Nghị định 331/2026/NĐ-CP: cấp độ hệ thống thông tin ra sao?

Từ 01/7/2026, thang 5 cấp độ hệ thống thông tin nằm ở Luật An ninh mạng 116/2025. Luật chỉ nêu mức tổn hại của từng cấp và giao Chính phủ quy định chi tiết. Nghị định 331/2026/NĐ-CP là văn bản chi tiết đó. Trang này chú giải các điều doanh nghiệp và người đọc tin “đạt cấp độ 4” hay cần, theo bản đăng Công báo.

Vì sao sàn tài sản mã hóa phải đạt cấp độ 4 và cấp độ 4 không bảo đảm điều gì có trang riêng: an toàn thông tin cấp độ 4 là gì. Trang này không nhắc lại phần đó.

Thông tin văn bản

Mục	Nội dung
Số hiệu	331/2026/NĐ-CP
Tên	Nghị định về bảo vệ an ninh mạng đối với hệ thống thông tin
Cơ quan ban hành	Chính phủ, theo đề nghị của Bộ trưởng Bộ Công an
Ngày ký, hiệu lực	19/8/2026, có hiệu lực cùng ngày
Hướng dẫn	Luật An ninh mạng 116/2025/QH15: khoản 2 Điều 8, khoản 5 Điều 9, khoản 6 Điều 10, khoản 5 Điều 12
Bố cục	6 chương, 40 điều, phụ lục 8 mẫu văn bản
Bản đọc	Công báo số 499 ngày 04/9/2026

VietnamBit đối chiếu nguyên văn các điều được trích trên trang với bản Công báo ngày 07/11/2026. Chúng tôi chưa thấy văn bản sửa đổi Nghị định 331, và chưa thấy thông tư của Bộ Công an hướng dẫn nghị định này.

Nghị định 331 gồm những phần nào

Sáu chương: quy định chung, tiêu chí cấp độ, thủ tục xác định cấp độ, kiểm tra, trách nhiệm bảo vệ và tổ chức thực hiện. Bảng theo tên chương trong Công báo.

Chương	Nội dung	Điều
I	Phạm vi, đối tượng, giải thích từ ngữ, chủ quản và đơn vị vận hành, nguyên tắc xác định cấp độ	1–8
II	Phân loại thông tin và hệ thống, quản lý rủi ro, tiêu chí cấp độ 1 đến 5, hệ thống quan trọng về an ninh quốc gia	9–17
III	Thẩm quyền, trình tự, hồ sơ, thời hạn thẩm định và phê duyệt cấp độ	18–25
IV	Kiểm tra an ninh mạng với hệ thống không thuộc danh mục quan trọng về an ninh quốc gia	26–27
V	Biện pháp, phương án, yêu cầu theo cấp độ; trách nhiệm từng bên	28–34
VI	Chế độ báo cáo, hiệu lực, chuyển tiếp	35–40

Phụ lục có 8 mẫu, từ văn bản đề nghị thẩm định (Mẫu số 01) đến quyết định phê duyệt cấp độ (Mẫu số 06), quyết định phê duyệt phương án an ninh mạng (Mẫu số 07) và mẫu báo cáo (Mẫu số 08).

Ai phải áp dụng

Tổ chức, cá nhân xây dựng, vận hành hệ thống thông tin tại Việt Nam cho cơ quan nhà nước hoặc dịch vụ trực tuyến. Theo Luật An ninh mạng, hệ thống thông tin là tập hợp phần cứng, phần mềm và dữ liệu để tạo lập, xử lý, lưu trữ và trao đổi thông tin trên không gian mạng. Tổ chức khác được khuyến khích áp dụng (Điều 2).

“Dịch vụ trực tuyến” được định nghĩa rộng: dịch vụ do doanh nghiệp hoặc cơ quan nhà nước cung cấp trên môi trường mạng cho tổ chức, cá nhân (Điều 3 khoản 5).

