Luật An ninh mạng 116/2025: sàn và người dùng cần biết gì?

Mở tài khoản sàn, xác minh khuôn mặt, đăng nhập bằng mã gửi qua điện thoại: mọi bước đều diễn ra trên không gian mạng, tức môi trường gồm mạng viễn thông, internet, hệ thống thông tin và cơ sở dữ liệu. Luật An ninh mạng là luật chung về môi trường đó. Trang này chú giải các điều mà sàn tài sản mã hóa và người dùng sàn hay chạm tới, theo bản đăng Công báo, kèm nghị định hướng dẫn và nghị định xử phạt.

Yêu cầu “an toàn thông tin cấp độ 4” mà sàn phải đạt trước khi được cấp phép có trang riêng: an toàn thông tin cấp độ 4 là gì.

Thông tin văn bản

Mục	Nội dung
Số hiệu	116/2025/QH15
Cơ quan ban hành	Quốc hội khóa XV, kỳ họp thứ 10, thông qua ngày 10/12/2025
Hiệu lực	01/7/2026
Thay thế	Luật An toàn thông tin mạng 86/2015/QH13 (sửa bởi Luật 35/2018/QH14) và Luật An ninh mạng 24/2018/QH14
Bố cục	8 chương, 45 điều
Nghị định hướng dẫn đã đọc	331/2026 (cấp độ hệ thống thông tin), 333/2026 (biện pháp bảo vệ, lưu trữ dữ liệu, định danh địa chỉ IP), 341/2026 (mật mã dân sự)
Nghị định xử phạt	Nghị định 330/2026/NĐ-CP, hiệu lực 19/8/2026
Bản đọc	Công báo số 35 ngày 21/01/2026

VietnamBit đối chiếu nguyên văn các điều được trích trên trang ngày 31/10/2026.

Khi xem ngày 31/10/2026, trang Công báo của Luật 116 không ghi văn bản sửa đổi hay văn bản hợp nhất nào. Cơ sở dữ liệu vbpl.vn chưa xem được (cần trình duyệt). Mục lược đồ của trang đó cũng ghi 0 văn bản hướng dẫn dù đã có các nghị định nêu trên, nên chúng tôi chưa coi đây là bằng chứng luật chưa bị sửa.

Luật 116 chạm sàn và người dùng ở đâu

Luật không nêu tên sàn tài sản mã hóa. Chữ “tài sản mã hóa” chỉ xuất hiện một lần, trong danh sách hành vi bị cấm. Chúng tôi dò toàn văn Công báo và chỉ thấy chữ này ở Điều 7 khoản 2 điểm e.

Theo cách đọc của VietnamBit, phần còn lại có thể chạm tới sàn qua các khái niệm chung: doanh nghiệp cung cấp dịch vụ trên không gian mạng, chủ quản hệ thống thông tin, tài khoản số (thông tin dùng để đăng nhập, xác thực trên ứng dụng, dịch vụ mạng). Người dùng chịu các điều về hành vi bị cấm và trách nhiệm của người sử dụng không gian mạng.

Chủ đề	Điều	Ai chịu	Ý chính
Hành vi bị cấm	Điều 7	Mọi người	Lừa đảo, trao đổi trái phép thông tin tài sản mã hóa của người khác, xâm nhập trái phép
Hỗ trợ sàn trái phép	Điều 13 khoản 4	Mọi người	Tiếp thị, hỗ trợ vận hành sàn giao dịch tài sản số trái phép
Xác thực, cung cấp thông tin	Điều 25 khoản 2	Doanh nghiệp	Xác thực khi đăng ký, giao thông tin trong 24 giờ khi có yêu cầu
Lưu dữ liệu tại Việt Nam	Điều 25 khoản 3; Nghị định 333	Doanh nghiệp	Danh sách dữ liệu, tối thiểu 24 tháng
Sự cố, định danh địa chỉ IP (số nhận diện thiết bị khi kết nối internet)	Điều 41	Doanh nghiệp	Báo cáo ngay khi có sự cố
Mật mã dân sự (mã hóa bảo vệ thông tin không thuộc bí mật nhà nước)	Điều 2, 28, 29	Doanh nghiệp kinh doanh	Kinh doanh phải có giấy phép
Tài khoản của bạn	Điều 42	Người dùng	Tự bảo mật, chịu trách nhiệm khi tài khoản bị dùng làm sai
Cấp độ hệ thống	Điều 8, 45	Chủ quản hệ thống	5 cấp độ, chuyển tiếp 12 tháng

