Toàn văn Nghị định 333/2026/NĐ-CP quy định chi tiết Luật An ninh mạng

Ngày 19/8/2026, Chính phủ ban hành Nghị định số 333/2026/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật An ninh mạng. Một số nhóm nội dung chính được quy định trong Nghị định gồm:

Nội dung, trình tự, thủ tục và thẩm quyền áp dụng các biện pháp bảo vệ an ninh mạng.
Hoạt động bảo đảm an ninh thông tin mạng.
Chuẩn kiến thức, kỹ năng chuyên sâu về an ninh mạng và chương trình tập huấn.
Cơ chế quản lý định danh địa chỉ IP đối với doanh nghiệp cung cấp dịch vụ viễn thông, Internet.

Các biện pháp bảo vệ an ninh mạng được quy định trong Nghị định gồm thẩm định, đánh giá điều kiện, kiểm tra, giám sát, ứng phó và khắc phục sự cố; đấu tranh bảo vệ an ninh mạng; sử dụng mật mã để bảo vệ thông tin mạng; yêu cầu xóa bỏ thông tin trái pháp luật hoặc thông tin sai sự thật, tin giả; thu thập dữ liệu điện tử và đình chỉ, tạm đình chỉ hoặc yêu cầu ngừng hoạt động của hệ thống thông tin, thu hồi tên miền theo quy định pháp luật.

Quy định về bảo đảm an ninh thông tin mạng đối với doanh nghiệp

Một trong những nội dung đáng chú ý của Nghị định 333/2026/NĐ-CP là quy định về hoạt động bảo đảm an ninh thông tin mạng đối với doanh nghiệp.

Theo Điều 16 Nghị định 333/2026/NĐ-CP, doanh nghiệp trong nước và doanh nghiệp nước ngoài khi cung cấp dịch vụ trên mạng viễn thông, mạng Internet và các dịch vụ gia tăng trên không gian mạng tại Việt Nam phải thực hiện các hoạt động bảo đảm an ninh thông tin mạng theo quy định của Nghị định và các quy định khác có liên quan của pháp luật Việt Nam.

Các hoạt động này bao gồm xác thực, bảo vệ thông tin và tài khoản người sử dụng; cung cấp thông tin phục vụ bảo vệ an ninh thông tin mạng; ngăn chặn, xử lý thông tin, dịch vụ và ứng dụng vi phạm pháp luật; tạm ngừng hoặc ngừng cung cấp dịch vụ trong một số trường hợp và lưu trữ, quản lý nhật ký hệ thống.

Xác thực tài khoản người dùng

Nghị định 333 cũng quy định doanh nghiệp phải thực hiện xác thực thông tin người sử dụng tại thời điểm đăng ký tài khoản số.

Việc xác thực tài khoản được thực hiện bằng số điện thoại di động tại Việt Nam. Trường hợp người sử dụng không có số điện thoại di động tại Việt Nam, việc xác thực có thể được thực hiện bằng số định danh cá nhân hoặc phương thức định danh điện tử hợp pháp khác theo quy định.

Trường hợp người sử dụng dịch vụ dùng tính năng phát trực tiếp (livestream) nhằm mục đích thương mại thì phải thực hiện xác thực tài khoản bằng số định danh cá nhân theo quy định của pháp luật.

Nghị định cũng yêu cầu doanh nghiệp áp dụng các biện pháp quản lý và kỹ thuật cần thiết để bảo đảm an toàn, bảo mật thông tin và tài khoản người sử dụng; chỉ cho phép tài khoản đã được xác thực đăng tải, chia sẻ thông tin và sử dụng các tính năng tương tác trên hệ thống.

Bên cạnh đó, Nghị định 333/2026/NĐ-CP quy định doanh nghiệp có trách nhiệm cung cấp thông tin người sử dụng dịch vụ cho lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an khi có yêu cầu hợp lệ, nhằm phục vụ việc xác minh, điều tra và xử lý hành vi vi phạm pháp luật. Thời hạn cung cấp thông tin chậm nhất là 24 giờ kể từ thời điểm nhận được yêu cầu. Với trường hợp khẩn cấp đe dọa xâm hại an ninh quốc gia hoặc đe dọa tính mạng con người, thời hạn này là chậm nhất 3 giờ.

Lưu trữ nhật ký hệ thống tối thiểu 12 tháng

Một nội dung khác liên quan trực tiếp đến hoạt động quản lý và bảo đảm an ninh thông tin mạng là yêu cầu về lưu trữ và quản lý nhật ký hệ thống.

Theo Nghị định, nhật ký hệ thống phải bao gồm tối thiểu các thông tin về tài khoản người sử dụng dịch vụ, thời gian đăng nhập, đăng xuất, địa chỉ IP, cổng nguồn khi đăng nhập, đăng xuất và nhật ký xử lý thông tin được đăng tải.

Thời gian lưu trữ nhật ký hệ thống phải bảo đảm khả năng truy xuất dữ liệu ít nhất trong vòng 12 tháng, phục vụ yêu cầu xác minh, điều tra và xử lý hành vi vi phạm pháp luật.