Luật An ninh mạng số 116/2025/QH15 được Quốc hội khóa XV thông qua tại kỳ họp thứ 10, ngày 10/12/2025 và có hiệu lực thi hành từ ngày 01/7/2026, nhằm thể chế hóa chủ trương, chính sách của Đảng, Nhà nước về bảo vệ an ninh quốc gia; đặt hoạt động bảo vệ an ninh mạng dưới sự lãnh đạo của Đảng, sự quản lý thống nhất của Nhà nước.

Luật An ninh mạng số 116/2025/QH15 (sau đây viết gọn là Luật An ninh mạng năm 2025), được xây dựng trên cơ sở kế thừa, hợp nhất các quy định của Luật An toàn thông tin mạng năm 2015 và Luật An ninh mạng năm 2018, gồm 08 chương, 45 điều; quy định về an ninh mạng, bảo vệ an ninh mạng; quyền, nghĩa vụ, trách nhiệm của cơ quan, tổ chức, cá nhân có liên quan.\

Bộ Quốc phòng và Bộ Công an thống nhất nội dung dự án Luật An ninh mạng năm 2025. Nguồn:qdnd.vn

Luật được áp dụng đối với cơ quan, tổ chức, cá nhân Việt Nam; cơ quan, tổ chức, cá nhân nước ngoài tại Việt Nam và người gốc Việt Nam chưa xác định được quốc tịch đang sinh sống tại Việt Nam đã được cấp giấy chứng nhận căn cước; cơ quan, tổ chức, cá nhân nước ngoài trực tiếp tham gia hoặc có liên quan đến hoạt động bảo vệ an ninh mạng, kinh doanh sản phẩm, dịch vụ an ninh mạng tại Việt Nam. Luật có những nội dung mới cơ bản sau:

1. Hoàn thiện, thống nhất các khái niệm cơ bản về an ninh mạng nhằm khắc phục tình trạng thiếu thống nhất giữa các khái niệm về “an toàn thông tin mạng” và “an ninh mạng” trong hệ thống pháp luật trước đó, tạo cơ sở pháp lý rõ ràng, đồng bộ cho việc tổ chức thi hành.

Thống nhất cách hiểu và phạm vi của khái niệm “an ninh mạng”. Tại Khoản 1, Điều 2 quy định: “An ninh mạng là sự ổn định, an ninh, an toàn của không gian mạng; bảo vệ hệ thống thông tin và bảo đảm thông tin, dữ liệu, hoạt động trên không gian mạng không gây phương hại đến an ninh quốc gia, trật tự, an toàn xã hội, quyền và lợi ích hợp pháp của cơ quan, tổ chức, cá nhân”.

Phân định rõ khái niệm “an ninh thông tin mạng” với tư cách là trụ cột kỹ thuật của an ninh mạng. Theo đó, Khoản 2, Điều 2 quy định: “An ninh thông tin mạng là sự bảo đảm tính nguyên vẹn, tính bảo mật, tính khả dụng của thông tin trên không gian mạng, tránh bị truy cập, sử dụng, tiết lộ, sửa đổi trái phép, phá hoại hoặc hành vi khác đe dọa hoặc gây phương hại đến an ninh quốc gia, trật tự, an toàn xã hội”. Nội hàm khái niệm này tách bạch giữa yêu cầu bảo vệ về mặt kỹ thuật - công nghệ với các yêu cầu bảo vệ an ninh mạng mang tính tổng thể về chính trị, pháp lý, xã hội, tạo thuận lợi cho việc xây dựng và áp dụng các biện pháp kỹ thuật bảo vệ hạ tầng thông tin.

Bổ sung và luật hóa khái niệm “an ninh dữ liệu” đáp ứng yêu cầu của kỷ nguyên số. Tại Khoản 3, Điều 2 quy định: “An ninh dữ liệu là sự bảo đảm chất lượng dữ liệu và các hoạt động xử lý, sử dụng dữ liệu trên không gian mạng phục vụ phát triển kinh tế - xã hội, chuyển đổi số quốc gia, tránh bị truy cập, sử dụng, tiết lộ, sửa đổi trái phép, phá hoại hoặc hành vi khác đe dọa hoặc gây phương hại đến an ninh quốc gia, trật tự, an toàn xã hội”. Đây là điểm mới thể hiện sự thay đổi tư duy quản lý, coi dữ liệu là tài nguyên chiến lược cần được bảo vệ và khai thác hiệu quả.