Các điều khoản chính

Điều 2: những khái niệm cần nắm

Ba khái niệm hay gặp nhất là không gian mạng, tài khoản số và mật mã dân sự. Nguyên văn định nghĩa:

• Tài khoản số: “thông tin dùng để chứng thực, xác thực, phân quyền sử dụng các ứng dụng, dịch vụ trên không gian mạng” (khoản 19).
• Mật mã dân sự: “kỹ thuật mật mã và sản phẩm mật mã được sử dụng để bảo mật hoặc xác thực đối với thông tin không thuộc phạm vi bí mật nhà nước nhằm bảo đảm an ninh thông tin cho cơ quan, tổ chức, cá nhân” (khoản 20).
• Hệ thống thông tin: tập hợp phần cứng, phần mềm và dữ liệu để tạo lập, truyền đưa, xử lý, lưu trữ thông tin trên không gian mạng (khoản 7).

Theo cách đọc của VietnamBit, tên đăng nhập và mật khẩu tài khoản sàn khớp định nghĩa tài khoản số. Luật không nêu ví dụ này.

Điều 7: hành vi bị nghiêm cấm

Điều 7 liệt kê hành vi bị cấm trên không gian mạng, trong đó có nhiều hành vi gắn với tiền và tài khoản. Những điểm liên quan tới tài sản mã hóa:

Khoản, điểm	Hành vi bị cấm (rút gọn)
Khoản 1 điểm d	Đăng tin bịa đặt, sai sự thật “trong lĩnh vực tài chính, ngân hàng, thương mại điện tử, kinh doanh theo phương thức đa cấp, chứng khoán”
Khoản 2 điểm c	Tiết lộ thông tin khách hàng dùng hợp pháp sản phẩm mật mã dân sự; “sử dụng, kinh doanh các sản phẩm mật mã dân sự không rõ nguồn gốc”
Khoản 2 điểm đ	Lừa đảo chiếm đoạt tài sản; tổ chức đánh bạc, đánh bạc qua mạng
Khoản 2 điểm e	Làm giả, trộm cắp, mua bán, thu thập, trao đổi trái phép thông tin “tài sản mã hóa, tài sản số của người khác”
Khoản 2 điểm h	Thu thập, trao đổi, kinh doanh trái pháp luật dữ liệu cá nhân của người khác
Khoản 2 điểm i	Hướng dẫn, xúi giục, lôi kéo người khác vi phạm pháp luật
Khoản 5	Xâm nhập trái phép mạng, hệ thống thông tin, cơ sở dữ liệu của người khác
Khoản 6	Tấn công, vô hiệu hóa trái pháp luật làm mất tác dụng biện pháp bảo vệ an ninh mạng

Điểm e dùng song song hai chữ “tài sản mã hóa” và “tài sản số”. Luật Công nghiệp công nghệ số 71/2025 định nghĩa tài sản số và xếp tài sản mã hóa là một loại tài sản số. Cả hai chữ ở điểm e đều đi kèm “của người khác”.

Danh sách ở khoản 1 điểm d không có chữ “tài sản mã hóa”. Luật 116 không nói tin đồn sai về một sàn hay một đồng coin có thuộc điểm này hay không.

Khoản 6 và điểm c khoản 2 hay được nhắc khi bàn về VPN (mạng riêng ảo, ứng dụng che địa chỉ IP thật). Luật không có chữ “VPN” và không định nghĩa “không rõ nguồn gốc”. Chúng tôi không kết luận dùng VPN là đúng hay sai. Phân tích riêng ở trang dùng VPN vào sàn có bị coi là đáng ngờ không.

