Quy trình thẩm định & phê duyệt hồ sơ an toàn thông tin Cấp độ 2
Quy trình thẩm định và phê duyệt hồ sơ an toàn thông tin cấp độ 2 gồm 5 bước nào? Ai có thẩm quyền ký duyệt theo NĐ 331/2026? Xem hướng dẫn chi tiết tại BKNS.
Xây dựng xong bộ hồ sơ đề xuất chưa đồng nghĩa với việc doanh nghiệp đã hoàn tất nghĩa vụ tuân thủ. Theo quy định tại Nghị định 331/2026/NĐ-CP (có hiệu lực từ ngày 19/8/2026), mọi hệ thống thông tin chỉ chính thức được công nhận hợp pháp khi hồ sơ an toàn thông tin Cấp độ 2 đã trải qua các bước thẩm định chuyên môn và có Quyết định phê duyệt bằng văn bản từ người có thẩm quyền trước khi đưa vào vận hành.
Đối với cấp độ 2, pháp luật phân cấp quyền chủ động rất lớn cho doanh nghiệp tự thẩm định và phê duyệt. Tuy nhiên, Ai là người có thẩm quyền ký quyết định? Các bước thẩm định nội bộ gồm những gì? Sau khi ký duyệt có cần nộp báo cáo cho cơ quan quản lý nhà nước không? Dưới đây là hướng dẫn chi tiết quy trình 5 bước thẩm định và phê duyệt hồ sơ Cấp độ 2 chuẩn pháp lý.
📌 Những điểm mấu chốt doanh nghiệp cần nắm rõ:
- Thẩm quyền phê duyệt: Khác với Cấp độ 3 trở lên (phải qua Bộ TT&TT hoặc Bộ Công an thẩm định), hồ sơ Cấp độ 2 do Bộ phận chuyên trách an ninh mạng của chính doanh nghiệp thẩm định và Người đại diện pháp luật ký phê duyệt.
- 3 văn bản hành chính bắt buộc: Biên bản họp thẩm định nội bộ; Tờ trình đề nghị phê duyệt cấp độ; và Quyết định phê duyệt hồ sơ an toàn thông tin.
- Nghĩa vụ sau phê duyệt: Doanh nghiệp phải lưu trữ hồ sơ bản cứng, triển khai đúng giải pháp bảo vệ đã cam kết và gửi thông báo kết quả phê duyệt về cơ quan chuyên trách quản lý địa bàn.
- Hạn chót tuân thủ: Hệ thống hoạt động trước ngày 01/7/2026 có thời hạn tối đa 06 tháng để hoàn tất thủ tục này.
* Tham khảo thêm các bài viết liên quan trong chuỗi chuyên đề:
- Bài 1: Hệ thống thông tin cấp độ 2 là gì? Tiêu chí nhận biết cho doanh nghiệp
- Bài 2: Hồ sơ đề xuất cấp độ 2 gồm những tài liệu gì và checklist chuẩn bị
1. Thẩm định và Phê duyệt hồ sơ cấp độ là gì? Vì sao bắt buộc?
Nhiều doanh nghiệp nhầm lẫn giữa hai khái niệm này:
- Thẩm định hồ sơ: Là bước kiểm tra, rà soát chuyên môn mang tính kỹ thuật. Hội đồng hoặc bộ phận chuyên trách sẽ đánh giá: Sơ đồ mạng có khớp thực tế không? Căn cứ phân loại người dùng (dưới 100.000 người) có chính xác không? Phương án tường lửa, sao lưu dữ liệu và chứng chỉ SSL có đủ năng lực phòng thủ hay không. Kết quả được ghi nhận vào Biên bản thẩm định.
- Phê duyệt hồ sơ: Là bước pháp lý mang tính quyết định. Căn cứ vào kết quả thẩm định đạt yêu cầu, người đại diện theo pháp luật của doanh nghiệp sẽ ký ban hành Quyết định phê duyệt cấp độ an toàn thông tin, chính thức chịu trách nhiệm trước pháp luật về mức độ an toàn của hệ thống.
Theo quy định, một hệ thống thông tin chưa có Quyết định phê duyệt cấp độ mà đã đưa vào khai thác thương mại sẽ bị coi là vận hành trái phép, đối mặt với mức xử phạt từ 20.000.000đ đến 30.000.000đ và bị đình chỉ hoạt động nếu xảy ra sự cố rò rỉ dữ liệu khách hàng.
