An ninh mạng doanh nghiệp là gì? Quy định mới 2026 và việc cần làm

"An ninh mạng doanh nghiệp là gì?" — từ đầu năm 2026, câu hỏi này không còn là chuyện riêng của công ty công nghệ hay ngân hàng. Khi Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 có hiệu lực từ 01/01/2026 và Luật An ninh mạng 116/2025/QH15 chính thức thay thế hai luật cũ từ 01/07/2026, gần như mọi doanh nghiệp có website, có form thu thập thông tin khách hàng, có dữ liệu nhân viên đều nằm trong phạm vi điều chỉnh.

Bài viết này giải thích an ninh mạng doanh nghiệp là gì theo quy định mới nhất, điểm qua hai văn bản luật quan trọng nhất của năm 2026, và đưa ra danh sách việc cụ thể để doanh nghiệp nhỏ bắt đầu tuân thủ mà không cần đội ngũ chuyên trách.

An ninh mạng doanh nghiệp là gì?

Theo Luật An ninh mạng 116/2025/QH15 (Điều 2), an ninh mạng là sự ổn định, an ninh, an toàn của không gian mạng, bao gồm bảo vệ hệ thống thông tin và bảo đảm thông tin, dữ liệu, hoạt động trên không gian mạng không gây phương hại đến an ninh quốc gia, trật tự, an toàn xã hội và quyền lợi hợp pháp của tổ chức, cá nhân.

Nói dễ hiểu với một doanh nghiệp nhỏ: an ninh mạng là toàn bộ việc bạn bảo vệ máy tính, điện thoại, phần mềm bán hàng, website, tài khoản ngân hàng và dữ liệu khách hàng khỏi bị xâm nhập, đánh cắp, mã hóa tống tiền hay phá hoại. Nó gồm ba lớp chính:

• Bảo vệ hệ thống: máy tính, điện thoại, máy chủ, thiết bị mạng không bị cài mã độc, không bị điều khiển từ xa.
• Bảo vệ dữ liệu: dữ liệu khách hàng, dữ liệu nhân sự, sổ sách kế toán không bị truy cập, sửa đổi hay tiết lộ trái phép.
• Bảo vệ hoạt động: website, fanpage, tài khoản email, tài khoản ngân hàng không bị chiếm quyền để lừa đảo khách hàng, đối tác.

Đáng chú ý, Luật mới đưa thêm khái niệm "an ninh dữ liệu" — bảo đảm chất lượng dữ liệu và các hoạt động xử lý, sử dụng dữ liệu không bị truy cập, sử dụng, tiết lộ, sửa đổi trái phép. Đây là điểm giao thoa trực tiếp với Luật Bảo vệ dữ liệu cá nhân, nghĩa là một vụ rò rỉ dữ liệu khách hàng có thể bị xem xét xử lý đồng thời theo cả hai khung pháp lý.

Vì sao năm 2026 là bước ngoặt với doanh nghiệp?

Trước năm 2026, việc bảo vệ dữ liệu cá nhân được điều chỉnh chủ yếu bằng Nghị định 13/2023/NĐ-CP (cấp Chính phủ), còn an ninh mạng nằm rải rác ở Luật An ninh mạng 2018 và Luật An toàn thông tin mạng 2015. Năm 2026, khung pháp lý được nâng lên cấp Luật và hợp nhất:

• Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15: hiệu lực 01/01/2026 — luật đầu tiên ở cấp Quốc hội chuyên về dữ liệu cá nhân, thay thế Nghị định 13/2023, được hướng dẫn bởi Nghị định 356/2025/NĐ-CP.
• Luật An ninh mạng 116/2025/QH15: hiệu lực 01/07/2026 — hợp nhất Luật An ninh mạng 2018 và Luật An toàn thông tin mạng 2015 thành một văn bản thống nhất, 8 chương, 58 điều.

Hệ quả thực tế: hầu như website, ứng dụng hoặc hệ thống nào có form thu thập thông tin (họ tên, email, số điện thoại, địa chỉ) của người dùng tại Việt Nam đều phải tuân thủ, không phân biệt quy mô doanh nghiệp. Với chủ cửa hàng, hộ kinh doanh đang bán hàng online, điều này đồng nghĩa với việc "bán hàng có thu thập thông tin khách" giờ đi kèm nghĩa vụ pháp lý rõ ràng.

