Luật 86/2015/QH13 quy định về an toàn thông tin mạng, bảo vệ thông tin cá nhân, hệ thống thông tin, mật mã dân sự và kinh doanh dịch vụ an toàn thông tin mạng.

Luật 86/2015/QH13 – Luật An toàn thông tin mạng

Luật 86/2015/QH13 – Luật An toàn thông tin mạng được Quốc hội thông qua ngày 19/11/2015 và có hiệu lực từ ngày 01/07/2016. Luật xây dựng khung pháp lý về hoạt động an toàn thông tin mạng, quyền và trách nhiệm của cơ quan, tổ chức, cá nhân trong việc bảo đảm an toàn thông tin trên môi trường mạng.

Tuy nhiên, đây là điểm đặc biệt cần lưu ý khi tra cứu tài liệu ở thời điểm hiện nay: Luật 86/2015/QH13 đã hết hiệu lực từ ngày 01/07/2026. Các nội dung về an toàn thông tin mạng đã được hợp nhất với Luật An ninh mạng 2018 trong Luật 116/2025/QH15 – Luật An ninh mạng, có hiệu lực từ ngày 01/07/2026.

Vì vậy, Luật An toàn thông tin mạng 2015 hiện phù hợp để tra cứu quy định áp dụng trong giai đoạn trước ngày 01/07/2026, hồ sơ chuyển tiếp và lịch sử pháp luật; đối với hoạt động phát sinh hiện nay, tổ chức và doanh nghiệp cần ưu tiên Luật An ninh mạng 116/2025/QH15.

Thông tin Luật 86/2015/QH13

• Số hiệu: 86/2015/QH13
• Tên văn bản: Luật An toàn thông tin mạng
• Cơ quan ban hành: Quốc hội
• Ngày ban hành: 19/11/2015
• Ngày có hiệu lực: 01/07/2016
• Người ký: Nguyễn Sinh Hùng
• Công báo: Số 1239 + 1240 ngày 28/12/2015
• Tình trạng hiện nay: Hết hiệu lực từ 01/07/2026
• Văn bản thay thế trong hệ thống pháp luật hiện hành: Luật 116/2025/QH15 – Luật An ninh mạng.

Luật 86/2015/QH13 quy định về vấn đề gì?

Trong thời gian còn hiệu lực, Luật 86/2015/QH13 điều chỉnh nhiều vấn đề nền tảng về bảo đảm an toàn thông tin trên mạng.

Nội dung bao gồm hoạt động bảo vệ thông tin mạng, bảo vệ thông tin cá nhân, bảo vệ hệ thống thông tin, ngăn chặn xung đột thông tin trên mạng, mật mã dân sự, tiêu chuẩn và quy chuẩn kỹ thuật, kinh doanh sản phẩm, dịch vụ an toàn thông tin mạng cũng như trách nhiệm quản lý nhà nước trong lĩnh vực này.

Đây là một trong những văn bản đặt nền móng pháp lý cho việc bảo vệ hệ thống thông tin tại Việt Nam trước khi hệ thống quy định được hợp nhất vào Luật An ninh mạng 2025. Chính phủ cho biết Luật An ninh mạng mới được xây dựng trên cơ sở hợp nhất Luật An toàn thông tin mạng 2015 và Luật An ninh mạng 2018.

An toàn thông tin mạng được hiểu như thế nào?

Theo cách tiếp cận của Luật An toàn thông tin mạng 2015, bảo đảm an toàn thông tin mạng tập trung vào việc bảo vệ thông tin và hệ thống thông tin khỏi các nguy cơ làm ảnh hưởng đến tính bí mật, tính toàn vẹn và khả năng sử dụng của thông tin.

Trong hoạt động doanh nghiệp, vấn đề này có thể liên quan trực tiếp đến dữ liệu như thông tin khách hàng, thông tin nhân viên, hợp đồng, hóa đơn, dữ liệu ngân hàng, hệ thống kế toán, cơ sở dữ liệu bán hàng, tài khoản quản trị, website và hệ thống phần mềm nội bộ.

Do đó, an toàn thông tin không chỉ là vấn đề riêng của bộ phận IT mà cần được xem là một phần trong quản trị rủi ro của tổ chức.

