An toàn thông tin mạng là việc bảo vệ thông tin và hệ thống thông tin trên mạng khỏi bị truy nhập, sử dụng, tiết lộ, gián đoạn, sửa đổi hoặc phá hoại trái phép, để thông tin luôn nguyên vẹn, được giữ bí mật và sẵn sàng khi cần dùng. Từ 01/7/2026, luật dùng thuật ngữ này hết hiệu lực; khái niệm kế thừa là "an ninh thông tin mạng" của Luật An ninh mạng 2025.
Định nghĩa theo văn bản pháp luật
1. An toàn thông tin mạng là sự bảo vệ thông tin, hệ thống thông tin trên mạng tránh bị truy nhập, sử dụng, tiết lộ, gián đoạn, sửa đổi hoặc phá hoại trái phép nhằm bảo đảm tính nguyên vẹn, tính bảo mật và tính khả dụng của thông tin.
Khoản 1 Điều 3 Luật An toàn thông tin mạng số 86/2015/QH13 (hiệu lực 01/7/2016; hết hiệu lực từ 01/7/2026 theo khoản 2 Điều 44 Luật An ninh mạng số 116/2025/QH15)
Khái niệm kế thừa trong luật mới:
2. An ninh thông tin mạng là sự bảo đảm tính nguyên vẹn, tính bảo mật, tính khả dụng của thông tin trên không gian mạng, tránh bị truy cập, sử dụng, tiết lộ, sửa đổi trái phép, phá hoại hoặc hành vi khác đe dọa hoặc gây phương hại đến an ninh quốc gia, trật tự, an toàn xã hội.
Khoản 2 Điều 2 Luật An ninh mạng số 116/2025/QH15 (hiệu lực từ 01/7/2026)
Giải nghĩa dễ hiểu
Ba thuộc tính phải giữ
- Bảo mật: chỉ người có quyền mới đọc được — danh sách khách hàng không lọt ra ngoài.
- Nguyên vẹn: không ai sửa được trái phép — số tài khoản trên hóa đơn gửi khách không bị tráo.
- Khả dụng: dùng được khi cần — cổng thanh toán không sập vì bị tấn công từ chối dịch vụ.
Mã độc tống tiền mã hóa máy chủ phá tính khả dụng dù dữ liệu không bị lộ — vẫn là sự cố.
Vì sao thuật ngữ đổi
Trước 01/7/2026, Việt Nam có hai luật song song: Luật An toàn thông tin mạng 2015 (Bộ Thông tin và Truyền thông quản lý, thiên về kỹ thuật, phân cấp độ hệ thống) và Luật An ninh mạng 2018 (Bộ Công an quản lý, thiên về an ninh quốc gia, nội dung thông tin). Luật An ninh mạng 2025 gộp cả hai, thay cả hai luật cũ từ 01/7/2026 và giao Bộ Công an làm cơ quan đầu mối quản lý nhà nước (khoản 2 Điều 39). Điều 43 đồng thời thay hoặc bỏ cụm từ "an toàn thông tin mạng" trong hàng loạt luật khác như Luật Giao dịch điện tử, Luật Dữ liệu, Luật Viễn thông.
Những gì được giữ nguyên
Ba thuộc tính bảo mật – nguyên vẹn – khả dụng, nguyên tắc phân loại hệ thống thông tin theo 5 cấp độ, trách nhiệm của chủ quản hệ thống thông tin đều được giữ. Tiêu chuẩn, quy chuẩn kỹ thuật đang dùng chữ "an toàn thông tin mạng" hoặc "an toàn hệ thống thông tin" được hiểu tương đương "an ninh mạng" (khoản 2 Điều 39 Nghị định 331/2026/NĐ-CP).
