Quyết định 1964/QĐ-TTg năm 2026 về Chỉ số bảo đảm an ninh mạng do Thủ tướng Chính phủ ban hành

QUYẾT ĐỊNH

VỀ VIỆC BAN HÀNH CHỈ SỐ BẢO ĐẢM AN NINH MẠNG

THỦ TƯỚNG CHÍNH PHỦ

Căn cứ Luật Tổ chức Chính phủ ngày 18 tháng 02 năm 2025;

Căn cứ Luật An ninh mạng ngày 10 tháng 12 năm 2025;

Căn cứ Luật Bảo vệ bí mật nhà nước ngày 10 tháng 12 năm 2025;

Căn cứ Chỉ thị số 57-CT/TW, ngày 31 tháng 12 năm 2025 của Ban Bí thư về tăng cường bảo đảm an ninh mạng, bảo mật thông tin, an ninh dữ liệu trong hệ thống chính trị;

Theo đề nghị của Bộ trưởng Bộ Công an.

QUYẾT ĐỊNH:

Điều 1. Phê duyệt ban hành và triển khai Chỉ số bảo đảm an ninh mạng (sau đây viết gọn là Chỉ số) giai đoạn 2027 - 2028, định hướng đến năm 2030 như sau:

1. Giai đoạn 2027 - 2028: Triển khai thử nghiệm, đánh giá, cập nhật, điều chỉnh Chỉ số gồm 03 nhóm tiêu chí với 29 tiêu chí thành phần. Nội dung chi tiết, nguyên tắc, cấu trúc chỉ số, quy trình tính toán, thang đánh giá của Chỉ số được thực hiện dựa trên 07 Phụ lục kèm theo Quyết định này. Trong quá trình triển khai thử nghiệm, các nội dung quy định tại Phụ lục được cập nhật, hiệu chỉnh nhằm bảo đảm tính khả thi và phù hợp với thực tiễn trước khi áp dụng chính thức. Việc sơ kết giai đoạn triển khai thử nghiệm được thực hiện trong Quý II năm 2028. Kết quả đánh giá trong giai đoạn triển khai thử nghiệm này được cơ quan thường trực sử dụng làm cơ sở thực tiễn dễ rà soát, hoàn thiện Chỉ số, không tổng hợp làm căn cứ xét thi đua, khen thưởng hoặc đánh giá mức độ hoàn thành nhiệm vụ của các bộ, cơ quan ngang bộ, Ủy ban nhân dân cấp tỉnh (sau đây gọi là các bộ, cơ quan, địa phương).

2. Trên cơ sở kết quả sơ kết giai đoạn triển khai thử nghiệm quy định tại khoản 1 Điều này, cơ quan thường trực báo cáo, đề xuất Thủ tướng Chính phủ xem xét, quyết định việc áp dụng chính thức Chỉ số cho giai đoạn 2029 - 2030 và định hướng các năm tiếp theo, bảo đảm phù hợp với xu hướng công nghệ mới và yêu cầu quản trị an ninh mạng quốc gia.

Điều 2. Phạm vi triển khai thí điểm

1. Trong giai đoạn 2027 - 2028 quy định tại Điều 1 Quyết định này, các bộ, cơ quan, địa phương tổ chức đánh giá thí điểm Chỉ số trên cơ sở áp dụng cấu trúc, nguyên tắc và phương pháp của Chỉ số nêu tại các Phụ lục kèm theo Quyết định này. Cơ quan, tổ chức khác có nhu cầu có thể nghiên cứu, tham khảo để tự tổ chức đánh giá. Hồ sơ đề xuất cấp độ hệ thống thông tin đã được phê duyệt trước ngày Quyết định này có hiệu lực thi hành tiếp tục được sử dụng làm căn cứ đánh giá Chỉ số cho đến khi được rà soát, điều chỉnh hoặc phê duyệt lại theo quy định.

2. Việc đánh giá Chỉ số trong giai đoạn thí điểm được thực hiện theo hướng dẫn của cơ quan thường trực quy định tại Điều 4 Quyết định này, trên cơ sở số liệu, kết quả triển khai thực tế và hồ sơ, tài liệu minh chứng của kỳ đánh giá tương ứng.

Điều 3. Xử lý kết quả đánh giá

1. Kết quả đánh giá Chỉ số được bảo mật, quản lý, sử dụng theo quy định; bảo đảm tuân thủ quy định pháp luật về bảo vệ bí mật nhà nước đối với các nội dung có chứa bí mật nhà nước. Trường hợp công bố theo quy định tại khoản 3 Điều này, nội dung công bố gồm điểm số và mức xếp loại của cơ quan, tổ chức.

2. Đối với kết quả đánh giá thử nghiệm (giai đoạn 2027 - 2028): Kết quả giai đoạn này là cơ sở thực tiễn dễ rà soát, hoàn thiện cấu trúc, tiêu chí và phương pháp tính toán của Chỉ số.

3. Đối với kết quả đánh giá chính thức (từ năm 2029 trở đi): Kết quả đánh giá được tổng hợp, báo cáo Thủ tướng Chính phủ và tổ chức công bố, xếp hạng định kỳ theo quy định trước tháng 5 hằng năm; làm căn cứ quan trọng trong công tác quản lý nhà nước, phục vụ hoạch định chính sách vĩ mô, chiến lược về an ninh mạng quốc gia. Kết quả đánh giá chính thức có thể được sử dụng làm một trong các thông tin tham khảo phục vụ công tác đánh giá cán bộ, công chức theo quy định của pháp luật về cán bộ, công chức và quy định khác có liên quan.

Điều 4. Tổ chức thực hiện

1. Bộ Công an là cơ quan thường trực theo dõi, đánh giá, tổng hợp kết quả đánh giá Chỉ số hằng năm; chủ trì, phối hợp Bộ Khoa học và Công nghệ, Bộ Quốc phòng và các bộ, cơ quan, địa phương đề xuất điều chỉnh Chỉ số; sơ kết, tổng kết việc triển khai thử nghiệm; xem xét, điều chỉnh đối với các nhóm tiêu chí, tiêu chí thành phần để phù hợp với tình hình thực tiễn; hướng dẫn việc áp dụng Chỉ số, phương pháp đánh giá, phạm vi và thời điểm thu thập dữ liệu đánh giá, việc áp dụng các tiêu chuẩn, quy chuẩn kỹ thuật và các vấn đề phát sinh trong quá trình triển khai thực hiện Chỉ số; nghiên cứu, xây dựng công cụ hỗ trợ đánh giá tự động, xây dựng hệ thống thông tin phục vụ việc chấm điểm, tổng hợp, báo cáo, thống kê kết quả đánh giá hằng năm.

2. Các bộ, cơ quan, địa phương tổ chức đánh giá đối với các hệ thống thông tin thuộc phạm vi quản lý, bao gồm hệ thống thông tin của các đơn vị trực thuộc; xây dựng cơ chế, chính sách phù hợp để theo dõi, thống kê, tổng hợp số liệu các chỉ tiêu, đảm bảo cập nhật thường xuyên, liên tục, đầy đủ, chính xác và báo cáo về cơ quan thường trực để tổng hợp, đánh giá theo thời hạn do cơ quan thường trực hướng dẫn; tăng cường ứng dụng khoa học, công nghệ để hình thành hệ thống dữ liệu đầy đủ, hỗ trợ cho việc triển khai đánh giá Chỉ số.