Bảo vệ thông tin cá nhân trên mạng

Một nội dung quan trọng của Luật 86/2015/QH13 là các quy định liên quan đến bảo vệ thông tin cá nhân trên môi trường mạng.

Trong giai đoạn Luật còn hiệu lực, tổ chức xử lý thông tin cá nhân phải chú ý đến việc thu thập, sử dụng, cập nhật, sửa đổi và bảo vệ thông tin theo những nguyên tắc luật định.

Đối với doanh nghiệp vận hành website, ứng dụng hoặc nền tảng số, các loại thông tin thường cần quản lý cẩn trọng gồm họ tên, số điện thoại, email, thông tin tài khoản, lịch sử giao dịch và những dữ liệu có khả năng gắn với một cá nhân.

Tại thời điểm hiện nay, lĩnh vực này đã có hệ thống pháp luật chuyên sâu hơn, đặc biệt là Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Luật Dữ liệu 60/2024/QH15. Vì vậy, doanh nghiệp không nên tiếp tục sử dụng riêng Luật An toàn thông tin mạng 2015 làm căn cứ cho chính sách bảo vệ dữ liệu hiện tại.

Thu thập thông tin cá nhân cần lưu ý gì?

Với các hệ thống trực tuyến, doanh nghiệp nên xây dựng quy trình rõ ràng ngay từ bước thu thập dữ liệu.

Người dùng cần được biết thông tin được thu thập nhằm mục đích gì, dữ liệu được sử dụng trong phạm vi nào và được bảo vệ ra sao theo quy định áp dụng tại từng thời điểm.

Doanh nghiệp cũng nên hạn chế việc thu thập dữ liệu không thực sự cần thiết. Việc lưu giữ càng nhiều dữ liệu đồng nghĩa phạm vi rủi ro khi hệ thống bị tấn công hoặc rò rỉ có thể càng lớn.

Bảo vệ hệ thống thông tin

Một phần quan trọng khác của Luật 86/2015/QH13 là bảo đảm an toàn hệ thống thông tin.

Hệ thống thông tin có thể bao gồm hạ tầng kỹ thuật, máy chủ, phần mềm, cơ sở dữ liệu, thiết bị mạng và những thành phần phục vụ hoạt động thu thập, lưu trữ, xử lý và trao đổi thông tin.

Để hạn chế rủi ro, doanh nghiệp có thể tổ chức các biện pháp như phân quyền tài khoản, sao lưu dữ liệu, cập nhật phần mềm, kiểm soát thiết bị truy cập và xây dựng quy trình xử lý sự cố.

Đối với doanh nghiệp mới thành lập, việc xây dựng hệ thống quản trị dữ liệu nên được thực hiện đồng thời với những công việc pháp lý và vận hành ban đầu. Có thể tham khảo bài doanh nghiệp mới thành lập cần làm gì để rà soát thêm các nghĩa vụ liên quan.

Hệ thống thông tin được phân loại theo cấp độ

Một nội dung quan trọng của hệ thống pháp luật an toàn thông tin là bảo vệ hệ thống thông tin theo cấp độ.

Cơ chế này cho phép xác định mức độ quan trọng của hệ thống để áp dụng các yêu cầu bảo vệ tương ứng. Chính phủ đã ban hành các văn bản hướng dẫn chuyên ngành, trong đó có Nghị định 85/2016/NĐ-CP về bảo đảm an toàn hệ thống thông tin theo cấp độ.

Đây cũng là vấn đề được Luật An ninh mạng 116/2025/QH15 xử lý bằng quy định chuyển tiếp sau khi Luật 86/2015/QH13 hết hiệu lực.

Hệ thống đã xác định cấp độ theo Luật cũ có phải làm lại không?

Không phải lập tức xác định lại từ đầu.

Theo quy định chuyển tiếp của Luật An ninh mạng 116/2025/QH15, hệ thống thông tin đã được xác định cấp độ theo Luật An toàn thông tin mạng 86/2015/QH13 tiếp tục giữ cấp độ đã được xác định.

