Quy định về hoạt động bảo đảm an ninh thông tin mạng của doanh nghiệp

Doanh nghiệp trong nước và doanh nghiệp nước ngoài khi cung cấp dịch vụ trên mạng viễn thông, mạng Internet và các dịch vụ gia tăng trên không gian mạng tại Việt Nam phải thực hiện các hoạt động bảo đảm an ninh thông tin mạng theo quy định.

Nghị định này gồm 6 chương, 32 điều quy định chi tiết điểm a, b, c, d, đ, g, k, l, m khoản 1 Điều 5, khoản 4 Điều 25, khoản 5 Điều 34 Luật An ninh mạng gồm các nội dung sau đây:

a) Nội dung, trình tự, thủ tục, thẩm quyền áp dụng các biện pháp bảo vệ an ninh mạng: thẩm định an ninh mạng; đánh giá điều kiện an ninh mạng; kiểm tra an ninh mạng; giám sát an ninh mạng; ứng phó, khắc phục sự cố an ninh mạng; đấu tranh bảo vệ an ninh mạng; sử dụng mật mã để bảo vệ thông tin mạng; yêu cầu xóa bỏ thông tin trái pháp luật hoặc thông tin sai sự thật, tin giả trên không gian mạng xâm phạm an ninh quốc gia, trật tự an toàn xã hội, quyền và lợi ích hợp pháp của cơ quan, tổ chức, cá nhân; thu thập dữ liệu điện tử liên quan đến hoạt động xâm phạm an ninh quốc gia, trật tự, an toàn xã hội, quyền và lợi ích hợp pháp của cơ quan, tổ chức, cá nhân trên không gian mạng; đình chỉ, tạm đình chỉ hoặc yêu cầu ngừng hoạt động của hệ thống thông tin, thu hồi tên miền theo quy định của pháp luật;

b) Bảo đảm an ninh thông tin mạng theo quy định tại khoản 2 và khoản 3 Điều 25 Luật An ninh mạng;

c) Chuẩn kiến thức, kỹ năng chuyên sâu về an ninh mạng; chương trình, nội dung việc chứng nhận tập huấn kiến thức, kỹ năng chuyên sâu về an ninh mạng.

Nghị định này quy định các biện pháp thi hành cơ chế quản lý định danh địa chỉ IP đối với các doanh nghiệp cung cấp dịch vụ viễn thông, Internet.

Hoạt động bảo đảm an ninh thông tin mạng

Về hoạt động bảo đảm an ninh thông tin mạng, Điều 16 của Nghị định nêu rõ:Doanh nghiệp trong nước và doanh nghiệp nước ngoài khi cung cấp dịch vụ trên mạng viễn thông, mạng Internet và các dịch vụ gia tăng trên không gian mạng tại Việt Nam phải thực hiện các hoạt động bảo đảm an ninh thông tin mạng theo quy định tại Điều này và quy định khác có liên quan của pháp luật Việt Nam.

Hoạt động xác thực, bảo vệ thông tin và tài khoản người sử dụng dịch vụ bao gồm:

a) Thực hiện xác thực thông tin người sử dụng tại thời điểm đăng ký tài khoản số theo quy định của pháp luật;

b) Thực hiện xác thực tài khoản bằng số điện thoại di động tại Việt Nam; trường hợp người sử dụng không có số điện thoại di động tại Việt Nam thì thực hiện xác thực bằng số định danh cá nhân hoặc phương thức định danh điện tử hợp pháp khác theo quy định của pháp luật về định danh và xác thực điện tử;

c) Trường hợp người sử dụng dịch vụ dùng tính năng phát trực tiếp (livestream) nhằm mục đích thương mại thì phải thực hiện xác thực tài khoản bằng số định danh cá nhân theo quy định của pháp luật;

d) Áp dụng các biện pháp quản lý nhà nước, kỹ thuật cần thiết để bảo đảm an toàn, bảo mật thông tin và tài khoản của người sử dụng; chỉ cho phép các tài khoản đã được xác thực thực hiện việc đăng tải, chia sẻ thông tin và sử dụng các tính năng tương tác trên hệ thống.

Hoạt động cung cấp thông tin phục vụ bảo vệ an ninh thông tin mạng bao gồm:

a) Cung cấp thông tin người sử dụng dịch vụ cho lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an khi có yêu cầu hợp lệ, căn cứ theo quy định của pháp luật Việt Nam nhằm phục vụ công tác xác minh, điều tra, xử lý hành vi vi phạm pháp luật;

b) Việc yêu cầu và cung cấp thông tin được thực hiện bằng văn bản, phương tiện điện tử hoặc hình thức khác, bảo đảm xác thực chủ thể yêu cầu và bảo mật thông tin được cung cấp theo quy định của pháp luật;

c) Thời hạn cung cấp thông tin chậm nhất là 24 giờ kể từ thời điểm nhận được yêu cầu; trường hợp khẩn cấp đe dọa xâm hại an ninh quốc gia hoặc đe dọa tính mạng con người thì thời hạn cung cấp thông tin chậm nhất là 03 giờ.