Điều 13 khoản 4: hỗ trợ sàn giao dịch trái phép

Luật xếp việc tiếp thị, hỗ trợ vận hành sàn giao dịch tài sản số trái phép vào nhóm hành vi xâm phạm an ninh quốc gia, trật tự, an toàn xã hội. Nguyên văn điểm e:

“Thiết lập, cung cấp dịch vụ hoặc hỗ trợ vận hành, kinh doanh, giao dịch, mua bán, tiếp thị trực tuyến cho sàn giao dịch, trang thông tin điện tử, ứng dụng trái phép trên không gian mạng, bao gồm: […] sàn giao dịch tài sản số, kinh doanh theo phương thức đa cấp;”

Luật không nói sàn nào là “trái phép”. Theo Nghị quyết 05/2025/NQ-CP, chỉ tổ chức được Bộ Tài chính cấp phép mới được cung cấp dịch vụ tài sản mã hóa (Điều 4 khoản 4). Tính đến 31/10/2026, chưa sàn nào được cấp phép.

Điểm g cùng khoản nêu thêm hành vi dùng danh tính giả hoặc sử dụng trái phép thông tin của người khác để đăng ký tài khoản số, và mua bán, công khai trái phép thông tin các loại tài khoản số. Chuyện mua bán tài khoản sàn đã định danh (KYC, xác minh danh tính khách hàng) có trang riêng: mua bán tài khoản sàn đã KYC có bị phạt không.

Điều 25 và 41: nghĩa vụ của doanh nghiệp cung cấp dịch vụ trên mạng

Doanh nghiệp cung cấp dịch vụ trên internet tại Việt Nam phải xác thực người dùng, bảo mật tài khoản và giao thông tin cho Bộ Công an khi được yêu cầu. Các nghĩa vụ ở Điều 25 khoản 2:

1. Xác thực thông tin khi người dùng đăng ký tài khoản số, bảo mật thông tin và tài khoản của người dùng (điểm a).
2. Cung cấp thông tin người dùng cho lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an chậm nhất 24 giờ từ khi có yêu cầu, trường hợp khẩn cấp chậm nhất 03 giờ (điểm a).
3. Chặn, gỡ thông tin vi phạm trong 24 giờ từ khi lực lượng chuyên trách thuộc Bộ Công an yêu cầu, khẩn cấp 06 giờ; lưu nhật ký hệ thống (điểm b).
4. Lưu thông tin cá nhân, tên tài khoản, thời gian sử dụng, thông tin thanh toán phí dịch vụ, địa chỉ IP truy cập sau khi người dùng ngừng dùng dịch vụ, trong thời gian pháp luật quy định (điểm d).

Điều 41 thêm nghĩa vụ cho doanh nghiệp cung cấp dịch vụ trên không gian mạng: cảnh báo rủi ro mất an ninh mạng và hướng dẫn người dùng cách phòng ngừa; có phương án ứng cứu khẩn cấp. Khi xảy ra sự cố, doanh nghiệp phải triển khai phương án ngay và báo cáo lực lượng chuyên trách (khoản 2, 3).

Doanh nghiệp cung cấp dịch vụ trên mạng viễn thông, internet, dịch vụ gia tăng tại Việt Nam phải làm cả hai nhóm nghĩa vụ nêu trên (Điều 41 khoản 7). Luật không nói sàn tài sản mã hóa thuộc nhóm này. Theo cách đọc của VietnamBit, một sàn có trang web và ứng dụng phục vụ người dùng ở Việt Nam là doanh nghiệp cung cấp dịch vụ trên không gian mạng.