Tuy nhiên, trong 12 tháng kể từ ngày 01/07/2026, hệ thống phải bảo đảm điều kiện, tiêu chuẩn và biện pháp bảo vệ an ninh mạng tương ứng với cấp độ theo Luật mới. Quy định này giúp tránh việc thay đổi pháp luật làm gián đoạn ngay lập tức hệ thống đã được đánh giá trước đó.

Phòng ngừa và xử lý sự cố an toàn thông tin

Sự cố có thể phát sinh dưới nhiều hình thức như mất dữ liệu, mã độc, tài khoản quản trị bị chiếm quyền, website bị tấn công hoặc dữ liệu bị truy cập trái phép.

Doanh nghiệp nên chuẩn bị trước quy trình gồm phát hiện bất thường, cô lập khu vực xảy ra sự cố, bảo toàn bằng chứng, khôi phục dữ liệu và đánh giá nguyên nhân.

Việc chỉ xử lý sau khi sự cố đã gây hậu quả lớn thường khiến chi phí khắc phục cao hơn nhiều so với xây dựng biện pháp phòng ngừa ngay từ đầu.

Ngăn chặn phần mềm độc hại

Phần mềm độc hại có thể được sử dụng để:

• Đánh cắp dữ liệu.
• Theo dõi người dùng.
• Mã hóa dữ liệu để đòi tiền chuộc.
• Kiểm soát thiết bị từ xa.
• Làm gián đoạn hệ thống.
• Phát tán sang các máy tính khác.

Doanh nghiệp nên thường xuyên cập nhật hệ điều hành, ứng dụng và các giải pháp bảo mật, đồng thời hạn chế việc nhân viên tự ý cài đặt phần mềm không rõ nguồn gốc.

An toàn thông tin đối với thư điện tử và tài khoản doanh nghiệp

Email thường là một trong những kênh dễ bị khai thác để thực hiện hành vi giả mạo và lừa đảo.

Các tình huống thường gặp gồm giả email của giám đốc yêu cầu chuyển tiền, gửi hóa đơn giả, đánh cắp mật khẩu hoặc gửi liên kết chứa mã độc.

Doanh nghiệp nên áp dụng xác thực nhiều lớp đối với tài khoản quan trọng và xây dựng quy trình xác minh riêng đối với các yêu cầu thanh toán có giá trị lớn.

Kinh doanh sản phẩm, dịch vụ an toàn thông tin mạng

Luật 86/2015/QH13 cũng thiết lập cơ sở pháp lý đối với hoạt động kinh doanh sản phẩm và dịch vụ an toàn thông tin mạng.

Một số hoạt động chuyên ngành thuộc trường hợp phải đáp ứng các điều kiện và giấy phép theo quy định trong thời kỳ Luật còn hiệu lực.

Đây là lĩnh vực cần đặc biệt lưu ý sau ngày 01/07/2026 vì hệ thống pháp luật đã chuyển sang áp dụng Luật An ninh mạng 116/2025/QH15.

Giấy phép được cấp theo Luật 86/2015/QH13 xử lý thế nào?

Luật mới có quy định chuyển tiếp để bảo đảm quyền lợi của doanh nghiệp.

Các giấy phép kinh doanh sản phẩm, dịch vụ an toàn thông tin mạng và mật mã dân sự đã được cấp theo Luật 86/2015/QH13 trước ngày 01/07/2026 tiếp tục có giá trị đến hết thời hạn ghi trên giấy phép.

Vì vậy, doanh nghiệp không nên tự hiểu rằng giấy phép cũ mất hiệu lực ngay khi Luật An toàn thông tin mạng hết hiệu lực.

Khi giấy phép sắp hết hạn hoặc doanh nghiệp thực hiện hoạt động mới, cần kiểm tra điều kiện và thủ tục theo hệ thống pháp luật hiện hành.

Sản phẩm, giải pháp an toàn thông tin đã triển khai trước ngày 01/07/2026

Luật An ninh mạng mới cũng có quy định chuyển tiếp đối với sản phẩm, dịch vụ, giải pháp và phương tiện kỹ thuật bảo đảm an toàn thông tin mạng đã được đưa vào sử dụng trước ngày Luật mới có hiệu lực.