3. Công an tỉnh, thành phố là đầu mối tham mưu cho Ủy ban nhân dân tỉnh, thành phố tổ chức triển khai thực hiện Quyết định này; phối hợp với các cơ quan, tổ chức có liên quan trong việc theo dõi, tổng hợp, báo cáo kết quả đánh giá theo quy định.

Điều 5. Quyết định này có hiệu lực thi hành kể từ ngày ký ban hành.

Điều 6. Các Bộ trưởng, Thủ trưởng cơ quan ngang bộ, Chủ tịch Ủy ban nhân dân các tỉnh, thành phố và các tổ chức, cá nhân có liên quan chịu trách nhiệm thi hành Quyết định này

QUYẾT ĐỊNH

VỀ VIỆC BAN HÀNH CHỈ SỐ BẢO ĐẢM AN NINH MẠNG

THỦ TƯỚNG CHÍNH PHỦ

Căn cứ Luật Tổ chức Chính phủ ngày 18 tháng 02 năm 2025;

Căn cứ Luật An ninh mạng ngày 10 tháng 12 năm 2025;

Căn cứ Luật Bảo vệ bí mật nhà nước ngày 10 tháng 12 năm 2025;

Căn cứ Chỉ thị số 57-CT/TW, ngày 31 tháng 12 năm 2025 của Ban Bí thư về tăng cường bảo đảm an ninh mạng, bảo mật thông tin, an ninh dữ liệu trong hệ thống chính trị;

Theo đề nghị của Bộ trưởng Bộ Công an.

QUYẾT ĐỊNH:

Điều 1. Phê duyệt ban hành và triển khai Chỉ số bảo đảm an ninh mạng (sau đây viết gọn là Chỉ số) giai đoạn 2027 - 2028, định hướng đến năm 2030 như sau:

1. Giai đoạn 2027 - 2028: Triển khai thử nghiệm, đánh giá, cập nhật, điều chỉnh Chỉ số gồm 03 nhóm tiêu chí với 29 tiêu chí thành phần. Nội dung chi tiết, nguyên tắc, cấu trúc chỉ số, quy trình tính toán, thang đánh giá của Chỉ số được thực hiện dựa trên 07 Phụ lục kèm theo Quyết định này. Trong quá trình triển khai thử nghiệm, các nội dung quy định tại Phụ lục được cập nhật, hiệu chỉnh nhằm bảo đảm tính khả thi và phù hợp với thực tiễn trước khi áp dụng chính thức. Việc sơ kết giai đoạn triển khai thử nghiệm được thực hiện trong Quý II năm 2028. Kết quả đánh giá trong giai đoạn triển khai thử nghiệm này được cơ quan thường trực sử dụng làm cơ sở thực tiễn dễ rà soát, hoàn thiện Chỉ số, không tổng hợp làm căn cứ xét thi đua, khen thưởng hoặc đánh giá mức độ hoàn thành nhiệm vụ của các bộ, cơ quan ngang bộ, Ủy ban nhân dân cấp tỉnh (sau đây gọi là các bộ, cơ quan, địa phương).

2. Trên cơ sở kết quả sơ kết giai đoạn triển khai thử nghiệm quy định tại khoản 1 Điều này, cơ quan thường trực báo cáo, đề xuất Thủ tướng Chính phủ xem xét, quyết định việc áp dụng chính thức Chỉ số cho giai đoạn 2029 - 2030 và định hướng các năm tiếp theo, bảo đảm phù hợp với xu hướng công nghệ mới và yêu cầu quản trị an ninh mạng quốc gia.

Điều 2. Phạm vi triển khai thí điểm

1. Trong giai đoạn 2027 - 2028 quy định tại Điều 1 Quyết định này, các bộ, cơ quan, địa phương tổ chức đánh giá thí điểm Chỉ số trên cơ sở áp dụng cấu trúc, nguyên tắc và phương pháp của Chỉ số nêu tại các Phụ lục kèm theo Quyết định này. Cơ quan, tổ chức khác có nhu cầu có thể nghiên cứu, tham khảo để tự tổ chức đánh giá. Hồ sơ đề xuất cấp độ hệ thống thông tin đã được phê duyệt trước ngày Quyết định này có hiệu lực thi hành tiếp tục được sử dụng làm căn cứ đánh giá Chỉ số cho đến khi được rà soát, điều chỉnh hoặc phê duyệt lại theo quy định.

2. Việc đánh giá Chỉ số trong giai đoạn thí điểm được thực hiện theo hướng dẫn của cơ quan thường trực quy định tại Điều 4 Quyết định này, trên cơ sở số liệu, kết quả triển khai thực tế và hồ sơ, tài liệu minh chứng của kỳ đánh giá tương ứng.

Điều 3. Xử lý kết quả đánh giá

1. Kết quả đánh giá Chỉ số được bảo mật, quản lý, sử dụng theo quy định; bảo đảm tuân thủ quy định pháp luật về bảo vệ bí mật nhà nước đối với các nội dung có chứa bí mật nhà nước. Trường hợp công bố theo quy định tại khoản 3 Điều này, nội dung công bố gồm điểm số và mức xếp loại của cơ quan, tổ chức.

2. Đối với kết quả đánh giá thử nghiệm (giai đoạn 2027 - 2028): Kết quả giai đoạn này là cơ sở thực tiễn dễ rà soát, hoàn thiện cấu trúc, tiêu chí và phương pháp tính toán của Chỉ số.

3. Đối với kết quả đánh giá chính thức (từ năm 2029 trở đi): Kết quả đánh giá được tổng hợp, báo cáo Thủ tướng Chính phủ và tổ chức công bố, xếp hạng định kỳ theo quy định trước tháng 5 hằng năm; làm căn cứ quan trọng trong công tác quản lý nhà nước, phục vụ hoạch định chính sách vĩ mô, chiến lược về an ninh mạng quốc gia. Kết quả đánh giá chính thức có thể được sử dụng làm một trong các thông tin tham khảo phục vụ công tác đánh giá cán bộ, công chức theo quy định của pháp luật về cán bộ, công chức và quy định khác có liên quan.

Điều 4. Tổ chức thực hiện

1. Bộ Công an là cơ quan thường trực theo dõi, đánh giá, tổng hợp kết quả đánh giá Chỉ số hằng năm; chủ trì, phối hợp Bộ Khoa học và Công nghệ, Bộ Quốc phòng và các bộ, cơ quan, địa phương đề xuất điều chỉnh Chỉ số; sơ kết, tổng kết việc triển khai thử nghiệm; xem xét, điều chỉnh đối với các nhóm tiêu chí, tiêu chí thành phần để phù hợp với tình hình thực tiễn; hướng dẫn việc áp dụng Chỉ số, phương pháp đánh giá, phạm vi và thời điểm thu thập dữ liệu đánh giá, việc áp dụng các tiêu chuẩn, quy chuẩn kỹ thuật và các vấn đề phát sinh trong quá trình triển khai thực hiện Chỉ số; nghiên cứu, xây dựng công cụ hỗ trợ đánh giá tự động, xây dựng hệ thống thông tin phục vụ việc chấm điểm, tổng hợp, báo cáo, thống kê kết quả đánh giá hằng năm.