Nghị định tách hai vai:

• Chủ quản hệ thống thông tin: với doanh nghiệp, là cấp có thẩm quyền quyết định đầu tư xây dựng, nâng cấp, mở rộng hệ thống. Chủ quản có thể ủy quyền bằng văn bản cho một tổ chức trực thuộc (Điều 4 khoản 2, 3).
• Đơn vị vận hành: đơn vị được chủ quản giao vận hành hệ thống, lập hồ sơ đề xuất cấp độ và thực hiện biện pháp bảo vệ (Điều 5, 20, 33).

Một hệ thống chỉ có một chủ quản. Không được chia nhỏ hay gộp hệ thống “một cách hình thức” để hạ cấp độ; phát hiện thì cơ quan có thẩm quyền yêu cầu xác định lại (Điều 8 khoản 1, 3).

Tiêu chí 5 cấp độ trong Nghị định 331

Cấp độ dựa vào loại thông tin hệ thống xử lý và loại hệ thống, không dựa vào quy mô vốn hay doanh thu. Nghị định chia thông tin thành bốn loại: công cộng, riêng, cá nhân, bí mật nhà nước (Điều 9 khoản 1). Hệ thống chia thành năm loại: nội bộ, phục vụ người dân và doanh nghiệp, cơ sở hạ tầng thông tin, điều khiển công nghiệp, hệ thống khác (khoản 2).

Bảng rút gọn các tiêu chí (Điều 11–15). Một hệ thống chỉ cần khớp một tiêu chí là thuộc cấp đó.

Cấp độ	Hệ thống nội bộ, dịch vụ trực tuyến	Hạ tầng, điều khiển công nghiệp, bí mật nhà nước
1	Chỉ phục vụ nội bộ và chỉ xử lý thông tin công cộng	Không có tiêu chí riêng
2	Nội bộ có xử lý thông tin cá nhân; dịch vụ trực tuyến không thuộc ngành nghề kinh doanh có điều kiện; dưới 100.000 người (dữ liệu cơ bản) hoặc dưới 10.000 người (dữ liệu nhạy cảm)	Hạ tầng thông tin của một cơ quan, tổ chức
3	Dịch vụ trực tuyến thuộc ngành nghề kinh doanh có điều kiện; hệ thống giải quyết thủ tục hành chính; từ 100.000 người (dữ liệu cơ bản) hoặc từ 10.000 người (dữ liệu nhạy cảm)	Hạ tầng trong một bộ, ngành, một hoặc vài tỉnh; điều khiển công trình cấp II, III, IV; bí mật nhà nước, tổn hại an ninh quốc gia
4	Không có tiêu chí cho dịch vụ trực tuyến thông thường	Hệ thống quốc gia về Chính phủ điện tử hoặc hạ tầng toàn quốc, chạy 24/7; điều khiển công trình cấp I; bí mật nhà nước, tổn hại nghiêm trọng an ninh quốc gia
5	Không có tiêu chí cho dịch vụ trực tuyến thông thường	Lưu dữ liệu đặc biệt quan trọng của quốc gia; hạ tầng kết nối Việt Nam với quốc tế; công trình cấp đặc biệt; tổn hại đặc biệt nghiêm trọng an ninh quốc gia

Mỗi cấp còn một đường xếp qua đánh giá rủi ro theo Khung quản lý rủi ro an ninh mạng; từ cấp 2 có thêm trường hợp Thủ tướng quyết định. “Người” trong bảng là chủ thể dữ liệu, tức người có thông tin cá nhân được hệ thống xử lý. Đối chiếu Công báo ngày 07/11/2026.

