Doanh nghiệp phần mềm cần đáp ứng yêu cầu an ninh mạng gì?

Từ 01/07/2026, Luật An ninh mạng 116/2025/QH15 thay cả luật an ninh mạng và luật an toàn thông tin mạng cũ (khoản 2 Điều 44). Nghĩa vụ tùy vai trò của doanh nghiệp: 1) Vận hành hệ thống thông tin (máy chủ, nền tảng SaaS): xác định cấp độ hệ thống (5 cấp, Điều 8), đánh giá rủi ro, triển khai biện pháp bảo vệ, báo cáo (khoản 1 Điều 10). Cấp độ 3, 4 còn bắt buộc có quy chế an ninh mạng, sao lưu, giám sát, ứng cứu sự cố (khoản 4 Điều 10). 2) Cung cấp app, dịch vụ trên Internet tại Việt Nam: xác thực thông tin khi người dùng đăng ký tài khoản; cung cấp thông tin người dùng cho Bộ Công an trong 24 giờ khi được yêu cầu (3 giờ nếu khẩn cấp); gỡ nội dung vi phạm trong 24 giờ (6 giờ nếu khẩn cấp); lưu nhật ký hệ thống (khoản 2 Điều 25). Thu thập, phân tích dữ liệu người dùng Việt Nam thì phải lưu tại Việt Nam (khoản 3 Điều 25). Phải có phương án ứng cứu khẩn cấp, báo cáo ngay khi có sự cố (Điều 41). 3) Bán sản phẩm, dịch vụ an ninh mạng: phải có giấy phép riêng (khoản 1 Điều 29). Mức phạt (Điều 29 Nghị định 330/2026/NĐ-CP): không xác thực, không bảo mật tài khoản người dùng 30–50 triệu đồng; không lưu dữ liệu tại Việt Nam hoặc không gỡ nội dung đúng hạn 50–70 triệu đồng. Đây là mức cho cá nhân, doanh nghiệp gấp đôi (khoản 1 Điều 7).Nguồn: Điều 8, Điều 10 khoản 1 và 4, Điều 25 khoản 2 và 3, Điều 29 khoản 1, Điều 41, Điều 44 khoản 2 Luật An ninh mạng 116/2025/QH15; Điều 29, Điều 7 khoản 1 Nghị định 330/2026/NĐ-CP