2. Các bộ, cơ quan, địa phương tổ chức đánh giá đối với các hệ thống thông tin thuộc phạm vi quản lý, bao gồm hệ thống thông tin của các đơn vị trực thuộc; xây dựng cơ chế, chính sách phù hợp để theo dõi, thống kê, tổng hợp số liệu các chỉ tiêu, đảm bảo cập nhật thường xuyên, liên tục, đầy đủ, chính xác và báo cáo về cơ quan thường trực để tổng hợp, đánh giá theo thời hạn do cơ quan thường trực hướng dẫn; tăng cường ứng dụng khoa học, công nghệ để hình thành hệ thống dữ liệu đầy đủ, hỗ trợ cho việc triển khai đánh giá Chỉ số.

3. Công an tỉnh, thành phố là đầu mối tham mưu cho Ủy ban nhân dân tỉnh, thành phố tổ chức triển khai thực hiện Quyết định này; phối hợp với các cơ quan, tổ chức có liên quan trong việc theo dõi, tổng hợp, báo cáo kết quả đánh giá theo quy định.

Điều 5. Quyết định này có hiệu lực thi hành kể từ ngày ký ban hành.

Điều 6. Các Bộ trưởng, Thủ trưởng cơ quan ngang bộ, Chủ tịch Ủy ban nhân dân các tỉnh, thành phố và các tổ chức, cá nhân có liên quan chịu trách nhiệm thi hành Quyết định này

PHỤ LỤC I

NHỮNG VẤN ĐỀ CHUNG VÀ CẤU TRÚC TỔNG THỂ CHỈ SỐ
(Kèm theo Quyết định số 1964/QĐ-TTG ngày 12 tháng 10 năm 2026 của Thủ tướng Chính phủ)

I. Ý NGHĨA, MỤC ĐÍCH, YÊU CẦU

1. Ý nghĩa

Chỉ số được xây dựng nhằm đánh giá một cách thống nhất, khách quan và định lượng mức độ bảo đảm an ninh mạng của các bộ, cơ quan, địa phương làm cơ sở theo dõi, so sánh, xếp hạng kết quả thực hiện, kịp thời phát hiện các tồn tại, hạn chế và nguy cơ mất an ninh mạng, đồng thời phục vụ công tác quản lý nhà nước, kiểm tra, giám sát, hoạch định chính sách bảo đảm an ninh mạng.

2. Mục đích

Chỉ số có ý nghĩa quan trọng trong việc nâng cao hiệu quả quản trị an ninh mạng, góp phần xây dựng môi trường số an toàn, đồng bộ và bền vững; tạo cơ sở chuẩn hóa hoạt động đánh giá, thúc đẩy các bộ, cơ quan, địa phương chủ động đầu tư nguồn lực, nâng cao năng lực phòng ngừa, phát hiện và ứng phó với các nguy cơ, sự cố an ninh mạng; đồng thời hỗ trợ cơ quan quản lý nhà nước xác định mức độ trưởng thành về an ninh mạng, ưu tiên nguồn lực và giải pháp phù hợp, nâng cao hiệu quả giám sát, điều hành và góp phần thực hiện mục tiêu bảo đảm an ninh mạng gắn với chuyển đổi số quốc gia.

3. Yêu cầu

Chỉ số cần bảo đảm tính khách quan, định lượng và khả năng đo lường; phản ánh đầy đủ năng lực thực tế về bảo đảm an ninh mạng của cơ quan, tổ chức; phù hợp với các tiêu chuẩn, quy chuẩn kỹ thuật và quy định pháp luật hiện hành; có khả năng áp dụng thống nhất trên phạm vi toàn quốc; kết hợp đánh giá các yếu tố về quản trị, kỹ thuật, tổ chức, nhân lực và ứng phó sự cố; đồng thời bảo đảm tính khả thi trong triển khai, dễ thu thập và kiểm chứng số liệu, hỗ trợ theo dõi, so sánh, đánh giá xu hướng cải thiện năng lực an ninh mạng và thúc đẩy phương thức quản trị an ninh mạng chủ động dựa trên rủi ro.

II. NGUYÊN TẮC, PHƯƠNG PHÁP XÂY DỰNG CHỈ SỐ

1. Nguyên tắc

Chỉ số được xây dựng trên cơ sở bảo đảm tính khách quan, thống nhất, minh bạch, định lượng và có khả năng đo lường được mức độ bảo đảm an ninh mạng của các bộ, cơ quan, địa phương.

Việc xây dựng và triển khai Chỉ số bám sát yêu cầu quản lý nhà nước về an ninh mạng, phù hợp với quy định pháp luật quốc gia, các tiêu chuẩn quốc gia, quy chuẩn kỹ thuật quốc gia hiện hành và định hướng chuyển đổi số quốc gia; trong đó lấy mức độ tuân thủ tiêu chuẩn TCVN 14423:2026 An ninh mạng - Hệ thống thông tin - Yêu cầu cơ bản làm cơ sở trọng tâm để đánh giá.

Chỉ số phản ánh đầy đủ các yếu tố về quản trị, kỹ thuật, vận hành, giám sát, ứng phó sự cố, bảo vệ dữ liệu, nguồn lực và trách nhiệm của người đứng đầu; bảo đảm phù hợp với đặc thù, cấp độ và phạm vi hoạt động của từng nhóm cơ quan, tổ chức, địa phương.

Việc đánh giá bảo đảm khả năng kiểm chứng, đối chiếu bằng hồ sơ, tài liệu, kết quả triển khai thực tế và dữ liệu giám sát; hạn chế đánh giá hình thức, tự khai thiếu căn cứ hoặc không phản ánh đúng thực trạng bảo đảm an ninh mạng.

Chỉ số được xây dựng theo hướng mở, bảo đảm khả năng rà soát, cập nhật, điều chỉnh định kỳ nhằm phù hợp với sự phát triển của khoa học công nghệ, tình hình an ninh mạng trong nước và quốc tế cũng như các thông lệ, khung quản trị an ninh mạng tiên tiến và các mô hình quản lý an ninh mạng.

2. Phương pháp xây dựng

Chỉ số được xây dựng theo phương pháp chấm điểm, đánh giá mức độ đáp ứng các yêu cầu, biện pháp và nhóm tiêu chí quy định trong tiêu chuẩn TCVN 14423:2026 và các quy định pháp luật có liên quan.

Cấu trúc Chỉ số được tổ chức theo các nhóm tiêu chí: mỗi tiêu chí, yêu cầu được xác định mức độ đáp ứng tương ứng với thang điểm hoặc mức đánh giá cụ thể trên cơ sở:

- Mức độ triển khai thực tế;

- Mức độ đầy đủ của hồ sơ, tài liệu, bằng chứng kiểm chứng;

- Mức độ duy trì, vận hành và hiệu quả áp dụng;

- Kết quả kiểm tra, giám sát, đánh giá độc lập hoặc dữ liệu kỹ thuật liên quan.

Kết quả đánh giá được tổng hợp theo nhóm tiêu chí và quy đổi thành mức xếp hạng nhằm phục vụ công tác theo dõi, so sánh xu hướng cải thiện năng lực bảo đảm an ninh mạng của các bộ, cơ quan, địa phương.

III. CẤU TRÚC TỔNG THỂ CỦA CHỈ SỐ VÀ QUY TRÌNH TÍNH TOÁN

1. Cấu trúc tổng thể Chỉ số

Chỉ số bao gồm 03 nhóm tiêu chí và 29 tiêu chí thành phần, cụ thể tại Phụ lục II của Quyết định này, trong đó, Nhóm I - Nhóm tiêu chí đánh giá chung và Nhóm II - Nhóm tiêu chí đánh giá đặc thù được dùng để tính toán Chỉ số. Nhóm III - Nhóm tiêu chí phục vụ chỉ đạo, điều hành không dùng để tính toán Chỉ số.