Khẳng định chủ quyền số thông qua khái niệm “không gian mạng quốc gia”. Tại Khoản 6, Điều 2 quy định: “Không gian mạng quốc gia là phần không gian mạng thuộc chủ quyền, quyền tài phán và quyền kiểm soát của Nhà nước Cộng hòa xã hội chủ nghĩa Việt Nam”. Quy định này có ý nghĩa quan trọng trong bối cảnh hội nhập quốc tế sâu rộng và sự gia tăng của các hoạt động xuyên biên giới trên không gian mạng.

2. Cập nhật và luật hóa nhiều hành vi vi phạm mới phát sinh trong quá trình ứng dụng công nghệ cao, tạo cơ sở pháp lý đầy đủ cho công tác phòng ngừa, đấu tranh và xử lý vi phạm trên không gian mạng.

Tại điểm g, Khoản 2, Điều 7 đã bổ sung quy định nghiêm cấm hành vi sử dụng trí tuệ nhân tạo hoặc công nghệ mới để giả mạo video, hình ảnh, giọng nói của người khác trái pháp luật. Quy định này tạo cơ sở pháp lý trực tiếp để xử lý các hành vi lừa đảo qua cuộc gọi video giả mạo, cũng như các hành vi bôi nhọ, vu khống bằng công nghệ ghép hình, ghép video.

Đối với lĩnh vực tài chính, tiền tệ và thị trường số. Tại điểm d, Khoản 1, Điều 7 quy định nghiêm cấm hành vi đưa thông tin bịa đặt, sai sự thật trong lĩnh vực tài chính, ngân hàng, thương mại điện tử, kinh doanh đa cấp, chứng khoán, trái phiếu,... gây hoang mang dư luận và thiệt hại cho nền kinh tế. Đồng thời, tại điểm e, Khoản 4, Điều 13 quy định hành vi thiết lập, cung cấp dịch vụ trái phép cho các sàn giao dịch tài sản số, tiền ảo hoặc tổ chức hoạt động kinh doanh đa cấp trái phép trên không gian mạng là hành vi xâm phạm an ninh quốc gia. Nhằm tăng cường bảo vệ danh tính số và dữ liệu cá nhân, Luật đã cấm hành vi thu thập, sử dụng, phát tán, trao đổi, kinh doanh trái pháp luật thông tin, dữ liệu cá nhân tại điểm h, Khoản 2, Điều 7. Bên cạnh đó, các hành vi sử dụng danh tính giả, giấy tờ giả để đăng ký tài khoản ngân hàng, tài khoản số hoặc tạo lập “tài khoản rác” phục vụ hoạt động phạm tội cũng được xác định là hành vi xâm phạm trật tự, an toàn xã hội, quy định tại điểm g, Khoản 4, Điều 13, nhằm ngăn chặn các hành vi lừa đảo, rửa tiền trên không gian mạng.

3. Hoàn thiện cơ chế bảo vệ an ninh mạng theo cấp độ đối với hệ thống thông tin theo hướng quản lý an ninh mạng dựa trên mức độ rủi ro và tầm quan trọng của hệ thống thông tin, thay thế mô hình áp dụng biện pháp bảo vệ mang tính dàn trải.

