Dự thảo Nghị định hướng dẫn Luật An ninh mạng: Doanh nghiệp kinh doanh xuyên biên giới cần chuẩn bị gì?

Dự thảo Nghị định quy định chi tiết một số điều và biện pháp thi hành Luật An ninh mạng 2025 (“Dự thảo Nghị định”)[1] đang thu hút sự quan tâm lớn của cộng đồng doanh nghiệp, đặc biệt là các doanh nghiệp cung cấp dịch vụ xuyên biên giới tại Việt Nam. Theo nội dung Dự thảo, cơ quan soạn thảo đang hướng tới việc thiết lập một cơ chế quản lý an ninh mạng chặt chẽ và đồng bộ hơn, bao gồm các vấn đề như: biện pháp bảo vệ an ninh mạng, bảo đảm an ninh thông tin mạng, quản lý định danh địa chỉ IP và cơ chế lưu trữ dữ liệu tại Việt Nam.

Đối với nhiều doanh nghiệp xuyên biên giới, đây có thể là sự thay đổi đáng kể đối với mô hình vận hành toàn cầu, cấu trúc quản trị dữ liệu, quy trình kiểm soát người dùng và cả chiến lược đầu tư hạ tầng công nghệ tại Việt Nam.

Đáng chú ý, Dự thảo không chỉ tác động đến các doanh nghiệp công nghệ lớn hay nền tảng mạng xã hội quốc tế, mà còn ảnh hưởng trực tiếp đến nhiều doanh nghiệp nước ngoài đang cung cấp dịch vụ cho người dùng tại Việt Nam thông qua Internet. Trong bối cảnh Luật An ninh mạng 2025 sẽ chính thức có hiệu lực từ ngày 01/7/2026, việc nhận diện sớm các nghĩa vụ tuân thủ và xây dựng lộ trình thích ứng phù hợp có ý nghĩa đặc biệt quan trọng đối với doanh nghiệp.

Từ “quản lý hậu kiểm” sang “kiểm soát chủ động” trên không gian mạng

Nếu trước đây các quy định về an ninh mạng của Việt Nam chủ yếu tập trung vào xử lý vi phạm hoặc yêu cầu phối hợp khi có sự cố xảy ra, thì Dự thảo Nghị định lần này cho thấy xu hướng chuyển dịch sang cơ chế “kiểm soát chủ động” đối với hoạt động cung cấp dịch vụ trên không gian mạng.

Điều này thể hiện rõ ở việc Dự thảo đặt ra đồng thời nhiều nghĩa vụ mới đối với doanh nghiệp, bao gồm: lưu trữ dữ liệu tại Việt Nam, xác thực danh tính người dùng, lưu nhật ký hệ thống, phối hợp định danh địa chỉ IP, cung cấp thông tin cho cơ quan có thẩm quyền trong thời gian rất ngắn và triển khai cơ chế xử lý nội dung vi phạm theo yêu cầu của cơ quan quản lý[2].

Trên thực tế, các yêu cầu này không đơn thuần là các thủ tục hành chính bổ sung. Đối với nhiều doanh nghiệp xuyên biên giới, đây có thể là sự thay đổi đáng kể đối với mô hình vận hành toàn cầu, cấu trúc quản trị dữ liệu, quy trình kiểm soát người dùng và cả chiến lược đầu tư hạ tầng công nghệ tại Việt Nam.

Nghĩa vụ lưu trữ dữ liệu tại Việt Nam: áp lực lớn nhất đối với doanh nghiệp xuyên biên giới

Một trong những nội dung đáng chú ý nhất của Dự thảo Nghị định là quy định về lưu trữ dữ liệu và đặt hiện diện thương mại tại Việt Nam đối với doanh nghiệp nước ngoài. Theo Điều 24 Dự thảo, doanh nghiệp nước ngoài hoạt động trong nhiều lĩnh vực như: dịch vụ viễn thông, thương mại điện tử, mạng xã hội, thanh toán trực tuyến, trò chơi điện tử trên mạng, ứng dụng trực tuyến, lưu trữ và chia sẻ dữ liệu trên không gian mạng… có thể phải thực hiện nghĩa vụ lưu trữ một số loại dữ liệu tại Việt Nam.