Phân biệt an toàn thông tin mạng với an ninh thông tin mạng
| Tiêu chí | An toàn thông tin mạng (Luật 86/2015) | An ninh thông tin mạng (Luật 116/2025) |
|---|---|---|
| Thời gian áp dụng | 01/7/2016 – 30/6/2026 | Từ 01/7/2026 |
| Đối tượng bảo vệ | Thông tin và hệ thống thông tin trên mạng | Thông tin trên không gian mạng |
| Mục tiêu nêu trong định nghĩa | Giữ nguyên vẹn, bảo mật, khả dụng | Như trên, gắn thêm việc không gây phương hại an ninh quốc gia, trật tự, an toàn xã hội |
| Cơ quan đầu mối | Bộ Thông tin và Truyền thông | Bộ Công an (Bộ Quốc phòng, Ban Cơ yếu Chính phủ trong phạm vi riêng) |
| Phân cấp độ hệ thống | 5 cấp độ "an toàn hệ thống thông tin" (Điều 21) | 5 cấp độ hệ thống thông tin (Điều 8), tiêu chí tại Nghị định 331/2026/NĐ-CP |
Ví dụ tình huống
Phòng khám đa khoa Thiện Tâm (phường Hải Châu, TP. Đà Nẵng) vận hành phần mềm quản lý bệnh án, đã được phê duyệt cấp độ 2 năm 2024 theo Luật An toàn thông tin mạng. Đến tháng 9/2026, phần mềm lưu hồ sơ khoảng 14.000 bệnh nhân. Giám đốc hỏi cấp độ cũ còn giá trị không.
Kết luận: theo khoản 1 Điều 45 Luật An ninh mạng 2025, hệ thống tiếp tục giữ cấp độ 2 đã xác định; nhưng trong 12 tháng kể từ 01/7/2026, tức đến hết ngày 30/6/2027, phòng khám phải bảo đảm điều kiện, biện pháp bảo vệ tương ứng cấp độ theo luật mới. Cần lưu ý thêm: Nghị định 331/2026/NĐ-CP xếp hệ thống phục vụ người dân có xử lý dữ liệu cá nhân nhạy cảm của từ 10.000 chủ thể trở lên vào cấp độ 3 (điểm c khoản 2 Điều 13), và thông tin sức khỏe là dữ liệu nhạy cảm. Vì vậy phòng khám nên lập lại hồ sơ đề xuất cấp độ theo trình tự xác định lần đầu (Điều 25 Nghị định 331) — với cấp độ 3, đơn vị chuyên trách về an ninh mạng của phòng khám thẩm định và giám đốc phê duyệt (khoản 2 Điều 18). Song song, phòng khám phải lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân.
Áp dụng trong thực tế và ngoại lệ
- Hồ sơ, giấy phép cũ: giấy phép kinh doanh sản phẩm, dịch vụ an toàn thông tin mạng, mật mã dân sự cấp trước 01/7/2026 dùng đến hết hạn ghi trên giấy phép; sản phẩm, giải pháp đã đưa vào sử dụng được tiếp tục dùng nhưng trong 12 tháng phải đáp ứng điều kiện an ninh mạng mới (khoản 2, 3 Điều 45).
- Chủ quản dùng ngân sách nhà nước: phải có phương án bảo đảm an ninh mạng được thẩm định khi thiết lập, mở rộng, nâng cấp hệ thống và chỉ định người, bộ phận phụ trách (khoản 2 Điều 40).
- Xử phạt: từ 19/8/2026, vi phạm hành chính trong lĩnh vực an ninh mạng xử theo Nghị định 330/2026/NĐ-CP, mức tối đa 100 triệu đồng với cá nhân, 200 triệu đồng với tổ chức (khoản 3 Điều 7). Tấn công, xâm nhập gây hậu quả lớn có thể bị truy cứu theo Điều 286–289 Bộ luật Hình sự.
Những chỗ hay hiểu sai
- Sai: luật cũ hết hiệu lực thì cấp độ đã phê duyệt mất giá trị, phải làm lại ngay. — Đúng: cấp độ được giữ; chỉ phải nâng biện pháp bảo vệ trong 12 tháng, và xác định lại khi tiêu chí mới cho kết quả khác.
- Sai: an toàn thông tin chỉ là chuyện kỹ thuật của bộ phận IT. — Đúng: luật đặt trách nhiệm lên chủ quản hệ thống, tức người đứng đầu cơ quan, doanh nghiệp.
- Sai: chia nhỏ hệ thống để mỗi phần chỉ còn cấp độ 1–2 cho nhẹ nghĩa vụ. — Đúng: Nghị định 331 cấm xác định phạm vi hệ thống một cách hình thức để hạ cấp độ (khoản 3 Điều 8).
