Nghĩa vụ khi xảy ra sự cố an toàn thông tin gồm gì?

Từ ngày 01/07/2026, Luật An ninh mạng số 116/2025/QH15 có hiệu lực và đồng thời làm hết hiệu lực Luật An toàn thông tin mạng số 86/2015/QH13 và Luật An ninh mạng số 24/2018/QH14. Vì vậy, khi đánh giá nghĩa vụ pháp lý sau sự cố, tổ chức cần xác định đúng loại sự cố và hệ thống bị ảnh hưởng thay vì mặc định áp dụng các quy định cũ.

Về thực chất, có thể chia nghĩa vụ thành các nhóm chính:

·         Ứng phó và khắc phục sự cố

·         Báo cáo sự cố cho cơ quan có thẩm quyền khi pháp luật yêu cầu

·         Phối hợp với cơ quan chuyên trách và cung cấp thông tin, tài liệu cần thiết

·         Thực hiện nghĩa vụ riêng nếu sự cố liên quan đến dữ liệu cá nhân

·         Ghi nhận, lưu trữ hồ sơ và bảo toàn thông tin phục vụ kiểm tra, điều tra

·         Khắc phục nguyên nhân và duy trì các biện pháp bảo vệ theo quy định

Đặc biệt, không nên hiểu rằng mọi sự cố an toàn thông tin đều có chung một thời hạn thông báo, chẳng hạn 72 giờ. Thời hạn và chủ thể phải thông báo phụ thuộc vào loại sự cố, loại dữ liệu, loại hệ thống và tư cách pháp lý của tổ chức.

Tổ chức phải kích hoạt ứng cứu và khắc phục sự cố

Nghĩa vụ đầu tiên khi sự cố xảy ra là không được chỉ ghi nhận sự cố rồi chờ xử lý hành chính. Đối với hệ thống thuộc phạm vi điều chỉnh của Luật An ninh mạng, pháp luật yêu cầu thực hiện các biện pháp bảo vệ, ứng phó và khắc phục sự cố.

Luật An ninh mạng quy định chủ quản hệ thống thông tin phải thực hiện bảo vệ hệ thống và báo cáo sự cố an ninh mạng với cơ quan chuyên trách của Bộ Công an hoặc Bộ Quốc phòng. Đối với doanh nghiệp cung cấp dịch vụ trên không gian mạng, khi xảy ra sự cố an ninh mạng phải ngay lập tức triển khai phương án ứng cứu khẩn cấp, đồng thời báo cáo ngay với lực lượng chuyên trách bảo vệ an ninh mạng theo quy định.

Điều này có nghĩa tổ chức cần triển khai đồng thời các hoạt động như:

·         Xác định hệ thống, tài khoản, dữ liệu và dịch vụ bị ảnh hưởng

·         Khoanh vùng và ngăn chặn sự cố lan rộng

·         Khôi phục hoạt động của hệ thống trong phạm vi an toàn

·         Khắc phục điểm yếu, lỗ hổng hoặc nguyên nhân gây sự cố

·         Đánh giá thiệt hại và nguy cơ phát sinh tiếp theo

·         Phối hợp với đơn vị chuyên trách hoặc cơ quan có thẩm quyền khi cần thiết

Luật cũng đặt yêu cầu về ứng phó, khắc phục sự cố trong các biện pháp bảo vệ an ninh mạng đối với hệ thống thông tin.

Tổ chức phải báo cáo sự cố khi thuộc trường hợp pháp luật quy định

Một nghĩa vụ quan trọng là báo cáo đúng cơ quan, đúng đối tượng và đúng thời điểm.

Đối với chủ quản hệ thống thông tin, Điều 40 Luật An ninh mạng quy định trách nhiệm báo cáo sự cố an ninh mạng với cơ quan chuyên trách của Bộ Công an hoặc Bộ Quốc phòng. Đối với doanh nghiệp cung cấp dịch vụ trên không gian mạng, nghĩa vụ còn được quy định ở mức khẩn cấp: khi xảy ra sự cố phải triển khai phương án ứng cứu và báo cáo ngay.

Ngoài ra, tổ chức, cá nhân sử dụng không gian mạng có trách nhiệm kịp thời cung cấp thông tin liên quan đến bảo vệ an ninh mạng, nguy cơ đe dọa an ninh mạng và hành vi xâm phạm an ninh mạng cho cơ quan có thẩm quyền, đồng thời thực hiện yêu cầu và hướng dẫn của cơ quan có thẩm quyền.