2. Thẩm quyền thẩm định và phê duyệt hồ sơ Cấp độ 2 thuộc về ai?
Nghị định 331/2026/NĐ-CP phân định thẩm quyền rất rõ ràng dựa trên mức độ rủi ro:
Cấp độ hệ thống | Đơn vị Thẩm định | Thẩm quyền Phê duyệt |
|---|---|---|
Cấp độ 1 & Cấp độ 2 | Bộ phận chuyên trách an ninh mạng của chủ quản hệ thống | Người đại diện theo pháp luật của doanh nghiệp / chủ quản ký duyệt |
Cấp độ 3 | Cục An toàn thông tin (Bộ TT&TT) hoặc A05 (Bộ Công an) có ý kiến thẩm định | Bộ trưởng, Chủ tịch UBND tỉnh hoặc lãnh đạo cơ quan chủ quản cấp trên phê duyệt |
Cấp độ 4 & Cấp độ 5 | Hội đồng chuyên môn cấp Bộ thẩm định | Bộ trưởng Bộ Công an / Thủ tướng Chính phủ phê duyệt |
Lưu ý quan trọng: Dù được quyền tự phê duyệt, nhưng doanh nghiệp tuyệt đối không được “làm chiếu lệ”. Hồ sơ nội bộ phải đúng mẫu chuẩn, lưu trữ bản cứng và sẵn sàng xuất trình đầy đủ khi có đoàn thanh tra liên ngành của Cục An toàn thông tin, PA05 Công an tỉnh hoặc Sở TT&TT hậu kiểm.
3. Bộ tài liệu hoàn chỉnh cần có trước khi bước vào thẩm định
Để quy trình thẩm định không bị gián đoạn, trước khi họp thẩm định, doanh nghiệp cần chuẩn bị đầy đủ 2 nhóm tài liệu:
Nhóm 1: Hồ sơ đề xuất chuyên môn (Tập hồ sơ kỹ thuật)
- Bản thuyết minh tổng quan về hệ thống và đơn vị vận hành.
- Tài liệu thiết kế kiến trúc kỹ thuật và sơ đồ mạng kết nối thực tế.
- Bản thuyết minh căn cứ phân loại và đề xuất Cấp độ 2.
- Phương án bảo đảm an ninh mạng (đánh giá rủi ro, biện pháp kỹ thuật, cơ chế sao lưu backup dữ liệu, giải pháp quản trị máy chủ an toàn).
- Bộ quy chế, chính sách an ninh mạng nội bộ ban hành kèm theo.
Nhóm 2: Các biểu mẫu hành chính phục vụ xét duyệt
- Biểu mẫu thẩm định hồ sơ: Bảng đối chiếu các tiêu chí kỹ thuật do người thẩm định chấm điểm đạt/không đạt.
- Tờ trình đề nghị phê duyệt: Do bộ phận IT/An ninh mạng soạn thảo gửi lãnh đạo doanh nghiệp.
- Dự thảo Quyết định phê duyệt: Văn bản ghi rõ tên hệ thống, cấp độ phê duyệt (Cấp 2) và trách nhiệm của các bộ phận liên quan.
4. Quy trình 5 bước thẩm định và phê duyệt hồ sơ Cấp độ 2
Quy trình thẩm định và phê duyệt Cấp độ 2 chuẩn mực tại doanh nghiệp được thực hiện tuần tự qua 5 bước sau:
Bước | Nội dung công việc thực hiện | Sản phẩm đầu ra |
|---|---|---|
Bước 1 | Hoàn thiện toàn bộ hồ sơ đề xuất và dự thảo quy chế theo mẫu Nghị định 331/2026. | Bộ tài liệu kỹ thuật hoàn chỉnh bám sát hạ tầng máy chủ thực tế. |
Bước 2 | Xem xét nội bộ: Bộ phận IT và các phòng ban liên quan đối chiếu sơ đồ, cấu hình máy chủ, dữ liệu khách hàng. | Biên bản xác nhận số liệu thống nhất giữa các bộ phận. |
Bước 3 | Tổ chức thẩm định chuyên môn: Đánh giá tính đầy đủ, mức độ rủi ro và tính khả thi của phương án kỹ thuật. | Biên bản thẩm định nội bộ có kết luận đạt yêu cầu. |
Bước 4 | Lập tờ trình kèm toàn bộ hồ sơ trình lãnh đạo doanh nghiệp ký ban hành quyết định. | Quyết định phê duyệt cấp độ an toàn thông tin có chữ ký & đóng dấu pháp nhân. |
Bước 5 | Đóng tập lưu trữ hồ sơ, triển khai cấu hình bảo mật thực tế và gửi báo cáo về cơ quan quản lý. | Hồ sơ lưu trữ bản cứng + bản mềm, sẵn sàng phục vụ thanh tra. |
5. Trách nhiệm giữa Doanh nghiệp và Đơn vị tư vấn BKNS
Nếu doanh nghiệp không có sẵn bộ phận an ninh mạng chuyên trách, việc tự soạn biểu mẫu và thẩm định kỹ thuật sẽ mất từ 2 – 3 tháng. Khi đồng hành cùng BKNS, quy trình được tinh gọn tối đa:
Doanh nghiệp đảm nhiệm | BKNS đảm nhiệm toàn diện |
|---|---|
✔ Cung cấp thông tin hiện trạng hạ tầng máy chủ và ứng dụng. | ✔ Khảo sát hiện trạng, vẽ lại sơ đồ mạng, xây dựng báo cáo đánh giá rủi ro. |
✔ Xác nhận các thông tin kỹ thuật phản ánh đúng thực tế. | ✔ Soạn thảo đầy đủ 4 thành phần hồ sơ và bộ quy chế an ninh theo mẫu chuẩn. |
✔ Ký Tờ trình và ban hành Quyết định phê duyệt. | ✔ Chuẩn bị sẵn Biểu mẫu thẩm định, Tờ trình và dự thảo Quyết định phê duyệt. |
✔ Lưu trữ hồ sơ tại văn phòng công ty. | ✔ Bàn giao hồ sơ đóng tập (bản cứng + bản mềm) và hỗ trợ giải trình khi bị thanh tra. |
6. Những sai sót chí mạng khiến việc phê duyệt bị vô hiệu
Một quyết định phê duyệt cấp độ 2 có thể bị cơ quan thanh tra bác bỏ nếu doanh nghiệp mắc phải các sai phạm sau:
- Hồ sơ phê duyệt không khớp với hạ tầng đang chạy: Hồ sơ khai báo chạy trên máy chủ nội bộ nhưng thực tế lại đang đặt tại dịch vụ cloud nước ngoài mà không kê khai luồng dữ liệu xuyên biên giới.