Khoản 1, Điều 8 quy định hệ thống thông tin được phân loại thành 05 cấp độ. Việc phân loại từ cấp độ 1 (chỉ gây ảnh hưởng trong phạm vi tổ chức, cá nhân quản lý) đến cấp độ 5 (gây tổn hại đặc biệt nghiêm trọng đến an ninh quốc gia) là căn cứ pháp lý để xác định yêu cầu và trách nhiệm bảo vệ tương ứng. Điều 10 quy định trách nhiệm bảo vệ an ninh mạng theo hướng tương xứng với mức độ rủi ro, như: đối với hệ thống thông tin cấp độ 1 và cấp độ 2, chủ quản hệ thống được chủ động lựa chọn và áp dụng các biện pháp bảo vệ phù hợp với nhu cầu, điều kiện và khả năng thực tế; đối với hệ thống thông tin cấp độ 3 và cấp độ 4 (không thuộc danh mục hệ thống thông tin quan trọng về an ninh quốc gia), bắt buộc phải triển khai một số biện pháp bảo vệ cơ bản, bao gồm ban hành quy định nội bộ; áp dụng tiêu chuẩn, quy chuẩn kỹ thuật; xây dựng tường lửa; tổ chức sao lưu dữ liệu; thực hiện giám sát và ứng phó sự cố. Quy định này vừa bảo đảm yêu cầu an ninh mạng, vừa góp phần tối ưu hóa chi phí tuân thủ đối với doanh nghiệp, nhất là doanh nghiệp nhỏ và vừa.

Hội nghị báo cáo Luật An ninh mạng 2025 của Cục An ninh mạng và phòng, chống tội phạm công nghệ cao, Bộ Công an. Nguồn: qdnd.vn

Đối với nhóm hệ thống thông tin có vai trò đặc biệt quan trọng (như quân sự, an ninh, tài chính - ngân hàng, năng lượng, giao thông,...), Luật quy định các yêu cầu bảo vệ ở mức cao nhất, bao gồm: (i) Phải được thẩm định an ninh mạng và chứng nhận đủ điều kiện về an ninh mạng trước khi đưa vào vận hành, sử dụng; (ii) Thực hiện giám sát an ninh mạng thường xuyên; tự kiểm tra an ninh mạng định kỳ hằng năm và thông báo kết quả kiểm tra bằng văn bản cho lực lượng chuyên trách trước tháng 10 hằng năm; (iii) Xây dựng cơ chế tự cảnh báo, phương án ứng phó và khắc phục sự cố, đồng thời phối hợp chặt chẽ với Bộ Công an, Bộ Quốc phòng trong giám sát và xử lý các tình huống liên quan đến an ninh mạng. Cơ chế bảo vệ an ninh mạng theo cấp độ nêu trên tạo điều kiện để Nhà nước và xã hội tập trung, sử dụng hiệu quả nguồn lực nhằm bảo vệ vững chắc các hạ tầng trọng yếu, bảo đảm sự an toàn, ổn định và khả năng vận hành liên tục của các hệ thống thông tin quan trọng về an ninh quốc gia trước các nguy cơ, thách thức trên không gian mạng.

4. Tăng cường trách nhiệm của doanh nghiệp cung cấp dịch vụ trên mạng viễn thông, mạng Internet và các dịch vụ gia tăng trên không gian mạng tại Việt Nam; chuyển từ cơ chế phối hợp mang tính tự nguyện sang xác lập nghĩa vụ pháp lý bắt buộc, áp dụng thống nhất đối với cả doanh nghiệp trong nước và doanh nghiệp nước ngoài hoạt động tại Việt Nam.

Điểm b, Khoản 2, Điều 25 quy định doanh nghiệp có trách nhiệm ngăn chặn việc chia sẻ, xóa bỏ thông tin, gỡ bỏ dịch vụ, ứng dụng có nội dung vi phạm chậm nhất trong vòng 24 giờ kể từ thời điểm nhận được yêu cầu của lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an. Trường hợp khẩn cấp có nguy cơ xâm hại an ninh quốc gia, trật tự, an toàn xã hội, thời hạn xử lý được rút ngắn xuống không quá 06 giờ.

