Hệ thống thông tin Cấp độ 2 là gì? Tổ chức, doanh nghiệp nào phải xác định cấp độ?

Hệ thống thông tin cấp độ 2 là cấp độ an toàn thông tin mà hầu hết các website bán hàng, ứng dụng di động và phần mềm quản trị của doanh nghiệp vừa và nhỏ (SME) đều thuộc diện áp dụng. Kể từ khi Nghị định 331/2026/NĐ-CP có hiệu lực (ngày 19/8/2026), việc xác định cấp độ và phê duyệt hồ sơ an toàn thông tin đã trở thành yêu cầu pháp lý bắt buộc đối với mọi chủ quản hệ thống, không phân biệt doanh nghiệp nhà nước hay tư nhân.

Bài viết này sẽ giúp bạn hiểu rõ: Hệ thống thông tin cấp độ 2 là gì, các tiêu chí nhận biết chính xác cho từng loại hình website/phần mềm, mức phạt nếu không tuân thủ và lộ trình từng bước doanh nghiệp cần triển khai.

1. Hệ thống thông tin cấp độ 2 là gì?

Căn cứ theo quy định tại Nghị định 331/2026/NĐ-CP về bảo vệ an ninh mạng đối với hệ thống thông tin, Hệ thống thông tin cấp độ 2 là hệ thống có xử lý thông tin riêng hoặc dữ liệu cá nhân của người dùng, mà khi bị sự cố hoặc bị tấn công xâm nhập sẽ gây thiệt hại ở mức độ trung bình.

Mức thiệt hại trung bình được xác định là: sự cố chỉ ảnh hưởng cục bộ tới hoạt động của chính cơ quan, tổ chức đó, hoặc ảnh hưởng trực tiếp đến một nhóm khách hàng, nhân sự nội bộ, đối tác liên quan; chưa gây xáo trộn trật tự xã hội hay an ninh quốc gia.

Trong thực tiễn vận hành doanh nghiệp, hệ thống chỉ cần bắt đầu thu thập, lưu trữ thông tin cá nhân (như họ tên, số điện thoại, email, địa chỉ khách hàng) là đã vượt quá ngưỡng Cấp độ 1 (vốn chỉ áp dụng cho hệ thống thuần túy công khai thông tin) và rơi ngay vào phạm vi Cấp độ 2.

2. Doanh nghiệp nào bắt buộc phải xác định cấp độ?

Nhiều chủ doanh nghiệp lầm tưởng rằng chỉ cơ quan nhà nước, ngân hàng, công ty tài chính mới phải làm hồ sơ an toàn thông tin. Tuy nhiên, theo Nghị định 331/2026/NĐ-CP:

Mọi tổ chức, doanh nghiệp là chủ quản hệ thống thông tin hoạt động tại Việt Nam đều bắt buộc phải xác định cấp độ và hoàn tất việc phê duyệt phương án bảo đảm an ninh mạng trước khi đưa hệ thống vào vận hành chính thức.

Cụ thể, các nhóm đối tượng sau đều thuộc diện quản lý:

• Công ty tư nhân, công ty Cổ phần, công ty TNHH: Sở hữu website giới thiệu có form liên hệ, website thương mại điện tử, ứng dụng di động (App) bán hàng hoặc nền tảng dịch vụ SaaS.
• Doanh nghiệp SME ứng dụng số hóa: Sử dụng các phần mềm nội bộ lưu trữ dữ liệu nhân viên, hợp đồng lao động, thông tin khách hàng, bảng lương hoặc chứng từ kế toán.
• Hệ thống đang hoạt động trước ngày 01/7/2026: Theo điều khoản chuyển tiếp tại Điều 39 Nghị định 331/2026/NĐ-CP, chủ quản hệ thống có thời hạn tối đa 06 tháng (tính từ thời điểm hiệu lực) để hoàn tất thủ tục thẩm định và phê duyệt cấp độ.