Các nhóm dữ liệu phải lưu trữ bao gồm:

• Dữ liệu cá nhân của người sử dụng tại Việt Nam;
• Dữ liệu do người sử dụng tại Việt Nam tạo ra; và
• Dữ liệu về mối quan hệ của người sử dụng dịch vụ tại Việt Nam.

Về bản chất, quy định này có thể được xem là một dạng data localization (bản địa hóa dữ liệu)[3] – xu hướng pháp lý đang xuất hiện tại nhiều quốc gia nhằm tăng cường khả năng kiểm soát dữ liệu trong nước. Tuy nhiên, đối với doanh nghiệp xuyên biên giới, việc triển khai thực tế có thể phát sinh nhiều khó khăn đáng kể.

Thứ nhất, doanh nghiệp có thể phải điều chỉnh kiến trúc hệ thống dữ liệu toàn cầu để tách riêng dữ liệu người dùng Việt Nam khỏi các cụm dữ liệu khu vực hoặc hệ thống lưu trữ tập trung hiện tại.

Thứ hai, việc đầu tư hoặc thuê hạ tầng lưu trữ tại Việt Nam sẽ làm gia tăng đáng kể chi phí vận hành, đặc biệt đối với các doanh nghiệp chưa có hiện diện thương mại tại Việt Nam.

Thứ ba, doanh nghiệp có thể phải rà soát lại cơ chế chia sẻ dữ liệu xuyên biên giới nhằm bảo đảm đồng thời tuân thủ pháp luật Việt Nam và pháp luật bảo vệ dữ liệu của các quốc gia khác như GDPR của châu Âu hoặc các quy định về chuyển dữ liệu quốc tế tại quốc gia nơi doanh nghiệp đặt trụ sở.

Đáng chú ý, Dự thảo cũng quy định doanh nghiệp nước ngoài có thể phải đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam nếu dịch vụ của họ bị sử dụng để thực hiện hành vi vi phạm pháp luật về an ninh mạng và doanh nghiệp không thực hiện biện pháp khắc phục theo yêu cầu của cơ quan có thẩm quyền sau nhiều lần yêu cầu phối hợp.

Quy định này cho thấy cơ quan quản lý đang muốn tăng cường khả năng thực thi pháp luật đối với các nền tảng xuyên biên giới vốn trước đây thường khó tiếp cận hoặc khó cưỡng chế thực hiện nghĩa vụ pháp lý tại Việt Nam.

Nghĩa vụ xác thực người dùng: thay đổi lớn đối với mô hình vận hành nền tảng số

Một điểm đáng chú ý khác là yêu cầu xác thực thông tin người dùng theo pháp luật Việt Nam. Theo Dự thảo, doanh nghiệp cung cấp dịch vụ xuyên biên giới có trách nhiệm xác thực tài khoản người dùng bằng số điện thoại di động tại Việt Nam hoặc số định danh cá nhân theo quy định pháp luật. Đây là thay đổi có tính nền tảng đối với nhiều doanh nghiệp công nghệ.

Trước đây, nhiều nền tảng quốc tế chỉ yêu cầu người dùng cung cấp email hoặc số điện thoại để nhận mã OTP phục vụ đăng ký tài khoản. Tuy nhiên, theo hướng tiếp cận mới của Dự thảo, doanh nghiệp có thể phải triển khai cơ chế kiểm soát danh tính chặt chẽ hơn và chịu trách nhiệm lớn hơn đối với tính xác thực của thông tin người dùng.

Điều này đồng nghĩa doanh nghiệp không còn đơn thuần đóng vai trò “nền tảng trung gian”, mà có xu hướng trở thành một chủ thể tham gia trực tiếp vào hoạt động xác thực danh tính người sử dụng theo tiêu chuẩn quản lý của Việt Nam.

