Nghị định 333/2026 hướng dẫn Luật An ninh mạng: doanh nghiệp làm gì

Nghị định 333/2026/NĐ-CP, ban hành và có hiệu lực ngày 19/8/2026, là văn bản quy định chi tiết Luật An ninh mạng 2025 mà mọi doanh nghiệp cung cấp dịch vụ trên mạng viễn thông, Internet cần đọc kỹ. Với phần lớn công ty, việc phải làm ngay gồm ba nhóm: xác thực tài khoản người dùng, lưu nhật ký hệ thống tối thiểu 12 tháng, và có quy trình phản hồi yêu cầu của cơ quan chức năng trong 24 giờ. Bài này tóm lược những điểm đó và gợi ý cách biến chúng thành đầu việc cụ thể cho bộ phận IT, pháp chế và vận hành.

Bối cảnh: từ Luật 116/2025/QH15 đến nghị định hướng dẫn

Luật An ninh mạng 2025 mang số 116/2025/QH15, được Quốc hội thông qua ngày 10/12/2025 và có hiệu lực từ 1/7/2026. Ngày 16/3/2026, Thủ tướng ký Quyết định 437/QĐ-TTg về kế hoạch triển khai luật, như VnEconomy ghi nhận trong bài phỏng vấn về khoảng trống đầu tư bảo mật của doanh nghiệp Việt. Đến tháng 8/2026, Chính phủ ban hành nghị định hướng dẫn gồm 6 chương, 32 điều.

Theo Tạp chí Công Thương đăng ngày 22/8/2026, Điều 16 của nghị định là phần đụng chạm trực tiếp nhất tới doanh nghiệp, áp dụng cho cả nhà cung cấp trong nước lẫn nước ngoài. Điều này có nghĩa một công ty SaaS nội địa, một sàn thương mại nhỏ hay một ứng dụng cộng đồng đều nằm trong phạm vi nếu có tài khoản người dùng.

Sáu nhóm nghĩa vụ trong Điều 16, đọc theo góc vận hành

Xác thực tài khoản số

Doanh nghiệp phải xác thực thông tin người dùng khi mở tài khoản. Cách mặc định là xác thực bằng số điện thoại di động Việt Nam; người không có số trong nước xác thực bằng số định danh cá nhân hoặc phương thức định danh điện tử hợp pháp khác. Tài khoản livestream bán hàng bắt buộc xác thực bằng số định danh cá nhân. Chỉ tài khoản đã xác thực mới được đăng bài, chia sẻ hoặc dùng tính năng tương tác.

Cung cấp thông tin khi có yêu cầu hợp lệ

Khi lực lượng chuyên trách bảo vệ an ninh mạng của Bộ Công an gửi yêu cầu hợp lệ, doanh nghiệp có 24 giờ để cung cấp thông tin; trường hợp khẩn cấp đe dọa an ninh quốc gia hoặc tính mạng con người, thời hạn rút còn 3 giờ. Yêu cầu và phản hồi phải kiểm chứng được và được giữ bí mật.

Chặn, gỡ nội dung và dịch vụ vi phạm

Thời hạn xử lý là 24 giờ, rút xuống 6 giờ nếu có nguy cơ khẩn cấp về an ninh quốc gia. Nếu đội trực của bạn chỉ làm giờ hành chính, mốc 6 giờ gần như không thể đáp ứng.

Hạn chế, khóa tài khoản tái phạm

Nghị định đặt hai ngưỡng: từ 3 bài vi phạm trong 30 ngày có thể bị hạn chế hiển thị hoặc khóa tạm tối đa 60 ngày; từ 10 bài trong 90 ngày, thời gian khóa có thể tới 180 ngày. Một số trường hợp bị hạn chế không thời hạn, chẳng hạn sau 3 lần khóa tạm mà vẫn tiếp tục vi phạm. Tài khoản được khôi phục khi căn cứ không còn, phát hiện sai sót hoặc cơ quan có thẩm quyền xác định không vi phạm.

Tạm dừng, chấm dứt dịch vụ

Doanh nghiệp từ chối hoặc tạm dừng cung cấp dịch vụ cho người dùng đăng nội dung thuộc Điều 13, Điều 14 của luật khi có yêu cầu, và phạm vi tạm dừng phải đúng đối tượng, thời hạn theo quy định.

