Theo Quyết định số 1964/QĐ-TTg do Phó Thủ tướng Thường trực Phạm Gia Túc ký, Chỉ số bảo đảm an ninh mạng được ban hành và triển khai trong giai đoạn 2027–2028, định hướng đến năm 2030.
Trong giai đoạn thử nghiệm, Chỉ số sẽ được đánh giá, cập nhật và điều chỉnh trên cơ sở 3 nhóm tiêu chí với 29 tiêu chí thành phần. Nội dung chi tiết, nguyên tắc, cấu trúc, quy trình tính toán và thang đánh giá được quy định tại 7 phụ lục kèm theo Quyết định.
Chỉ số bảo đảm an ninh mạng gồm 3 nhóm tiêu chí
Theo Quyết định, Chỉ số bảo đảm an ninh mạng được cấu thành từ 3 nhóm tiêu chí. Trong đó, nhóm tiêu chí đánh giá chung và nhóm tiêu chí đánh giá đặc thù được sử dụng để tính toán Chỉ số; nhóm tiêu chí phục vụ chỉ đạo, điều hành không được sử dụng để tính toán Chỉ số.
Nhóm I - Nhóm tiêu chí đánh giá chung (áp dụng đối với mọi hệ thống thông tin, chủ quản hệ thống thông tin) gồm 2 tiêu chí thành phần: 1- Đáp ứng hồ sơ đề xuất cấp độ; 2- Đáp ứng phương án bảo đảm an ninh mạng theo cấp độ.
Nhóm II - Nhóm tiêu chí đánh giá đặc thù (áp dụng đối vói hệ thống thông tin cấp độ 3 trở lên, chủ quản hệ thống thông tin cấp độ 3 trở lên) gồm 18 tiêu chí thành phần: 1- Quản lý rủi ro an ninh mạng; 2- Quản lý tài sản phần cứng; 3- Quản lý tài sản phần mềm; 4- Quản lý tài sản thông tin; 5- Cấu hình an toàn cho phần cứng và phần mềm; 6- Quản lý tài khoản và quyền truy cập tài khoản của người dùng; 7- Quản lý lỗ hổng bảo mật; 8- Quản lý nhật ký an ninh mạng; 9- Bảo vệ cho trình duyệt web, dịch vụ thư điện tử; 10- Phòng chống phần mềm độc hại; 11- Sao lưu và khôi phục dữ liệu; 12- Quản lý hạ tầng mạng; 13- Giám sát phòng thủ an ninh mạng; 14- Nhân sự vận hành, quản trị hệ thống, bảo vệ an ninh mạng; 15- Quản lý nhà cung cấp sản phẩm, dịch vụ; 16- Phát triển ứng dụng an toàn; 17- Quản trị ứng phó sự cố an ninh mạng; 18- Quản lý kiểm tra an ninh mạng.
Nhóm III - Nhóm tiêu chí phục vụ chỉ đạo, điều hành (áp dụng đối với mọi hệ thống thông tin, chủ quản hệ thống thông tin) gồm 9 tiêu chí thành phần: 1- Tỷ lệ biện pháp xử lý rủi ro được thực hiện đúng hạn theo kế hoạch (%); 2- Tỷ lệ sự cố an ninh mạng được kiểm soát và xử lý kịp thời trên tổng số lượng sự cố an ninh mạng (%); 3- Số lượng sự cố an ninh mạng nghiêm trọng xảy ra (số vụ); 4- Số bản ghi dữ liệu cá nhân của công dân bị lộ lọt (số bản ghi); 5- Số Gigabyte dữ liệu bị lộ lọt (GB); 6- Số Gigabyte dữ liệu bị mất, mã hoá (GB); 7- Số vụ lộ bí mật nhà nước trên không gian mạng do sự cố an ninh mạng gây ra (vụ); 8- Số đầu tài liệu bí mật nhà nước bị đăng tải, truyền đưa trên không gian mạng do sự cố an ninh mạng gây ra (tài liệu); 9- Thiệt hại tài chính do các sự cố an ninh mạng gây ra trên tổng ngân sách chi cho công tác bảo đảm an ninh mạng (%).
Triển khai thử nghiệm Chỉ số trong giai đoạn 2027–2028
Theo Quyết định, trong giai đoạn 2027–2028, các bộ, cơ quan và địa phương tổ chức đánh giá thí điểm Chỉ số trên cơ sở cấu trúc, nguyên tắc và phương pháp được quy định tại các phụ lục. Các cơ quan, tổ chức khác có nhu cầu có thể nghiên cứu, tham khảo để tự tổ chức đánh giá.
Việc đánh giá được thực hiện theo hướng dẫn của cơ quan thường trực, căn cứ vào số liệu, kết quả triển khai thực tế và hồ sơ, tài liệu minh chứng của kỳ đánh giá tương ứng.
Đối với hồ sơ đề xuất cấp độ hệ thống thông tin đã được phê duyệt trước ngày 12/10/2026, hồ sơ tiếp tục được sử dụng làm căn cứ đánh giá Chỉ số cho đến khi được rà soát, điều chỉnh hoặc phê duyệt lại theo quy định.
Dự kiến, việc sơ kết giai đoạn thử nghiệm được thực hiện trong quý II/2028. Kết quả đánh giá trong giai đoạn này được sử dụng để rà soát, hoàn thiện Chỉ số, không làm căn cứ xét thi đua, khen thưởng hoặc đánh giá mức độ hoàn thành nhiệm vụ của các bộ, cơ quan ngang bộ và UBND cấp tỉnh.
Trên cơ sở kết quả sơ kết, cơ quan thường trực sẽ báo cáo, đề xuất Thủ tướng Chính phủ xem xét, quyết định việc áp dụng chính thức Chỉ số cho giai đoạn 2029–2030 và các năm tiếp theo.