Luật An ninh mạng 2025: Những điểm mới doanh nghiệp cần lưu ý

Luật An ninh mạng 2025 chính thức có hiệu lực từ ngày 01/07/2026, đánh dấu nhiều thay đổi quan trọng trong quản lý an ninh mạng, dữ liệu người dùng và hoạt động cung cấp dịch vụ trên không gian mạng tại Việt Nam.

Đáng chú ý, Luật bổ sung các quy định liên quan đến định danh người dùng, lưu trữ dữ liệu, trí tuệ nhân tạo (AI), Deepfake và trách nhiệm của doanh nghiệp khi có yêu cầu từ cơ quan chuyên trách.

1. Thống nhất quản lý nhà nước về an ninh mạng

Một trong những thay đổi đáng chú ý của Luật An ninh mạng 2025 là việc hợp nhất và thống nhất các quy định trước đây về an toàn thông tin mạng và an ninh mạng.

Theo đó, Chính phủ thống nhất thực hiện quản lý nhà nước về an ninh mạng và Bộ Công an là cơ quan đầu mối giúp Chính phủ thực hiện nhiệm vụ này.

Việc thống nhất đầu mối quản lý nhằm hạn chế sự chồng chéo giữa các quy định trước đây, đồng thời tạo cơ sở pháp lý để xử lý các vấn đề mới phát sinh trên môi trường số.

2. Tăng trách nhiệm xác thực và định danh người dùng

Doanh nghiệp cung cấp dịch vụ trên mạng viễn thông, Internet và các dịch vụ trên không gian mạng phải tăng cường khả năng xác định thông tin người sử dụng.

Một số nghĩa vụ đáng chú ý gồm:

• Định danh địa chỉ IP của tổ chức, cá nhân sử dụng dịch vụ Internet;

• Xác thực thông tin khi người dùng đăng ký tài khoản số;

• Cung cấp thông tin người dùng cho lực lượng chuyên trách khi có yêu cầu;

• Lưu nhật ký hệ thống để phục vụ việc xác minh, điều tra và xử lý hành vi vi phạm.

Theo nội dung Luật, thời hạn cung cấp thông tin thông thường có thể tối đa 24 giờ kể từ khi nhận được yêu cầu. Trong trường hợp khẩn cấp liên quan đến an ninh quốc gia hoặc tính mạng con người, thời gian có thể rút xuống còn 03 giờ.

3. Bổ sung cơ chế gỡ bỏ ứng dụng và dịch vụ vi phạm

Không chỉ dừng lại ở việc yêu cầu gỡ bỏ nội dung vi phạm, Luật An ninh mạng 2025 còn bổ sung khả năng yêu cầu:

• Gỡ bỏ dịch vụ;

• Gỡ bỏ ứng dụng;

• Ngừng cung cấp dịch vụ trong trường hợp có hành vi vi phạm.

Đối với yêu cầu ngăn chặn hoặc xóa bỏ thông tin vi phạm, doanh nghiệp phải thực hiện trong thời hạn theo quy định. Trong trường hợp khẩn cấp đe dọa đến an ninh quốc gia, thời hạn xử lý có thể rút xuống 06 giờ.

4. Quy định về AI và Deepfake

Sự phát triển nhanh chóng của trí tuệ nhân tạo khiến các hành vi giả mạo hình ảnh, video và giọng nói ngày càng khó kiểm soát.

Luật An ninh mạng 2025 bổ sung quy định cấm sử dụng AI hoặc công nghệ mới để giả mạo video, hình ảnh hoặc giọng nói của người khác trái quy định pháp luật.

Ngoài Deepfake, một số hành vi khác cũng được đề cập như:

• Mạo danh hoặc giả mạo thông tin, hình ảnh;

• Làm nhái sản phẩm, nhãn hiệu hoặc thương hiệu bằng công nghệ;

• Sử dụng công nghệ gây ảnh hưởng đến uy tín của tổ chức, doanh nghiệp.

Quy định này tạo thêm cơ sở pháp lý để xử lý các hình thức lừa đảo và giả mạo bằng công nghệ trên môi trường mạng.

5. Yêu cầu về lưu trữ và bảo vệ dữ liệu

Luật tiếp tục đặt ra yêu cầu đối với doanh nghiệp có hoạt động thu thập, khai thác hoặc phân tích dữ liệu của người dùng tại Việt Nam.

Dữ liệu thuộc phạm vi điều chỉnh có thể bao gồm:

• Thông tin tài khoản;

• Thời gian sử dụng dịch vụ;

• Thông tin thanh toán;

• Địa chỉ IP;

• Dữ liệu do người dùng tạo ra;

• Dữ liệu liên quan đến mối quan hệ của người dùng.

Doanh nghiệp thuộc trường hợp áp dụng phải thực hiện việc lưu trữ dữ liệu tại Việt Nam trong thời gian theo quy định của Chính phủ.

Đối với doanh nghiệp nước ngoài thuộc diện điều chỉnh, Luật cũng đặt ra yêu cầu về việc thành lập chi nhánh hoặc văn phòng đại diện tại Việt Nam.

6. Tăng cường bảo vệ trẻ em trên không gian mạng

Luật An ninh mạng 2025 mở rộng cơ chế bảo vệ đối với các nhóm dễ bị tổn thương, bao gồm trẻ em, người cao tuổi và người gặp khó khăn trong nhận thức.

Doanh nghiệp cung cấp dịch vụ phải có biện pháp kiểm soát, ngăn chặn và xóa bỏ thông tin có khả năng gây nguy hại cho trẻ em.

Cha mẹ hoặc người giám hộ cũng có trách nhiệm quản lý và giám sát việc sử dụng tài khoản, dịch vụ trực tuyến của trẻ.

7. Doanh nghiệp cần chuẩn bị gì?

Trước những yêu cầu mới, doanh nghiệp nên chủ động rà soát hệ thống và quy trình vận hành, đặc biệt là các hoạt động liên quan đến dữ liệu cá nhân và người dùng.

Một số công việc nên ưu tiên gồm:

• Rà soát và phân loại hệ thống thông tin;

• Kiểm tra khả năng định danh và lưu trữ địa chỉ IP;

• Đánh giá quy trình lưu trữ dữ liệu tại Việt Nam;

• Xây dựng quy trình phản ứng nhanh để đáp ứng các yêu cầu trong thời hạn 3 giờ, 6 giờ hoặc 24 giờ;

• Cập nhật chính sách bảo mật và quy chế sử dụng hệ thống;

• Đào tạo nhân viên về bảo mật dữ liệu, lừa đảo trực tuyến và các rủi ro từ AI.

Đối với cơ quan, tổ chức và doanh nghiệp nhà nước, cần lưu ý yêu cầu bố trí tối thiểu 15% tổng kinh phí của chương trình, dự án chuyển đổi số và ứng dụng công nghệ thông tin hằng năm cho hoạt động bảo vệ an ninh mạng.

Kết luận

Luật An ninh mạng 2025 đặt ra nhiều yêu cầu mới đối với doanh nghiệp hoạt động trên môi trường số, đặc biệt liên quan đến quản lý dữ liệu, định danh người dùng, AI và trách nhiệm xử lý thông tin vi phạm.

Doanh nghiệp cần chủ động rà soát hạ tầng kỹ thuật, quy trình quản lý dữ liệu và chính sách nội bộ để chuẩn bị cho việc tuân thủ các quy định của Luật kể từ ngày 01/07/2026.