Hệ thống thông tin là tập hợp phần cứng, phần mềm và dữ liệu được thiết lập để tạo lập, cung cấp, truyền đưa, thu thập, xử lý, lưu trữ và trao đổi thông tin trên không gian mạng — từ trang web của một cửa hàng, phần mềm quản lý bệnh viện đến hệ thống thanh toán liên ngân hàng. Mỗi hệ thống thông tin có một chủ quản và phải được xếp vào một trong 5 cấp độ để áp dụng biện pháp bảo vệ tương ứng.
Định nghĩa theo văn bản pháp luật
7. Hệ thống thông tin là tập hợp phần cứng, phần mềm và dữ liệu được thiết lập phục vụ mục đích tạo lập, cung cấp, truyền đưa, thu thập, xử lý, lưu trữ và trao đổi thông tin trên không gian mạng.
8. Chủ quản hệ thống thông tin là cơ quan, tổ chức, cá nhân có thẩm quyền quản lý trực tiếp đối với hệ thống thông tin.
Khoản 7, 8 Điều 2 Luật An ninh mạng số 116/2025/QH15 (hiệu lực từ 01/7/2026)
Định nghĩa kế thừa khoản 3 Điều 3 Luật An toàn thông tin mạng 2015 (đã hết hiệu lực).
Giải nghĩa dễ hiểu
Khi nào một tập hợp máy móc, phần mềm là "một hệ thống"
Hệ thống phải có chức năng nghiệp vụ rõ ràng, có xử lý dữ liệu, có người dùng cụ thể, có đầu ra phục vụ quản lý, giao dịch, dịch vụ (khoản 1 Điều 7 Nghị định 331/2026/NĐ-CP); phạm vi xác định theo bản chất vận hành, không theo sơ đồ tổ chức. Mỗi hệ thống chỉ có một chủ quản.
Năm cấp độ theo Nghị định 331/2026/NĐ-CP
| Cấp độ | Tiêu chí tiêu biểu |
|---|---|
| 1 | Phục vụ nội bộ, chỉ xử lý thông tin công cộng |
| 2 | Nội bộ có xử lý thông tin cá nhân; dịch vụ trực tuyến không thuộc ngành nghề kinh doanh có điều kiện; dịch vụ trực tuyến xử lý dữ liệu cơ bản của dưới 100.000 người hoặc dữ liệu nhạy cảm của dưới 10.000 người |
| 3 | Dịch vụ trực tuyến thuộc ngành nghề kinh doanh có điều kiện; hệ thống giải quyết thủ tục hành chính; xử lý dữ liệu cơ bản của từ 100.000 người hoặc dữ liệu nhạy cảm của từ 10.000 người trở lên; hạ tầng thông tin của một bộ, ngành, tỉnh |
| 4 | Hệ thống quốc gia phục vụ Chính phủ điện tử, hạ tầng toàn quốc vận hành 24/7; điều khiển công trình xây dựng cấp I |
| 5 | Hệ thống chiến lược về quốc phòng, an ninh; lưu dữ liệu đặc biệt quan trọng của quốc gia; hạ tầng kết nối quốc tế — thuộc danh mục hệ thống thông tin quan trọng về an ninh quốc gia do Thủ tướng phê duyệt |
(Điều 11–15 Nghị định 331; mức độ tổn hại tương ứng tại khoản 1 Điều 8 Luật An ninh mạng.) Hệ thống đáp ứng tiêu chí của nhiều cấp thì áp dụng cấp cao nhất; không được chia tách, gộp hệ thống một cách hình thức để hạ cấp độ (khoản 2, 3 Điều 8 Nghị định 331).
Nghĩa vụ theo cấp độ
Mọi chủ quản phải xác định cấp độ, đánh giá rủi ro, tổ chức biện pháp bảo vệ, báo cáo và tuyên truyền (khoản 1 Điều 10 Luật). Từ cấp độ 3 bắt buộc thêm: ban hành quy định bảo đảm an ninh mạng suốt vòng đời hệ thống, áp dụng tiêu chuẩn, quy chuẩn, sao lưu, kiểm tra, giám sát an ninh mạng, ứng phó sự cố (khoản 4 Điều 10). Hệ thống quan trọng về an ninh quốc gia phải được thẩm định, chứng nhận đủ điều kiện trước khi vận hành và tự kiểm tra hằng năm, báo kết quả trước tháng 10 (Điều 9, 11).