Do đó, hồ sơ báo cáo sự cố nên được chuẩn bị theo hướng có thể chứng minh:

·         Sự cố xảy ra khi nào và được phát hiện khi nào

·         Hệ thống, dịch vụ hoặc dữ liệu nào bị ảnh hưởng

·         Nguyên nhân hoặc phương thức tấn công nếu đã xác định

·         Phạm vi và mức độ ảnh hưởng

·         Biện pháp ứng cứu đã triển khai

·         Thiệt hại hoặc rủi ro đã xác định

·         Kế hoạch khắc phục và phòng ngừa tái diễn

Đây cũng là cơ sở để tổ chức chứng minh rằng mình đã thực hiện nghĩa vụ ứng phó một cách kịp thời và có kiểm soát.

Nếu sự cố liên quan đến dữ liệu cá nhân, nghĩa vụ sẽ phát sinh thêm

Đây là ranh giới pháp lý quan trọng. Một sự cố an toàn thông tin có thể đồng thời trở thành vi phạm quy định về bảo vệ dữ liệu cá nhân nếu làm lộ, mất, truy cập hoặc xử lý trái pháp luật dữ liệu cá nhân.

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 đã có hiệu lực từ 01/01/2026; Nghị định 356/2025/NĐ-CP quy định chi tiết và cũng có hiệu lực từ ngày này.

Theo Nghị định 356/2025/NĐ-CP, bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân và các chủ thể liên quan phải thực hiện thông báo vi phạm theo quy định; nội dung thông báo phải phản ánh tính chất vi phạm, dữ liệu liên quan, hậu quả có thể xảy ra và biện pháp giải quyết, giảm thiểu tác hại.

Đối với sự cố liên quan đến dữ liệu vị trí hoặc dữ liệu sinh trắc học, nghĩa vụ còn cụ thể hơn: phải thông báo cho chủ thể dữ liệu bị ảnh hưởng trong thời hạn không quá 72 giờ kể từ thời điểm phát hiện vi phạm, báo cáo cơ quan có thẩm quyền và ghi nhận, lưu trữ, cập nhật hồ sơ vi phạm. Hồ sơ này phải được lưu tối thiểu 5 năm kể từ ngày khắc phục xong sự cố.

Vì vậy, doanh nghiệp không nên áp dụng máy móc một mốc 72 giờ cho mọi sự cố. Cần xác định loại dữ liệu bị ảnh hưởng và nghĩa vụ cụ thể tương ứng.

Tổ chức phải lưu hồ sơ và phối hợp với cơ quan có thẩm quyền

Sau sự cố, nghĩa vụ pháp lý không kết thúc khi hệ thống hoạt động trở lại.

Tổ chức cần duy trì hồ sơ thể hiện quá trình phát hiện, xử lý và khắc phục. Với các sự cố liên quan đến dữ liệu cá nhân, Nghị định 356/2025/NĐ-CP yêu cầu ghi nhận, lưu trữ và cập nhật hồ sơ vi phạm; trong trường hợp dữ liệu vị trí hoặc dữ liệu sinh trắc học, thời gian lưu hồ sơ tối thiểu là 5 năm kể từ ngày khắc phục xong sự cố.

Trong thực tế tuân thủ, hồ sơ nên bao gồm:

·         Nhật ký và dấu vết kỹ thuật liên quan đến sự cố

·         Thời điểm phát hiện và các mốc xử lý

·         Kết quả đánh giá phạm vi ảnh hưởng

·         Quyết định hoặc phê duyệt biện pháp ứng cứu

·         Nội dung báo cáo, thông báo đã gửi

·         Trao đổi với cơ quan nhà nước và bên liên quan

·         Kết quả khắc phục

·         Biện pháp phòng ngừa tái diễn

Việc lưu giữ đầy đủ chứng cứ giúp tổ chức giải trình khi có thanh tra, kiểm tra hoặc điều tra, đồng thời hỗ trợ xác định nguyên nhân và trách nhiệm.