Về mặt kỹ thuật và vận hành, đây là yêu cầu không đơn giản. Doanh nghiệp có thể phải: (1) Thiết kế riêng quy trình đăng ký tài khoản cho thị trường Việt Nam; (2) Tích hợp hệ thống xác thực danh tính phù hợp với quy định nội địa; (3) Thiết lập cơ chế lưu trữ và quản lý dữ liệu định danh; (4) Bổ sung đội ngũ kỹ thuật và tuân thủ để xử lý yêu cầu của cơ quan quản lý trong thời gian ngắn.

Đối với các doanh nghiệp có hàng triệu người dùng, việc thay đổi hệ thống xác thực có thể tác động trực tiếp đến trải nghiệm người dùng, tỷ lệ đăng ký tài khoản mới và cả chi phí vận hành nền tảng.

Cơ chế phản hồi yêu cầu cơ quan quản lý: áp lực lớn về thời gian và vận hành

Dự thảo cũng đặt ra cơ chế phối hợp rất chặt chẽ giữa doanh nghiệp và cơ quan có thẩm quyền trong việc xử lý thông tin vi phạm trên không gian mạng.

Theo đó, doanh nghiệp có trách nhiệm: (i) Cung cấp thông tin phục vụ điều tra trong thời hạn tối đa 24 giờ; (ii) Trường hợp khẩn cấp liên quan đến an ninh quốc gia hoặc tính mạng con người, thời hạn có thể chỉ còn 03 giờ; (iii) Thực hiện gỡ bỏ nội dung hoặc hạn chế truy cập đối với nội dung vi phạm trong thời hạn tối đa 24 giờ; (iv) Trường hợp khẩn cấp liên quan an ninh quốc gia, thời hạn có thể rút xuống còn 06 giờ.

Trên thực tế, đây là áp lực vận hành rất lớn đối với doanh nghiệp xuyên biên giới, đặc biệt khi nhiều doanh nghiệp đang vận hành hệ thống hỗ trợ theo mô hình khu vực hoặc toàn cầu.

Để đáp ứng các mốc thời gian ngắn như trên, doanh nghiệp có thể phải:

• Thành lập đội ngũ xử lý yêu cầu pháp lý hoạt động 24/7;
• Bố trí nhân sự am hiểu pháp luật Việt Nam;
• Thiết lập cơ chế phản ứng nhanh với yêu cầu từ cơ quan nhà nước;
• Xây dựng quy trình nội bộ riêng cho thị trường Việt Nam.

Điều này làm gia tăng đáng kể chi phí tuân thủ và có thể tạo ra xung đột giữa yêu cầu pháp luật của Việt Nam với chính sách nội bộ hoặc nghĩa vụ pháp lý tại quốc gia khác.

Trong bối cảnh Dự thảo Nghị định cho thấy xu hướng siết chặt quản lý không gian mạng và gia tăng trách nhiệm của doanh nghiệp cung cấp dịch vụ xuyên biên giới, việc chuẩn bị sớm là đặc biệt cần thiết.

Quản lý định danh địa chỉ IP: thách thức kỹ thuật mới

Ngoài dữ liệu người dùng, Dự thảo cũng đặt ra yêu cầu mới về quản lý định danh địa chỉ IP. Theo Điều 27 và Điều 28 Dự thảo, doanh nghiệp cung cấp dịch vụ viễn thông và Internet phải lưu trữ nhật ký hệ thống cấp phát IP trong ít nhất 12 tháng và phải có cơ chế kết nối để cung cấp thông tin định danh IP cho cơ quan có thẩm quyền khi có yêu cầu hợp pháp bằng văn bản.

Đây là yêu cầu có tính kỹ thuật cao và có thể tạo ra áp lực đáng kể đối với doanh nghiệp. Việc lưu trữ đầy đủ nhật ký hệ thống trong thời gian dài đòi hỏi doanh nghiệp phải đầu tư lớn vào hạ tầng lưu trữ, đồng thời triển khai các giải pháp bảo mật nhằm bảo đảm dữ liệu không bị sửa đổi hoặc truy cập trái phép.