Ví dụ do VietnamBit dựng theo Điều 12, 13 (chưa tính tiêu chí đánh giá rủi ro):

• Ứng dụng đặt lịch không thuộc ngành nghề có điều kiện, lưu dữ liệu cơ bản của 80.000 người: 80.000 < 100.000, nên là cấp 2.
• Cùng ứng dụng đó tăng lên 120.000 người: 120.000 ≥ 100.000, lên cấp 3.
• Ứng dụng chỉ có 12.000 người nhưng lưu dữ liệu cá nhân nhạy cảm: 12.000 ≥ 10.000, là cấp 3.

Hệ thống khớp tiêu chí của nhiều cấp thì áp cấp cao nhất (Điều 8 khoản 2).

Kết quả đánh giá rủi ro cho thấy rủi ro cao hơn cấp đang có thì chủ quản phải đề xuất cấp cao hơn.

Ai thẩm định, phê duyệt và mất bao lâu

Cấp 1 đến 3 do tổ chức tự thẩm định; từ cấp 4, Bộ Công an thẩm định nhưng chủ quản ký phê duyệt cấp 4.

Cấp độ	Thẩm định	Phê duyệt	Thẩm định tối đa
1, 2	Đơn vị chuyên trách an ninh mạng của chủ quản	Chính đơn vị đó, báo cáo chủ quản	Nghị định không nêu
3	Đơn vị chuyên trách an ninh mạng của chủ quản	Chủ quản	15 ngày làm việc
4	Bộ Công an chủ trì	Chủ quản	25 ngày làm việc
5	Bộ Công an chủ trì	Thủ tướng duyệt danh mục; chủ quản duyệt phương án an ninh mạng	25 ngày làm việc

Bảng theo Điều 18 và 23. Với hệ thống quân sự và cơ yếu, Bộ Quốc phòng và Ban Cơ yếu Chính phủ thẩm định thay Bộ Công an.

Các mốc thời gian khác:

• Hồ sơ chưa hợp lệ được phản hồi, hướng dẫn bổ sung trong tối đa 05 ngày làm việc từ khi nhận.
• Hồ sơ phê duyệt được xử lý trong tối đa 07 ngày làm việc từ khi nhận đủ (Điều 23 khoản 2; Điều 24 khoản 2).

VietnamBit cộng thử cho hệ thống cấp 4, khi hồ sơ hợp lệ ngay lần đầu: 25 ngày thẩm định + 07 ngày phê duyệt = 32 ngày làm việc, tức hơn 6 tuần (32 : 5 = 6,4). Con số chưa gồm thời gian lập hồ sơ, xin ý kiến chuyên môn nội bộ và bổ sung hồ sơ. Đây là trần theo văn bản, không phải thời gian thực tế của hồ sơ nào.

Hồ sơ đề xuất cấp độ gồm gì

Năm nhóm tài liệu, và hệ thống đề xuất cấp 4, 5 phải kèm báo cáo đánh giá rủi ro chi tiết hơn. Năm nhóm theo Điều 21:

1. Mô tả, thuyết minh tổng quan hệ thống.
2. Tài liệu thiết kế: thiết kế sơ bộ với hệ thống mới, thiết kế thi công đã duyệt với hệ thống đang chạy.
3. Thuyết minh vì sao đề xuất cấp độ đó.
4. Thuyết minh phương án bảo đảm an ninh mạng theo cấp độ.
5. Ý kiến chuyên môn của đơn vị chuyên trách an ninh mạng, chỉ với hệ thống đề xuất cấp 4 hoặc 5.

Phần tổng quan phải mô tả mô hình lô-gic, mô hình vật lý, danh mục thiết bị, ứng dụng, quy hoạch vùng mạng và địa chỉ IP nội bộ, công khai.

Với cấp 4, 5, thuyết minh còn phải làm rõ bốn điểm (Điều 22 khoản 5):

• Các hệ thống khác có kết nối hoặc ảnh hưởng tới hệ thống được đề xuất.
• Nguy cơ tấn công mạng và mức ảnh hưởng.
• Phạm vi tổn hại tới lợi ích công cộng, trật tự, an toàn xã hội hoặc an ninh quốc gia nếu bị tấn công, gián đoạn.
• Lý do phải chạy 24/7, với hệ thống quốc gia, hạ tầng toàn quốc ở tiêu chí cấp 4.