3. Tiêu chí và checklist nhận biết hệ thống thuộc cấp độ 2

3.1. Các trường hợp điển hình trong thực tế

Hệ thống của doanh nghiệp được phân loại là Cấp độ 2 khi thỏa mãn một trong các tiêu chí kỹ thuật và quy mô dữ liệu sau:

• Website thương mại điện tử / Bán hàng trực tuyến: Có giỏ hàng, cho phép đăng ký tài khoản thành viên, đặt hàng và lưu lại lịch sử mua sắm của dưới 100.000 khách hàng.
• Website doanh nghiệp có chức năng thu thập dữ liệu: Có biểu mẫu đặt hẹn, form nhận báo giá, đăng ký tư vấn lưu thông tin họ tên, email, số điện thoại người dùng.
• Ứng dụng di động (Mobile App): App chăm sóc khách hàng, tích điểm đổi quà, quản lý hội viên có số lượng người dùng thường xuyên dưới 100.000 người.
• Hệ thống ứng dụng nội bộ doanh nghiệp: Các phần mềm ERP, CRM quản lý khách hàng, HRM chấm công – tính lương, phần mềm kế toán hóa đơn hoặc hệ thống lưu trữ tài liệu nội bộ.
• Hạ tầng công nghệ thông tin phục vụ điều hành: Mạng máy tính văn phòng, hệ thống Email Server tên miền riêng, hạ tầng VPS/Cloud Server chứa website công ty.

3.2. Checklist 5 câu hỏi tự kiểm tra nhanh

Hãy rà soát hiện trạng hệ thống của bạn qua checklist dưới đây. Nếu câu trả lời là “CÓ” cho từ 2 câu trở lên, hệ thống của bạn chắc chắn cần lập hồ sơ Cấp độ 2:

• ✔ Hệ thống có lưu trữ thông tin nhận danh cá nhân (họ tên, điện thoại, căn cước, email) của khách hàng hoặc nhân viên không?
• ✔ Website có cổng thanh toán hoặc lưu lịch sử giao dịch mua sắm của khách hàng không?
• ✔ Doanh nghiệp có sử dụng máy chủ riêng (Dedicated Server) hoặc máy chủ ảo Cloud VPS để vận hành phần mềm quản trị không?
• ✔ Quy mô người dùng của hệ thống hiện tại có dưới 100.000 chủ thể dữ liệu (hoặc dưới 10.000 người nếu có dữ liệu tài chính/sức khỏe) không?
• ✔ Nếu hệ thống gặp sự cố tê liệt trong 24 giờ, có gây ngưng trệ doanh thu và hoạt động vận hành của công ty không?

4. Phân biệt cấp độ 2 với các cấp độ khác (1 đến 5)

Để hiểu rõ vị trí của Cấp độ 2 trong thang đo an toàn thông tin, hãy đối chiếu qua bảng so sánh tiêu chuẩn dưới đây:

Cấp độ	Đặc điểm hệ thống tiêu biểu	Quy mô dữ liệu / Người dùng	Thẩm quyền phê duyệt hồ sơ
Cấp độ 1	Website tĩnh chỉ giới thiệu công ty, tin tức thuần túy, không có form đăng ký hay thu thập thông tin người dùng.	Dữ liệu công khai, không giới hạn người xem	Chủ quản hệ thống tự phê duyệt nội bộ
Cấp độ 2 (Phổ biến)	Website TMĐT, App bán hàng, phần mềm CRM/ERP, email server, mạng nội bộ có dữ liệu người dùng.	Dưới 100.000 người dùng (hoặc dưới 10.000 người nếu là dữ liệu nhạy cảm)	Bộ phận chuyên trách của doanh nghiệp thẩm định & phê duyệt
Cấp độ 3	Nền tảng thanh toán, ví điện tử, dịch vụ công trực tuyến, nền tảng số quy mô lớn.	Từ 100.000 người dùng trở lên (hoặc từ 10.000 người nếu là dữ liệu nhạy cảm)	Cơ quan nhà nước chuyên trách (Bộ Công an / Bộ TT&TT) có ý kiến thẩm định
Cấp độ 4	Hệ thống thông tin điều hành cơ sở dữ liệu quốc gia, hệ thống điều hành viễn thông, năng lượng điện lực.	Quy mô liên ngành, toàn quốc	Bộ chuyên ngành chủ trì thẩm định, phê duyệt
Cấp độ 5	Hệ thống thông tin đặc biệt quan trọng phục vụ quốc phòng, an ninh, cơ mật quốc gia.	Tác động sống còn đến an ninh quốc gia	Thủ tướng Chính phủ phê duyệt

