An ninh mạng là trạng thái không gian mạng ổn định, an toàn, và hoạt động trên đó không gây hại cho an ninh quốc gia, trật tự xã hội hay quyền lợi của người khác. Từ 01/7/2026, khái niệm này được điều chỉnh bởi Luật An ninh mạng số 116/2025/QH15 — luật gộp cả Luật An ninh mạng 2018 lẫn Luật An toàn thông tin mạng 2015 vào một văn bản.
Định nghĩa theo văn bản pháp luật
An ninh mạng là sự ổn định, an ninh, an toàn của không gian mạng; bảo vệ hệ thống thông tin và bảo đảm thông tin, dữ liệu, hoạt động trên không gian mạng không gây phương hại đến an ninh quốc gia, trật tự, an toàn xã hội, quyền và lợi ích hợp pháp của cơ quan, tổ chức, cá nhân.
Khoản 1 Điều 2 Luật An ninh mạng số 116/2025/QH15, thông qua ngày 10/12/2025 (hiệu lực từ 01/7/2026).
Giải nghĩa dễ hiểu
Một luật thay hai luật
Trước 01/7/2026 có hai luật song song: Luật An toàn thông tin mạng 2015 (thiên về kỹ thuật, do ngành thông tin quản lý) và Luật An ninh mạng 2018 (thiên về an ninh, trật tự, do Công an quản lý). Luật 2025 hợp nhất hai luật và thay cụm "an toàn thông tin mạng" bằng "an ninh mạng" trong nhiều luật khác (Điều 43). Luật mới tách thêm hai khái niệm con: an ninh thông tin mạng (bảo đảm tính nguyên vẹn, bảo mật, khả dụng của thông tin) và an ninh dữ liệu (khoản 2, 3 Điều 2).
Hệ thống thông tin chia 5 cấp độ
Theo mức tổn hại khi xảy ra sự cố: cấp 1 tổn hại quyền lợi tổ chức, cá nhân; tăng dần tới cấp 5 tổn hại đặc biệt nghiêm trọng an ninh quốc gia (Điều 8). Hệ thống thông tin quan trọng về an ninh quốc gia (quân sự, ngân hàng, năng lượng, viễn thông…) phải được thẩm định, chứng nhận đủ điều kiện trước khi vận hành (Điều 9). Hệ thống đã xác định cấp độ theo luật cũ giữ nguyên cấp độ, có 12 tháng để đáp ứng yêu cầu mới (khoản 1 Điều 45).
Hành vi bị cấm đáng chú ý (Điều 7)
- Đăng tải thông tin bịa đặt, vu khống, xâm phạm danh dự người khác; thông tin sai sự thật gây hoang mang, kể cả trong lĩnh vực tài chính, ngân hàng, thương mại điện tử, chứng khoán.
- Dùng trí tuệ nhân tạo, công nghệ mới để giả mạo video, hình ảnh, giọng nói của người khác trái pháp luật (điểm g khoản 2).
- Thu thập, mua bán, trao đổi trái pháp luật dữ liệu cá nhân của người khác; mua bán thông tin thẻ, tài khoản ngân hàng, tài sản mã hóa.
- Tấn công mạng, xâm nhập trái phép, phát tán phần mềm độc hại, thư rác, tin nhắn rác.
Nghĩa vụ của doanh nghiệp cung cấp dịch vụ trên mạng (Điều 25)
- Xác thực thông tin khi người dùng đăng ký tài khoản; cung cấp thông tin người dùng cho lực lượng chuyên trách Bộ Công an chậm nhất 24 giờ kể từ khi có yêu cầu, khẩn cấp 03 giờ.
- Ngăn chặn, gỡ thông tin vi phạm chậm nhất 24 giờ, khẩn cấp đe dọa an ninh quốc gia 06 giờ.
- Doanh nghiệp có thu thập, xử lý dữ liệu người dùng tại Việt Nam phải lưu dữ liệu tại Việt Nam theo thời hạn Chính phủ quy định; doanh nghiệp nước ngoài phải đặt chi nhánh hoặc văn phòng đại diện.
