Trách nhiệm do chậm khắc phục lỗ hổng bảo mật

Theo pháp luật Việt Nam hiện hành, Luật An ninh mạng số 116/2025/QH15 có hiệu lực từ ngày 01/07/2026 yêu cầu doanh nghiệp cung cấp dịch vụ trên không gian mạng phải xây dựng phương án ứng cứu khẩn cấp để chủ động xử lý điểm yếu, rủi ro và sự cố an ninh mạng; khi xảy ra sự cố phải triển khai phương án ứng cứu ngay và báo cáo lực lượng chuyên trách theo quy định.

Vì vậy, vấn đề pháp lý không chỉ nằm ở câu hỏi “đã cài bản vá hay chưa”, mà còn ở việc doanh nghiệp đã biết lỗ hổng từ khi nào, mức độ rủi ro ra sao, có thời hạn hoặc yêu cầu khắc phục hay không, đã áp dụng biện pháp giảm thiểu tạm thời chưa và sự chậm trễ có dẫn đến sự cố hoặc thiệt hại hay không.

Khi nào việc chậm khắc phục lỗ hổng trở thành vi phạm pháp luật?

Một lỗ hổng có thể tồn tại trong hệ thống mà chưa làm phát sinh ngay trách nhiệm pháp lý. Rủi ro trách nhiệm tăng mạnh khi xuất hiện một hoặc nhiều yếu tố sau:

·         Cơ quan có thẩm quyền đã yêu cầu hoặc khuyến cáo khắc phục trong một thời hạn cụ thể nhưng thời hạn đó đã hết

·         Chủ quản hệ thống biết hoặc phải biết lỗ hổng có mức rủi ro đáng kể nhưng không triển khai biện pháp hợp lý

·         Lỗ hổng nằm trong hệ thống chịu các yêu cầu bảo vệ an ninh mạng bắt buộc

·         Lỗ hổng ảnh hưởng đến hệ thống xử lý dữ liệu cá nhân nhưng biện pháp quản lý, kỹ thuật không được cập nhật phù hợp

·         Sự chậm trễ tạo điều kiện cho truy cập trái phép, mất dữ liệu, gián đoạn dịch vụ hoặc thiệt hại khác

·         Hợp đồng, SLA hoặc cam kết bảo mật quy định thời hạn xử lý nhưng bên có nghĩa vụ không tuân thủ

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, có hiệu lực từ ngày 01/01/2026, yêu cầu bên kiểm soát dữ liệu cá nhân thực hiện các biện pháp quản lý và kỹ thuật phù hợp, đồng thời rà soát, cập nhật các biện pháp này khi cần thiết. Luật cũng quy định bên kiểm soát phải chịu trách nhiệm trước chủ thể dữ liệu đối với thiệt hại do quá trình xử lý dữ liệu gây ra.

Điều đó có nghĩa một doanh nghiệp đã biết một lỗ hổng nghiêm trọng nhưng để hệ thống tiếp tục xử lý dữ liệu mà không vá, không cô lập thành phần bị ảnh hưởng và cũng không có biện pháp bù trừ có thể khó chứng minh rằng mình đã thực hiện nghĩa vụ bảo vệ phù hợp.

Chậm khắc phục có thể bị xử phạt hành chính như thế nào?

Từ ngày 19/08/2026, Nghị định 330/2026/NĐ-CP quy định trực tiếp việc xử phạt hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân. Nghị định tạo ra những trường hợp mà việc không khắc phục hoặc khắc phục chậm lỗ hổng có thể trở thành hành vi bị xử phạt.

Đối với hệ thống thông tin quan trọng về an ninh quốc gia, hành vi quá thời hạn mà không khắc phục điểm yếu, lỗ hổng bảo mật theo khuyến cáo của lực lượng chuyên trách bảo vệ an ninh mạng có thể bị phạt từ 50 triệu đến 70 triệu đồng đối với cá nhân. Theo nguyên tắc của Nghị định 330/2026/NĐ-CP, tổ chức thực hiện cùng hành vi bị áp dụng mức phạt bằng hai lần mức phạt đối với cá nhân, tương ứng có thể lên tới 100 triệu đến 140 triệu đồng trong trường hợp này. Ngoài tiền phạt, chủ thể vi phạm còn có thể bị buộc thực hiện các biện pháp bảo đảm an ninh mạng.

