Nghị định 333: Doanh nghiệp số trước áp lực tuân thủ mới về an ninh mạng

Nghị định số 333/2026/NĐ-CP, ban hành ngày 19/8/2026 hướng dẫn Luật An ninh mạng 2025, đã đặt ra nhiều yêu cầu tuân thủ mới đối với doanh nghiệp cung cấp dịch vụ trên môi trường mạng tại Việt Nam. Các yêu cầu tuân thủ đáng chú ý của Nghị định này gồm xác thực tài khoản người dùng, phản hồi nhanh yêu cầu của cơ quan có thẩm quyền, lưu trữ dữ liệu tại Việt Nam và quản lý thông tin định danh địa chỉ IP.

Vì Nghị định có hiệu lực ngay từ thời điểm ban hành, nên doanh nghiệp cần chuẩn bị không chỉ về chính sách, mà cả quy trình vận hành, năng lực kỹ thuật và cơ chế phản ứng tuân thủ.

1. Xác thực thông tin và tài khoản người sử dụng

Một điểm mới cần quan tâm của Nghị định là yêu cầu xác thực thông tin người sử dụng ngay khi đăng ký tài khoản số. Nghĩa vụ này áp dụng cho cả doanh nghiệp trong nước và doanh nghiệp nước ngoài cung cấp dịch vụ trên mạng viễn thông, Internet hoặc dịch vụ giá trị gia tăng trên không gian mạng tại Việt Nam.

Việc xác thực được thực hiện bằng số điện thoại di động tại Việt Nam. Trường hợp người sử dụng không có số điện thoại di động tại Việt Nam, doanh nghiệp có thể áp dụng số định danh cá nhân hoặc phương thức định danh điện tử hợp pháp khác. Riêng tài khoản sử dụng tính năng phát trực tiếp nhằm mục đích thương mại phải được xác thực bằng số định danh cá nhân. Theo đó, chỉ tài khoản đã xác thực mới được đăng tải, chia sẻ thông tin và sử dụng các tính năng tương tác. Như vậy, quy định này có thể ảnh hưởng đáng kể đến mạng xã hội, thương mại điện tử, livestream thương mại, trò chơi trực tuyến và các dịch vụ nội dung số có tính tương tác.

Doanh nghiệp, vì vậy, cần sớm rà soát quy trình đăng ký, phương thức xác thực hiện tại, khả năng tích hợp định danh hợp pháp và cơ chế giới hạn tính năng đối với tài khoản chưa được xác thực.

2. Thời hạn phản hồi yêu cầu của cơ quan có thẩm quyền

Nghị định 333 đặt ra thời hạn xử lý yêu cầu của cơ quan có thẩm quyền rất ngắn. Theo đó, doanh nghiệp có thể phải cung cấp thông tin người sử dụng trong vòng 24 giờ kể từ khi nhận được yêu cầu hợp lệ, hoặc 03 giờ trong trường hợp khẩn cấp đe dọa an ninh quốc gia hoặc tính mạng con người. Đối với yêu cầu hạn chế, ngăn chặn truy cập, xóa bỏ thông tin, gỡ bỏ dịch vụ hoặc ứng dụng vi phạm, thời hạn thực hiện là 24 giờ, hoặc 06 giờ trong trường hợp khẩn cấp.

Các mốc thời gian này buộc doanh nghiệp phải xây dựng cơ chế phản ứng nhanh, gồm đầu mối tiếp nhận yêu cầu, quy trình xác minh, phê duyệt nội bộ và phân công rõ trách nhiệm giữa các bộ phận như pháp chế, an ninh mạng, kỹ thuật và vận hành. Ngoài ra, phương án xử lý ngoài giờ hành chính và cơ chế lưu vết cũng cần được xây dựng và chuẩn hóa.

Với doanh nghiệp hoạt động xuyên biên giới, việc có đầu mối tại Việt Nam và cơ chế phối hợp với bộ phận pháp lý, kỹ thuật ở nước ngoài là cần thiết để tránh chậm trễ khi phát sinh yêu cầu khẩn cấp.

3. Nghĩa vụ lưu trữ dữ liệu tại Việt Nam tiếp tục là trọng tâm tuân thủ

Nghị định 333 tiếp tục cụ thể hóa yêu cầu lưu trữ dữ liệu tại Việt Nam. Dữ liệu thuộc phạm vi lưu trữ gồm thông tin cá nhân của người sử dụng dịch vụ tại Việt Nam và dữ liệu do người sử dụng tại Việt Nam tạo ra, như tên tài khoản, thời gian sử dụng dịch vụ, thông tin thẻ tín dụng, email, địa chỉ IP đăng nhập/đăng xuất gần nhất và số điện thoại đăng ký.

Với doanh nghiệp trong nước, nghĩa vụ lưu trữ các dữ liệu này tại Việt Nam được quy định tương đối rõ. Còn đối với doanh nghiệp nước ngoài, nghĩa vụ này cần được đọc kết hợp giữa khoản 3(a), khoản 6 Điều 19 và Điều 20 của Nghị định do các quy định này vừa xác định nhóm doanh nghiệp thuộc diện lưu trữ dữ liệu, vừa đề cập đến quyết định yêu cầu lưu trữ của Bộ trưởng Bộ Công an, thời hạn 12 tháng để hoàn thành việc lưu trữ và thời gian lưu trữ dữ liệu tối thiểu 24 tháng.

