Khi nào phát sinh nghĩa vụ khắc phục lỗ hổng bảo mật?

Theo Luật An ninh mạng số 116/2025/QH15, có hiệu lực từ ngày 01/07/2026, chủ quản hệ thống thông tin có trách nhiệm thực hiện các biện pháp bảo vệ an ninh mạng đối với hệ thống thuộc phạm vi quản lý. Luật xác định bảo vệ an ninh mạng bao gồm cả phòng ngừa, phát hiện và xử lý nguy cơ, chứ không chỉ xử lý hậu quả sau khi sự cố xảy ra.

Đáng chú ý, khoản 2 Điều 15 quy định chủ quản hệ thống thông tin phải kiểm tra an ninh mạng nhằm phát hiện, loại bỏ mã độc, phần cứng độc hại, khắc phục điểm yếu, lỗ hổng bảo mật, đồng thời phát hiện, ngăn chặn và xử lý hoạt động xâm nhập bất hợp pháp hoặc nguy cơ khác đe dọa an ninh mạng.

Vì vậy, có thể phân biệt hai thời điểm:

·         Nghĩa vụ bảo đảm và phòng ngừa tồn tại trong quá trình quản lý, vận hành hệ thống

·         Nghĩa vụ khắc phục cụ thể trở nên trực tiếp khi điểm yếu hoặc lỗ hổng bảo mật được phát hiện và cần được xử lý để bảo đảm an ninh cho hệ thống

Nói cách khác, không nên hiểu rằng doanh nghiệp chỉ phải khắc phục sau khi hacker khai thác thành công lỗ hổng.

Khi phát hiện điểm yếu hoặc lỗ hổng bảo mật trong hệ thống

Đây là trường hợp rõ nhất làm phát sinh yêu cầu khắc phục.

Khi hoạt động kiểm tra, giám sát hoặc đánh giá an ninh mạng phát hiện một điểm yếu hoặc lỗ hổng bảo mật, chủ quản hệ thống phải có biện pháp xử lý phù hợp. Căn cứ Điều 15, trách nhiệm này gắn trực tiếp với hoạt động kiểm tra an ninh mạng nhằm phát hiện và khắc phục lỗ hổng.

Đồng thời, Điều 10 của Luật An ninh mạng 2025 đặt việc đánh giá và quản lý rủi ro an ninh mạng, kiểm tra, giám sát và tổ chức các biện pháp bảo vệ hệ thống thông tin vào nhóm nhiệm vụ bảo vệ an ninh mạng. Đối với hệ thống cấp độ 3, cấp độ 4 và hệ thống thông tin quan trọng về an ninh quốc gia, nhiều biện pháp bảo vệ là nghĩa vụ phải thực hiện đầy đủ theo luật.

Do đó, khi lỗ hổng đã được xác định, việc bỏ mặc lỗ hổng chỉ vì chưa xảy ra sự cố không phù hợp với cách tiếp cận phòng ngừa của pháp luật về an ninh mạng.

Khi lỗ hổng tạo ra nguy cơ bị khai thác hoặc dẫn đến tấn công mạng

Nghĩa vụ xử lý càng rõ ràng khi lỗ hổng không còn chỉ là một khiếm khuyết kỹ thuật mà trở thành nguồn tạo ra nguy cơ đe dọa an ninh mạng.

Luật An ninh mạng 2025 xác định hành vi xâm nhập, tạo ra hoặc khai thác điểm yếu, lỗ hổng bảo mật và dịch vụ hệ thống để chiếm đoạt thông tin, thu lợi bất chính là một dạng hành vi tấn công mạng. Đồng thời, chủ quản hệ thống thông tin có trách nhiệm áp dụng biện pháp kỹ thuật để phòng ngừa, ngăn chặn các hành vi tấn công mạng đối với hệ thống thuộc phạm vi quản lý.

Vì vậy, nếu một lỗ hổng đã được xác định có khả năng bị khai thác, việc khắc phục không còn chỉ là hoạt động bảo trì kỹ thuật thông thường. Nó trở thành một phần của trách nhiệm phòng ngừa nguy cơ an ninh mạng.

Trường hợp nguy cơ đã phát triển thành sự cố hoặc cuộc tấn công, nghĩa vụ xử lý còn chuyển sang giai đoạn ứng phó, khắc phục sự cố. Luật quy định ứng phó, khắc phục sự cố là một trong các biện pháp bảo vệ an ninh mạng; đối với hệ thống thông tin quan trọng về an ninh quốc gia, chủ quản phải xây dựng phương án và triển khai phương án ứng phó, khắc phục khi sự cố xảy ra.