2. Quy trình tính toán Chỉ số

Quy trình tính toán Chỉ số thực hiện theo Phụ lục III, Phụ lục IV của Quyết định này.

PHỤ LỤC II

DANH MỤC TIÊU CHÍ CỦA CHỈ SỐ
(Kèm theo Quyết định số 1964/QĐ-TTg ngày 12 tháng 10 năm 2026 của Thủ tướng Chính phủ)

Ý nghĩa các nhóm tiêu chí

I. Nhóm I - Nhóm tiêu chí đánh giá chung

Nhóm tiêu chí này đánh giá mức độ tuân thủ các quy định của pháp luật, hồ sơ đề xuất cấp độ và phương án bảo đảm an ninh mạng đã được phê duyệt đối với hệ thống thông tin, chủ quản hệ thống thông tin. Đây là cơ sở để bảo đảm hệ thống được triển khai, vận hành đúng quy định và đáp ứng các yêu cầu quản lý nhà nước. Tuy nhiên, nhóm tiêu chí này chủ yếu phản ánh mức độ tuân thủ cơ bản, do đó được phân bổ trọng số 20%. Các tiêu chí trong nhóm này chỉ ghi nhận đạt khi đáp ứng đầy đủ Mức 3 (không có các mức trung gian như Mức 1, Mức 2 do đây là nhóm tiêu chí đánh giá tuân thủ quy định của pháp luật); trường hợp chưa đáp ứng Mức 3 thì ghi nhận Mức 0. Nhóm I gồm có 02 tiêu chí sau:

Tiêu chí I.1. Đáp ứng hồ sơ đề xuất cấp độ

Tiêu chí này đánh giá mức độ đáp ứng của hệ thống thông tin đối với các yêu cầu đã được xác định trong hồ sơ đề xuất cấp độ. Đây là căn cứ để bảo đảm hệ thống được triển khai đúng phạm vi, chức năng và mức độ bảo vệ tương ứng với cấp độ đã được phê duyệt.

Tiêu chí I.2. Đáp ứng phương án bảo đảm an ninh mạng theo cấp độ

Tiêu chí này đánh giá việc triển khai các biện pháp bảo đảm an ninh mạng theo phương án đã được phê duyệt. Mặc dù đã có hồ sơ đề xuất cấp độ, tuy nhiên, nếu không triển khai đầy đủ các phương án bảo đảm an ninh mạng thì cũng không thể bảo vệ được hệ thống thông tin.

II. Nhóm II - Nhóm tiêu chí đánh giá đặc thù (áp dụng đối với hệ thống thông tin cấp độ 3 trở lên)

Nhóm tiêu chí này đánh giá trực tiếp năng lực quản trị, vận hành, phòng ngừa, phát hiện, ứng phó và phục hồi trước các nguy cơ, sự cố an ninh mạng đối với hệ thống thông tin cấp độ 3 trở lên, chủ quản hệ thống thông tin cấp độ 3 trở lên. Đây là nhóm phản ánh toàn diện khả năng bảo vệ hệ thống thông tin trong thực tế và có tác động trực tiếp đến việc bảo đảm tính bí mật, tính toàn vẹn và tính sẵn sàng của hệ thống. Do đóng vai trò quyết định đến hiệu quả bảo đảm an ninh mạng nên nhóm tiêu chí này được phân bổ trọng số cao nhất. Nhóm II gồm có 18 tiêu chí sau:

Tiêu chí II.1. Quản lý rủi ro an ninh mạng

Tiêu chí này đánh giá khả năng nhận diện, phân tích, đánh giá và xử lý các rủi ro có thể ảnh hưởng đến hệ thống thông tin. Đây là hoạt động mang tính định hướng cho toàn bộ công tác bảo đảm an ninh mạng, giúp tổ chức chủ động phòng ngừa các nguy cơ trước khi xảy ra sự cố.

Tiêu chí II.2. Quản lý tài sản phần cứng

Tiêu chí này đánh giá việc kiểm kê, theo dõi và quản lý các thiết bị phần cứng thuộc hệ thống thông tin. Việc quản lý đầy đủ tài sản phần cứng giúp xác định phạm vi bảo vệ và hạn chế nguy cơ phát sinh từ các thiết bị không được kiểm soát.

Tiêu chí II.3. Quản lý tài sản phần mềm

Tiêu chí này đánh giá khả năng quản lý, kiểm soát và theo dõi các phần mềm đang được sử dụng trong hệ thống. Việc kiểm soát phần mềm giúp hạn chế các phần mềm không được cấp phép hoặc tồn tại lỗ hổng bảo mật.

Tiêu chí II.4. Quản lý tài sản thông tin

Tiêu chí này đánh giá việc xác định, phân loại và quản lý các tài sản thông tin của tổ chức. Việc nhận diện chính xác giá trị và mức độ quan trọng của thông tin là cơ sở để áp dụng các biện pháp bảo vệ phù hợp; tiêu chí liên quan trực tiếp đến đối tượng cần được bảo vệ là dữ liệu.

Tiêu chí II.5. Cấu hình an toàn cho phần cứng và phần mềm

Tiêu chí này đánh giá việc thiết lập, duy trì các cấu hình bảo mật cho hệ thống. Cấu hình không an toàn là nguyên nhân phổ biến dẫn đến các sự cố an ninh mạng.

Tiêu chí II.6. Quản lý tài khoản và quyền truy cập tài khoản của người dùng

Tiêu chí này đánh giá việc kiểm soát danh tính và quyền truy cập của người sử dụng. Việc quản lý chặt chẽ tài khoản giúp ngăn ngừa truy cập trái phép và giảm thiểu nguy cơ lạm dụng quyền hạn.

Tiêu chí II.7. Quản lý lỗ hổng bảo mật

Tiêu chí này đánh giá khả năng phát hiện, đánh giá và khắc phục các lỗ hổng bảo mật tồn tại trong hệ thống. Đây là một trong những biện pháp quan trọng nhất để giảm nguy cơ bị tấn công khai thác.

Tiêu chí II.8. Quản lý nhật ký an ninh mạng

Tiêu chí này đánh giá việc thu thập, lưu trữ và phân tích các bản ghi nhật ký. Nhật ký là nguồn dữ liệu quan trọng phục vụ giám sát, điều tra và truy vết sự cố do đó, tiêu chí đóng vai trò hỗ trợ quan trọng cho công tác phát hiện và xử lý sự cố.

Tiêu chí II.9. Bảo vệ cho trình duyệt web, dịch vụ thư điện tử

Tiêu chí này đánh giá việc triển khai các biện pháp bảo vệ đối với các kênh giao tiếp phổ biến của người dùng. Đây là các mục tiêu thường xuyên bị lợi dụng để phát tán mã độc hoặc thực hiện tấn công lừa đảo.

Tiêu chí II.10. Phòng chống phần mềm độc hại

Tiêu chí này đánh giá khả năng phát hiện, ngăn chặn và xử lý các phần mềm độc hại. Đây là lớp bảo vệ cơ bản nhưng rất quan trọng đối với mọi hệ thống thông tin, có ảnh hưởng trực tiếp đến khả năng bảo vệ thiết bị đầu cuối và máy chủ hệ thống.