Nghị định 333/2026 định nghĩa “dịch vụ trên mạng Internet” là “dịch vụ Internet và dịch vụ nội dung thông tin trên mạng viễn thông di động theo quy định của pháp luật” (Điều 3 khoản 4), không liệt kê ngành nào. Khoản 5 định nghĩa dịch vụ gia tăng trên không gian mạng là dịch vụ viễn thông giá trị gia tăng. Vì vậy, một sàn cụ thể có phải làm từng nghĩa vụ xác thực, lưu trữ nêu trên hay không vẫn là câu hỏi mà cơ quan có thẩm quyền trả lời.

Lưu trữ dữ liệu tại Việt Nam: Nghị định 333/2026

Theo Nghị định 333, doanh nghiệp trong nước thuộc diện Luật 116 Điều 25 khoản 3 lưu tại Việt Nam thông tin cá nhân và dữ liệu do người dùng ở Việt Nam tạo ra, tối thiểu 24 tháng tính từ khi nhận yêu cầu lưu. Danh sách dữ liệu ở Nghị định 333 Điều 19 khoản 1:

• Thông tin cá nhân của người sử dụng dịch vụ tại Việt Nam.
• Tên tài khoản, thời gian sử dụng dịch vụ, thông tin thẻ tín dụng, địa chỉ thư điện tử.
• Địa chỉ IP đăng nhập, đăng xuất gần nhất; số điện thoại đăng ký gắn với tài khoản.

Ba con số về thời hạn lưu nằm ở hai nghị định khác nhau:

Loại dữ liệu	Lưu tối thiểu	Căn cứ
Dữ liệu phải lưu tại Việt Nam (danh sách trên)	24 tháng, tính từ khi doanh nghiệp nhận yêu cầu lưu	Nghị định 333 Điều 20 khoản 1
Nhật ký hệ thống phục vụ điều tra vi phạm an ninh mạng	12 tháng	Nghị định 333 Điều 20 khoản 3
Thiết bị, địa chỉ IP, thời gian đăng nhập của tài khoản số	90 ngày (nêu trong điều xử phạt)	Nghị định 330 Điều 34 khoản 1 điểm c

Đây là thời hạn theo pháp luật an ninh mạng. Thời hạn sàn lưu hồ sơ khách hàng và giao dịch theo pháp luật phòng, chống rửa tiền là một quy định khác, các con số trên không thay cho quy định đó.

Phần xử lý dữ liệu cá nhân, Điều 41 khoản 4 Luật 116 dẫn sang pháp luật về bảo vệ dữ liệu cá nhân, tóm ở trang Luật Bảo vệ dữ liệu cá nhân 91/2025. Sàn được cấp phép lưu gì và gửi cho ai, gom theo từng văn bản, ở trang sàn được cấp phép lưu và gửi dữ liệu gì của bạn.

Luật 116 Điều 25 khoản 3 viết doanh nghiệp ngoài nước phải đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam, không kèm điều kiện.

Theo Nghị định 333, doanh nghiệp nước ngoài chỉ phải lưu dữ liệu và đặt chi nhánh khi Bộ trưởng Bộ Công an ra quyết định yêu cầu (Điều 19 khoản 3, 6). Điều kiện là doanh nghiệp thuộc các lĩnh vực liệt kê, dịch vụ bị dùng để vi phạm và doanh nghiệp không khắc phục, không chấp hành hoặc chấp hành không đầy đủ sau 03 lần yêu cầu bằng văn bản, tối đa 06 tháng. Doanh nghiệp có 12 tháng từ ngày có quyết định để hoàn thành (Điều 19 khoản 6 điểm c).

Danh sách lĩnh vực có thương mại điện tử, thanh toán trực tuyến, trung gian thanh toán, ứng dụng trực tuyến, không nhắc sàn tài sản mã hóa.

Điều 26, 28, 29: an ninh dữ liệu và mật mã dân sự

Dùng mật mã là một nội dung bảo đảm an ninh dữ liệu. Kinh doanh sản phẩm mật mã dân sự mới cần giấy phép.

Luật đưa “sử dụng mật mã cơ yếu, mật mã dân sự để bảo đảm an ninh dữ liệu” vào nội dung bảo đảm an ninh dữ liệu (Điều 26 khoản 2 điểm c).

