Nhà cung cấp cloud phải đáp ứng yêu cầu an ninh mạng gì?

Nhà cung cấp cloud chịu ba nhóm nghĩa vụ cùng lúc. 1) Luật Viễn thông 24/2023/QH15 (Điều 29 khoản 2, 3): đăng ký hoặc thông báo cung cấp dịch vụ; không truy cập, khai thác dữ liệu của khách khi chưa được khách đồng ý; không theo dõi thông tin của khách trừ khi cơ quan có thẩm quyền yêu cầu; công bố trung tâm dữ liệu phù hợp quy chuẩn kỹ thuật trước khi kinh doanh. 2) Luật An ninh mạng 116/2025/QH15 (hiệu lực 01/07/2026): có phương án ứng cứu khẩn cấp; khi có sự cố phải triển khai ngay và báo cáo ngay lực lượng chuyên trách bảo vệ an ninh mạng (Điều 41 khoản 2, 3). Xác thực, bảo mật tài khoản người dùng; cung cấp thông tin người dùng cho Bộ Công an trong 24 giờ khi có yêu cầu (Điều 25 khoản 2). Thu thập, phân tích dữ liệu người dùng Việt Nam thì phải lưu tại Việt Nam (Điều 25 khoản 3). 3) Nghị định 356/2025/NĐ-CP (Điều 12 khoản 3, 4): mã hóa dữ liệu cá nhân khi lưu và khi truyền, phân quyền truy cập nghiêm ngặt; yêu cầu nhà thầu phụ tuân thủ; tự đánh giá tuân thủ mỗi năm một lần. Mức phạt tổ chức theo Nghị định 330/2026/NĐ-CP: • Không mã hóa dữ liệu cá nhân khi lưu và truyền: 50–70 triệu đồng (Điều 69 khoản 2 điểm b). • Không đánh giá tuân thủ hằng năm, không ràng buộc nhà thầu phụ: 20–50 triệu đồng (Điều 69 khoản 1). • Không xác thực, không bảo mật tài khoản người dùng: 60–100 triệu đồng (Điều 29 khoản 1, mức cá nhân 30–50 triệu nhân đôi theo Điều 7 khoản 1).Nguồn: Điều 25 khoản 2, 3, Điều 41 khoản 2, 3 Luật An ninh mạng 116/2025/QH15; Điều 29 khoản 2, 3 Luật Viễn thông 24/2023/QH15 (văn bản hợp nhất 135/2026/VBHN-LQ-VPQH); Điều 12 khoản 3, 4 Nghị định 356/2025/NĐ-CP; Điều 7 khoản 1, Điều 29 khoản 1, Điều 69 Nghị định 330/2026/NĐ-CP