Hoạt động ngăn chặn, xử lý thông tin, dịch vụ, ứng dụng vi phạm pháp luật về an ninh thông tin mạng bao gồm:

a) Hạn chế, ngăn chặn truy cập, xóa bỏ thông tin, gỡ bỏ dịch vụ, ứng dụng tại Việt Nam đối với thông tin, dịch vụ, ứng dụng vi phạm pháp luật về an ninh thông tin mạng theo yêu cầu của lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an;

b) Việc thực hiện yêu cầu quy định tại điểm a nêu trên phải hoàn thành chậm nhất trong thời hạn 24 giờ kể từ thời điểm nhận được yêu cầu; trường hợp khẩn cấp đe dọa xâm hại an ninh quốc gia thì phải hoàn thành chậm nhất trong thời hạn 06 giờ kể từ thời điểm nhận được yêu cầu;

c) Áp dụng biện pháp quản lý nhà nước, biện pháp kỹ thuật để hạn chế, tạm ngừng hoặc ngừng cung cấp dịch vụ đối với tổ chức, cá nhân nhiều lần đăng tải thông tin vi phạm pháp luật về an ninh thông tin mạng theo yêu cầu của cơ quan có thẩm quyền và phù hợp với quy định của pháp luật;

d) Hạn chế hiển thị tại Việt Nam hoặc khóa tạm thời tài khoản cá nhân, trang, nhóm cộng đồng, kênh nội dung được sử dụng để đăng tải thông tin vi phạm pháp luật về an ninh thông tin mạng trong các trường hợp sau đây:

Trong thời hạn 30 ngày, đăng tải từ 03 lần trở lên thông tin vi phạm pháp luật về an ninh thông tin mạng thì bị hạn chế hiển thị tại Việt Nam hoặc khóa tạm thời với thời hạn tối đa 60 ngày, căn cứ tính chất, mức độ vi phạm;

Trong thời hạn 90 ngày, đăng tải từ 10 lần trở lên thông tin vi phạm pháp luật về an ninh thông tin mạng thì bị hạn chế hiển thị tại Việt Nam hoặc khóa tạm thời với thời hạn tối đa 180 ngày, căn cứ tính chất, mức độ vi phạm;

đ) Hạn chế hiển thị vô thời hạn tại Việt Nam hoặc khóa tài khoản vô thời hạn đối với tài khoản cá nhân, trang, nhóm cộng đồng, kênh nội dung được sử dụng để thực hiện, tiếp tục thực hiện, phát tán, tổ chức, điều hành hoặc hỗ trợ thực hiện hành vi vi phạm pháp luật về an ninh mạng trong các trường hợp sau đây:

Đăng tải, phát tán thông tin xâm phạm an ninh quốc gia của nước Cộng hòa xã hội chủ nghĩa Việt Nam;

Đã bị khóa tạm thời từ 03 lần trở lên theo yêu cầu của cơ quan có thẩm quyền mà tiếp tục được sử dụng để thực hiện hành vi vi phạm pháp luật về an ninh mạng;

Có căn cứ xác định tài khoản cá nhân, trang, nhóm cộng đồng, kênh nội dung tiếp tục được sử dụng làm công cụ, phương tiện thực hiện hành vi vi phạm pháp luật về an ninh mạng và việc áp dụng biện pháp khóa tài khoản vô thời hạn là cần thiết, phù hợp với tính chất, mức độ vi phạm;

e) Tài khoản bị áp dụng biện pháp khóa tài khoản vô thời hạn được xem xét khôi phục trong các trường hợp sau đây: không còn căn cứ áp dụng biện pháp; có nhầm lẫn trong quá trình xác minh, xử lý; xuất hiện tình tiết mới làm thay đổi căn cứ áp dụng biện pháp; cơ quan có thẩm quyền xác định tài khoản không được sử dụng để thực hiện hành vi vi phạm pháp luật về an ninh mạng.

Hoạt động tạm ngừng, ngừng cung cấp dịch vụ để bảo đảm an ninh thông tin mạng bao gồm:

Việc không cung cấp hoặc tạm ngừng, ngừng cung cấp dịch vụ đối với tổ chức, cá nhân có hành vi đăng tải thông tin thuộc các trường hợp quy định tại các khoản 1, 2 và 3 Điều 13 và khoản 2 Điều 14 của Luật An ninh mạng khi có yêu cầu của lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an. 

Việc tạm ngừng, ngừng cung cấp dịch vụ phải bảo đảm đúng phạm vi, đối tượng, thời hạn và phù hợp với quy định của pháp luật có liên quan.

Hoạt động lưu trữ và quản lý nhật ký hệ thống bao gồm:

a) Lưu trữ và quản lý nhật ký hệ thống phục vụ công tác quản lý nhà nước, bảo đảm an ninh thông tin mạng và xử lý hành vi vi phạm pháp luật;

b) Nhật ký hệ thống phải bao gồm tối thiểu các thông tin về tài khoản người sử dụng dịch vụ, thời gian đăng nhập, đăng xuất, địa chỉ IP, cổng nguồn khi đăng nhập, đăng xuất và nhật ký xử lý thông tin được đăng tải;

c) Thời gian lưu trữ nhật ký hệ thống phải bảo đảm có thể truy xuất dữ liệu ít nhất trong vòng 12 tháng, đáp ứng yêu cầu xác minh, điều tra, xử lý hành vi vi phạm pháp luật.

Nghị định này có hiệu lực thi hành kể từ ngày 19/8/2026./.