Đối với hệ thống không thuộc danh mục hệ thống thông tin quan trọng về an ninh quốc gia, việc không thực hiện hoặc thực hiện không đầy đủ yêu cầu của lực lượng chuyên trách về khắc phục điểm yếu, lỗ hổng bảo mật có thể bị phạt từ 25 triệu đến 50 triệu đồng đối với cá nhân, đồng thời bị buộc thực hiện biện pháp bảo đảm an ninh mạng.

Phạm vi trách nhiệm còn rộng hơn nếu lỗ hổng liên quan đến dữ liệu cá nhân. Nghị định 330/2026/NĐ-CP quy định xử phạt đối với trường hợp không triển khai biện pháp bảo vệ dữ liệu cá nhân phù hợp làm lộ, mất dữ liệu, cũng như các hành vi vi phạm nghĩa vụ thông báo khi xảy ra vi phạm bảo vệ dữ liệu cá nhân.

Như vậy, cơ chế xử phạt không dựa đơn thuần vào số ngày một bản vá bị trì hoãn. Cơ quan có thẩm quyền sẽ phải đối chiếu sự chậm trễ với nghĩa vụ cụ thể, loại hệ thống, yêu cầu khắc phục, hậu quả và hành vi bảo vệ thực tế của chủ thể quản lý hệ thống.

Nếu lỗ hổng gây thiệt hại, doanh nghiệp có thể phải bồi thường

Trách nhiệm hành chính và trách nhiệm bồi thường là hai vấn đề khác nhau. Một doanh nghiệp có thể vừa bị xử phạt hành chính, vừa phải bồi thường nếu sự chậm trễ trong khắc phục lỗ hổng dẫn đến thiệt hại cho khách hàng, đối tác hoặc chủ thể dữ liệu.

Theo Điều 584 Bộ luật Dân sự 2015, chủ thể xâm phạm tài sản, quyền hoặc lợi ích hợp pháp của người khác và gây thiệt hại thì về nguyên tắc phải bồi thường. Điều 585 xác định thiệt hại thực tế phải được bồi thường toàn bộ và kịp thời, đồng thời tính đến lỗi của bên bị thiệt hại và nghĩa vụ áp dụng các biện pháp hợp lý để hạn chế thiệt hại.

Trong một tranh chấp liên quan đến chậm vá lỗ hổng, vấn đề thường không dừng ở việc chứng minh hệ thống “có lỗ hổng”. Cần làm rõ chuỗi quan hệ:

Lỗ hổng đã được nhận diện → chủ thể có nghĩa vụ xử lý → việc xử lý bị trì hoãn hoặc không đầy đủ → lỗ hổng bị khai thác hoặc làm phát sinh sự cố → xuất hiện thiệt hại có thể chứng minh.

Nếu thiếu quan hệ nhân quả giữa việc chậm khắc phục và thiệt hại, trách nhiệm bồi thường không thể chỉ được suy ra từ việc bản vá được triển khai muộn.

Trường hợp nghĩa vụ bảo mật được quy định trong hợp đồng, trách nhiệm còn có thể phát sinh theo cơ chế vi phạm hợp đồng. Điều 419 Bộ luật Dân sự cho phép bên có quyền yêu cầu bồi thường những lợi ích đáng lẽ được hưởng từ hợp đồng và các chi phí phát sinh do bên kia không hoàn thành nghĩa vụ, nếu đáp ứng các điều kiện pháp luật áp dụng.