Sản phẩm và dịch vụ mật mã dân sự thuộc nhóm sản phẩm, dịch vụ an ninh mạng. Doanh nghiệp kinh doanh nhóm này phải có giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng (Điều 28, 29).

Nghị định 341/2026/NĐ-CP về mật mã dân sự có danh mục sản phẩm, trong đó có “sản phẩm sinh khóa mật mã, quản lý hoặc lưu trữ khóa mật mã”. Danh mục này không nhắc ví tài sản mã hóa hay khóa riêng (private key). Chúng tôi không suy ra ví phần cứng hay ứng dụng ví thuộc danh mục cấp phép.

Danh mục của Nghị định 341 loại trừ hệ điều hành, trình duyệt, phần mềm có sẵn thành phần mật mã mà mật mã không phải chức năng chính, dùng rộng rãi và người dùng tự cài được (Phụ lục I, phần giải thích).

Điều 42: trách nhiệm của người dùng

Bạn phải tự bảo mật tài khoản số của mình. Tài khoản bị dùng để vi phạm pháp luật thì chủ tài khoản, người sử dụng tài khoản có thể bị xử lý. Khoản 2 nêu ba mức: kỷ luật, xử phạt hành chính, truy cứu trách nhiệm hình sự, tùy tính chất và mức độ; gây thiệt hại thì phải bồi thường.

Câu này đáng chú ý với ai cho người khác mượn tài khoản sàn: luật viết “chủ tài khoản số, người sử dụng tài khoản số”. Theo cách đọc của VietnamBit, người có thể bị xử lý không chỉ là người trực tiếp thao tác. Cách bảo vệ tài khoản trong thực tế có ở bài bảo mật ví và tài khoản sàn.

Khoản 3 và 4 buộc người dùng kịp thời báo thông tin về hành vi xâm phạm an ninh mạng cho cơ quan có thẩm quyền, và làm theo yêu cầu, hướng dẫn của cơ quan đó.

Điều 8, 44, 45: cấp độ hệ thống và chuyển tiếp

Luật chia hệ thống thông tin thành 5 cấp độ theo mức tổn hại khi gặp sự cố. Hệ thống đã xác định cấp độ theo luật cũ được giữ cấp độ. Trong 12 tháng từ 01/7/2026, các hệ thống đó phải đáp ứng điều kiện, biện pháp bảo vệ tương ứng theo luật mới (Điều 45 khoản 1).

Nghị quyết 05/2025/NQ-CP đòi hệ thống công nghệ thông tin của tổ chức cung cấp dịch vụ tài sản mã hóa đạt cấp độ 4 “theo quy định pháp luật về an toàn thông tin” (Điều 8 khoản 7). Nghị quyết lấy Luật 86/2015 và Luật 24/2018 làm căn cứ; chưa thấy văn bản nào sửa câu chữ này (đối chiếu đến 31/10/2026). Theo cách đọc của VietnamBit, quy định cấp độ nay nằm ở Luật 116 Điều 8 và Nghị định 331/2026. Chi tiết ở trang an toàn thông tin cấp độ 4.

Giấy phép kinh doanh sản phẩm, dịch vụ an toàn thông tin mạng và mật mã dân sự cấp theo luật cũ dùng tiếp tới hết thời hạn ghi trên giấy phép (Điều 45 khoản 2).

Mức phạt theo Nghị định 330/2026

Ở phần an ninh mạng, mức tiền trong Nghị định 330 là mức cho cá nhân. Tổ chức cùng hành vi có thể bị phạt gấp đôi. Quy tắc này ngược với phần bảo vệ dữ liệu cá nhân của cùng nghị định. Mức tối đa trong lĩnh vực an ninh mạng là 100 triệu đồng với cá nhân, 200 triệu đồng với tổ chức (Điều 7 khoản 1, 3).