Yêu cầu doanh nghiệp chủ động triển khai biện pháp phòng ngừa bằng kỹ thuật và quản lý. Theo quy định tại Khoản 1, Điều 14, chủ quản hệ thống thông tin và doanh nghiệp cung cấp dịch vụ phải triển khai các biện pháp quản lý và kỹ thuật cần thiết nhằm phòng ngừa, phát hiện, ngăn chặn và gỡ bỏ kịp thời các thông tin có nội dung vi phạm pháp luật, như: tuyên truyền chống Nhà nước, kích động bạo loạn, phá rối an ninh, trật tự hoặc xâm phạm quyền, lợi ích hợp pháp của cơ quan, tổ chức, cá nhân.

Để xử lý triệt để nguồn phát tán thông tin vi phạm, Luật quy định rõ trách nhiệm của doanh nghiệp trong việc không cung cấp hoặc ngừng cung cấp dịch vụ đối với các tổ chức, cá nhân đăng tải thông tin có nội dung vi phạm nghiêm trọng khi có yêu cầu của lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an. Quy định tại điểm c, Khoản 2, Điều 25 cho phép áp dụng biện pháp này đối với các hành vi xâm phạm an ninh quốc gia, trật tự, an toàn xã hội, qua đó tăng cường tính răn đe và hiệu quả phòng ngừa.

Các quy định nêu trên góp phần nâng cao vai trò và trách nhiệm xã hội của doanh nghiệp trong môi trường số, khẳng định doanh nghiệp không chỉ là chủ thể kinh doanh vì lợi nhuận mà còn là một mắt xích quan trọng trong hệ thống bảo vệ an ninh mạng quốc gia, hướng tới xây dựng không gian mạng an toàn, lành mạnh và bền vững cho người sử dụng.

5. Luật hóa một cách đầy đủ, xác lập vị trí độc lập của khái niệm “an ninh dữ liệu” trong hệ thống pháp luật. Điều này thể hiện sự thay đổi căn bản trong tư duy quản lý nhà nước về an ninh mạng, từ cách tiếp cận chủ yếu tập trung bảo vệ hạ tầng kỹ thuật sang bảo vệ dữ liệu - tài nguyên số có giá trị cốt lõi của nền kinh tế số và xã hội số.

Xác lập “an ninh dữ liệu” như một khái niệm pháp lý độc lập và toàn diện. Các quy định trước đây chỉ đề cập rải rác đến bảo vệ dữ liệu dưới góc độ an toàn thông tin, Luật An ninh mạng năm 2025 đưa ra định nghĩa riêng về “an ninh dữ liệu” tại Khoản 3, Điều 2. Theo đó, an ninh dữ liệu không chỉ dừng lại ở việc phòng, chống truy cập trái phép, phá hoại hoặc đánh cắp dữ liệu, mà còn bao gồm yêu cầu bảo đảm tính toàn vẹn, độ chính xác, tính sẵn sàng và khả năng khai thác hiệu quả của dữ liệu nhằm phục vụ phát triển kinh tế - xã hội và chuyển đổi số quốc gia.

Thiết lập hành lang pháp lý toàn diện để bảo đảm an ninh dữ liệu. Điều 26 quy định các biện pháp bảo đảm an ninh dữ liệu, bao gồm việc áp dụng tiêu chuẩn, quy chuẩn kỹ thuật; sử dụng mật mã bảo vệ dữ liệu; kiểm soát nhân sự tham gia xử lý dữ liệu; thực hiện đánh giá rủi ro an ninh dữ liệu một cách định kỳ. Đáng chú ý, Luật lần đầu tiên đặt ra yêu cầu kiểm tra, đánh giá việc chuyển dữ liệu xuyên biên giới, qua đó tăng cường năng lực quản lý nhà nước đối với dòng chảy dữ liệu, nhất là dữ liệu quan trọng, dữ liệu cốt lõi, nhằm ngăn ngừa nguy cơ thất thoát hoặc bị lợi dụng gây phương hại đến lợi ích quốc gia.

Tại điểm h, Khoản 2, Điều 7 cũng quy định rõ hành vi thu thập, sử dụng, phát tán, trao đổi, chuyển nhượng, kinh doanh trái pháp luật thông tin, dữ liệu cá nhân là hành vi bị nghiêm cấm.