Ví dụ, một nhà cung cấp dịch vụ cam kết xử lý lỗ hổng mức nghiêm trọng trong thời gian xác định nhưng liên tục trì hoãn, sau đó chính lỗ hổng đó bị khai thác làm hệ thống khách hàng ngừng hoạt động. Ngoài trách nhiệm theo pháp luật an ninh mạng, nhà cung cấp còn có thể đối diện yêu cầu bồi thường dựa trên nghĩa vụ đã cam kết trong hợp đồng.

Lộ dữ liệu cá nhân làm tăng đáng kể mức độ trách nhiệm

Khi việc trì hoãn khắc phục dẫn đến lộ hoặc mất dữ liệu cá nhân, vấn đề không còn chỉ là quản trị kỹ thuật nội bộ.

Luật Bảo vệ dữ liệu cá nhân 2025 quy định bên kiểm soát phải triển khai biện pháp quản lý, kỹ thuật phù hợp, rà soát và cập nhật chúng khi cần thiết; ngăn chặn việc thu thập trái phép dữ liệu từ hệ thống; đồng thời chịu trách nhiệm trước chủ thể dữ liệu về thiệt hại phát sinh từ quá trình xử lý dữ liệu. Bên xử lý dữ liệu cũng phải thực hiện đầy đủ các biện pháp bảo vệ và chịu trách nhiệm về thiệt hại theo phạm vi trách nhiệm luật định.

Khi phát hiện vi phạm bảo vệ dữ liệu thuộc trường hợp luật quy định có khả năng gây tổn hại nghiêm trọng đến các lợi ích được bảo vệ, nghĩa vụ thông báo cũng được kích hoạt. Việc trì hoãn xử lý kỹ thuật vì thế có thể tạo ra một chuỗi vi phạm khác: không bảo vệ đầy đủ → xảy ra sự cố → không hạn chế hậu quả → thông báo chậm hoặc không thông báo.

Nghị định 330/2026/NĐ-CP quy định riêng mức phạt từ 40 triệu đến 60 triệu đồng đối với cá nhân trong trường hợp chủ thể thuộc diện phải thông báo nhưng thông báo cho cơ quan chuyên trách chậm hơn 72 giờ kể từ khi phát hiện vi phạm bảo vệ dữ liệu cá nhân thuộc trường hợp luật định. Đối với tổ chức, mức phạt cho cùng hành vi về nguyên tắc gấp đôi.

Do đó, sau khi phát hiện lỗ hổng đã bị khai thác, doanh nghiệp không nên coi việc cài bản vá là toàn bộ nghĩa vụ. Việc điều tra phạm vi ảnh hưởng, cô lập hệ thống, bảo toàn nhật ký, xác định dữ liệu bị tác động và thực hiện nghĩa vụ thông báo cũng có thể quyết định mức độ rủi ro pháp lý.

Có thể bị truy cứu trách nhiệm hình sự hay không?

Chậm khắc phục lỗ hổng tự thân không mặc nhiên là một tội phạm. Trách nhiệm hình sự chỉ được đặt ra khi hành vi cụ thể và hậu quả của vụ việc đáp ứng đầy đủ dấu hiệu cấu thành một tội phạm theo pháp luật hình sự.

Nghị định 330/2026/NĐ-CP cũng thể hiện ranh giới này: trong quá trình xử lý vi phạm hành chính, nếu cơ quan có thẩm quyền nhận thấy vụ việc có dấu hiệu tội phạm thì hồ sơ phải được xử lý theo cơ chế chuyển để xem xét truy cứu trách nhiệm hình sự; không thể vừa coi cùng hành vi là vi phạm hành chính đơn thuần vừa mặc nhiên kết luận có trách nhiệm hình sự.

Vì vậy, không thể kết luận rằng một CISO, quản trị viên hay người đứng đầu doanh nghiệp sẽ bị truy cứu hình sự chỉ vì bản vá được triển khai muộn. Cần xem xét hành vi cụ thể của từng người, nghĩa vụ pháp lý của họ, yếu tố lỗi, hậu quả và các dấu hiệu cấu thành tội phạm tương ứng.

Mức độ trách nhiệm phụ thuộc vào những yếu tố nào?