Hành vi thường gặp ở phía người dùng:

Hành vi	Cá nhân có thể bị phạt	Tổ chức có thể bị phạt	Căn cứ (Nghị định 330)
Bán, cho thuê, cho mượn, tặng cho thông tin tài khoản số của mình có chức năng giao dịch tài chính	5–10 triệu đồng	10–20 triệu đồng	Điều 14 khoản 1
Dùng danh tính giả hoặc sử dụng trái phép thông tin của người khác để đăng ký tài khoản số có chức năng giao dịch tài chính	10–20 triệu đồng	20–40 triệu đồng	Điều 14 khoản 2 điểm a
Làm ra, phát tán thông tin sai sự thật, chưa được kiểm chứng làm ảnh hưởng quyền, lợi ích hợp pháp của tổ chức, cá nhân	10–20 triệu đồng	20–40 triệu đồng	Điều 11 khoản 2 điểm a
Dùng giấy tờ tùy thân của người khác để xác thực tài khoản số	30–50 triệu đồng	60–100 triệu đồng	Điều 34 khoản 2 điểm a
Dùng AI (trí tuệ nhân tạo), deepfake giả khuôn mặt, giọng nói để xác thực tài khoản trái phép	30–50 triệu đồng	60–100 triệu đồng	Điều 34 khoản 2 điểm c
Truy cập trái phép thiết bị số của người khác để chiếm quyền điều khiển, thu thập thông tin (chưa đến mức hình sự)	50–70 triệu đồng	100–140 triệu đồng	Điều 19 khoản 1 điểm a

Hành vi ở phía doanh nghiệp và người vận hành nền tảng:

Hành vi	Cá nhân có thể bị phạt	Tổ chức có thể bị phạt	Căn cứ (Nghị định 330)
Không xác thực thông tin khi người dùng đăng ký tài khoản số; không bảo mật tài khoản người dùng	30–50 triệu đồng	60–100 triệu đồng	Điều 29 khoản 1
Không cảnh báo chủ tài khoản khi tài khoản phát sinh giao dịch; không lưu thiết bị, IP, thời gian đăng nhập tối thiểu 90 ngày	20–30 triệu đồng	40–60 triệu đồng	Điều 34 khoản 1 điểm b, c
Không cung cấp hoặc cung cấp thông tin người dùng chậm quá 24 giờ khi Bộ Công an yêu cầu bằng văn bản, không có lý do chính đáng	25–50 triệu đồng	50–100 triệu đồng	Điều 30 khoản 1 điểm a
Không lưu trữ dữ liệu theo nghị định hướng dẫn Luật An ninh mạng 2025	30–50 triệu đồng	60–100 triệu đồng	Điều 33 khoản 1 điểm a
Không áp dụng biện pháp bảo vệ dữ liệu và không lưu tại Việt Nam, trong thời gian Chính phủ quy định, dữ liệu về thông tin cá nhân, mối quan hệ của người dùng, dữ liệu do người dùng tại Việt Nam tạo ra khi thu thập, xử lý các dữ liệu này	50–70 triệu đồng	100–140 triệu đồng	Điều 29 khoản 2 điểm c
Vận hành hệ thống, ứng dụng, sàn giao dịch “tiền ảo, tài sản ảo” khi chưa được cấp phép	30–50 triệu đồng	60–100 triệu đồng	Điều 14 khoản 4 điểm a

Theo cách đọc của VietnamBit: dòng về biện pháp bảo vệ và lưu dữ liệu tại Việt Nam (Nghị định 330 Điều 29 khoản 2 điểm c) ở bảng trên áp cho doanh nghiệp thuộc diện lưu dữ liệu theo Luật 116 Điều 25 khoản 3, 4 và Nghị định 333. Chưa thấy văn bản nào nói sàn được cấp phép thuộc diện này (đối chiếu đến 31/10/2026).

Cột tổ chức do VietnamBit tính gấp đôi cột cá nhân theo Điều 7 khoản 1, ví dụ 30 × 2 = 60, 50 × 2 = 100, 70 × 2 = 140. Đây là khung, mức cụ thể do người có thẩm quyền quyết định theo tình tiết.

