Đối với nguyên tắc chọn cấp độ khi hệ thống thông tin đồng thời đáp ứng nhiều tiêu chí phân loại thuộc các cấp độ bảo vệ khác nhau, Khoản 2 Điều 8 quy định chủ quản hệ thống bắt buộc phải áp dụng cấp độ cao nhất để phê duyệt phương án bảo vệ. Đồng thời, pháp luật nghiêm cấm việc chủ quản cố tình phân tách phạm vi hệ thống một cách hình thức nhằm giảm cấp độ an ninh mạng hoặc giảm yêu cầu bảo vệ theo Khoản 3 Điều 8. Trong trường hợp cơ quan có thẩm quyền phát hiện việc phân tách hoặc hợp nhất không phù hợp, chủ quản hệ thống sẽ bị yêu cầu xác định lại hệ thống và cấp độ bảo vệ tương ứng.
Nghị định số 331/2026/NĐ-CP hướng dẫn cụ thể về việc xác định cấp độ bảo vệ an ninh mạng cho hệ thống thông tin của cơ quan, doanh nghiệp
Đối với các hệ thống thông tin của doanh nghiệp đang vận hành hoặc đang trong quá trình đầu tư, xây dựng trước ngày 01/07/2026, Khoản 1 Điều 39 quy định các cơ quan, tổ chức có liên quan phải hoàn thành việc thẩm định, phê duyệt cấp độ theo quy định tại Nghị định số 85/2016/NĐ-CP cũ trong thời hạn 06 tháng kể từ ngày Luật An ninh mạng số 116/2025/QH15 có hiệu lực thi hành. Tiếp đó, trong thời hạn 12 tháng kể từ ngày Luật An ninh mạng số 116/2025/QH15 có hiệu lực thi hành, hệ thống thông tin đó phải bảo đảm đầy đủ các điều kiện, tiêu chuẩn và biện pháp bảo vệ an ninh mạng tương ứng với cấp độ quy định tại Nghị định mới. Ngoài ra, đối với các hệ thống đang vận hành mà tình hình thực tế yêu cầu phải xác định lại cấp độ cho phù hợp như chuyển đổi từ tiêu chí cũ sang mới, trình tự và thủ tục phê duyệt sẽ được thực hiện tương tự như quy trình xác định cấp độ lần đầu quy định tại Điều 25.
Trong công tác quản lý quy mô người dùng, quy mô dữ liệu về số lượng chủ thể dữ liệu cá nhân cơ bản hoặc nhạy cảm là tiêu chí cứng để phân định giữa Cấp độ 2 (dưới 100.000 chủ thể dữ liệu cơ bản hoặc dưới 10.000 chủ thể dữ liệu nhạy cảm) và Cấp độ 3 (từ các mốc này trở lên). Khi số lượng người dùng tăng vượt các ngưỡng quy định, doanh nghiệp cần xử lý theo quy trình ba bước. Bước thứ nhất, chủ quản hệ thống thông tin thực hiện đánh giá rủi ro an ninh mạng khi có sự thay đổi về đối tượng sử dụng, phạm vi phục vụ hoặc khi mở rộng quy mô, kết nối, chia sẻ dữ liệu theo Điểm b và Điểm c Khoản 2 Điều 10. Bước thứ hai, nếu kết quả đánh giá rủi ro an ninh mạng chi tiết xác nhận hệ thống có mức độ rủi ro cao hơn cấp độ hiện tại, chủ quản hệ thống bắt buộc phải đề xuất áp dụng bảo vệ theo cấp độ cao hơn theo Khoản 5 Điều 10. Bước thứ ba, chủ quản tiến hành lập lại Hồ sơ đề xuất cấp độ và phương án bảo vệ theo trình tự, thủ tục như lần đầu để trình cơ quan có thẩm quyền phê duyệt theo Điều 25.
Nhằm hỗ trợ doanh nghiệp tối ưu chi phí tuân thủ đối với các hệ thống cấp độ cao và yêu cầu vận hành 24/7, Nghị định số 331/2026/NĐ-CP quán triệt nguyên tắc việc bảo đảm an ninh mạng theo cấp độ phải được thực hiện một cách tổng thể, đồng bộ, tập trung trong đầu tư, đồng thời khuyến khích dùng chung và chia sẻ tài nguyên để tối ưu hiệu năng, tránh đầu tư thừa, trùng lặp và lãng phí theo Khoản 2 Điều 6. Cụ thể, đối với các hệ thống Cấp độ 1, Cấp độ 2 và Cấp độ 3, phương án bảo vệ bắt buộc phải chủ động xem xét khả năng dùng chung các giải pháp bảo vệ và chia sẻ tài nguyên giữa các hệ thống thông tin nội bộ theo Điểm a Khoản 5 Điều 30.
Trong việc sử dụng dịch vụ đám mây (Cloud) hoặc Trung tâm dữ liệu (Data Center), thay vì phải tự đầu tư toàn bộ hạ tầng vật lý tốn kém, Khoản 8 Điều 30 cho phép các hệ thống Cấp độ 3 và Cấp độ 4 triển khai dùng chung hạ tầng vật lý tại Cloud hoặc Data Center, chỉ yêu cầu thiết kế tách riêng và độc lập về mặt lô-gíc đối với hệ thống, các phân vùng mạng bên trong và phân vùng lưu trữ dữ liệu, giúp doanh nghiệp tiết kiệm tối đa chi phí mua sắm thiết bị phần cứng riêng biệt. Đối với hệ thống Cấp độ 5, mặc dù quy định yêu cầu tách biệt hoàn toàn về mặt vật lý đối với hệ thống, phân vùng lưu trữ và thiết bị mạng chính, Khoản 9 Điều 30 vẫn cho phép triển khai dùng chung các giải pháp an ninh mạng. Điều kiện đi kèm là các giải pháp dùng chung này chỉ thực hiện chức năng giám sát, phát hiện, cảnh báo hoặc bảo vệ ở lớp biên, đồng thời không tạo ra khả năng truy cập, điều khiển hay can thiệp trực tiếp vào dữ liệu nghiệp vụ và hoạt động nội bộ của hệ thống. Cơ chế này giúp doanh nghiệp tối ưu chi phí vận hành các hệ thống giám sát biên và trung tâm vận hành an ninh mạng (SOC) dùng chung.
Về mặt trách nhiệm quản lý, Điều 31 quy định người đứng đầu cơ quan, tổ chức là chủ quản hệ thống thông tin giữ vai trò chỉ đạo tối cao và trực tiếp chịu trách nhiệm trước pháp luật về công tác bảo vệ an ninh mạng trong hoạt động của cơ quan, đơn vị. Người đứng đầu có trách nhiệm bố trí bộ phận hoặc nhân sự chuyên trách về an ninh mạng phù hợp với cấp độ bảo vệ của hệ thống, đồng thời chỉ định cá nhân, bộ phận phụ trách về an ninh mạng đối với các hệ thống sử dụng ngân sách nhà nước. Trong trường hợp cơ quan, tổ chức chưa có đơn vị chuyên trách về an ninh mạng độc lập, người đứng đầu phải chỉ định đơn vị chuyên trách về công nghệ thông tin hoặc chuyển đổi số làm nhiệm vụ đơn vị chuyên trách an ninh mạng, hoặc tiến hành thành lập, chỉ định bộ phận chuyên trách về an ninh mạng theo quy định.