Phân biệt an ninh mạng với an toàn thông tin mạng
| Tiêu chí | An ninh mạng (từ 01/7/2026) | An toàn thông tin mạng (trước 01/7/2026) |
|---|---|---|
| Văn bản | Luật An ninh mạng 116/2025/QH15 | Luật An toàn thông tin mạng 86/2015/QH13, hết hiệu lực từ 01/7/2026 |
| Trọng tâm | Cả an ninh quốc gia, trật tự xã hội lẫn bảo vệ kỹ thuật hệ thống | Bảo vệ kỹ thuật thông tin, hệ thống khỏi truy cập, phá hoại trái phép |
| Cơ quan đầu mối | Bộ Công an (Bộ Quốc phòng với hệ thống quân sự, Ban Cơ yếu với hệ thống cơ yếu) | Bộ Thông tin và Truyền thông (nay đã nhập vào Bộ Khoa học và Công nghệ) |
| Phân loại hệ thống | 5 cấp độ theo Điều 8 Luật 2025 | 5 cấp độ theo luật 2015; cấp độ đã xác định được giữ |
Ví dụ tình huống
Tối 22/7/2026, anh Hồ Văn Quang đăng lên một nhóm mạng xã hội 200.000 thành viên ảnh chụp màn hình bịa đặt kèm lời: "Ngân hàng X sắp mất thanh khoản, ai có tiền gửi rút ngay". Sáng hôm sau, nhiều người xếp hàng rút tiền tại một chi nhánh ở tỉnh Thanh Hóa.
Phân tích: đây là thông tin bịa đặt, sai sự thật trong lĩnh vực tài chính, ngân hàng — bị cấm theo điểm d khoản 1 Điều 7 Luật An ninh mạng. Nếu chưa đến mức hình sự, anh Quang có thể bị phạt 10–20 triệu đồng vì làm ra, phát tán thông tin sai sự thật ảnh hưởng quyền lợi hợp pháp của tổ chức (điểm a khoản 2 Điều 11 Nghị định 330/2026), buộc gỡ bài và cải chính. Nếu gây dư luận xấu làm giảm uy tín của ngân hàng hoặc thiệt hại từ 100 triệu đồng, có thể bị truy cứu theo Điều 288 Bộ luật Hình sự (phạt tiền 30–200 triệu đồng hoặc tù đến 03 năm). Nhà cung cấp mạng xã hội phải gỡ bài chậm nhất 24 giờ kể từ khi có yêu cầu của lực lượng chuyên trách Bộ Công an. Người quản trị nhóm không có biện pháp ngăn chặn, gỡ bài vi phạm cũng có thể bị phạt 10–20 triệu đồng (điểm a khoản 1 Điều 12 Nghị định 330/2026).
Áp dụng trong thực tế và ngoại lệ
- Người dùng phải bảo mật tài khoản số của mình; tài khoản bị dùng vi phạm thì chủ tài khoản, người sử dụng có thể bị xử lý và phải bồi thường (khoản 2 Điều 42).
- Doanh nghiệp xảy ra sự cố phải lập tức triển khai phương án ứng cứu và báo ngay lực lượng chuyên trách (khoản 3 Điều 41).
- Xử phạt: Nghị định 330/2026/NĐ-CP (hiệu lực 19/8/2026); mức tối đa 100 triệu đồng với cá nhân, 200 triệu đồng với tổ chức; thời hiệu 01 năm.
- Văn bản hướng dẫn: các Nghị định 329, 331, 332, 333/2026/NĐ-CP ban hành ngày 19/8/2026 và Nghị định 341/2026/NĐ-CP (mật mã dân sự).
Những chỗ hay hiểu sai
- Sai: "Chỉ chia sẻ lại bài của người khác thì không sao." — Đúng: Nghị định 330/2026 xử phạt cả hành vi "cung cấp, chia sẻ" thông tin vi phạm, không chỉ người viết đầu tiên.
- Sai: "Luật An ninh mạng 2018 vẫn còn hiệu lực." — Đúng: hết hiệu lực từ 01/7/2026, cùng Luật An toàn thông tin mạng 2015.