6. Bổ sung, tăng cường các quy định về bảo vệ trẻ em trên không gian mạng, đồng thời mở rộng yêu cầu bảo vệ đối với người cao tuổi và người có khó khăn trong nhận thức, làm chủ hành vi.

Tại Khoản 2, Điều 16 quy định rõ cha, mẹ hoặc người giám hộ có trách nhiệm quản lý, giám sát việc trẻ em truy cập, sử dụng thông tin và dịch vụ trên không gian mạng. Trường hợp trẻ em sử dụng các dịch vụ yêu cầu đăng ký tài khoản, cha, mẹ hoặc người giám hộ phải đứng tên đăng ký và chịu trách nhiệm đối với việc sử dụng tài khoản đó.

Theo quy định tại Khoản 3, Điều 16 và Khoản 2, Điều 25, doanh nghiệp cung cấp dịch vụ trên không gian mạng có trách nhiệm triển khai các biện pháp kỹ thuật và biện pháp quản lý cần thiết để phát hiện, ngăn chặn, gỡ bỏ kịp thời các thông tin có nội dung xâm hại trẻ em, kích động bạo lực, khiêu dâm, đồi trụy hoặc lôi kéo trẻ em tham gia các hành vi vi phạm pháp luật. Đồng thời, doanh nghiệp phải thiết lập cơ chế, công cụ thuận tiện để người sử dụng phản ánh, tố giác nhanh chóng các nội dung xấu, độc liên quan đến trẻ em.

Người cao tuổi và người có hạn chế về nhận thức, khả năng làm chủ hành vi là nhóm đối tượng dễ trở thành nạn nhân của các hành vi lừa đảo, chiếm đoạt tài sản trên không gian mạng, Khoản 5, Điều 16 đã bổ sung quy định yêu cầu cơ quan nhà nước có thẩm quyền và doanh nghiệp cung cấp dịch vụ trên không gian mạng phải có cơ chế hỗ trợ phù hợp, cảnh báo sớm các nguy cơ, đồng thời ưu tiên tiếp nhận, xử lý các phản ánh, khiếu nại, tố giác liên quan đến hành vi lừa đảo mạng đối với nhóm đối tượng này.

7. Khuyến khích nghiên cứu, phát triển và ứng dụng khoa học, công nghệ trong lĩnh vực an ninh mạng; ưu tiên đầu tư hạ tầng, sản phẩm và dịch vụ an ninh mạng trong nước; bố trí nguồn lực phù hợp cho bảo đảm an ninh mạng trong các chương trình, đề án, dự án đầu tư chuyển đổi số và ứng dụng công nghệ thông tin là yêu cầu bắt buộc từ khâu thiết kế, lập dự toán và triển khai thực hiện.

Điều 37 quy định hoạt động đầu tư, kinh doanh sản phẩm, dịch vụ an ninh mạng và xây dựng hạ tầng kỹ thuật bảo vệ an ninh mạng thuộc danh mục ngành, nghề đặc biệt ưu đãi đầu tư. Trên cơ sở đó, Nhà nước áp dụng các chính sách ưu đãi cao về thuế, đất đai và thủ tục hành chính nhằm khuyến khích tổ chức, doanh nghiệp trong và ngoài nước đầu tư vào nghiên cứu, phát triển công nghệ an ninh mạng.

Khoản 4, Điều 3 quy định rõ cơ quan, tổ chức nhà nước ưu tiên sử dụng sản phẩm, dịch vụ an ninh mạng được sản xuất trong nước khi đáp ứng yêu cầu về kỹ thuật, chất lượng và an ninh.