Thuật ngữ tiếng Anh tương đương
Bản dịch thông dụng của Luật 86/2015 là Law on Network Information Security; "an toàn thông tin mạng" dịch là network information security. Ba thuộc tính tương ứng bộ ba quen thuộc trong tiêu chuẩn quốc tế: confidentiality, integrity, availability (CIA triad). Đừng dịch thành cybersecurity khi muốn giữ đúng thuật ngữ của luật cũ, vì cybersecurity thường dùng cho "an ninh mạng"; "an ninh thông tin mạng" trong luật mới có thể dịch cyber information security kèm chú thích nguồn.
Thuật ngữ liên quan
- An ninh mạng — khái niệm thay thế, bao trùm từ 01/7/2026
- Hệ thống thông tin — đối tượng được phân cấp độ và bảo vệ
- Tội phạm mạng — hành vi xâm phạm bị xử lý hình sự
- Bảo vệ dữ liệu cá nhân — lớp nghĩa vụ song song khi hệ thống chứa dữ liệu người dùng
- Giao dịch điện tử — hệ thống lưu trữ chứng thư điện tử, cung cấp dịch vụ tin cậy phải đạt tối thiểu cấp độ 3
Căn cứ pháp lý
- Luật An toàn thông tin mạng số 86/2015/QH13 — khoản 1 Điều 3, Điều 21, 52; hết hiệu lực từ 01/7/2026.
- Luật An ninh mạng số 116/2025/QH15 (hiệu lực 01/7/2026) — khoản 1, 2 Điều 2; Điều 8, 39, 40, 43, 44, 45.
- Nghị định 331/2026/NĐ-CP về bảo vệ an ninh mạng đối với hệ thống thông tin (hiệu lực 19/8/2026) — Điều 8, 13, 18, 25, 39.
- Nghị định 330/2026/NĐ-CP xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân (hiệu lực 19/8/2026) — Điều 7.
- Bộ luật Hình sự số 100/2015/QH13, sửa đổi 2017, 2025 — Điều 286–289.
Hỏi đáp nhanh
Hợp đồng dịch vụ ký năm 2024 còn ghi "bảo đảm an toàn thông tin mạng theo Luật 86/2015" thì có phải sửa không?
Không bắt buộc ký lại. Nghĩa vụ hợp đồng vẫn ràng buộc các bên; chỉ phần dẫn chiếu luật cần hiểu theo văn bản đang có hiệu lực, tức Luật An ninh mạng 116/2025/QH15 và các nghị định hướng dẫn. Khi gia hạn hoặc ký phụ lục, nên cập nhật dẫn chiếu để tránh tranh cãi về tiêu chuẩn phải đáp ứng.
Giấy phép kinh doanh sản phẩm, dịch vụ an toàn thông tin mạng cấp trước 01/7/2026 có còn dùng được?
Còn, đến hết thời hạn ghi trên giấy phép (khoản 2 Điều 45 Luật An ninh mạng 2025). Khi hết hạn thì xin theo quy định mới về kinh doanh sản phẩm, dịch vụ an ninh mạng (Điều 29 Luật An ninh mạng và Nghị định 332/2026/NĐ-CP).
Website bán hàng nhỏ của hộ kinh doanh có phải xác định cấp độ hệ thống thông tin không?
Luật yêu cầu mọi hệ thống thông tin được phân loại cấp độ (Điều 8 Luật An ninh mạng). Với trang chỉ đăng thông tin công khai, mức thường là cấp độ 1–2 và hồ sơ do chính chủ quản tự thẩm định, phê duyệt (khoản 1 Điều 18 Nghị định 331/2026/NĐ-CP). Nếu trang có thu thông tin khách hàng thì đồng thời phải lo nghĩa vụ bảo vệ dữ liệu cá nhân.
Bị hack website thì báo ai?
Chủ quản hệ thống thông tin báo sự cố an ninh mạng cho cơ quan chuyên trách của Bộ Công an (khoản 1 Điều 40 Luật An ninh mạng). Nếu có lộ dữ liệu cá nhân của khách thì thêm nghĩa vụ thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm nhất 72 giờ (Điều 23 Luật Bảo vệ dữ liệu cá nhân). Thiệt hại tài sản lớn có thể tố giác tội phạm tại cơ quan công an.
Lưu ý: Bài viết tổng hợp quy định đang có hiệu lực tại thời điểm đăng và chỉ mang tính tham khảo, không thay thế ý kiến pháp lý cho một vụ việc cụ thể. Văn bản pháp luật có thể được sửa đổi; vui lòng đối chiếu bản mới nhất hoặc trao đổi với luật sư trước khi quyết định.