Quy chế bảo đảm an ninh mạng của hệ thống phải được ban hành trước khi hồ sơ đề xuất cấp độ được phê duyệt.

Hệ thống xây mới và hệ thống đang chạy

Hệ thống mới lồng thuyết minh cấp độ vào hồ sơ dự án; hệ thống đang chạy lập hồ sơ đề xuất cấp độ riêng.

	Hệ thống xây mới, mở rộng, nâng cấp	Hệ thống đang vận hành
Ai lập	Chủ đầu tư, hoặc đơn vị chủ trì thuê dịch vụ	Đơn vị vận hành
Hồ sơ nằm ở đâu	Lồng vào báo cáo nghiên cứu khả thi, báo cáo đầu tư hoặc kế hoạch thuê dịch vụ	Hồ sơ đề xuất cấp độ riêng
Khi nào duyệt	Khuyến khích duyệt trước khi duyệt thiết kế cơ sở hoặc kế hoạch thuê	Theo trình tự thẩm định, phê duyệt
Trước khi chạy	Phải triển khai đầy đủ phương án đã duyệt	Hệ thống đã chạy, vẫn phải đáp ứng yêu cầu theo cấp độ

Bảng theo các Điều 19, 20, 30 và 37.

Nghị định 331 còn đặt hoạt động “đánh giá điều kiện an ninh mạng” trước khi đưa hệ thống vào vận hành, khi thay đổi lớn hoặc khi cơ quan có thẩm quyền yêu cầu (Điều 28 khoản 3).

Yêu cầu bảo vệ theo cấp độ

Yêu cầu theo cấp độ là mức tối thiểu về quản lý và kỹ thuật, không gồm an ninh vật lý. Chi tiết kỹ thuật dẫn sang Tiêu chuẩn quốc gia về An ninh mạng, Hệ thống thông tin, Yêu cầu cơ bản; nghị định không ghi số hiệu tiêu chuẩn (Điều 30 khoản 1, 2).

Yêu cầu quản lý có 7 nhóm, từ chính sách an ninh mạng, nhân lực đến phương án thanh lý hệ thống. Yêu cầu kỹ thuật có 4 nhóm: an toàn mạng, máy chủ, ứng dụng, dữ liệu (Điều 30 khoản 3, 4). Phương án bảo đảm an ninh mạng gồm 7 phần, liệt kê ở trang cấp độ 4 là gì.

Khác biệt rõ nhất giữa các cấp nằm ở hệ thống chạy trên trung tâm dữ liệu hoặc điện toán đám mây thuê ngoài:

Yêu cầu	Cấp 3, cấp 4	Cấp 5, hệ thống quan trọng về an ninh quốc gia
Tách khỏi hệ thống khác	Tách về lô-gic	Tách về vật lý
Vùng mạng bên trong	Tách về lô-gic	Tách về lô-gic
Phân vùng lưu trữ	Tách về lô-gic	Tách về vật lý
Thiết bị mạng chính	Nghị định không nêu	Tách về vật lý

Bảng theo Điều 30 khoản 8, 9. “Tách về lô-gic” là ngăn bằng cấu hình, phần mềm trên cùng hạ tầng. “Tách về vật lý” là máy, thiết bị riêng.

Với cấp 1, 2, 3, phương án bảo vệ phải xem xét khả năng dùng chung giải pháp giữa các hệ thống để tránh đầu tư trùng. Với cấp 4, 5, phương án phải bảo đảm tính sẵn sàng, phân tách và hạn chế ảnh hưởng tới toàn bộ hệ thống khi một thành phần bị mất an ninh mạng (Điều 30 khoản 5).