- Sai: "Ghép mặt người khác bằng AI cho vui thì không vi phạm." — Đúng: giả mạo video, hình ảnh, giọng nói người khác trái pháp luật bị cấm; còn xâm phạm quyền đối với hình ảnh và có thể cấu thành tội làm nhục, vu khống.
- Sai: "Tài khoản bị mượn thì người mượn chịu hết." — Đúng: chủ tài khoản có nghĩa vụ bảo mật và có thể bị xử lý cùng.
Thuật ngữ tiếng Anh tương đương
Cybersecurity là cách dịch thông dụng; tên luật dịch Law on Cybersecurity. "An ninh thông tin mạng" gần với network information security, "không gian mạng" là cyberspace. Lưu ý: khái niệm của Việt Nam rộng hơn nghĩa kỹ thuật thông thường của "cybersecurity" vì bao gồm cả an ninh quốc gia, trật tự xã hội và kiểm soát nội dung thông tin.
Thuật ngữ liên quan
- An toàn thông tin mạng — khái niệm của luật 2015, nay nhập vào an ninh mạng
- Tội phạm mạng — hành vi phạm tội trên không gian mạng
- Hệ thống thông tin — đối tượng bảo vệ, chia 5 cấp độ
- Bảo vệ dữ liệu cá nhân — lĩnh vực song hành, chung nghị định xử phạt
- Lừa đảo trên không gian mạng — hành vi bị cấm phổ biến nhất
- Quyền đối với hình ảnh — bị xâm phạm khi giả mạo hình ảnh bằng AI
Căn cứ pháp lý
- Luật An ninh mạng số 116/2025/QH15 — Điều 2, 5, 7, 8, 9, 25, 30, 41, 42, 43, 44, 45; hiệu lực từ 01/7/2026, thay Luật An ninh mạng 24/2018/QH14 và Luật An toàn thông tin mạng 86/2015/QH13.
- Nghị định 330/2026/NĐ-CP xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân — Điều 3, 7, 11, 12; hiệu lực từ 19/8/2026.
- Bộ luật Hình sự 2015 (sửa đổi 2017, 2025) — Điều 288.
Hỏi đáp nhanh
Doanh nghiệp nhỏ có phải tuân thủ Luật An ninh mạng không?
Có. Mọi cơ quan, tổ chức, cá nhân sử dụng không gian mạng phải tuân thủ; chủ quản hệ thống thông tin (kể cả website bán hàng) phải áp dụng biện pháp phòng chống tấn công phù hợp cấp độ hệ thống. Nghĩa vụ nặng như lưu dữ liệu tại Việt Nam, cung cấp thông tin người dùng trong 24 giờ áp cho doanh nghiệp cung cấp dịch vụ trên mạng viễn thông, internet.
Bị bôi nhọ trên mạng thì báo ở đâu?
Có thể gửi đơn tới Công an cấp xã hoặc cơ quan Công an cấp tỉnh (bộ phận an ninh mạng); đồng thời báo cáo vi phạm với nền tảng để yêu cầu gỡ. Nếu nội dung vu khống, làm nhục, người bị hại còn có quyền khởi kiện dân sự đòi xin lỗi, cải chính và bồi thường thiệt hại.
Hệ thống thông tin đã phân loại theo luật cũ có phải làm lại không?
Không phải xác định lại cấp độ: hệ thống đã được xác định cấp độ theo Luật An toàn thông tin mạng giữ nguyên cấp độ. Nhưng trong 12 tháng từ 01/7/2026 phải bảo đảm điều kiện, biện pháp bảo vệ tương ứng theo luật mới (khoản 1 Điều 45 Luật 116/2025/QH15).
Lưu ý: Bài viết tổng hợp quy định đang có hiệu lực tại thời điểm đăng và chỉ mang tính tham khảo, không thay thế ý kiến pháp lý cho một vụ việc cụ thể. Văn bản pháp luật có thể được sửa đổi; vui lòng đối chiếu bản mới nhất hoặc trao đổi với luật sư trước khi quyết định.