Luật An ninh mạng 116/2025: 4 điểm doanh nghiệp cần biết

Luật áp dụng cho cơ quan, tổ chức, cá nhân Việt Nam; tổ chức, cá nhân nước ngoài tại Việt Nam và người gốc Việt Nam; kể cả tổ chức nước ngoài không có trụ sở tại Việt Nam nhưng kinh doanh sản phẩm, dịch vụ an ninh mạng tại Việt Nam. Với doanh nghiệp thông thường, cần lưu ý 4 điểm:

• Phân biệt tấn công mạng và tội phạm mạng: tấn công mạng (xâm nhập, phá hoại hệ thống) bị xử lý hành chính; tội phạm mạng (lừa đảo, đánh cắp dữ liệu quy mô lớn...) bị xử lý hình sự theo Bộ luật Hình sự.
• Trách nhiệm chủ quản hệ thống thông tin: kiểm tra an ninh mạng định kỳ để phát hiện mã độc, lỗ hổng bảo mật; triển khai biện pháp phòng ngừa gián điệp mạng, bảo vệ bí mật kinh doanh; phối hợp với cơ quan chức năng và thông báo kịp thời khi có sự cố.
• Chứng nhận nhân sự quản trị: người trực tiếp quản trị, vận hành hệ thống thông tin cấp độ 3-5 trong cơ quan, tổ chức, doanh nghiệp nhà nước phải được tập huấn và cấp chứng nhận về an ninh mạng (Điều 34). Doanh nghiệp ngoài nhà nước không bắt buộc, nhưng đây là chuẩn tham chiếu tốt.
• Hành vi bị nghiêm cấm khi đăng tải nội dung: thông tin sai sự thật gây hoang mang, xúc phạm danh dự, kích động bạo lực... — doanh nghiệp quản lý fanpage, website phải kiểm soát nội dung mình đăng và cho phép bình luận.

Luật Bảo vệ dữ liệu cá nhân 91/2025 và Nghị định 356/2025: nghĩa vụ cụ thể

Khác với Luật An ninh mạng thiên về bảo vệ hệ thống, Luật Bảo vệ dữ liệu cá nhân tập trung vào quyền của chủ thể dữ liệu (khách hàng, nhân viên) và nghĩa vụ của bên thu thập, xử lý dữ liệu. Với doanh nghiệp, các nghĩa vụ chính gồm:

• Lấy sự đồng ý đúng cách: khi thu thập thông tin khách hàng qua form, hợp đồng, chương trình khuyến mãi, phải giải thích rõ mục đích và được khách đồng ý một cách tự nguyện, rõ ràng — không được "mặc định đồng ý".
• Xây dựng quy định nội bộ về bảo vệ dữ liệu cá nhân: văn bản quy định rõ dữ liệu nào được thu thập, ai được truy cập, lưu bao lâu, xóa khi nào.
• Chỉ định bộ phận, nhân sự phụ trách bảo vệ dữ liệu: doanh nghiệp siêu nhỏ, nhỏ, vừa và khởi nghiệp được miễn nghĩa vụ chỉ định này trong 02 năm đầu kể từ khi thành lập, trừ khi trực tiếp kinh doanh hoạt động xử lý dữ liệu cá nhân.
• Lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (PIA): theo mẫu hướng dẫn tại Nghị định 356/2025/NĐ-CP, gửi cơ quan chuyên trách (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao — Bộ Công an). Hồ sơ tương tự (TIA) cũng bắt buộc khi chuyển dữ liệu cá nhân ra nước ngoài.
• Thông báo vi phạm trong thời hạn 72 giờ: khi xảy ra sự cố rò rỉ dữ liệu, doanh nghiệp có nghĩa vụ thông báo cho cơ quan chuyên trách trong vòng 72 giờ.

Chính sách an ninh mạng tối thiểu doanh nghiệp nên xây dựng

"Chính sách an ninh mạng trong doanh nghiệp" nghe có vẻ to tát, nhưng với doanh nghiệp nhỏ, một bộ chính sách gọn trong 3-4 trang là đủ để vừa tuân thủ luật vừa giảm rủi ro thực tế:

• Chính sách bảo vệ dữ liệu: dữ liệu khách hàng và nhân viên được thu thập ở đâu, ai được truy cập, lưu trữ và tiêu hủy ra sao.
• Chính sách mật khẩu và phân quyền: mật khẩu mạnh, đổi định kỳ, kích hoạt xác thực 2 lớp cho email, phần mềm bán hàng, tài khoản ngân hàng; mỗi nhân viên chỉ truy cập đúng phần mình cần.
• Chính sách backup: sao lưu dữ liệu kế toán, đơn hàng, khách hàng hằng ngày theo nguyên tắc 3-2-1 (3 bản sao, 2 loại phương tiện, 1 bản lưu ngoài nơi làm việc).
• Quy trình ứng phó sự cố: ai phát hiện, thông báo cho ai, khi nào phải báo cơ quan chức năng — chuẩn bị sẵn để không lúng túng khi sự cố xảy ra.