Nghị định 330 không có chữ “tài sản mã hóa”. Theo cách đọc của VietnamBit, tài khoản trên sàn tài sản mã hóa có thể được xem là “tài khoản số khác có chức năng giao dịch tài chính” ở các dòng về mua bán, đăng ký tài khoản, hoặc tài khoản giao dịch “tài sản khác có thể chuyển nhượng trên không gian mạng” ở các dòng về cảnh báo, lưu đăng nhập. Nghị định không nói rõ.

Cùng một hành vi có thể nằm ở cả Nghị định 330 và Nghị định 284. Nghị định 284/2026/NĐ-CP, văn bản xử phạt riêng về tài sản mã hóa, ghi cung cấp dịch vụ tài sản mã hóa khi chưa được cấp phép có thể bị phạt 180–200 triệu đồng với tổ chức, 90–100 triệu đồng với cá nhân (Điều 7 khoản 4 điểm a; mức cá nhân bằng một nửa mức tổ chức theo quy tắc chung của nghị định này).

Nghị định 330 Điều 1 khoản 3 nói: áp Nghị định 330 nếu là vi phạm trên lĩnh vực an ninh mạng, áp nghị định chuyên ngành nếu dấu hiệu cấu thành là vi phạm nghĩa vụ, điều cấm của lĩnh vực đó. Hành vi cụ thể thuộc vế nào do cơ quan có thẩm quyền xác định.

Luật 116 không nói gì

1. Giao dịch tài sản mã hóa hợp pháp hay không. Luật không quy định. Điều kiện giao dịch, cấp phép nằm ở Nghị quyết 05/2025/NQ-CP.
2. VPN. Dò toàn văn, chúng tôi không thấy chữ “VPN” hay “mạng riêng ảo”. Luật cũng không định nghĩa “sản phẩm mật mã dân sự không rõ nguồn gốc”.
3. Tên sàn hay loại sàn bị chặn. Việc chặn truy cập dựa trên các biện pháp ở Điều 5, phân tích ở trang Việt Nam có chặn sàn nước ngoài không.
4. Bồi thường khi sàn bị tấn công. Luật buộc doanh nghiệp ứng cứu và báo cáo sự cố, không đặt mức bồi thường cho người dùng. Xem sàn bị hack có bồi thường không.
5. “Yêu cầu lưu” với doanh nghiệp trong nước. Nghị định 333 Điều 20 khoản 1 tính 24 tháng từ khi doanh nghiệp nhận yêu cầu lưu, nhưng Điều 19 khoản 2 (doanh nghiệp trong nước) không nói “yêu cầu lưu” cụ thể là gì (đối chiếu đến 31/10/2026).

Áp dụng từ ngày nào

Văn bản	Nội dung	Hiệu lực
Luật An ninh mạng 116/2025/QH15	Luật chung về an ninh mạng	01/7/2026
Luật An toàn thông tin mạng 86/2015/QH13 và Luật An ninh mạng 24/2018/QH14	Bị thay bởi Luật 116	Hết hiệu lực từ 01/7/2026
Nghị định 330/2026/NĐ-CP	Mức phạt an ninh mạng và bảo vệ dữ liệu cá nhân	19/8/2026
Nghị định 331/2026/NĐ-CP	Cấp độ hệ thống thông tin	19/8/2026
Nghị định 333/2026/NĐ-CP	Biện pháp bảo vệ, lưu trữ dữ liệu, định danh IP	19/8/2026
Nghị định 341/2026/NĐ-CP	Mật mã dân sự	01/9/2026

Hành vi xảy ra trước 19/8/2026 mà sau đó mới bị phát hiện hoặc đang được xem xét, giải quyết thì áp nghị định xử phạt có hiệu lực lúc vi phạm. Nếu Nghị định 330 không quy định trách nhiệm hoặc quy định nhẹ hơn thì áp Nghị định 330 (Điều 81 khoản 1).