Phân biệt hệ thống thông tin với cơ sở dữ liệu
| Tiêu chí | Hệ thống thông tin | Cơ sở dữ liệu |
|---|---|---|
| Thành phần | Phần cứng, phần mềm và dữ liệu | Chỉ là tập hợp dữ liệu được sắp xếp, tổ chức |
| Định nghĩa | Khoản 7 Điều 2 Luật An ninh mạng | Khoản 9 Điều 3 Luật Dữ liệu; khoản 10 Điều 3 Luật Giao dịch điện tử |
| Nghĩa vụ pháp lý chính | Phân cấp độ, bảo vệ an ninh mạng | Quản trị, chất lượng, chia sẻ, bảo vệ dữ liệu |
| Quan hệ | Cơ sở dữ liệu thường là một thành phần nằm trong hệ thống thông tin; một hệ thống có thể chứa nhiều cơ sở dữ liệu | |
Ví dụ tình huống
Công ty Cổ phần Giáo dục Ánh Dương (phường Hồng Bàng, TP. Hải Phòng) vận hành ứng dụng học trực tuyến cho khoảng 120.000 học sinh, kèm phân hệ thu học phí. Để nhẹ thủ tục, bộ phận công nghệ đề xuất tách thành "ứng dụng học tập" và "cổng thanh toán", mỗi phần tự xếp cấp độ 2.
Kết luận: hai phân hệ dùng chung tài khoản học sinh, trao đổi dữ liệu liên tục và phục vụ cùng một dịch vụ nên theo khoản 2 Điều 7 Nghị định 331/2026/NĐ-CP là một hệ thống thông tin. Hệ thống phục vụ người dân, xử lý dữ liệu cá nhân cơ bản của trên 100.000 người, nên thuộc cấp độ 3 theo điểm c khoản 2 Điều 13; việc chia tách để hạ cấp độ bị cấm tại khoản 3 Điều 8. Đơn vị chuyên trách về an ninh mạng của công ty thẩm định hồ sơ, Tổng giám đốc phê duyệt (khoản 2 Điều 18). Công ty còn phải kết nối hệ thống giám sát an ninh mạng, phòng chống mã độc về Trung tâm An ninh mạng quốc gia hoặc trung tâm của thành phố và báo cáo sự cố cho cơ quan chuyên trách của Bộ Công an (khoản 1 Điều 40 Luật An ninh mạng).
Áp dụng trong thực tế và ngoại lệ
- Dùng ngân sách nhà nước: phải có phương án bảo đảm an ninh mạng được thẩm định khi thiết lập, mở rộng, nâng cấp; chỉ định người hoặc bộ phận phụ trách (khoản 2 Điều 40 Luật).
- Giao dịch điện tử: hệ thống lưu trữ, chuyển giao chứng thư điện tử và hệ thống cung cấp dịch vụ tin cậy phải đạt yêu cầu an ninh mạng tối thiểu cấp độ 3 (Điều 20, 21, 29 Luật Giao dịch điện tử).
- Xâm nhập trái phép vào hệ thống thông tin tài chính, ngân hàng, điều hành lưới điện, điều khiển giao thông, hệ thống phục vụ quốc phòng, an ninh bị phạt tù 07–12 năm (khoản 3 Điều 289 Bộ luật Hình sự).
Những chỗ hay hiểu sai
- Sai: thuê điện toán đám mây thì nhà cung cấp là chủ quản. — Đúng: chủ quản là bên quản lý trực tiếp hệ thống phục vụ nghiệp vụ của mình; nhà cung cấp hạ tầng chỉ là đơn vị vận hành một phần.
- Sai: cấp độ do bộ phận IT tự chọn. — Đúng: cấp độ xác định theo tiêu chí của Nghị định 331 và qua thẩm định, phê duyệt.