Hệ thống càng quan trọng, yêu cầu khắc phục càng chặt chẽ

Luật An ninh mạng 2025 phân loại hệ thống thông tin thành 5 cấp độ dựa trên mức độ thiệt hại có thể xảy ra đối với an ninh quốc gia, trật tự, an toàn xã hội, lợi ích công cộng và quyền, lợi ích hợp pháp của tổ chức, cá nhân.

Đối với hệ thống thông tin quan trọng về an ninh quốc gia, yêu cầu còn cao hơn. Chủ quản phải thường xuyên kiểm tra, giám sát an ninh mạng, xây dựng cơ chế tự cảnh báo và tiếp nhận cảnh báo về nguy cơ đe dọa an ninh mạng, đồng thời xây dựng và triển khai phương án ứng phó, khắc phục sự cố khi sự cố xảy ra.

Bộ Công an cũng có trách nhiệm giám sát, cảnh báo và phối hợp với chủ quản để khắc phục, xử lý các nguy cơ đe dọa an ninh mạng, sự cố an ninh mạng đối với hệ thống thông tin quan trọng về an ninh quốc gia.

Như vậy, cùng là một lỗ hổng kỹ thuật nhưng mức độ nghĩa vụ xử lý không nhất thiết giống nhau. Cấp độ và tính chất của hệ thống là yếu tố quan trọng để xác định phạm vi biện pháp bảo vệ cần áp dụng.

Doanh nghiệp cung cấp dịch vụ trên không gian mạng cũng có nghĩa vụ chủ động xử lý điểm yếu

Đối với doanh nghiệp cung cấp dịch vụ trên mạng viễn thông, mạng Internet và các dịch vụ giá trị gia tăng trên không gian mạng, Luật An ninh mạng 2025 yêu cầu xây dựng phương án ứng cứu khẩn cấp bảo đảm an ninh mạng để chủ động xử lý điểm yếu, rủi ro và sự cố an ninh mạng. Khi sự cố xảy ra, doanh nghiệp phải ngay lập tức triển khai phương án ứng cứu khẩn cấp và báo cáo theo quy định.

Điều này cho thấy nghĩa vụ không được thiết kế theo hướng “chờ lỗ hổng bị khai thác rồi mới xử lý”. Với nhóm chủ thể này, pháp luật đặt yêu cầu chủ động nhận diện và xử lý điểm yếu, rủi ro ngay trong cơ chế bảo đảm an ninh mạng.

Có phải cứ phát hiện lỗ hổng là có một thời hạn khắc phục cố định?

Không nên mặc định rằng mọi lỗ hổng bảo mật đều có một thời hạn pháp luật chung áp dụng giống nhau.

Luật An ninh mạng 2025 quy định trách nhiệm phát hiện, khắc phục lỗ hổng và các biện pháp bảo vệ theo từng loại hệ thống, nhưng thời điểm và mức độ xử lý cụ thể còn phụ thuộc vào cấp độ hệ thống, mức độ nguy cơ, việc lỗ hổng đã dẫn đến sự cố hay chưa và các yêu cầu pháp lý cụ thể áp dụng cho từng trường hợp. Luật cũng giao Chính phủ quy định chi tiết về nhiệm vụ, biện pháp và trách nhiệm bảo đảm an ninh mạng theo cấp độ hệ thống.

Do đó, khi đánh giá một trường hợp cụ thể cần tách ba vấn đề:

1.    Lỗ hổng đã được phát hiện hay chưa

2.    Lỗ hổng có tạo ra nguy cơ hoặc đã bị khai thác thành sự cố hay chưa

3.    Hệ thống thuộc cấp độ nào và có thuộc nhóm hệ thống thông tin quan trọng về an ninh quốc gia hay không

Từ ba yếu tố này mới có thể xác định chính xác nghĩa vụ khắc phục, biện pháp cần thực hiện và thời hạn áp dụng nếu có quy định chuyên ngành hoặc yêu cầu cụ thể.

Nói ngắn gọn, nghĩa vụ khắc phục lỗ hổng bảo mật không chỉ phát sinh sau khi xảy ra tấn công mạng. Đối với chủ quản hệ thống thông tin, pháp luật hiện hành đã đặt trách nhiệm kiểm tra để phát hiện và khắc phục điểm yếu, lỗ hổng ngay trong hoạt động bảo vệ an ninh mạng. Khi lỗ hổng được phát hiện, đặc biệt khi có khả năng bị khai thác hoặc đã dẫn đến nguy cơ, sự cố, yêu cầu xử lý trở nên cụ thể hơn; với hệ thống quan trọng và doanh nghiệp cung cấp dịch vụ trên không gian mạng, yêu cầu chủ động phòng ngừa và xử lý còn được quy định chặt chẽ hơn.