Luật An ninh mạng 2025 có hiệu lực: doanh nghiệp nhỏ và vừa cần làm gì?

Luật mới thay thế điều gì?

Luật An ninh mạng số 116/2025/QH15 do Quốc hội thông qua ngày 10/12/2025, đăng Công báo số 35 ngày 21/01/2026 và có hiệu lực từ ngày 01/7/2026. Điều 44 nêu Luật An toàn thông tin mạng số 86/2015/QH13 (đã được sửa đổi) và Luật An ninh mạng số 24/2018/QH14 hết hiệu lực kể từ ngày luật mới có hiệu lực. Điều 45 xử lý chuyển tiếp cho hệ thống đã xác định cấp độ theo luật cũ. Có thể hiểu luật mới thay thế và hợp nhất hai luật trước.

Có điều khoản riêng cho doanh nghiệp nhỏ và vừa không?

Không. Chúng tôi đã tìm cụm “nhỏ và vừa” trong toàn văn đăng Công báo và không có kết quả. Điều gần nhất là Điều 10 khoản 3: hệ thống thông tin cấp 1 và cấp 2 vẫn phải làm các nhiệm vụ cơ bản, nhưng các biện pháp bảo vệ khác được “theo nhu cầu, khả năng thực tế lựa chọn áp dụng”. Cách nới này theo cấp độ của hệ thống, không theo quy mô doanh nghiệp.

Ba vai trò, ba nhóm nghĩa vụ

Cùng một doanh nghiệp có thể giữ nhiều vai trò. Hãy xác định mình thuộc vai trò nào trước khi đọc nghĩa vụ.

1. Chủ quản hệ thống thông tin

• Điều 8: hệ thống thông tin chia thành 5 cấp độ theo mức tổn hại nếu bị tấn công; Chính phủ quy định tiêu chí, thẩm quyền, trình tự và biện pháp theo từng cấp độ.
• Điều 10: nhiệm vụ gồm xác định cấp độ, đánh giá và quản lý rủi ro, giám sát, báo cáo.
• Điều 12 khoản 3: thông báo cho lực lượng chuyên trách của Bộ Công an khi phát hiện hành vi vi phạm trên hệ thống của mình.
• Điều 40 khoản 1: bảo vệ hệ thống và báo cáo sự cố an ninh mạng với cơ quan chuyên trách.

2. Doanh nghiệp cung cấp dịch vụ trên không gian mạng

• Điều 41: cảnh báo người dùng, có phương án ứng cứu khẩn cấp, có sự cố thì báo cáo ngay, bảo đảm an ninh khi xử lý dữ liệu và dữ liệu cá nhân, định danh địa chỉ IP.
• Điều 25 khoản 2 (doanh nghiệp cung cấp dịch vụ viễn thông, Internet, giá trị gia tăng): xác thực thông tin khi người dùng đăng ký tài khoản số; cung cấp thông tin người dùng trong 24 giờ khi cơ quan chức năng yêu cầu (khẩn cấp là 3 giờ); gỡ nội dung hoặc dịch vụ vi phạm trong 24 giờ (khẩn cấp là 6 giờ); lưu nhật ký hệ thống.

3. Người dùng là tổ chức, cá nhân

• Điều 42: bảo mật tài khoản số của mình và cung cấp thông tin khi cơ quan chức năng yêu cầu.
• Điều 26 về an ninh dữ liệu: mật mã, kiểm soát nhân sự xử lý dữ liệu, đánh giá rủi ro định kỳ, kiểm tra việc chuyển dữ liệu xuyên biên giới.

Về báo cáo sự cố, Nghị định 333/2026/NĐ-CP (ban hành và có hiệu lực từ ngày 19/8/2026) quy định ứng phó chi tiết ở Điều 9 cho hệ thống thông tin quan trọng quốc gia. Trong phần chúng tôi đã đọc, chưa thấy thời hạn báo cáo bằng số giờ dành cho doanh nghiệp thông thường, nên đừng suy ra mọi doanh nghiệp đều phải báo cáo theo cùng một cách.

Chuyển tiếp (Điều 45): hệ thống đã được xác định cấp độ theo luật 2015 giữ nguyên cấp độ và trong 12 tháng kể từ ngày 01/7/2026 phải đáp ứng điều kiện theo luật mới; giấy phép cũ có giá trị đến hết hạn.

Mức phạt

Nghị định 330/2026/NĐ-CP (có hiệu lực từ ngày 19/8/2026) quy định xử phạt vi phạm hành chính về an ninh mạng và bảo vệ dữ liệu cá nhân. Điều 7: ở các mục về an ninh mạng, mức phạt tổ chức bằng 2 lần mức phạt cá nhân, và mức tối đa là 200 triệu đồng đối với tổ chức, 100 triệu đồng đối với cá nhân. Riêng dữ liệu cá nhân, mức tối đa là 3 tỷ đồng, còn chuyển dữ liệu cá nhân xuyên biên giới có mức tối đa 5% doanh thu năm trước liền kề.

Một số ví dụ, với mức văn bản ghi cho cá nhân (tổ chức gấp đôi theo Điều 7): không báo cáo sự cố bị phạt 20 đến 30 triệu đồng (Điều 21); không xây dựng kế hoạch ứng phó sự cố 30 đến 50 triệu đồng (Điều 21); không bảo đảm thời gian lưu nhật ký hệ thống 30 đến 50 triệu đồng (Điều 33).

Bức tranh sự cố: số liệu từ một khảo sát, không phải thống kê nhà nước

Hiệp hội An ninh mạng quốc gia (tổ chức xã hội nghề nghiệp, không phải cơ quan nhà nước) công bố ngày 13/01/2026 kết quả khảo sát tháng 12/2025 trên hơn 5.300 đơn vị: khoảng 552.000 cuộc tấn công vào các hệ thống thông tin trong năm 2025, giảm 19,38% so với năm 2024; 52,30% cơ quan, doanh nghiệp từng bị tổn hại, so với 46,15% năm 2024. Các hình thức phổ biến gồm tấn công từ chối dịch vụ (DDoS), chèn liên kết cờ bạc, tấn công có chủ đích (APT), đánh cắp dữ liệu và mã độc tống tiền. Khảo sát không nêu thiệt hại bằng tiền.

Chúng tôi không tìm thấy số liệu chính thức năm 2026 từ các cơ quan chuyên trách, nên bài này không nhận định xu hướng của năm 2026.

Ba việc chủ doanh nghiệp có thể làm trong tuần này

• Xác định vai trò của doanh nghiệp: có vận hành hệ thống thông tin riêng không, có cung cấp dịch vụ trực tuyến cho người dùng tại Việt Nam không, hay chủ yếu là người dùng dịch vụ của bên khác.
• Lập danh sách hệ thống và dữ liệu đang có, ai quản trị, nhật ký được lưu bao lâu và lưu ở đâu.
• Viết kế hoạch ứng phó sự cố dài một trang: ai làm gì khi nghi bị tấn công, liên hệ ai, thông báo cho khách hàng và cơ quan chức năng thế nào.