- Sai: hệ thống ít người dùng thì luôn cấp độ thấp. — Đúng: chỉ cần thuộc ngành nghề kinh doanh có điều kiện hoặc xử lý dữ liệu nhạy cảm của từ 10.000 người là lên cấp độ 3.
Thuật ngữ tiếng Anh tương đương
Hệ thống thông tin là information system; chủ quản hệ thống thông tin có thể dịch information system owner (không dùng operator, vì đơn vị vận hành là chủ thể khác). Cấp độ hệ thống thông tin dịch information system security level. Hệ thống thông tin quan trọng về an ninh quốc gia gần với khái niệm critical information infrastructure ở nhiều nước, nhưng nên dịch sát information system of national security importance để giữ phạm vi của luật Việt Nam.
Thuật ngữ liên quan
- An ninh mạng — mục tiêu bảo vệ đối với hệ thống thông tin
- An toàn thông tin mạng — khuôn khổ cũ phân cấp độ hệ thống trước 01/7/2026
- Dữ liệu cá nhân nhạy cảm — mốc 10.000 chủ thể đẩy hệ thống lên cấp độ 3
- Tội phạm mạng — xâm nhập, tấn công hệ thống thông tin
- Giao dịch điện tử — hệ thống phục vụ giao dịch điện tử, nền tảng số
- Ngành nghề kinh doanh có điều kiện — tiêu chí xếp cấp độ 3
Căn cứ pháp lý
- Luật An ninh mạng số 116/2025/QH15 (hiệu lực 01/7/2026) — khoản 7, 8 Điều 2; Điều 8–12, 40.
- Nghị định 331/2026/NĐ-CP về bảo vệ an ninh mạng đối với hệ thống thông tin (hiệu lực 19/8/2026) — Điều 7, 8, 11–15, 18, 39.
- Luật Giao dịch điện tử số 20/2023/QH15 — Điều 20, 21, 29, 45.
- Bộ luật Hình sự số 100/2015/QH13, sửa đổi 2017, 2025 — Điều 289.
Hỏi đáp nhanh
Một doanh nghiệp có nhiều phần mềm thì xác định một hay nhiều hệ thống thông tin?
Căn cứ chức năng nghiệp vụ, dòng dữ liệu và mức phụ thuộc khi vận hành (khoản 2 Điều 7 Nghị định 331/2026/NĐ-CP). Các phần mềm cùng phục vụ một quy trình cốt lõi, trao đổi dữ liệu liên tục, sự cố phần này làm gián đoạn phần kia thì nên coi là một hệ thống. Phần mềm độc lập, khác nghiệp vụ thì là hệ thống riêng và xác định cấp độ riêng.
Hồ sơ đề xuất cấp độ do ai làm?
Chủ quản hệ thống thông tin lập hồ sơ. Cấp độ 1, 2 do đơn vị chuyên trách về an ninh mạng của chủ quản thẩm định, phê duyệt; cấp độ 3 do đơn vị đó thẩm định, chủ quản phê duyệt; cấp độ 4, 5 do Bộ Công an (hoặc Bộ Quốc phòng, Ban Cơ yếu Chính phủ theo lĩnh vực) thẩm định (Điều 18 Nghị định 331/2026/NĐ-CP). Doanh nghiệp nhỏ không có bộ phận chuyên trách thường thuê đơn vị tư vấn soạn thuyết minh.
Hệ thống đang xây dựng trước 01/7/2026 thì xác định cấp độ theo quy định nào?
Trong 06 tháng kể từ 01/7/2026 được hoàn thành thẩm định, phê duyệt cấp độ theo Nghị định 85/2016/NĐ-CP cũ; trong 12 tháng phải bảo đảm điều kiện, biện pháp tương ứng cấp độ theo Nghị định 331/2026/NĐ-CP (khoản 1 Điều 39).
Lưu ý: Bài viết tổng hợp quy định đang có hiệu lực tại thời điểm đăng và chỉ mang tính tham khảo, không thay thế ý kiến pháp lý cho một vụ việc cụ thể. Văn bản pháp luật có thể được sửa đổi; vui lòng đối chiếu bản mới nhất hoặc trao đổi với luật sư trước khi quyết định.