Lưu nhật ký hệ thống

Nhật ký tối thiểu gồm tài khoản người dùng, thời điểm đăng nhập và đăng xuất, địa chỉ IP, cổng nguồn và log xử lý nội dung, phải truy xuất được trong ít nhất 12 tháng.

Bảng mốc thời hạn cần đưa vào quy trình nội bộ

Nguồn số liệu: Điều 16 Nghị định 333/2026/NĐ-CP theo tóm tắt của Tạp chí Công Thương.

Biến nghĩa vụ thành đầu việc: gợi ý phân công

Đọc xong nghị định, nhiều công ty dừng ở mức "đã biết". Cách hiệu quả hơn là tách thành đầu việc có người chịu trách nhiệm.

• Đội sản phẩm: rà luồng đăng ký, khóa tính năng đăng bài và bình luận với tài khoản chưa xác thực, thêm bước xác thực bằng số định danh cho tài khoản livestream thương mại.
• Đội hạ tầng: kiểm tra hệ thống log hiện ghi những trường nào. Nhiều hệ thống đứng sau load balancer hoặc NAT chỉ ghi IP mà thiếu cổng nguồn, khiến việc truy vết không đầy đủ. Tính lại dung lượng lưu trữ cho 12 tháng và chọn tầng lưu trữ lạnh có khả năng truy xuất.
• Pháp chế: soạn quy trình tiếp nhận, kiểm tra tính hợp lệ của yêu cầu, đầu mối liên hệ và biểu mẫu phản hồi; xác định ai được quyền ký duyệt ngoài giờ.
• Vận hành, chăm sóc khách hàng: xây bộ đếm vi phạm theo cửa sổ 30 và 90 ngày, cơ chế thông báo cho người dùng khi bị hạn chế, và kênh khiếu nại để khôi phục tài khoản.

Với yêu cầu trực 24/7 cho mốc 3 giờ và 6 giờ, doanh nghiệp nhỏ thường không đủ người. Một phương án là mở rộng phạm vi của đội giám sát an ninh hiện có; bài về vai trò của trung tâm SOC phân tích mô hình tự xây và thuê ngoài, có thể dùng làm điểm khởi đầu.

Những điểm luật mẹ đặt ra mà nghị định không thay thế

Ngoài Điều 16, Luật 116/2025/QH15 còn những yêu cầu ảnh hưởng tới ngân sách và kế hoạch dài hạn. Theo bài viết của Thị trường Tài chính Tiền tệ đăng ngày 1/7/2026, hệ thống thông tin đã phân cấp theo quy định cũ có 12 tháng kể từ ngày luật có hiệu lực để đáp ứng điều kiện, tiêu chuẩn mới, tức tới khoảng tháng 7/2027. Bài viết cũng nêu các chương trình chuyển đổi số phải dành tối thiểu 15% tổng kinh phí cho biện pháp bảo đảm an ninh mạng.

Hai con số này nên được đưa vào kế hoạch ngân sách 2027 ngay từ bây giờ, khi các phòng ban đang chốt dự toán cuối năm. Nếu công ty đã có hệ thống quản lý an toàn thông tin theo ISO 27001, phần lớn kiểm soát về log, phân quyền và xử lý sự cố có thể tái sử dụng; bài bảo mật dữ liệu theo GDPR và ISO 27001 có bảng đối chiếu kiểm soát hữu ích.

Sai lầm hay gặp khi triển khai

1. Chỉ lưu log ứng dụng, quên log hạ tầng. Cổng nguồn và IP thật của người dùng thường nằm ở tầng proxy hoặc CDN, không có trong log ứng dụng.
2. Xác thực một lần rồi bỏ qua. Khi người dùng đổi số điện thoại hoặc chuyển nhượng tài khoản, trạng thái xác thực cần được kiểm tra lại.
3. Để một người duy nhất biết quy trình. Nếu đầu mối nghỉ phép, thời hạn 24 giờ vẫn chạy.
4. Lưu log nhưng không thử truy xuất. Dữ liệu nằm trong kho lưu trữ lạnh mà mất hai ngày mới khôi phục được thì không đáp ứng tinh thần "truy xuất được".

Cách kiểm tra nhanh: chọn ngẫu nhiên một tài khoản và một ngày cách đây 10 tháng, yêu cầu đội kỹ thuật xuất đủ năm trường nhật ký trong vòng vài giờ. Kết quả buổi diễn tập đó cho biết bạn đang ở đâu so với yêu cầu tốt hơn mọi bản tự đánh giá.