* Bạn có thể xem phân tích đầy đủ về cả 5 nấc an toàn tại bài viết: 5 cấp độ an toàn thông tin là gì? Phân loại chi tiết và những điều doanh nghiệp cần biết.

5. Không xác định cấp độ bị xử phạt như thế nào?

Nhiều doanh nghiệp chần chừ do chưa nắm rõ chế tài pháp lý. Căn cứ theo quy định xử phạt vi phạm hành chính trong lĩnh vực bưu chính, viễn thông, công nghệ thông tin và an toàn thông tin mạng:

• Mức phạt hành chính: Phạt tiền từ 20.000.000đ đến 30.000.000đ đối với tổ chức có hành vi “Không xác định cấp độ an toàn thông tin cho hệ thống thông tin” hoặc “Không thực hiện lập hồ sơ đề xuất cấp độ an toàn thông tin theo quy định”.
• Biện pháp khắc phục hậu quả: Bắt buộc phải tạm ngừng hoạt động hoặc bị cơ quan chức năng đình chỉ vận hành hệ thống nếu xảy ra sự cố rò rỉ dữ liệu mà chưa được thẩm định an toàn thông tin.
• Cơ quan kiểm tra: Các đoàn thanh tra liên ngành của Cục An toàn thông tin (Bộ TT&TT), Cục An ninh mạng và phòng chống tội phạm sử dụng công nghệ cao (A05 – Bộ Công an), PA05 Công an các tỉnh/thành phố và Sở TT&TT địa phương.

6. 3 nguyên tắc pháp lý bắt buộc khi làm hồ sơ

Khi tiến hành lập hồ sơ cấp độ 2, doanh nghiệp cần lưu ý 3 nguyên tắc bất di bất dịch:

1. Tuyệt đối không chia nhỏ hệ thống để hạ cấp độ: Nghị định 331/2026/NĐ-CP nghiêm cấm hành vi bóc tách một hệ thống hoàn chỉnh thành nhiều phần nhỏ để né tránh cấp độ cao hơn. Nếu hệ thống đồng thời thỏa mãn nhiều tiêu chí thì bắt buộc phải chọn cấp độ cao nhất.
2. Rà soát lại toàn bộ hồ sơ cũ (theo Nghị định 85/2016): Nếu doanh nghiệp trước đây từng làm hồ sơ theo Nghị định 85/2016/NĐ-CP, bạn phải tiến hành rà soát lại căn cứ theo tiêu chí mới. Trường hợp quy mô dữ liệu hoặc kiến trúc kỹ thuật có sự biến động, cần tái phê duyệt như quy trình ban đầu.
3. Thẩm quyền phê duyệt hồ sơ cấp độ 2: Với cấp độ 2, quyền phê duyệt thuộc về Đơn vị chuyên trách an ninh mạng của chính chủ quản hệ thống. Tuy nhiên, sau khi ký duyệt nội bộ, doanh nghiệp phải lưu giữ toàn bộ hồ sơ và báo cáo gửi cơ quan chuyên trách theo quy định quản lý.