Tiêu chí II.11. Sao lưu và khôi phục dữ liệu

Tiêu chí này đánh giá khả năng bảo đảm dữ liệu có thể được phục hồi khi xảy ra sự cố hoặc thảm họa. Đây là biện pháp trọng yếu để duy trì hoạt động liên tục của hệ thống và giảm thiểu thiệt hại khi bị tấn công.

Tiêu chí II.12. Quản lý hạ tầng mạng

Tiêu chí này đánh giá khả năng quản lý và bảo vệ các thành phần hạ tầng mạng. Hạ tầng mạng là môi trường kết nối toàn bộ các thành phần của hệ thống thông tin và có vai trò quan trọng đối với an toàn và ổn định của hệ thống.

Tiêu chí II.13. Giám sát phòng thủ an ninh mạng

Tiêu chí này đánh giá khả năng theo dõi, phát hiện và cảnh báo các hành vi bất thường hoặc dấu hiệu tấn công. Công tác giám sát giúp rút ngắn thời gian phát hiện và xử lý sự cố, đóng vai trò quan trọng trong năng lực phòng thủ chủ động.

Tiêu chí II.14. Nhân sự vận hành, quản trị hệ thống, bảo vệ an ninh mạng

Tiêu chí này đánh giá năng lực, trách nhiệm và sự sẵn sàng của đội ngũ nhân sự. Con người là yếu tố quyết định hiệu quả thực hiện các biện pháp kỹ thuật và quản lý do đó tiêu chí mang tính hỗ trợ cho toàn bộ hoạt động bảo đảm an ninh mạng.

Tiêu chí II.15. Quản lý nhà cung cấp sản phẩm, dịch vụ

Tiêu chí này đánh giá khả năng kiểm soát các rủi ro phát sinh từ bên thứ ba. Việc quản lý nhà cung cấp giúp hạn chế các nguy cơ từ chuỗi cung ứng và các dịch vụ thuê ngoài.

Tiêu chí II.16. Phát triển ứng dụng an toàn

Tiêu chí này đánh giá việc tích hợp các yêu cầu an toàn thông tin trong quá trình phát triển phần mềm. Việc bảo đảm an toàn ngay từ giai đoạn thiết kế giúp giảm thiểu lỗ hổng phát sinh sau này, tuy nhiên, tiêu chí chỉ áp dụng đối với các hệ thống có hoạt động phát triển phần mềm.

Tiêu chí II.17. Quản trị ứng phó sự cố an ninh mạng

Tiêu chí này đánh giá khả năng chuẩn bị, tổ chức và thực hiện các hoạt động ứng phó sự cố. Năng lực ứng phó quyết định trực tiếp đến khả năng giảm thiểu tác động và phục hồi sau sự cố.

Tiêu chí II.18. Quản lý kiểm tra an ninh mạng

Tiêu chí này đánh giá việc thực hiện các hoạt động kiểm tra, đánh giá và rà soát định kỳ đối với hệ thống thông tin. Hoạt động kiểm tra giúp phát hiện các điểm yếu và nâng cao hiệu quả bảo vệ hệ thống.

III. Nhóm III - Nhóm tiêu chí phục vụ chỉ đạo, điều hành

Nhóm tiêu chí này đánh giá hiệu quả thực tế của công tác bảo đảm an ninh mạng thông qua các chỉ số phản ánh tình hình xử lý rủi ro, kiểm soát sự cố, mức độ thiệt hại và khả năng bảo vệ dữ liệu đối với hệ thống thông tin, chủ quản hệ thống thông tin. Đây là nhóm tiêu chí phản ánh trực tiếp kết quả đầu ra của toàn bộ hoạt động quản trị và bảo vệ an ninh mạng, tuy nhiên, kết quả có thể chịu tác động của nhiều yếu tố khách quan, do đó, Nhóm III chỉ phục vụ công tác chỉ đạo, điều hành, không sử dụng để tính toán chỉ số, gồm có 09 tiêu chí sau:

Tiêu chí III.1. Tỷ lệ biện pháp xử lý rủi ro được thực hiện đúng hạn theo kế hoạch (%)

Tiêu chí này đánh giá mức độ thực hiện các biện pháp xử lý rủi ro đã được phê duyệt. Việc triển khai đúng tiến độ thể hiện khả năng kiểm soát rủi ro một cách chủ động và có hệ thống, góp phần giảm thiểu khả năng xảy ra sự cố an ninh mạng hoặc giảm thiểu thiệt hại do sự cố gây ra.

Tiêu chí III.2. Tỷ lệ sự cố an ninh mạng được kiểm soát và xử lý kịp thời trên tổng số lượng sự cố an ninh mạng (%)

Tiêu chí này đánh giá hiệu quả của hoạt động phát hiện và ứng phó sự cố. Tỷ lệ xử lý kịp thời càng cao cho thấy năng lực vận hành và bảo vệ hệ thống càng hiệu quả.

Tiêu chí III.3. Số lượng sự cố an ninh mạng nghiêm trọng xảy ra (số vụ)

Tiêu chí này phản ánh khả năng xử lý sự cố thực tế của hệ thống thông tin thông qua số lượng sự cố nghiêm trọng phát sinh. Đây là chỉ số phản ánh trực tiếp hiệu quả của các biện pháp bảo vệ đã triển khai.

Tiêu chí III.4. Số bản ghi dữ liệu cá nhân của công dân bị lộ lọt (số bản ghi)

Tiêu chí này đánh giá hiệu quả bảo vệ dữ liệu cá nhân trong hệ thống thông tin. Việc để xảy ra lộ lọt dữ liệu cá nhân có thể ảnh hưởng đến quyền và lợi ích hợp pháp của công dân; tiêu chí phản ánh một trong số các yếu tố về thiệt hại do các sự cố an ninh mạng gây ra.

Tiêu chí III.5. Số Gigabyte dữ liệu bị lộ lọt (GB)

Tiêu chí này đánh giá quy mô dữ liệu bị ảnh hưởng trong các sự cố rò rỉ dữ liệu. Khối lượng dữ liệu bị lộ lọt càng lớn thì mức độ ảnh hưởng đến tổ chức càng nghiêm trọng; tiêu chí phản ánh một trong số các yếu tố về thiệt hại do các sự cố an ninh mạng gây ra.

Tiêu chí III.6. Số Gigabyte dữ liệu bị mất, mã hoá (GB)

Tiêu chí này đánh giá mức độ ảnh hưởng đến tính sẵn sàng và khả năng sử dụng dữ liệu. Đây là hậu quả thường gặp trong các cuộc tấn công mã độc tống tiền hoặc sự cố vận hành; tiêu chí phản ánh một trong số các yếu tố về thiệt hại do các sự cố an ninh mạng gây ra.

Tiêu chí III.7. Số vụ lộ bí mật nhà nước trên không gian mạng do sự cố an ninh mạng gây ra (vụ)

Tiêu chí này đánh giá hiệu quả bảo vệ thông tin thuộc phạm vi bí mật nhà nước. Việc để xảy ra lộ bí mật nhà nước có thể gây hậu quả đặc biệt nghiêm trọng đối với lợi ích quốc gia và cơ quan quản lý; tiêu chí phản ánh một trong số các yếu tố về thiệt hại do các sự cố an ninh mạng gây ra.

Tiêu chí III.8. Số đầu tài liệu bí mật nhà nước bị đăng tải, truyền đưa trên không gian mạng do sự cố an ninh mạng gây ra (tài liệu)

Tiêu chí này đánh giá quy mô và mức độ ảnh hưởng của các sự cố liên quan đến bí mật nhà nước. Đây là chỉ số cụ thể hoá hậu quả của việc mất an toàn đối với các tài liệu mật; tiêu chí phản ánh một trong số các yếu tố về thiệt hại do các sự cố an ninh mạng gây ra.