6 việc làm ngay để doanh nghiệp bắt đầu tuân thủ

1. Rà soát các nơi đang thu thập dữ liệu: form liên hệ trên website, sổ khách hàng trong phần mềm bán hàng, phiếu đăng ký bảo hành, danh sách khách nhận tin qua Zalo/Facebook.
2. Bổ sung chính sách bảo mật, điều khoản sử dụng trên website và mẫu đồng ý rõ ràng khi thu thập thông tin.
3. Kích hoạt xác thực 2 lớp cho toàn bộ tài khoản quan trọng: email công việc, phần mềm bán hàng, ngân hàng điện tử, fanpage.
4. Thiết lập backup tự động dữ liệu quan trọng; kiểm tra khôi phục thử ít nhất mỗi quý một lần.
5. Cập nhật bản vá và phần mềm diệt mã độc trên máy tính dùng quản lý bán hàng, kế toán; không dùng máy tính công việc để lướt web, tải file không rõ nguồn gốc.
6. Phân công người phụ trách (có thể kiêm nhiệm) theo dõi bảo mật, lưu hồ sơ đồng ý của khách, và biết quy trình báo cáo khi có sự cố.

Lời khuyên cho doanh nghiệp tại Tây Ninh

Doanh nghiệp, hộ kinh doanh tại Tây Ninh phần lớn đang trong giai đoạn chuyển đổi số: mở fanpage, đăng bán trên các sàn, dùng phần mềm bán hàng, quản lý kho trên điện thoại. Dữ liệu khách hàng vì thế nằm rải rác trên máy tính, điện thoại và tài khoản cloud — đúng nhóm rủi ro mà luật mới hướng tới.

Thực tế tư vấn cho thấy doanh nghiệp nhỏ không cần đầu tư lớn ngay; hãy bắt đầu từ rà soát hiện trạng, backup dữ liệu, xác thực 2 lớp và một bản chính sách bảo mật ngắn gọn. Khi đã vận hành ổn định, có thể tiến tới đánh giá an ninh mạng định kỳ, lập hồ sơ PIA nếu quy mô xử lý dữ liệu lớn dần. Đơn vị IT địa phương như Tân IT365 hỗ trợ doanh nghiệp trong tỉnh rà soát bảo mật, thiết lập backup, cài đặt phòng chống mã độc và tư vấn chính sách bảo vệ dữ liệu phù hợp quy mô.

Câu hỏi thường gặp

An ninh mạng doanh nghiệp là gì?

An ninh mạng doanh nghiệp là việc bảo vệ hệ thống máy tính, dữ liệu khách hàng, dữ liệu nhân sự và tài khoản trực tuyến của doanh nghiệp khỏi xâm nhập, đánh cắp, mã hóa tống tiền và phá hoại. Theo Luật An ninh mạng 116/2025/QH15, an ninh mạng còn bao gồm bảo đảm dữ liệu và hoạt động trên không gian mạng không gây phương hại đến quyền lợi hợp pháp của tổ chức, cá nhân.

Luật nào bắt buộc doanh nghiệp bảo vệ an ninh mạng và dữ liệu từ năm 2026?

Hai văn bản quan trọng nhất là Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 (hiệu lực 01/01/2026, hướng dẫn bởi Nghị định 356/2025/NĐ-CP) và Luật An ninh mạng 116/2025/QH15 (hiệu lực 01/07/2026, thay thế Luật An ninh mạng 2018 và Luật An toàn thông tin mạng 2015).

Doanh nghiệp nhỏ, hộ kinh doanh có phải tuân thủ không?

Có. Luật áp dụng cho mọi tổ chức xử lý dữ liệu cá nhân tại Việt Nam, không phân biệt quy mô — chỉ cần website hoặc hoạt động kinh doanh có thu thập thông tin khách hàng là thuộc phạm vi điều chỉnh. Tuy nhiên, doanh nghiệp siêu nhỏ, nhỏ, vừa và khởi nghiệp được miễn chỉ định bộ phận, nhân sự bảo vệ dữ liệu trong 02 năm đầu thành lập (trừ khi trực tiếp kinh doanh dịch vụ xử lý dữ liệu cá nhân).

Vi phạm quy định an ninh mạng, bảo vệ dữ liệu bị xử lý thế nào?

Tùy mức độ, doanh nghiệp có thể bị xử phạt vi phạm hành chính theo quy định xử phạt chuyên ngành; hành vi nghiêm trọng như đánh cắp, mua bán trái phép dữ liệu cá nhân quy mô lớn có thể bị truy cứu trách nhiệm hình sự. Việc vừa vi phạm Luật Bảo vệ dữ liệu cá nhân vừa vi phạm Luật An ninh mạng có thể bị xem xét xử lý theo cả hai khung pháp lý.

Doanh nghiệp nhỏ nên bắt đầu tuân thủ từ đâu?

Bắt đầu từ 6 việc cơ bản: rà soát nơi thu thập dữ liệu, bổ sung chính sách bảo mật và mẫu đồng ý, bật xác thực 2 lớp cho tài khoản quan trọng, thiết lập backup tự động, cập nhật bản vá và diệt mã độc, và phân công người phụ trách theo dõi. Không cần đầu tư lớn, chỉ cần làm đúng và duy trì đều.