Kiểm tra và báo cáo sự cố

Sự cố phải báo Bộ Công an trong 72 giờ; sự cố nghiêm trọng phải thông báo ban đầu trong 24 giờ. Sự cố có dấu hiệu xâm phạm an ninh quốc gia, trật tự, an toàn xã hội hoặc gây gián đoạn nghiêm trọng thì báo ngay khi phát hiện (Điều 31 khoản 2 điểm d).

Các nghĩa vụ định kỳ khác:

• Báo cáo hằng năm. Số liệu chốt từ 15/12 năm trước đến 14/12 năm báo cáo. Đơn vị vận hành gửi chủ quản trước 20/12, chủ quản gửi Bộ Công an trước 25/12 (Điều 35 khoản 3, 4).
• Kiểm thử xâm nhập. Dò mã độc, lỗ hổng và thử nghiệm xâm nhập có ba hình thức: hộp đen (người kiểm không biết gì về hệ thống), hộp xám (biết một phần), hộp trắng (có mã nguồn, thiết kế) (Điều 27 khoản 4).
• Kết nối giám sát. Đơn vị vận hành phối hợp với lực lượng chuyên trách của Bộ Công an thiết lập kết nối, truyền dữ liệu phục vụ giám sát an ninh mạng (Điều 33 khoản 5). Bộ Công an triển khai hạ tầng giám sát tập trung cho hệ thống cấp 3, 4, 5 (Điều 34 khoản 1 điểm e).

Khi Bộ Công an kiểm tra an ninh mạng, trình tự gồm thông báo kế hoạch, lập đoàn, kiểm tra, lập biên bản và thông báo kết quả.

Hệ thống quan trọng về an ninh quốc gia

Mọi hệ thống cấp 5 là hệ thống quan trọng về an ninh quốc gia. Hệ thống cấp 3, 4 cũng có thể được đưa vào danh mục này. Tiêu chí ở Điều 16: sự cố có thể tác động trực tiếp tới chủ quyền, gây hậu quả nghiêm trọng cho nền kinh tế quốc dân, gây thảm họa với đời sống con người, môi trường, và các trường hợp khác.

Chủ quản tự rà soát và lập hồ sơ đề nghị đưa hệ thống vào danh mục. Lực lượng chuyên trách của Bộ Công an cũng có thể yêu cầu lập hồ sơ. Hệ thống cấp 3, 4 thuộc danh mục làm thủ tục như hệ thống cấp 5 (Điều 20 khoản 4).

Không lập hồ sơ cấp độ có thể bị phạt bao nhiêu

Nghị định 331 không đặt mức phạt. Khung tiền nằm ở Nghị định 330/2026/NĐ-CP. Ở phần an ninh mạng của Nghị định 330, mức in là mức cho cá nhân, tổ chức cùng hành vi có thể bị phạt gấp đôi (Điều 7 khoản 1).

Hành vi	Cá nhân có thể bị phạt	Tổ chức có thể bị phạt	Căn cứ (Nghị định 330)
Không lập hồ sơ đề xuất cấp độ, hoặc không tổ chức thẩm định, phê duyệt	20–30 triệu đồng	40–60 triệu đồng	Điều 24 khoản 1
Không xây dựng hồ sơ đề xuất cấp độ với cấp 3 đến cấp 5	20–30 triệu đồng	40–60 triệu đồng	Điều 23 khoản 1 điểm b
Đưa hệ thống cấp 3 đến cấp 5 vào vận hành khi chưa được phê duyệt cấp độ	20–30 triệu đồng	40–60 triệu đồng	Điều 23 khoản 1 điểm c
Không triển khai đủ biện pháp như hồ sơ cấp độ đã duyệt, với cấp 3 đến cấp 5	20–30 triệu đồng	40–60 triệu đồng	Điều 23 khoản 1 điểm d
Không kiểm tra, giám sát việc tuân thủ quy định an ninh mạng và lưu nhật ký hệ thống, hoặc không đánh giá hiệu quả biện pháp	30–50 triệu đồng	60–100 triệu đồng	Điều 23 khoản 2 điểm a

Cột tổ chức do VietnamBit tính gấp đôi cột cá nhân: 20 × 2 = 40, 30 × 2 = 60, 50 × 2 = 100. Mức cụ thể do người có thẩm quyền quyết định theo tình tiết. Các mức phạt an ninh mạng khác ở trang Luật An ninh mạng 116/2025.