Tiêu chí III.9. Thiệt hại tài chính do các sự cố an ninh mạng gây ra trên tổng ngân sách chi cho công tác bảo đảm an ninh mạng (%)

Tiêu chí này đánh giá tác động kinh tế của các sự cố an ninh mạng đối với tổ chức. Đây là chỉ số tổng hợp phản ánh hậu quả cuối cùng của các rủi ro và sự cố phát sinh; tiêu chí phản ánh một trong số các yếu tố về thiệt hại do các sự cố an ninh mạng gây ra.

PHỤ LỤC III

PHƯƠNG PHÁP ĐÁNH GIÁ ĐỐI VỚI HỆ THỐNG THÔNG TIN
(Kèm theo Quyết định số 1964/QĐ-TTg ngày 12 tháng 10 năm 2026 của Thủ tướng Chính phủ)

Bước 1: Xác định cấp độ của hệ thống thông tin

Nguyên tắc: tuân thủ quy định của pháp luật về an ninh mạng, bao gồm Luật An ninh mạng năm 2025 và các văn bản quy định chi tiết, hướng dẫn thi hành.

Căn cứ theo Luật An ninh mạng năm 2025, Nghị định số 331/2026/NĐ-CP ngày 19/8/2026 của Chính phủ về bảo vệ an ninh mạng đối với hệ thống thông tin và các văn bản quy định chi tiết, hướng dẫn thi hành, thực hiện xác định cấp độ của hệ thống thông tin cần đánh giá.

Bước 2: Tổng hợp, đánh giá và chấm điểm cho các tiêu chí đánh giá tại Phụ lục V, VI, VII

Nguyên tắc đánh giá, chấm điểm:

Nội dung, mức đánh giá tại các Phụ lục III, IV, V, VI là thang tự đánh giá phục vụ giai đoạn triển khai thử nghiệm, không phải là quy chuẩn, tiêu chuẩn kỹ thuật bắt buộc áp dụng chung. Chủ quản hệ thống thông tin tự đánh giá và chấm điểm cho các tiêu chí, mục tiêu đánh giá theo từng nội dung đánh giá với nguyên tắc sau:

- Đánh giá và cho điểm các nội dung đánh giá từ Mức 0 đến Mức 3, lấy điểm số theo Mức cao nhất mà hệ thống thông tin đáp ứng. Ví dụ: hệ thống thông tin có nội dung đánh giá II.1.1.1. Thực hiện phân tích, đánh giá rủi ro an ninh mạng đáp ứng Mức 3 (đã đáp ứng Mức 1 và Mức 2) thì được tính 03 điểm cho nội dung đánh giá này.

- Để nội dung đánh giá được ghi nhận đạt các Mức tương ứng (Mức 1, Mức 2, Mức 3), cần có thuyết minh về thực trạng đáp ứng và các tài liệu, bằng chứng chứng minh kèm theo. Trường hợp không có thuyết minh hoặc không có tài liệu, bằng chứng chứng minh cho thuyết minh thuộc Mức nào thì không ghi nhận đạt Mức đó.

- Đối với Mức 1, trường hợp nội dung đánh giá yêu cầu có quy trình, quy định thì quy trình, quy định đó cần được ký bởi cấp có thẩm quyền và còn hiệu lực.

- Đối với Mức 2, cần có các chỉ số đo lường hiệu quả, hiệu suất thực hiện hoạt động; có cơ chế thu thập, lưu trữ, cập nhật và theo dõi số liệu; đã thực hiện đánh giá định kỳ trên cơ sở các số liệu đã thu thập để xác định mức độ hoàn thành mục tiêu, hiệu quả của hoạt động và làm căn cứ cải tiến, khắc phục các tồn tại (nếu có). Hệ thống hoặc phần mềm quản lý có khả năng lưu trữ, thống kê và truy xuất các số liệu phục vụ đánh giá.

- Đối với Mức 3, đã sử dụng kết quả đo lường, đánh giá để xác định các tồn tại, nguyên nhân và cơ hội cải tiến; đã xây dựng, triển khai các biện pháp cải tiến đối với quy trình và hoạt động có liên quan; có báo cáo đánh giá, đề xuất và theo dõi việc thực hiện các biện pháp cải tiến trên cơ sở dữ liệu, số liệu đo lường được cập nhật định kỳ.

- Đối với các nội dung không áp dụng cho hệ thống thông tin, không thực hiện chấm điểm đối với nội dung đó nếu cơ quan, tổ chức có thuyết minh rõ ràng về phạm vi loại trừ và cung cấp tài liệu, bằng chứng chứng minh không áp dụng. Bằng chứng có thể bao gồm nhưng không giới hạn ở: tài liệu mô tả phạm vi, kiến trúc hệ thống, danh mục tài sản công nghệ thông tin, cấu hình hệ thống, quy trình vận hành, văn bản quy định nội bộ hoặc tài liệu kỹ thuật liên quan chứng minh hệ thống không có đối tượng, chức năng hoặc điều kiện kỹ thuật thuộc phạm vi của tiêu chí đánh giá. Trường hợp chưa có thuyết minh hoặc tài liệu, bằng chứng nêu trên tại thời điểm đánh giá, nội dung đánh giá tương ứng được tạm ghi nhận ở Mức 0 cho kỳ đánh giá đó.

- Chủ quản hệ thống thông tin chịu trách nhiệm về tính xác thực của văn bản, tài liệu hoặc bằng chứng chứng minh được đưa ra để làm căn cứ.

- Trường hợp chủ quản hệ thống thông tin không trực tiếp quản trị, vận hành, bảo đảm an ninh mạng cho hệ thống thông tin thì đề nghị đơn vị quản trị, vận hành, bảo đảm an ninh mạng phối hợp đánh giá; đơn vị quản trị, vận hành, bảo đảm an ninh mạng tuân thủ các quy định, quy trình của chủ quản hệ thống thông tin trong quá trình phối hợp đánh giá.

- Đối với hệ thống thông tin sử dụng dịch vụ điện toán đám mây, trường hợp nhà cung cấp dịch vụ không cung cấp được tài liệu minh chứng đáp ứng các mức của nội dung đánh giá nhưng có chứng nhận đáp ứng tiêu chuẩn khác bao hàm nội dung đó thì được đánh giá đạt mức tương ứng.

- Đối với hệ thống thông tin triển khai trên hạ tầng dùng chung, đơn vị quản lý, vận hành hạ tầng chịu trách nhiệm đánh giá các tiêu chí thuộc phạm vi hạ tầng dùng chung; đơn vị quản lý, vận hành hệ thống thông tin chịu trách nhiệm đánh giá các tiêu chí còn lại thuộc phạm vi quản lý; chủ quản hệ thống thông tin chịu trách nhiệm tổng hợp kết quả đánh giá và báo cáo theo quy định.

Quá trình thực hiện:

- Đánh giá và chấm điểm cho các nội dung đánh giá (cột 3) thuộc nhóm tiêu chí đánh giá chung (Nhóm I) trong bảng tại Phụ lục V; đánh giá từ Mức 0 đến Mức 3. Điểm của nội dung đánh giá tương ứng với điểm của Mức đạt được.

