Nội dung
Trong vòng chưa đầy ba năm, Việt Nam đã ban hành liên tiếp ba đạo luật nền tảng định hình lại toàn bộ khung pháp lý về không gian số: Luật Giao dịch điện tử 2023, Luật Viễn thông 2023 và đặc biệt là Luật An ninh mạng 2025. Sự ra đời của Luật số 116/2025/QH15 không đơn thuần là việc cập nhật một văn bản pháp lý cũ, đây là sự tái cấu trúc toàn diện cách Việt Nam tiếp cận việc bảo vệ không gian mạng quốc gia trong bối cảnh các mối đe dọa an ninh mạng ngày càng tinh vi và có tổ chức hơn.
Với doanh nghiệp, Luật An ninh mạng 2025 đặt ra những yêu cầu cụ thể hơn, rõ ràng hơn và có chế tài xử phạt mạnh hơn so với phiên bản 2018. Hiểu đúng luật này là điều kiện tiên quyết để doanh nghiệp vận hành hệ thống thông tin một cách hợp pháp và bền vững trong môi trường pháp lý mới.
Luật An ninh mạng 2025 là gì?
Luật An ninh mạng 2025, mang số hiệu chính thức là Luật số 116/2025/QH15, được Quốc hội nước Cộng hòa xã hội chủ nghĩa Việt Nam thông qua và chính thức có hiệu lực thi hành từ 1/7/2026, Đạo luật này được xây dựng trên cơ sở hợp nhất và thay thế hoàn toàn hai văn bản luật trước đó là Luật An toàn thông tin mạng 2015 và Luật An ninh mạng 2018 nhằm loại bỏ các quy định trùng lặp, giảm thiểu thủ tục hành chính cho doanh nghiệp.
Luật An ninh mạng 2025 quy định về hoạt động bảo vệ an ninh mạng đối với hệ thống thông tin, phòng ngừa và xử lý hành vi vi phạm pháp luật trên không gian mạng, cũng như trách nhiệm của các cơ quan, tổ chức và cá nhân liên quan. Đây là văn bản pháp lý cao nhất điều chỉnh toàn bộ hoạt động liên quan đến an ninh mạng tại Việt Nam, từ việc bảo vệ hạ tầng thông tin trọng yếu đến kiểm soát nội dung trên không gian mạng và phòng chống tội phạm mạng.
So với các quy định cũ, Luật An ninh mạng 2025 có nhiều điều chỉnh quan trọng phản ánh thực tiễn phát triển của công nghệ và các mối đe dọa an ninh mạng trong giai đoạn mới, đặc biệt trong bối cảnh trí tuệ nhân tạo, điện toán đám mây và dữ liệu lớn ngày càng tham gia sâu vào hoạt động của mọi tổ chức.
Phạm vi điều chỉnh của Luật An ninh mạng 2025
Luật An ninh mạng 2025 có phạm vi điều chỉnh rộng, bao quát ba nhóm nội dung chính.
Nhóm thứ nhất là bảo vệ hệ thống thông tin quan trọng về an ninh quốc gia. Luật An ninh mạng 2025 quy định cụ thể về việc xác định, phân loại và bảo vệ các hệ thống thông tin được xem là hạ tầng trọng yếu của quốc gia, bao gồm hệ thống thông tin trong lĩnh vực năng lượng, tài chính, viễn thông, giao thông, y tế, thông tin và truyền thông cùng các lĩnh vực trọng yếu khác.
Nhóm thứ hai là phòng ngừa và xử lý hành vi vi phạm trên không gian mạng. Luật An ninh mạng 2025 quy định các hành vi bị nghiêm cấm trên không gian mạng, cơ chế phát hiện và xử lý, trách nhiệm của các nền tảng số và nhà cung cấp dịch vụ trong việc kiểm soát và ngăn chặn nội dung vi phạm.
Nhóm thứ ba là quy định trách nhiệm của các chủ thể tham gia không gian mạng. Luật An ninh mạng 2025 xác định rõ nghĩa vụ của cơ quan nhà nước, doanh nghiệp, tổ chức và cá nhân trong việc bảo đảm an ninh mạng, bao gồm cả doanh nghiệp nước ngoài cung cấp dịch vụ tại Việt Nam.
Đối tượng áp dụng của Luật An ninh mạng 2025
Luật An ninh mạng 2025 áp dụng với phạm vi đối tượng rất rộng, không giới hạn ở cơ quan nhà nước hay doanh nghiệp trong nước.
Cơ quan nhà nước, tổ chức chính trị và tổ chức chính trị xã hội là nhóm chịu sự điều chỉnh trực tiếp và toàn diện nhất của Luật An ninh mạng 2025, đặc biệt trong việc bảo vệ hệ thống thông tin quan trọng và thực hiện các biện pháp an ninh mạng bắt buộc.