- Quy chế an ninh mạng chỉ sao chép văn bản mẫu: Các quy định về sao lưu, mật khẩu và phòng chống mã độc không hề được áp dụng trên máy tính của nhân viên hay máy chủ công ty.
- Hệ thống đã vượt 100.000 người dùng nhưng vẫn tự duyệt Cấp 2: Cố tình giấu số liệu tăng trưởng để né việc phải nộp hồ sơ Cấp độ 3 lên cơ quan nhà nước.
- Chờ đến khi nhận thông báo thanh tra mới làm quyết định: Quyết định phê duyệt bắt buộc phải ban hành trước khi hệ thống đưa vào khai thác chính thức; làm lùi ngày quyết định để đối phó thanh tra là hành vi vi phạm pháp luật.
7. Câu hỏi thường gặp về thẩm định và phê duyệt Cấp độ 2
Doanh nghiệp không có bộ phận chuyên trách IT/An ninh mạng thì ai sẽ thẩm định?
Lãnh đạo doanh nghiệp có thể thành lập một Tổ công tác an ninh mạng kiêm nhiệm (gồm đại diện lãnh đạo, cán bộ quản trị hệ thống), hoặc ký hợp đồng thuê đơn vị tư vấn có năng lực chuyên môn như BKNS hỗ trợ đánh giá rủi ro và lập biểu mẫu thẩm định để người đại diện pháp luật ký phê duyệt.
Quyết định phê duyệt hồ sơ Cấp độ 2 có cần công chứng hoặc xin dấu Bộ không?
Không. Quyết định phê duyệt Cấp độ 2 là văn bản quản lý nội bộ của doanh nghiệp, do người đại diện theo pháp luật ký và đóng dấu pháp nhân công ty, không cần công chứng hay xin dấu của Bộ TT&TT hay Bộ Công an.
Sau khi ký Quyết định phê duyệt, doanh nghiệp có phải gửi văn bản đi đâu không?
Doanh nghiệp lưu giữ toàn bộ hồ sơ gốc tại trụ sở và thực hiện thủ tục gửi văn bản thông báo kết quả phê duyệt cấp độ về Sở TT&TT địa phương hoặc cơ quan chuyên trách quản lý trên địa bàn để ghi nhận vào cơ sở dữ liệu quản lý nhà nước về an toàn thông tin.
Thời hạn hiệu lực của Quyết định phê duyệt hồ sơ Cấp độ 2 là bao lâu?
Quyết định có giá trị xuyên suốt trong quá trình hệ thống vận hành ổn định. Tuy nhiên, doanh nghiệp bắt buộc phải thực hiện đánh giá lại và làm thủ tục tái phê duyệt khi hệ thống có nâng cấp lớn về kiến trúc mạng, thay đổi nền tảng máy chủ, hoặc quy mô người dùng tăng vượt mốc 100.000 người.
8. Lời kết
Quy trình thẩm định và phê duyệt là “mắt xích” cuối cùng biến bộ hồ sơ kỹ thuật thành lá chắn pháp lý vững chắc cho doanh nghiệp. Việc hoàn tất thủ tục này không chỉ giúp bạn yên tâm tuyệt đối trước các đợt thanh tra chuyên ngành, mà còn nâng cao uy tín thương hiệu và năng lực bảo vệ dữ liệu khách hàng trong kỷ nguyên số.
Thời hạn chuyển tiếp 06 tháng theo Nghị định 331/2026/NĐ-CP đang đếm ngược từng ngày. Hãy để BKNS đồng hành giúp doanh nghiệp của bạn hoàn thiện hồ sơ một cách nhanh chóng, chuẩn xác và tiết kiệm nhất.
📞 Hotline 24/7: 1900 63 68 09 | Tư vấn miễn cước: 1800 646 884 | ✉️ Email: info@bkns.vn