- Đối với hệ thống thông tin cấp độ 3 trở lên, thực hiện đánh giá bổ sung cho các nội dung đánh giá thuộc nhóm tiêu chí đánh giá đặc thù (Nhóm II) trong bảng tại Phụ lục VI; đánh giá từ Mức 0 đến Mức 3. Điểm của nội dung đánh giá tương ứng với số Mức đạt được.

- Thu thập, tổng hợp số liệu các tiêu chí thuộc Nhóm III theo hướng dẫn tại Phụ lục VII để phục vụ công tác chỉ đạo, điều hành.

Bước 3: Tổng hợp điểm số

Bước 3.1: Tổng hợp điểm số của Nhóm I tại Phụ lục V

- Tổng hợp điểm số của từng mục tiêu đánh giá (cột 2) theo điểm của nội dung đánh giá (đã tính ở Bước 2) bằng cách tính bình quân cộng của điểm số các nội dung đánh giá cần tính điểm, cụ thể:

Trong đó:

X_Iij là điểm số của mục tiêu I.i.j. Ví dụ: X_I21 là điểm số của mục tiêu I.2.1,

x_Iijk là điểm số của nội dung đánh giá I.i.j.k; nếu nội dung đánh giá không áp dụng thì không đưa vào để tính tổng. Ví dụ: x_I211 là điểm số của nội dung đánh giá I.2.1.1,

n là tổng số nội dung đánh giá thuộc mục tiêu I.i.j,

n' là số lượng nội dung đánh giá áp dụng thuộc mục tiêu I.i.j (n' ≤ n), không tính những nội dung đánh giá không áp dụng; trường hợp tất cả nội dung đánh giá đều không áp dụng (n' = 0) thì mục tiêu I.i.j cũng không áp dụng để tính điểm. Ví dụ: mục tiêu I.2.1 có 01 nội dung đánh giá và có 01 nội dung đánh giá áp dụng đối với hệ thống thông tin thì n'=1.

- Tổng hợp điểm số của từng tiêu chí đánh giá theo điểm của mục tiêu đánh giá bằng cách tính bình quân cộng của điểm số các mục tiêu đánh giá cần tính điểm, cụ thể:

Trong đó:

X_Ii là điểm số của tiêu chí I.i. Ví dụ: X_I1 là điểm số của tiêu chí I.1,

X_Iij là điểm số của mục tiêu đánh giá I.i.j (đã tính ở trên); nếu mục tiêu đánh giá không áp dụng thì không đưa vào để tính tổng. Ví dụ: X_I21 là điểm số của mục tiêu đánh giá I.2.1,

m là tổng số mục tiêu đánh giá thuộc tiêu chí I.i,

m' là số lượng mục tiêu đánh giá áp dụng thuộc tiêu chí I.i (m' ≤ m), không tính những tiêu chí không áp dụng (m' = 0); trường hợp tất cả mục tiêu đánh giá đều không áp dụng thì tiêu chí I.i cũng không áp dụng để tính điểm. Ví dụ: tiêu chí I.2 có 03 mục tiêu đánh giá nhưng chỉ có 02 mục tiêu đánh giá áp dụng đối với hệ thống thông tin thì m'=2.

- Tổng hợp điểm số của Nhóm I theo điểm của các tiêu chí đánh giá bằng cách tính bình quân cộng có trọng số điểm số của các tiêu chí cần tính điểm, cụ thể:

Trong đó:

X_I là điểm số của Nhóm I.

a_Ii là trọng số của tiêu chí I.i thuộc Nhóm I, xác định dựa theo bảng tại Phụ lục II, nếu tiêu chí I.i không áp dụng thì không đưa a_Ii vào để tính tổng,

X_Ii là điểm số của tiêu chí I.i. Ví dụ: X_I1 là điểm số của tiêu chí I.1. Nếu tiêu chí I.i không áp dụng thì không đưa X_Ii vào để tính tổng,

l là tổng số lượng tiêu chí thuộc Nhóm I; trường hợp tất cả tiêu chí thuộc Nhóm I đều không áp dụng thì Nhóm I cũng không áp dụng để tính điểm.

Bước 3.2: Tổng hợp điểm số theo Nhóm II tại Phụ lục VI

- Tổng hợp điểm số của từng mục tiêu đánh giá theo điểm của nội dung đánh giá bằng cách tính bình quân cộng của điểm số các nội dung đánh giá cần tính điểm, cụ thể:

Trong đó:

X_IIij là điểm số của mục tiêu II.i.j. Ví dụ: X_II12 là điểm số của mục tiêu II.1.2,

x_IIijk là điểm số của nội dung đánh giá II.i.j.k; nếu nội dung đánh giá không áp dụng thì không đưa vào để tính tổng. Ví dụ: x_II121 là điểm số của nội dung đánh giá II.1.2.1,

n là tổng số nội dung đánh giá thuộc mục tiêu II.i.j,

n' là số lượng nội dung đánh giá cần tính điểm thuộc mục tiêu II.i.j (n' ≤ n), không tính những tiêu chí không áp dụng; trường hợp tất cả nội dung đánh giá đều không áp dụng (n' = 0) thì mục tiêu II.i.j cũng không áp dụng để tính điểm. Ví dụ: mục tiêu II.1.2 có 03 nội dung đánh giá nhưng chỉ có 02 nội dung đánh giá áp dụng đối với hệ thống thông tin thì n=2.

- Tổng hợp điểm số của từng tiêu chí theo điểm của mục tiêu đánh giá bằng cách tính bình quân cộng của điểm số các mục tiêu đánh giá cần tính điểm, cụ thể:

Trong đó:

X_IIi là điểm số của tiêu chí II.i. Ví dụ: X_II1 là điểm số của tiêu chí II.1,

X_IIij là điểm số của mục tiêu đánh giá II.i.j, nếu mục tiêu đánh giá không áp dụng thì không đưa vào để tính tổng. Ví dụ: X_II12 là điểm số của mục tiêu đánh giá II.1.2,

m là tổng số mục tiêu đánh giá thuộc tiêu chí II.i,

m' là số lượng mục tiêu đánh giá áp dụng thuộc tiêu chí II.i (m' ≤ m), không tính những tiêu chí không áp dụng; trường hợp tất cả mục tiêu đánh giá đều không áp dụng (m' = 0) thì tiêu chí I.i cũng không áp dụng để tính điểm. Ví dụ: tiêu chí II.2 có 03 mục tiêu đánh giá nhưng chỉ có 02 mục tiêu đánh giá áp dụng đối với hệ thống thông tin thì m=2.

- Tổng hợp điểm số của Nhóm II theo điểm của các tiêu chí đánh giá bằng cách tính bình quân cộng có trọng số điểm số của các Nhóm cần tính điểm, cụ thể:

Trong đó:

X_II là điểm số của Nhóm II,

a_IIi là trọng số của tiêu chí II.i thuộc Nhóm II, xác định dựa theo bảng tại Phụ lục II, nếu tiêu chí II.i không áp dụng thì không đưa a_IIi vào để tính tổng,

X_IIi là điểm số của tiêu chí II.i. Ví dụ: X_II1 là điểm số của tiêu chí II.1. Nếu tiêu chí II.i không áp dụng thì không đưa X_IIi vào để tính tổng,

l là tổng số lượng tiêu chí thuộc Nhóm II; trường hợp tất cả tiêu chí thuộc Nhóm II đều không áp dụng thì Nhóm II cũng không áp dụng để tính điểm.