Doanh nghiệp trong nước vận hành hệ thống thông tin cung cấp dịch vụ trực tuyến, dịch vụ viễn thông, dịch vụ lưu trữ dữ liệu hoặc bất kỳ nền tảng số nào phục vụ người dùng tại Việt Nam đều thuộc phạm vi áp dụng của Luật An ninh mạng 2025.
Doanh nghiệp nước ngoài là một trong những điểm mở rộng quan trọng của Luật An ninh mạng 2025. Các tổ chức nước ngoài cung cấp dịch vụ trên không gian mạng có người dùng tại Việt Nam cũng phải tuân thủ các quy định của luật này, bao gồm nghĩa vụ lưu trữ dữ liệu, cung cấp thông tin theo yêu cầu của cơ quan chức năng và thiết lập cơ chế hợp tác với cơ quan quản lý Việt Nam.
Cá nhân sử dụng không gian mạng cũng chịu sự điều chỉnh của Luật An ninh mạng 2025 trong phạm vi các hành vi bị nghiêm cấm và trách nhiệm sử dụng mạng có trách nhiệm.
Những điểm mới quan trọng của Luật An ninh mạng 2025 so với phiên bản 2018
Luật An ninh mạng 2025 có một số thay đổi đáng chú ý so với Luật An ninh mạng 2018, phản ánh thực tiễn phát triển công nghệ và kinh nghiệm 7 năm triển khai luật cũ.
Về yêu cầu lưu trữ dữ liệu, Luật An ninh mạng 2025 điều chỉnh và làm rõ hơn các quy định về lưu trữ dữ liệu tại Việt Nam, phù hợp hơn với thực tiễn vận hành của doanh nghiệp và đồng bộ với các quy định trong Luật BVDLCN 2025 và Luật Dữ liệu 2024.
Về bảo vệ hạ tầng thông tin trọng yếu, Luật An ninh mạng 2025 mở rộng và làm rõ hơn danh mục hệ thống thông tin quan trọng về an ninh quốc gia, đồng thời quy định cụ thể hơn về trách nhiệm bảo vệ và quy trình ứng phó sự cố an ninh mạng cho từng nhóm hạ tầng.
Về trách nhiệm của nền tảng số, Luật An ninh mạng 2025 tăng cường đáng kể trách nhiệm của các nền tảng mạng xã hội, công cụ tìm kiếm và dịch vụ lưu trữ đám mây trong việc kiểm soát nội dung, ngăn chặn thông tin vi phạm và hợp tác với cơ quan chức năng.
Về tích hợp với khung pháp lý mới, một trong những điểm tiến bộ rõ nét nhất của Luật An ninh mạng 2025 là sự đồng bộ chặt chẽ hơn với Luật BVDLCN 2025, Luật Dữ liệu 2024 và Nghị định 356/2025/NĐ-CP, tạo ra một hệ thống pháp lý nhất quán thay vì các quy định chồng chéo như trước đây.
Mối quan hệ giữa Luật An ninh mạng 2025 và các văn bản pháp lý liên quan
Để hiểu đúng Luật An ninh mạng 2025, cần đặt nó trong bức tranh tổng thể của hệ thống pháp lý số tại Việt Nam hiện nay. Luật An ninh mạng 2025 không vận hành độc lập mà tạo thành một tổng thể pháp lý thống nhất cùng với các văn bản khác.
Luật An ninh mạng 2025 và Luật BVDLCN 2025 bổ sung cho nhau theo chiều ngang. Luật An ninh mạng 2025 tập trung vào bảo vệ hạ tầng và không gian mạng ở góc độ an ninh quốc gia, trong khi Luật BVDLCN 2025 tập trung vào bảo vệ quyền của cá nhân trong việc xử lý dữ liệu. Một doanh nghiệp vi phạm dữ liệu khách hàng có thể đồng thời bị xử lý theo cả hai luật này.
Luật An ninh mạng 2025 và Nghị định 85/2016/NĐ-CP về an toàn hệ thống thông tin hoạt động theo chiều dọc. Luật An ninh mạng 2025 đặt ra yêu cầu ở cấp độ luật, trong khi Nghị định 85 quy định chi tiết tiêu chuẩn kỹ thuật và phân loại cấp độ hệ thống. Doanh nghiệp phải đáp ứng cả hai tầng yêu cầu này.
Doanh nghiệp cần chuẩn bị gì theo Luật An ninh mạng 2025?
Luật An ninh mạng 2025 đặt ra một số yêu cầu thực tế mà doanh nghiệp cần chủ động chuẩn bị, đặc biệt là những đơn vị vận hành hệ thống thông tin phục vụ người dùng hoặc kết nối với hạ tầng quan trọng.