Bên cạnh đó, yêu cầu duy trì cơ chế kết nối kỹ thuật thường xuyên với cơ quan quản lý cũng làm gia tăng độ phức tạp trong vận hành hệ thống, đặc biệt với các doanh nghiệp có mô hình hạ tầng phân tán toàn cầu.

Doanh nghiệp nên chuẩn bị gì?

Trong bối cảnh Dự thảo Nghị định cho thấy xu hướng siết chặt quản lý không gian mạng và gia tăng trách nhiệm của doanh nghiệp cung cấp dịch vụ xuyên biên giới, việc chuẩn bị sớm là đặc biệt cần thiết.

Theo đó, doanh nghiệp nên cân nhắc thực hiện một số công việc sau:

Thứ nhất, rà soát lại mô hình dữ liệu và hạ tầng lưu trữ

Doanh nghiệp cần đánh giá liệu hệ thống hiện tại có đáp ứng được yêu cầu lưu trữ dữ liệu tại Việt Nam hay không; đồng thời xác định các nhóm dữ liệu nào có khả năng thuộc phạm vi phải lưu trữ theo Dự thảo.

Thứ hai, đánh giá lại cơ chế xác thực người dùng

Các doanh nghiệp cung cấp nền tảng trực tuyến nên rà soát quy trình đăng ký tài khoản, cơ chế định danh và chính sách quản lý người dùng để chuẩn bị cho khả năng phải xác thực theo tiêu chuẩn nội địa.

Thứ ba, xây dựng cơ chế phản ứng nhanh đối với yêu cầu của cơ quan quản lý

Doanh nghiệp nên thiết lập đầu mối pháp lý và kỹ thuật tại Việt Nam hoặc khu vực để xử lý yêu cầu cung cấp thông tin, gỡ bỏ nội dung hoặc phối hợp điều tra trong thời hạn ngắn theo quy định.

Thứ tư, đánh giá xung đột pháp luật xuyên biên giới

Đối với các tập đoàn đa quốc gia, cần rà soát nguy cơ xung đột giữa Dự thảo Nghị định với các quy định bảo vệ dữ liệu hoặc quyền riêng tư tại các quốc gia khác để xây dựng phương án tuân thủ phù hợp.

Cuối cùng, doanh nghiệp nên theo dõi sát quá trình hoàn thiện Dự thảo

Hiện nay, Dự thảo vẫn đang trong quá trình hoàn thiện và có thể tiếp tục được chỉnh sửa trước khi ban hành chính thức dự kiến có hiệu lực từ ngày 01/07/2026. Vì vậy, doanh nghiệp cần theo dõi sát các thay đổi để chủ động cập nhật kế hoạch tuân thủ phù hợp.

Dự thảo Nghị định hướng dẫn Luật An ninh mạng 2025 cho thấy xu hướng tăng cường quản lý không gian mạng của Việt Nam theo hướng chủ động, toàn diện và có tính thực thi cao hơn. Đối với doanh nghiệp xuyên biên giới, các quy định mới không chỉ tạo ra nghĩa vụ tuân thủ bổ sung mà còn có thể tác động trực tiếp đến kiến trúc công nghệ, mô hình vận hành, chiến lược quản trị dữ liệu và chi phí đầu tư dài hạn. Trong bối cảnh đó, việc chủ động nhận diện sớm rủi ro pháp lý, đánh giá tác động vận hành và xây dựng lộ trình tuân thủ phù hợp sẽ là yếu tố quan trọng giúp doanh nghiệp duy trì hoạt động ổn định và hạn chế rủi ro pháp lý tại thị trường Việt Nam trong thời gian tới.

Nguyễn Ngọc Kỳ Duyên – Bùi Hoàng Nhật Minh
Công ty Luật TNHH HM&P