Ngày 19 tháng 8 năm 2026, Chính phủ ban hành cùng lúc bảy nghị định về an ninh mạng, đánh số từ 327 tới 333. Sáu trong số đó có hiệu lực ngay ngày ký. Riêng nghị định về tin giả lùi tới ngày 5 tháng 10.
Hai văn bản doanh nghiệp cần đọc là 331 và 333. Nghị định 331 quy định bảo vệ an ninh mạng đối với hệ thống thông tin. Nó chia hệ thống thành năm cấp độ và gắn biện pháp bảo vệ theo từng cấp. Nghị định 333 quy định chi tiết và biện pháp thi hành Luật An ninh mạng, gồm sáu chương và ba mươi hai điều.
Cả tầng pháp lý đã thay, không phải sửa vài điều
Chỗ dễ bỏ sót nhất lại nằm bên ngoài hai văn bản đó. Luật An ninh mạng số 24 năm 2018 đã hết hiệu lực. Quốc hội thông qua Luật An ninh mạng mới, số 116 năm 2025, vào ngày 10 tháng 12 năm 2025. Luật này có hiệu lực từ ngày 1 tháng 7 năm 2026.
Nghị định 333 cũng thay thế Nghị định 53 năm 2022 chứ không bổ sung cho nó. Điều khoản chuyển tiếp chỉ giữ lại một việc. Hồ sơ đã tiếp nhận trước ngày hiệu lực thì tiếp tục giải quyết theo nghị định cũ cho tới khi xong.
Gộp lại, trong vòng bảy tuần của năm 2026, cả luật gốc lẫn nghị định hướng dẫn đều được thay mới. Mọi tài liệu nội bộ, hợp đồng hay bản đánh giá tuân thủ còn dẫn số hiệu cũ đều đã lạc hậu.
Ai phải lưu dữ liệu trong nước
Nghĩa vụ lưu trữ nằm ở Điều 19 Nghị định 333. Tên điều nói rõ cả ba việc: lưu trữ dữ liệu, đặt chi nhánh hoặc văn phòng đại diện chịu trách nhiệm pháp lý tại Việt Nam.
Phần nhiều bài viết về chủ đề này hiểu ngược một chỗ quan trọng. Nghĩa vụ không áp đồng loạt cho mọi nhà cung cấp nước ngoài. Nó chia làm hai chế độ khác hẳn nhau.
Doanh nghiệp thành lập tại Việt Nam, kể cả doanh nghiệp có vốn nước ngoài, chịu nghĩa vụ tự động, không cần điều kiện gì kích hoạt. Dữ liệu thuộc diện gồm thông tin cá nhân của người dùng dịch vụ tại Việt Nam và dữ liệu do người dùng tạo ra. Cụ thể là tên tài khoản, thời gian sử dụng, thông tin thẻ tín dụng, địa chỉ thư. Kèm theo đó là địa chỉ IP lúc đăng nhập và đăng xuất, và số điện thoại đăng ký.
Doanh nghiệp nước ngoài thì phải hội đủ ba điều kiện cộng dồn mới bị áp. Dịch vụ của họ bị dùng để vi phạm pháp luật an ninh mạng. Lực lượng chuyên trách của Bộ Công an đã gửi ba văn bản yêu cầu trong sáu tháng. Và doanh nghiệp không khắc phục, không chấp hành đầy đủ hoặc có hành vi cản trở. Sau khi bị áp, họ có mười hai tháng để tuân thủ.
Hệ quả thực tế đi ngược trực giác. Một công ty công nghệ Việt Nam đặt toàn bộ dữ liệu người dùng trên đám mây quốc tế chịu nghĩa vụ ngay. Lý do là chính công ty đó mới là pháp nhân trong nước. Còn nhà cung cấp đám mây kia thì chưa, chừng nào chưa hội đủ ba điều kiện.
Thời hạn lưu và mức phạt
Điều 20 đặt các mốc thời gian. Dữ liệu thuộc diện lưu tối thiểu hai mươi bốn tháng, tính từ khi doanh nghiệp nhận được yêu cầu lưu trữ cho tới khi yêu cầu kết thúc. Nhật ký hệ thống phục vụ điều tra lưu tối thiểu mười hai tháng. Doanh nghiệp viễn thông và cung cấp dịch vụ Internet giữ nhật ký cấp phát địa chỉ IP cũng tối thiểu mười hai tháng, đầy đủ và liên tục.
Chế tài không nằm trong hai nghị định trên mà ở Nghị định 330, ban hành cùng ngày, bốn chương tám mươi hai điều. Văn bản này xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.
Vài mốc đáng nhớ. Phạt tối đa ba tỉ đồng với vi phạm bảo vệ dữ liệu cá nhân. Vi phạm về chuyển dữ liệu xuyên biên giới phạt tới năm phần trăm doanh thu năm trước. Mua bán trái phép dữ liệu cá nhân phạt tới mười lần khoản thu được. Xử lý dữ liệu cá nhân khi chưa có sự đồng ý phạt ba mươi tới năm mươi triệu đồng.
Hai chi tiết dễ tính nhầm. Mức ghi trong nghị định là mức cho cá nhân, còn tổ chức bị phạt gấp đôi. Ngoài phạt tiền còn có hình thức bổ sung. Tước giấy phép từ một tới hai mươi bốn tháng, đình chỉ hoạt động, tịch thu tang vật, trục xuất người nước ngoài. Thời hiệu xử phạt là một năm.
Phần hồ sơ là phần hay bị bỏ
Nhóm chịu ràng buộc nặng nhất là doanh nghiệp vận hành hệ thống được phân loại từ cấp độ 3 trở lên. Ngân hàng, tổ chức tài chính, đơn vị y tế, cơ sở giáo dục quy mô lớn và các nền tảng nhiều người dùng đều nằm trong nhóm đó. Yêu cầu không dừng ở nơi đặt dữ liệu mà còn ở thiết kế hệ thống, phương án giám sát và quy trình ứng phó.
Việc chứng minh mình tuân thủ đòi hỏi giấy tờ. Hồ sơ phân loại cấp độ, sơ đồ hệ thống, nhật ký truy cập, quy trình xử lý sự cố. Phần này là phần nhiều doanh nghiệp làm qua loa cho tới khi có đoàn kiểm tra. Bên chúng tôi dựng hồ sơ hạ tầng và nhật ký cho hệ thống của khách theo đúng nhóm cấp độ.
Tuân thủ không phải việc làm một lần rồi xong. Nhưng lần này cả tầng văn bản đã thay, nên việc đầu tiên lại đơn giản. Mở mọi tài liệu nội bộ còn dẫn Luật 2018 hay Nghị định 53, rồi viết lại số hiệu cho đúng.