Về hạ tầng kỹ thuật, doanh nghiệp cần đảm bảo hệ thống thông tin được xác định cấp độ và bảo vệ theo đúng tiêu chuẩn tương ứng, có cơ chế giám sát và phát hiện tấn công mạng, và quy trình ứng phó sự cố an ninh mạng được chuẩn bị sẵn.
Về tuân thủ pháp lý, doanh nghiệp cần rà soát lại toàn bộ hoạt động vận hành hệ thống thông tin để xác định nghĩa vụ cụ thể theo Luật An ninh mạng 2025, đồng thời đảm bảo sự nhất quán với các nghĩa vụ theo Luật BVDLCN 2025 và Nghị định 356.
Về năng lực nhân sự, Luật An ninh mạng 2025 gián tiếp tạo ra áp lực đối với doanh nghiệp trong việc xây dựng hoặc thuê ngoài năng lực an ninh mạng chuyên nghiệp, thay vì chỉ dựa vào bộ phận IT vận hành thông thường.
Nền tảng pháp lý cho không gian mạng Việt Nam thế hệ mới
Luật An ninh mạng 2025 không phải là điểm kết thúc của quá trình hoàn thiện khung pháp lý số tại Việt Nam mà là một cột mốc quan trọng trong hành trình đó. Cùng với Luật BVDLCN 2025, Luật Dữ liệu 2024 và Luật Trí tuệ nhân tạo 2026, Luật An ninh mạng 2025 tạo thành nền tảng pháp lý toàn diện cho việc phát triển kinh tế số một cách an toàn, có trách nhiệm và bền vững.
Với doanh nghiệp, thông điệp quan trọng nhất từ Luật An ninh mạng 2025 là an ninh mạng không còn là vấn đề của riêng bộ phận IT. Đây là trách nhiệm pháp lý của toàn tổ chức, từ ban lãnh đạo đến từng nhân viên, và việc chủ động tuân thủ từ sớm luôn là lựa chọn ít tốn kém hơn so với xử lý hậu quả sau khi bị kiểm tra hay xảy ra sự cố.
Dịch vụ Kiểm định an toàn hệ thống & tuân thủ pháp lý
Luật An ninh mạng 2025 đặt ra yêu cầu pháp lý rõ ràng, nhưng câu hỏi thực tế mà hầu hết doanh nghiệp đang đối mặt là: hệ thống của mình hiện tại đang ở đâu so với yêu cầu đó? Đây chính xác là bài toán mà dịch vụ Kiểm định An toàn Hệ thống IT của 405CYSE được thiết kế để giải quyết.
Thay vì để doanh nghiệp tự đánh giá theo cảm tính hoặc chờ đến khi bị thanh tra mới phát hiện khoảng trống, 405CYSE triển khai quy trình kiểm định độc lập theo mô hình 5P SYNS, bao trùm năm trụ cột trọng yếu gồm hạ tầng, quy trình, nền tảng, chính sách và con người. Toàn bộ quá trình kiểm định được thực hiện mà không gây gián đoạn hệ thống vận hành, đảm bảo doanh nghiệp không phải đánh đổi giữa tuân thủ pháp lý và hiệu quả kinh doanh.
Kết quả đầu ra là báo cáo hiện trạng chi tiết với hơn 150 hạng mục rủi ro được chấm điểm và phân cấp rõ ràng, kèm theo kế hoạch khắc phục cụ thể theo lộ trình ngắn hạn và dài hạn. Đây là tài liệu đủ độ thuyết phục để trình ban lãnh đạo phê duyệt ngân sách đầu tư bảo mật đúng trọng tâm, thay vì đầu tư dàn trải hoặc thiếu căn cứ.
Dịch vụ kiểm định của 405CYSE hỗ trợ doanh nghiệp đối chiếu với nhiều khung tiêu chuẩn khác nhau tùy theo nhu cầu: Pháp lý Việt Nam theo Nghị định 356 và Luật An ninh mạng 2025, GDPR cho doanh nghiệp có thị trường châu Âu, ISO 27001:2022 cho mục tiêu chứng nhận quốc tế, và NIST SP 800-53 cho các hạ tầng trọng yếu.
Xem chi tiết dịch vụ Kiểm định An toàn Hệ thống IT
Luật An ninh mạng 2025 đánh dấu bước chuyển quan trọng trong cách Việt Nam quản lý không gian số. Doanh nghiệp tuân thủ đúng không chỉ đang bảo vệ hệ thống và dữ liệu của chính mình mà còn đang xây dựng nền tảng vững chắc để tăng trưởng bền vững. Khi an ninh mạng được đảm bảo, ban lãnh đạo có thể tập trung toàn lực vào phát triển kinh doanh thay vì lo xử lý sự cố. Đó mới là giá trị thực sự của việc tuân thủ pháp luật an ninh mạng.