Nghị định 331 và sàn tài sản mã hóa

Nghị định 331 không có chữ “tài sản mã hóa”, “tài sản số” hay “tiền ảo”. Chúng tôi dò toàn văn bản Công báo ngày 07/11/2026. Mức cấp độ 4 với sàn đến từ Nghị quyết 05/2025/NQ-CP: hệ thống phải đạt cấp độ 4 trước khi vận hành, hồ sơ xin phép phải có văn bản thẩm định của Bộ Công an.

Theo công bố của doanh nghiệp và báo chí, 3 hồ sơ xin phép đã được Bộ Công an thẩm định đề xuất cấp độ 4. Thẩm định cấp độ là một tài liệu trong hồ sơ, không phải giấy phép của Bộ Tài chính. Tính đến 07/11/2026, chưa sàn nào được cấp phép. Bảng từng hồ sơ ở trang sàn tài sản mã hóa được cấp phép, các điều kiện khác ở trang điều kiện cấp phép sàn.

Cấp độ 4 là yêu cầu tối thiểu, không bảo đảm sàn không bị tấn công. Những gì giúp đánh giá độ an toàn của một sàn trong nước được gom ở bài sàn trong nước có an toàn không.

Nghị định 331 không nói gì

1. Sàn tài sản mã hóa. Không có tiêu chí nào gọi tên loại dịch vụ này. Theo cách đọc của VietnamBit, sàn được xếp cấp 4 vì Nghị quyết 05 đòi, hoặc qua tiêu chí “do Thủ tướng Chính phủ quyết định hoặc được đánh giá rủi ro an ninh mạng” ở Điều 14 khoản 4; nghị định không nói rõ.
2. Giấy chứng nhận cấp độ. Phụ lục có 8 mẫu, không mẫu nào là giấy chứng nhận. Giấy tờ có thật là ý kiến thẩm định (Mẫu số 04) và quyết định phê duyệt do chủ quản ký (Mẫu số 06).
3. Bãi bỏ Nghị định 85/2016/NĐ-CP. Không có câu bãi bỏ. Nghị định 85 chỉ xuất hiện ở điều chuyển tiếp.
4. Mức phạt. Nằm ở Nghị định 330, như mục trên.

Áp dụng từ ngày nào

Nghị định 331 có hiệu lực từ 19/8/2026, cùng ngày ký (Điều 38). Luật An ninh mạng 116/2025, luật mà nghị định hướng dẫn, có hiệu lực từ 01/7/2026.

Hai trường hợp chuyển tiếp:

• Hệ thống đang đầu tư, xây dựng trước 01/7/2026: hoàn thành thẩm định, phê duyệt cấp độ theo Nghị định 85/2016 trong 06 tháng từ 01/7/2026. Trong 12 tháng từ 01/7/2026, phải đáp ứng điều kiện, biện pháp theo Nghị định 331 (Điều 39 khoản 1).
• Hệ thống đã có cấp độ theo Luật An toàn thông tin mạng 86/2015: giữ cấp độ đã xác định, nhưng phải đáp ứng điều kiện của luật mới trong 12 tháng từ 01/7/2026 (Luật 116 Điều 45 khoản 1).

Văn bản cùng ngày 19/8/2026 hướng dẫn Luật 116: Nghị định 333/2026 về biện pháp bảo vệ, lưu dữ liệu tại Việt Nam; Nghị định 330/2026 về xử phạt.