Sau sự cố phải rà soát trách nhiệm và khắc phục nguyên nhân

Khắc phục sự cố không chỉ là đưa hệ thống trở lại trạng thái hoạt động. Tổ chức cần xem xét liệu các biện pháp bảo vệ hiện tại có đáp ứng yêu cầu pháp luật và mức độ rủi ro thực tế hay không.

Đối với hệ thống thông tin, Luật An ninh mạng yêu cầu triển khai các biện pháp quản lý và kỹ thuật, bao gồm giám sát, lưu trữ và sao lưu, kiểm tra tuân thủ, cũng như ứng phó và khắc phục sự cố.

Nếu sự cố xuất phát từ lỗ hổng, cấu hình sai, quyền truy cập quá rộng, thiếu giám sát hoặc quy trình ứng cứu không phù hợp, tổ chức cần khắc phục các nguyên nhân này thay vì chỉ xử lý hậu quả trước mắt.

Đồng thời, cần đánh giá trách nhiệm của các bên liên quan như:

·         Chủ quản hệ thống

·         Bộ phận công nghệ thông tin hoặc an ninh mạng

·         Nhân sự được phân quyền

·         Nhà cung cấp dịch vụ

·         Bên xử lý dữ liệu cá nhân

·         Nhà thầu hoặc đối tác có liên quan

Việc xác định trách nhiệm phải dựa trên vai trò, hợp đồng, quy định nội bộ và quy định pháp luật áp dụng cho từng trường hợp.

Tổ chức nên thực hiện theo trình tự nào khi xảy ra sự cố?

Có thể chuyển các nghĩa vụ pháp lý thành một quy trình kiểm soát thực tế:

1.    Phát hiện và xác nhận sự cố — xác định thời điểm, hệ thống, dữ liệu và phạm vi ảnh hưởng

2.    Kích hoạt phương án ứng cứu — khoanh vùng, ngăn chặn, bảo vệ dữ liệu và duy trì hoạt động cần thiết

3.    Phân loại sự cố — xác định đây là sự cố an toàn thông tin, sự cố an ninh mạng, vi phạm dữ liệu cá nhân hay đồng thời nhiều loại

4.    Xác định nghĩa vụ báo cáo, thông báo — kiểm tra cơ quan nhận báo cáo, đối tượng phải thông báo và thời hạn tương ứng

5.    Khắc phục và phục hồi — xử lý nguyên nhân, lỗ hổng và đưa hệ thống về trạng thái an toàn

6.    Bảo toàn chứng cứ và lập hồ sơ — lưu nhật ký, tài liệu, quyết định xử lý và các trao đổi liên quan

7.    Phối hợp với cơ quan có thẩm quyền — cung cấp thông tin, tài liệu và thực hiện yêu cầu hợp pháp

8.    Hậu kiểm và phòng ngừa tái diễn — cập nhật phương án bảo vệ, quy trình ứng cứu và biện pháp kiểm soát

Khung pháp lý hiện hành đã có những thay đổi đáng kể trong năm 2026: Luật An ninh mạng 116/2025/QH15 có hiệu lực từ 01/07/2026, còn các Nghị định 330/2026/NĐ-CP, 331/2026/NĐ-CP và 333/2026/NĐ-CP được ban hành và có hiệu lực từ 19/08/2026. Van Ban Chinh Phu 3Van Ban Chinh Phu 3Van Ban Chinh Phu 3 Vì vậy, khi xử lý một sự cố thực tế, tổ chức nên đối chiếu văn bản đang có hiệu lực tại thời điểm xảy ra sự cố thay vì chỉ dựa vào các quy trình hoặc tài liệu pháp lý được xây dựng trước năm 2026.

Tóm lại, nghĩa vụ khi xảy ra sự cố an toàn thông tin không chỉ là sửa hệ thống. Tổ chức phải đồng thời ứng cứu, khắc phục, báo cáo hoặc thông báo khi thuộc trường hợp pháp luật quy định, bảo toàn hồ sơ và chứng cứ, phối hợp với cơ quan có thẩm quyền và xử lý nguyên nhân để ngăn sự cố tái diễn. Nếu sự cố ảnh hưởng đến dữ liệu cá nhân, đặc biệt là dữ liệu vị trí hoặc dữ liệu sinh trắc học, cần kiểm tra thêm các nghĩa vụ theo pháp luật về bảo vệ dữ liệu cá nhân và các thời hạn thông báo tương ứng.