An ninh mạng: Việt Nam (2026)
Việt Nam đang áp dụng một hệ thống pháp luật toàn diện về an ninh mạng. Luật An ninh mạng (số 24/2018/QH14) – văn bản pháp luật nền tảng, được bổ sung bởi Nghị định hướng dẫn thi hành số 53/2022, quy định các nghĩa vụ đối với các đơn vị vận hành cơ sở hạ tầng thông tin quan trọng, các nhà cung cấp dịch vụ internet và viễn thông trong và ngoài nước (bao gồm cả quy định về lưu trữ dữ liệu tại địa phương), đồng thời yêu cầu báo cáo sự cố cho Bộ Công an. Một đạo luật thay thế toàn diện (số 116/2025/QH15), được thông qua vào tháng 12 năm 2025 và có hiệu lực từ ngày 1 tháng 7 năm 2026, hợp nhất Luật An ninh mạng năm 2018 và Luật An toàn thông tin mạng năm 2015 thành một văn bản pháp luật thống nhất, với các nghĩa vụ được tăng cường đối với các nền tảng, nội dung do trí tuệ nhân tạo (AI) tạo ra và các nhà khai thác cơ sở hạ tầng quan trọng.
Khung cơ bản
Luật An ninh mạng số 116/2025/QH15 (có hiệu lực từ ngày 1 tháng 7 năm 2026, thay thế Luật số 24/2018/QH14); Nghị định số 53/2022/ND-CP; Nghị định số 13/2023/ND-CP về Bảo vệ Dữ liệu Cá nhân; do Bộ Công an (Cục A05, Cục An ninh Mạng và Phòng chống Tội phạm Công nghệ Cao) thực thi
Điểm chính
Luật Tổng hợp (2018, sẽ bị bãi bỏ vào năm 2026)
Luật An ninh mạng số 24/2018/QH14 (có hiệu lực từ ngày 1 tháng 1 năm 2019) quy định các nội dung cốt lõi: an ninh không gian mạng quốc gia, bảo vệ cơ sở hạ tầng thông tin quan trọng (CII), nghĩa vụ của các nền tảng và yêu cầu lưu trữ dữ liệu tại địa phương. Luật này sẽ được thay thế vào ngày 1 tháng 7 năm 2026 bằng Luật số 116/2025/QH15.
Luật Thống nhất mới có hiệu lực từ tháng 7 năm 2026
Luật số 116/2025/QH15, được Quốc hội thông qua ngày 10 tháng 12 năm 2025 và có hiệu lực từ ngày 1 tháng 7 năm 2026, hợp nhất Luật An toàn Thông tin Mạng năm 2015 và Luật An ninh Mạng năm 2018 thành một văn bản pháp luật duy nhất. Luật này tăng cường nghĩa vụ của các nhà khai thác hạ tầng thông tin quan trọng (CII), cấm sử dụng các nội dung deepfake do trí tuệ nhân tạo (AI) tạo ra cho mục đích bất hợp pháp, quy định các biện pháp bảo vệ trẻ em và thống nhất công tác quản lý nhà nước dưới sự chủ trì của Bộ Công an.
Nghĩa vụ thông báo về các vụ vi phạm và sự cố
Các chủ thể kiểm soát dữ liệu phải thông báo cho đơn vị A05 thuộc Bộ Công an trong vòng 72 giờ kể từ khi phát hiện sự cố rò rỉ dữ liệu cá nhân (Nghị định số 13/2023). Các đơn vị kinh doanh thương mại điện tử phải thông báo cho cơ quan chức năng trong vòng 24 giờ kể từ khi phát hiện vụ tấn công mạng có nguy cơ gây mất mát dữ liệu người tiêu dùng. Các ngân hàng và tổ chức tín dụng phải báo cáo các sự cố an ninh mạng cho Ngân hàng Nhà nước Việt Nam trong vòng 24 giờ kể từ khi phát hiện và trong vòng năm ngày làm việc kể từ khi sự cố được giải quyết.
Yêu cầu về việc lưu trữ dữ liệu tại địa phương
Theo cả Luật năm 2018 (được triển khai thông qua Nghị định số 53/2022) và Luật năm 2026 sắp có hiệu lực, các doanh nghiệp trong nước và nước ngoài cung cấp dịch vụ viễn thông, internet hoặc dịch vụ giá trị gia tăng mà thu thập hoặc xử lý dữ liệu cá nhân hoặc dữ liệu hành vi của người dùng Việt Nam phải lưu trữ dữ liệu đó trên các máy chủ tại Việt Nam trong thời gian tối thiểu 24 tháng. Các doanh nghiệp nước ngoài cũng phải thành lập chi nhánh hoặc văn phòng đại diện tại Việt Nam.
Cơ sở hạ tầng thông tin quan trọng (CII)
Các đơn vị vận hành cơ sở hạ tầng quan trọng (CII) trong các lĩnh vực liên quan đến an ninh quốc gia phải tiến hành các cuộc đánh giá an ninh mạng bắt buộc, phối hợp liên tục với các lực lượng đặc nhiệm về an ninh mạng và áp dụng các biện pháp an ninh kỹ thuật. Nghị định số 53/2022 quy định các yêu cầu bắt buộc về quản lý bản vá và lỗ hổng bảo mật, cũng như việc báo cáo kịp thời các sự cố cho Bộ Công an đối với các đơn vị vận hành CII.
Đánh giá tác động đối với việc bảo vệ dữ liệu cá nhân
Nghị định số 13/2023/ND-CP (có hiệu lực từ ngày 1 tháng 7 năm 2023) quy định các chủ thể kiểm soát dữ liệu, chủ thể xử lý dữ liệu và chủ thể vừa kiểm soát vừa xử lý dữ liệu phải lập Báo cáo đánh giá tác động của việc xử lý dữ liệu cá nhân dưới dạng văn bản ngay khi bắt đầu xử lý và nộp một bản sao cho A05 trong vòng 60 ngày kể từ ngày bắt đầu các hoạt động xử lý dữ liệu.
Trang này là bản dịch nhằm mục đích thuận tiện; bản tiếng Anh là bản chính thức và không phải là tư vấn pháp lý.