Theo đó, thời điểm kích hoạt nghĩa vụ lưu trữ dữ liệu của doanh nghiệp nước ngoài chưa thực sự rõ ràng: nghĩa vụ đó phát sinh ngay khi doanh nghiệp thuộc nhóm lĩnh vực được liệt kê và có hoạt động kinh doanh tại Việt Nam, hay chỉ phát sinh khi có quyết định yêu cầu lưu trữ dữ liệu của Bộ trưởng Bộ Công an.

Trong khi chờ hướng dẫn rõ hơn, doanh nghiệp nước ngoài không nên “chờ yêu cầu rồi mới chuẩn bị”. Việc xác định trước loại dữ liệu thuộc phạm vi Điều 19, vị trí lưu trữ hiện tại, phương án lưu trữ tại Việt Nam và thời gian triển khai sẽ giúp giảm rủi ro khi cơ quan quản lý áp dụng cách hiểu nghiêm ngặt hoặc ban hành yêu cầu cụ thể.

4. Quản lý định danh địa chỉ IP: yêu cầu đặc thù đối với doanh nghiệp viễn thông và Internet

Nghị định 333 cũng đặt ra yêu cầu riêng về quản lý, ghi nhận và lưu trữ thông tin phục vụ định danh địa chỉ IP đối với doanh nghiệp viễn thông và Internet. Doanh nghiệp phải có hệ thống kỹ thuật để ghi nhận thông tin định danh địa chỉ IP gắn với thuê bao, thời điểm sử dụng dịch vụ và thông tin dịch vụ liên quan. Nhật ký định danh IP phải có các thông tin tối thiểu như địa chỉ IP nguồn và đích, cổng nguồn và đích, giao thức kết nối, thông tin ánh xạ IP khi sử dụng NAT, thời điểm bắt đầu và kết thúc phiên kết nối, mã định danh phiên và thông tin thuê bao tương ứng.

Các dữ liệu nhật ký này phải được lưu trữ liên tục tối thiểu 12 tháng, bảo đảm tính toàn vẹn, an toàn, bảo mật và khả năng truy xuất. Khi có yêu cầu hợp pháp, doanh nghiệp phải cung cấp thông tin định danh IP trong vòng 24 giờ, hoặc 03 giờ trong trường hợp khẩn cấp liên quan đến an ninh quốc gia, khủng bố mạng, tấn công mạng hoặc tội phạm đặc biệt nghiêm trọng.

Doanh nghiệp viễn thông và Internet cần rà soát năng lực ghi nhật ký, lưu trữ đủ trường thông tin, bảo đảm toàn vẹn dữ liệu và truy xuất trong thời hạn rất ngắn.

5. Khuyến nghị chung cho doanh nghiệp

Nghị định 333 có hiệu lực ngay từ ngày 19/8/2026. Nghị định này cho thấy yêu cầu tuân thủ an ninh mạng đang ngày càng gắn chặt với năng lực vận hành thực tế của doanh nghiệp. Do đó, doanh nghiệp cung cấp dịch vụ trên môi trường mạng không nên chỉ dừng lại ở việc cập nhật chính sách trên giấy, mà cần chủ động rà soát mức độ sẵn sàng tuân thủ trên thực tế. Cụ thể, doanh nghiệp nên sớm đánh giá các yêu cầu về xác thực tài khoản, phản hồi yêu cầu của cơ quan có thẩm quyền, lưu trữ dữ liệu tại Việt Nam và quản lý thông tin định danh địa chỉ IP. Đối với doanh nghiệp nước ngoài cung cấp dịch vụ tại Việt Nam, việc xác định phạm vi áp dụng, đánh giá khả năng phát sinh nghĩa vụ lưu trữ dữ liệu và chuẩn bị phương án thực hiện tại Việt Nam càng cần được tiến hành một cách chủ động, đồng thời tiếp tục theo dõi hướng dẫn từ các cơ quan có thẩm quyền.

Dentons Luật Việt chân thành cảm ơn và ghi nhận những đóng góp của Luật sư Cộng sự Cao cấp Trần Nguyệt Minh trong việc thực hiện bài viết này.

Miễn trừ trách nhiệm: Bài viết này chỉ nhằm mục đích cung cấp thông tin chung và không cấu thành ý kiến tư vấn pháp lý, hay thiết lập mối quan hệ luật sư và khách hàng. Quý độc giả không nên sử dụng nội dung bài viết như sự thay thế cho tư vấn pháp lý từ luật sư. Dentons Luật Việt không chịu trách nhiệm đối với bất kỳ tổn thất hay thiệt hại nào phát sinh từ việc sử dụng hoặc dựa vào nội dung bài viết này. Vui lòng liên hệ: bd.vietnam@dentons.com để được tư vấn phù hợp.