Khoản 1, Điều 38 quy định các cơ quan sử dụng ngân sách nhà nước phải bố trí tối thiểu 15% tổng kinh phí thực hiện các chương trình, đề án, dự án chuyển đổi số và ứng dụng công nghệ thông tin để dành cho hạng mục bảo vệ an ninh mạng. Về kinh phí, Khoản 2, Điều 38 quy định nguồn kinh phí dành cho bảo đảm an ninh mạng được sử dụng để đầu tư trang thiết bị kỹ thuật, mua sắm giải pháp bảo mật chuyên sâu, thuê dịch vụ giám sát, ứng cứu sự cố an ninh mạng, cũng như đào tạo, bồi dưỡng nhân lực chuyên trách. Tạo nền tảng tài chính cho tính bền vững của quá trình chuyển đổi số. Việc quy định rõ và thống nhất về nguồn lực tài chính cho bảo đảm an ninh mạng thể hiện cam kết mạnh mẽ của Nhà nước trong việc gắn an ninh mạng với phát triển bền vững. Các hệ thống thông tin được bảo vệ đầy đủ sẽ vận hành ổn định, an toàn trước các nguy cơ, thách thức an ninh mạng ngày càng gia tăng, qua đó nâng cao hiệu quả đầu tư công, hạn chế rủi ro, thất thoát và bảo đảm tính liên tục của các hoạt động kinh tế - xã hội trong môi trường số.

8. Tạo cơ sở pháp lý để mở rộng và tăng cường hợp tác quốc tế về an ninh mạng trên cơ sở tôn trọng độc lập, chủ quyền và lợi ích quốc gia; đồng thời, nội luật hóa các nội dung cơ bản của Công ước Liên hợp quốc về phòng, chống tội phạm mạng (Công ước Hà Nội).

Luật đã thiết lập khung pháp lý tương đối toàn diện, tạo điều kiện để Việt Nam tham gia sâu hơn, thực chất hơn vào các cơ chế hợp tác quốc tế về an ninh mạng, đồng thời bảo đảm vững chắc lợi ích quốc gia, dân tộc. Như vậy, Luật An ninh mạng năm 2025 đã khẳng định sự lãnh đạo tuyệt đối của Đảng và sự quản lý thống nhất của Nhà nước đối với công tác an ninh mạng; xác định bảo vệ an ninh mạng là nhiệm vụ quan trọng, thường xuyên của cả hệ thống chính trị và toàn dân, trong đó lực lượng chuyên trách giữ vai trò nòng cốt. Các quy định trong Luật thể hiện sự chuyển đổi tư duy từ phòng vệ sang chủ động và tự chủ trong bảo vệ an ninh mạng; chủ động phòng ngừa, phát hiện, đấu tranh và vô hiệu hóa các mối đe dọa khi cần thiết. Đồng thời, ưu tiên đầu tư phát triển khoa học, công nghệ, nâng cao năng lực tự chủ an ninh mạng quốc gia; kết hợp hài hòa giữa bảo vệ an ninh mạng với phát triển kinh tế - xã hội, bảo đảm quyền con người, quyền công dân, tạo môi trường thuận lợi cho chuyển đổi số quốc gia, phát triển kinh tế số và xã hội số; tạo lập khuôn khổ pháp lý để đấu tranh, phòng ngừa và xử lý tội phạm mạng một cách hiệu quả, đáp ứng yêu cầu bảo vệ an ninh quốc gia trong bối cảnh hội nhập sâu rộng.

Quá trình thực hiện Luật An ninh mạng năm 2025, các cơ quan, đơn vị, doanh nghiệp, tổ chức, cá nhân trong Quân đội cần quán triệt, thống nhất nhận thức, trách nhiệm trong bảo đảm, bảo vệ an ninh mạng đối với hệ thống thông tin quân sự, quốc phòng, cơ yếu thuộc phạm vi quản lý của Bộ Quốc phòng, cũng như trách nhiệm tuân thủ pháp luật về chức năng, nhiệm vụ, thẩm quyền, chủ trì giúp Chính phủ thống nhất quản lý nhà nước về quốc phòng của Bộ Quốc phòng trên không gian mạng nhằm thực hiện thắng lợi hai nhiệm vụ chiến lược là xây dựng và bảo vệ vững chắc Tổ quốc Việt Nam xã hội chủ nghĩa trong kỷ nguyên mới.

Thiếu tướng, ThS. NGUYỄN VIỆT DŨNG, Cục trưởng Cục Pháp chế, Bộ Quốc phòng