Khi đánh giá trách nhiệm do chậm khắc phục lỗ hổng bảo mật, thời gian trì hoãn chỉ là một yếu tố. Những dữ kiện có giá trị pháp lý lớn hơn thường gồm:

1.    Mức độ nghiêm trọng và khả năng bị khai thác của lỗ hổng

2.    Thời điểm tổ chức thực tế biết hoặc phải biết về lỗ hổng

3.    Có yêu cầu, khuyến cáo hoặc thời hạn khắc phục của cơ quan có thẩm quyền hay không

4.    Hệ thống thuộc cấp độ hoặc nhóm bảo vệ nào

5.    Lỗ hổng có liên quan đến dữ liệu cá nhân, dữ liệu nhạy cảm hoặc hệ thống trọng yếu hay không

6.    Trong thời gian chưa thể vá, tổ chức đã có biện pháp giảm thiểu hợp lý hay chưa

7.    Sự chậm trễ có trực tiếp dẫn đến sự cố và thiệt hại hay không

8.    Doanh nghiệp có lưu được bằng chứng về đánh giá rủi ro, quyết định xử lý, nhật ký và quá trình ứng cứu hay không

Điều này cũng giải thích vì sao “chưa cài patch” và “bỏ mặc lỗ hổng” không phải lúc nào cũng giống nhau về mặt pháp lý. Một bản vá có thể phải trì hoãn vì nguy cơ gây gián đoạn hệ thống, nhưng tổ chức vẫn có thể cô lập dịch vụ, tắt chức năng dễ bị khai thác, giới hạn truy cập, bổ sung giám sát hoặc triển khai biện pháp kiểm soát bù trừ. Ngược lại, biết rõ rủi ro nhưng không hành động, không đánh giá và không có hồ sơ giải trình sẽ làm vị thế pháp lý bất lợi hơn đáng kể.

Doanh nghiệp nên làm gì khi chưa thể vá lỗ hổng ngay?

Khi chưa thể triển khai bản vá ngay lập tức, mục tiêu pháp lý và kỹ thuật nên là chứng minh rằng rủi ro đang được chủ động kiểm soát, thay vì để mặc cho đến ngày có thể cập nhật.

Doanh nghiệp nên xác định mức độ ưu tiên của lỗ hổng, ghi nhận thời điểm phát hiện, chủ thể chịu trách nhiệm và lý do chưa thể vá; đồng thời triển khai biện pháp giảm thiểu khả thi như cô lập tài sản, hạn chế quyền truy cập, tắt dịch vụ dễ bị khai thác, tăng giám sát và theo dõi dấu hiệu xâm nhập. Đối với doanh nghiệp cung cấp dịch vụ trên không gian mạng, Luật An ninh mạng 2025 còn yêu cầu xây dựng phương án ứng cứu khẩn cấp để chủ động xử lý điểm yếu, rủi ro và sự cố.

Nếu đã xuất hiện dấu hiệu bị khai thác, trọng tâm phải chuyển từ quản lý bản vá sang ứng cứu sự cố: hạn chế thiệt hại, bảo toàn chứng cứ điện tử, xác định phạm vi ảnh hưởng và kiểm tra ngay các nghĩa vụ báo cáo hoặc thông báo theo pháp luật chuyên ngành.

Chậm khắc phục lỗ hổng bảo mật có thể dẫn tới xử phạt hành chính, nghĩa vụ khắc phục hậu quả, trách nhiệm bồi thường theo hợp đồng hoặc ngoài hợp đồng và, khi có đủ dấu hiệu cấu thành tội phạm, trách nhiệm hình sự. Tuy nhiên, trách nhiệm không phát sinh chỉ vì một bản vá được cài đặt muộn. Yếu tố cốt lõi là nghĩa vụ bảo vệ mà chủ thể phải thực hiện, mức độ nhận biết rủi ro, yêu cầu và thời hạn khắc phục, biện pháp giảm thiểu đã áp dụng, hậu quả thực tế cũng như quan hệ nhân quả giữa sự chậm trễ và thiệt hại.