7. Doanh nghiệp cần làm gì tiếp theo sau khi nhận biết cấp độ 2?

Sau khi đã xác định hệ thống của mình thuộc Cấp độ 2, doanh nghiệp cần chuẩn bị một bộ hồ sơ gồm 4 tài liệu cốt lõi:

1. Thuyết minh tổng quan hệ thống: Sơ đồ kiến trúc, hạ tầng máy chủ, các luồng dữ liệu và bên thứ ba liên quan.
2. Tài liệu thiết kế kỹ thuật: Sơ đồ phân vùng mạng, cấu hình cổng dịch vụ, phương án sao lưu dự phòng.
3. Thuyết minh đề xuất cấp độ: Căn cứ phân loại chứng minh hệ thống nằm trong ngưỡng Cấp độ 2.
4. Thuyết minh phương án an ninh mạng: Quy chế vận hành, chính sách phân quyền truy cập, phương án ứng phó sự cố và chứng nhận bảo mật đường truyền qua chứng chỉ SSL.

Để hoàn thiện bộ hồ sơ này đòi hỏi sự am hiểu sâu rộng về cả tiêu chuẩn kỹ thuật mạng lẫn văn bản pháp quy. Nếu doanh nghiệp của bạn không có sẵn đội ngũ kỹ sư bảo mật chuyên trách, hãy tham khảo giải pháp của BKNS:

8. Câu hỏi thường gặp (FAQ)

Dữ liệu như thế nào bị coi là “dữ liệu cá nhân nhạy cảm”?

Căn cứ Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân, dữ liệu nhạy cảm bao gồm: thông tin tài khoản ngân hàng, thông tin tín dụng, dữ liệu định vị vị trí, hồ sơ bệnh án/sức khỏe, quan điểm chính trị hoặc dữ liệu sinh trắc học. Nếu hệ thống của bạn lưu từ 10.000 dữ liệu nhạy cảm trở lên, hệ thống sẽ bị đẩy lên Cấp độ 3 thay vì Cấp độ 2.

Website chỉ giới thiệu công ty (Landing Page) có phải làm hồ sơ cấp độ 2 không?

Nếu website hoàn toàn là trang tĩnh, chỉ đăng tải bài viết/hình ảnh công khai và không hề có tính năng tạo tài khoản, giỏ hàng hay form lưu thông tin người dùng thì hệ thống chỉ thuộc Cấp độ 1. Trường hợp có form đăng ký tư vấn lưu vào database hoặc gửi về email nội bộ, hệ thống sẽ được xếp vào Cấp độ 2.

Thuê Cloud quốc tế (AWS, Google Cloud, Azure) thì doanh nghiệp hay nhà cung cấp Cloud phải làm hồ sơ?

Chính doanh nghiệp của bạn (với tư cách là chủ quản hệ thống, sở hữu mã nguồn và dữ liệu) phải lập và phê duyệt hồ sơ. Các nhà cung cấp Cloud chỉ cung cấp hạ tầng phần cứng bên dưới, trách nhiệm pháp lý quản lý và bảo vệ dữ liệu trên ứng dụng vẫn thuộc về doanh nghiệp.

Thời gian hoàn thiện một bộ hồ sơ cấp độ 2 thường mất bao lâu?

Thông thường, quá trình khảo sát, mô hình hóa kiến trúc mạng, đánh giá rủi ro và soạn thảo đầy đủ tài liệu thuyết minh cùng quy chế nội bộ kéo dài từ 7 đến 15 ngày làm việc, tùy thuộc vào độ phức tạp của hạ tầng máy chủ và phần mềm.

9. Lời kết

Xác định hệ thống thông tin cấp độ 2 và hoàn tất bộ hồ sơ phương án bảo vệ không chỉ là tuân thủ quy định pháp luật để tránh mức phạt 20 – 30 triệu đồng, mà còn là bước chuẩn hóa năng lực phòng vệ số, giúp doanh nghiệp tạo dựng niềm tin vững chắc với khách hàng và đối tác kinh doanh.

Thời hạn chuyển tiếp 06 tháng theo Nghị định 331/2026/NĐ-CP đang đến gần. Đừng để đến sát thời điểm thanh tra mới bắt đầu chuẩn bị.

📞 Hotline 24/7: 1900 63 68 09 | Tư vấn miễn cước: 1800 646 884 | ✉️ Email: info@bkns.vn