Bước 3.3: Tính điểm số tổng hợp

Trong đó:

a_I, a_II là trọng số của Nhóm I, Nhóm II; trường hợp Nhóm không áp dụng thì trọng số của Nhóm bằng 0,

X_I, X_II là điểm số đánh giá của Nhóm I, Nhóm II,

X_TH là điểm số đánh giá của Hệ thống thông tin.

Bước 4: Xác định Mức trưởng thành của hệ thống thông tin

Có 04 Mức trưởng thành của hệ thống thông tin như sau:

- Mức 0 - Trạng thái phơi nhiễm: Tổ chức chưa triển khai hoặc không đáp ứng các yêu cầu tối thiểu. Ở mức độ này, hệ thống hoàn toàn phơi nhiễm trước các rủi ro và thiếu vắng sự định hướng từ ban lãnh đạo.

- Mức 1 - Trạng thái phản ứng: Tổ chức có triển khai các biện pháp ở mức cơ bản, đã thiết lập và ban hành chính thức các quy định, quy trình và có cơ chế đảm bảo tuân thủ.

- Mức 2 - Trạng thái chủ động: Tổ chức đã triển khai các biện pháp bảo mật có hệ thống, có cơ chế kiểm soát đo lường và đánh giá mức độ hiệu quả của các hoạt động. Tại mức này, an ninh mạng được quản lý bằng số liệu, cho phép phát hiện sớm sự chệch hướng trong tuân thủ và vận hành.

- Mức 3 - Trạng thái thích ứng: Biện pháp bảo vệ được triển khai chuyên sâu. Tổ chức sở hữu cơ chế cải tiến liên tục để tối ưu hóa các quy trình, chính sách, đảm bảo hệ thống có khả năng tự điều chỉnh và thích nghi trước các biến thể đe dọa mới nhất.

Tiêu chí xác định mức trưởng thành của hệ thống thông tin, tính theo mức cao nhất đạt được:

PHỤ LỤC IV

PHƯƠNG PHÁP ĐÁNH GIÁ ĐỐI VỚI CƠ QUAN, TỔ CHỨC
(Kèm theo Quyết định số 1964/QĐ-TTg ngày 12 tháng 10 năm 2026 của Thủ tướng Chính phủ)

Bước 1: Thu thập bảng đánh giá của từng hệ thống thông tin

Cơ quan, tổ chức thu thập bảng đánh giá của từng hệ thống thông tin của cơ quan, tổ chức, bảo đảm kết quả đánh giá chính xác, phù hợp với tiêu chí cho điểm và có đầy đủ bằng chứng chứng minh cho kết quả đánh giá.

Bước 2: Tổng hợp số liệu, điểm số đánh giá cho từng tiêu chí đánh giá tại Phụ lục V, VI, VII như sau:

Thống kê cấp độ của hệ thống thông tin và điểm số đạt được của từng tiêu chí đánh giá để tính toán điểm số tổng hợp của từng tiêu chí:

- Đối với Nhóm I và Nhóm II (áp dụng đối với hệ thống thông tin cấp độ 3 trở lên), điểm số trung bình của tiêu chí thuộc những Nhóm này được tính theo công thức:

Trong đó:

n là số lượng Hệ thống thông tin của cơ quan, tổ chức; trường hợp tiêu chí không áp dụng đối với tất cả hệ thống thông tin thì tiêu chí cũng không áp dụng để tính điểm,

w_i là hệ số của hệ thống thông tin thứ i, xác định dựa trên cấp độ của Hệ thống thông tin, cụ thể:

Trường hợp tiêu chí không áp dụng đối với hệ thống thứ i thì w_i = 0

X_i là điểm tiêu chí tương ứng của Hệ thống thông tin thứ i,

X_TC là điểm số trung bình của tiêu chí cần tính điểm.

- Đối với Nhóm III, thu thập, tổng hợp số liệu thống kê thuộc Nhóm III theo hướng dẫn tại Phụ lục VII để phục vụ công tác chỉ đạo, điều hành. Trong đó, đối với giá trị thống kê có đơn vị là phần trăm (%), tổng hợp số liệu thống kê (không phải giá trị phần trăm) của tất cả hệ thống thông tin của cơ quan, tổ chức, sau đó mới tính giá trị thống kê phần trăm.

Bước 3: Tổng hợp điểm số đánh giá cho từng nhóm tiêu chí tại Phụ lục II như sau:

Điểm số trung bình của Nhóm I:

Trong đó:

n là số lượng tiêu chí thuộc Nhóm I; trường hợp tất cả tiêu chí đều không áp dụng thì Nhóm I cũng không áp dụng để tính điểm,

a_i là trọng số của tiêu chí i thuộc Nhóm I áp dụng, xác định dựa theo bảng tại Phụ lục II; trường hợp tiêu chí i không áp dụng thì a_i = 0,

X_{TC i} là điểm số trung bình của tiêu chí i thuộc Nhóm I,

X_I là điểm số trung bình của Nhóm I,

Điểm số trung bình của Nhóm II:

Trong đó:

n là số lượng tiêu chí thuộc Nhóm II; trường hợp tất cả tiêu chí đều không áp dụng thì Nhóm II cũng không áp dụng để tính điểm,

a_i là trọng số của tiêu chí i thuộc Nhóm II, xác định dựa theo bảng tại Phụ lục II, trường hợp tiêu chí i không áp dụng thì a_i = 0,

X_{TC i} là điểm số trung bình của tiêu chí i thuộc Nhóm II,

X_II là điểm số trung bình của Nhóm II,

Bước 4: Tính hệ số quy mô hệ thống thông tin của cơ quan, tổ chức

Tính giá trị S theo công thức sau:

Trong đó:

n là số lượng hệ thống thông tin của cơ quan, tổ chức,

w_i là hệ số của hệ thống thông tin thứ i, xác định dựa trên cấp độ của Hệ thống thông tin, cụ thể:

Hệ số quy mô hệ thống thông tin do cơ quan, tổ chức quản lý (K) được xác định dựa trên giá trị S theo bảng sau:

Bước 5: Tính điểm số tổng hợp

Trong đó:

K là hệ số quy mô hệ thống thông tin do cơ quan, tổ chức quản lý,

a_I, a_II là trọng số của Nhóm I, Nhóm II; trường hợp Nhóm không áp dụng thì trọng số của Nhóm bằng 0,

X_I, X_II là điểm số đánh giá của Nhóm I, Nhóm II;

X_TH là điểm số đánh giá của cơ quan, tổ chức.

Bước 6: Xác định mức xếp loại

Có 04 mức xếp loại của cơ quan, lấy mức cao nhất mà cơ quan, tổ chức đạt được, cụ thể như sau:

PHỤ LỤC V

DANH MỤC ĐÁNH GIÁ THEO NHÓM TIÊU CHÍ ĐÁNH GIÁ CHUNG CHO HỆ THỐNG THÔNG TIN (NHÓM I)
(Kèm theo Quyết định số 1964/QĐ-TTg ngày 12 tháng 10 năm 2026 của Thủ tướng Chính phủ)

PHỤ LỤC VI

DANH MỤC ĐÁNH GIÁ THEO CÁC NHÓM TIÊU CHÍ ĐÁNH GIÁ ĐẶC THÙ CHO HỆ THỐNG THÔNG TIN
(NHÓM II)
(Kèm theo Quyết định số 1964/QĐ-TTg ngày 12 tháng 10 năm 2026 của Thủ tướng Chính phủ)