 nhóm tài liệu: mô tả tổng quan hệ thống, tài liệu thiết kế, thuyết minh vì sao đề xuất cấp độ đó, thuyết minh phương án bảo đảm an ninh mạng, ý kiến chuyên môn của đơn vị an ninh mạng nội bộ (Điều 21).
2. Gửi hồ sơ tới Bộ Công an. Hồ sơ chưa hợp lệ được phản hồi, hướng dẫn bổ sung trong tối đa 05 ngày làm việc (Điều 23 khoản 2).
3. Thẩm định trong tối đa 25 ngày làm việc kể từ khi nhận đủ hồ sơ hợp lệ (Điều 23 khoản 3 điểm b). Nội dung thẩm định: cấp độ đề xuất có phù hợp không, phương án an ninh mạng trong thiết kế và trong vận hành có phù hợp không (khoản 1).
4. Phê duyệt: hồ sơ gồm hồ sơ đề xuất và ý kiến thẩm định của Bộ Công an (Điều 24 khoản 1). Chủ quản xử lý trong tối đa 07 ngày làm việc kể từ ngày nhận đủ hồ sơ hợp lệ (khoản 2), bằng quyết định theo Mẫu số 06.

Nghị định 331 có điều khoản chuyển tiếp. Hệ thống đang đầu tư, xây dựng trước 01/7/2026 được hoàn thành thẩm định, phê duyệt cấp độ theo Nghị định 85/2016/NĐ-CP (văn bản hướng dẫn luật cũ) trong 06 tháng từ ngày đó, và trong 12 tháng từ ngày đó phải đáp ứng điều kiện, biện pháp theo Nghị định 331 (Điều 39 khoản 1). Các thông báo của doanh nghiệp mà chúng tôi đọc (đến ngày 31/10/2026) không nói hồ sơ đi theo nghị định nào.

Được thẩm định cấp độ 4 có phải đã được cấp phép?

Không. Văn bản thẩm định cấp độ 4 chỉ là một trong 8 nhóm tài liệu của hồ sơ xin phép. Giấy phép là quyết định riêng của Bộ Tài chính, sau khi phối hợp với Bộ Công an và Ngân hàng Nhà nước xem xét đủ hồ sơ (Nghị quyết 05 Điều 10 khoản 4).

Theo công bố của doanh nghiệp và báo chí, 3 hồ sơ xin phép đã được Bộ Công an thẩm định đề xuất cấp độ 4. Tính đến 31/10/2026, chưa sàn nào được cấp phép. Bảng từng hồ sơ có ở trang sàn tài sản mã hóa được cấp phép, còn các điều kiện khác (vốn 10.000 tỷ đồng, cổ đông, nhân sự) ở trang điều kiện cấp phép sàn.

Thẩm định hồ sơ đề xuất cũng chưa phải lúc hệ thống đã chạy đủ chuẩn. Nghị quyết 05 đòi đạt cấp độ 4 “trước khi đưa vào vận hành, khai thác”. Nghị định 331 Điều 30 khoản 6 buộc hệ thống mới phải triển khai đầy đủ phương án đã được phê duyệt trước khi vận hành. Cách phân biệt các cụm từ trong tin có ở bài đọc tin cấp phép sàn.

Cấp độ 4 có ý nghĩa gì với người dùng?

Cấp độ 4 cho biết hệ thống phải đáp ứng một bộ yêu cầu tối thiểu về quản lý và kỹ thuật, và phương án đáp ứng đã qua thẩm định của Bộ Công an. Phương án bảo đảm an ninh mạng phải gồm 7 phần (Nghị định 331 Điều 29 khoản 2):

• An ninh mạng trong thiết kế, xây dựng
• An ninh mạng khi vận hành
• Kiểm tra, đánh giá an ninh mạng
• Quản lý rủi ro
• Giám sát an ninh mạng
• Dự phòng, ứng phó sự cố, khôi phục sau thảm họa
• Kết thúc vận hành, thanh lý, hủy bỏ

Yêu cầu kỹ thuật cơ bản gồm an toàn mạng, máy chủ, ứng dụng và dữ liệu (Điều 30 khoản 4). Riêng cấp 4, 5, phương án phải “bảo đảm tính sẵn sàng, phân tách và hạn chế ảnh hưởng đến toàn bộ hệ thống” khi một thành phần bị mất an ninh mạng (khoản 5 điểm b).

Nếu hệ thống cấp 4 chạy trên trung tâm dữ liệu hoặc điện toán đám mây thuê ngoài, nó phải được tách riêng về lô-gic với hệ thống khác, có vùng mạng và phân vùng lưu trữ tách riêng (khoản 8).

Cấp độ 4 không bảo đảm điều gì?

Cấp độ 4 là mức tối thiểu theo quy định, không phải cam kết sàn không bao giờ bị tấn công. Nghị định 331 Điều 30 khoản 2 gọi các yêu cầu theo cấp độ là “các yêu cầu tối thiểu”, và chúng “không bao gồm các yêu cầu bảo đảm an ninh vật lý”. Những điều cấp độ 4 không nói lên:

• Không phải giấy phép, như phần trên.
• Không bảo vệ tài khoản khi chính người dùng lộ mật khẩu, mã xác thực hai lớp hay cụm từ khôi phục ví. Cách tự bảo vệ ở bài bảo mật ví và tài khoản sàn.
• Không phải bảo hiểm. Trách nhiệm giải quyết, bồi thường thiệt hại theo quy định pháp luật khi nhà đầu tư mất tài sản do hệ thống bảo mật mất an toàn nằm ở Nghị quyết 05 Điều 15 khoản 2 điểm m, và chỉ áp với tổ chức được cấp phép. Phạm vi cụ thể ở trang sàn bị hack có bồi thường không.
• Không nói gì về sàn nước ngoài. Nghị định 331 áp dụng với hệ thống thông tin tại Việt Nam (Điều 2). Văn bản thẩm định theo Nghị quyết 05 là tài liệu trong hồ sơ của tổ chức xin phép tại Việt Nam, không phải đánh giá về sàn nước ngoài.

Sàn có hệ thống bảo mật đầu tư lớn vẫn từng bị tấn công. Bảng các vụ lớn, cách chúng xảy ra và ai đền ở bài sàn bị hack thế nào.

Đọc một tin “sàn đạt cấp độ 4” thế nào?

Hỏi ba câu: ai công bố, văn bản nào, và Bộ Tài chính đã cấp phép chưa.

• Ai công bố. Nhiều tin dẫn lại thông cáo của chính doanh nghiệp. Chúng tôi chưa thấy Bộ Công an đăng danh sách sàn đã được thẩm định cấp độ 4 (tìm trên web ngày 31/10/2026).
• Văn bản nào. Tin đầy đủ thường nêu số công văn của Bộ Công an và ngày ký. Tin không nêu số văn bản thì chưa đối chiếu được với văn bản của Bộ Công an.
• Đã có giấy phép chưa. Chỉ danh sách giấy phép do Bộ Tài chính công bố trả lời câu này. Tiến độ cập nhật ở trang lịch cấp phép, còn các mốc từ khi thí điểm bắt đầu có ở bài một năm thí điểm thị trường tài sản mã hóa.