Các sản phẩm và giải pháp này được tiếp tục sử dụng, nhưng trong thời hạn 12 tháng kể từ ngày 01/07/2026 phải bảo đảm các điều kiện về an ninh mạng theo Luật mới.

Doanh nghiệp đang sử dụng hệ thống bảo mật cũ vì vậy nên chủ động rà soát thay vì chờ đến khi kết thúc thời hạn chuyển tiếp.

Mật mã dân sự theo Luật An toàn thông tin mạng

Luật 86/2015/QH13 dành các quy định riêng cho sản phẩm và dịch vụ mật mã dân sự.

Mật mã được sử dụng nhằm bảo vệ thông tin không thuộc phạm vi bí mật nhà nước, chẳng hạn trong quá trình truyền dữ liệu, xác thực hoặc bảo vệ cơ sở dữ liệu.

Các doanh nghiệp hoạt động chuyên ngành mật mã dân sự từng phải đáp ứng hệ thống điều kiện, giấy phép và trách nhiệm theo Luật An toàn thông tin mạng cùng các nghị định hướng dẫn.

Hiện nay, hoạt động này cần được đối chiếu với Luật An ninh mạng 116/2025/QH15 và văn bản hướng dẫn đang có hiệu lực.

Doanh nghiệp cần quản lý an toàn dữ liệu kế toán như thế nào?

Số liệu kế toán hiện nay phần lớn được lưu trữ dưới dạng điện tử, bao gồm:

hóa đơn điện tử, sổ kế toán, báo cáo tài chính, dữ liệu công nợ, dữ liệu ngân hàng và thông tin giao dịch.

Nếu các tài khoản kế toán bị chiếm quyền hoặc dữ liệu bị chỉnh sửa trái phép, doanh nghiệp có thể gặp đồng thời rủi ro vận hành, thuế và bảo mật thông tin.

Do đó nên phân quyền rõ người được tạo, sửa, duyệt và xuất dữ liệu. Doanh nghiệp có khối lượng chứng từ lớn cũng có thể tham khảo dịch vụ sổ sách kế toán để tổ chức dữ liệu kế toán và chứng từ theo quy trình phù hợp.

Website doanh nghiệp cần bảo đảm những gì?

Website là một trong những tài sản số dễ trở thành mục tiêu tấn công.

Doanh nghiệp nên chú ý cập nhật nền tảng, sao lưu website, quản lý tài khoản quản trị, thay đổi mật khẩu định kỳ và không chia sẻ chung một tài khoản cho nhiều nhân sự.

Website có chức năng đăng ký thành viên, đặt hàng hoặc thanh toán trực tuyến cần đặc biệt chú ý đến thông tin khách hàng được thu thập và lưu trữ.

Ngoài pháp luật về an toàn, an ninh mạng, website kinh doanh còn có thể phải tuân thủ pháp luật thương mại điện tử, bảo vệ người tiêu dùng và bảo vệ dữ liệu cá nhân.

Luật An toàn thông tin mạng và Luật Dữ liệu khác nhau thế nào?

Luật 86/2015/QH13 tập trung vào việc bảo đảm an toàn cho thông tin và hệ thống thông tin trên mạng trong thời kỳ Luật còn hiệu lực.

Trong khi đó, Luật 60/2024/QH15 – Luật Dữ liệu điều chỉnh rộng hơn về xây dựng, phát triển, thu thập, quản trị, lưu trữ, chia sẻ và khai thác dữ liệu số.

Vì vậy, một doanh nghiệp có thể đồng thời phát sinh nhiều lớp nghĩa vụ liên quan đến dữ liệu, an ninh mạng và dữ liệu cá nhân.

Luật An toàn thông tin mạng và bảo vệ dữ liệu cá nhân khác nhau thế nào?

Hai lĩnh vực có giao thoa nhưng không đồng nhất.

An toàn thông tin tập trung nhiều vào bảo vệ hệ thống và thông tin trước nguy cơ mất mát, truy cập trái phép hoặc phá hoại.

Bảo vệ dữ liệu cá nhân tập trung vào quyền của cá nhân và trách nhiệm của tổ chức khi thu thập, xử lý, lưu giữ, chia sẻ dữ liệu gắn với cá nhân.

Do đó, một doanh nghiệp có thể bảo vệ hệ thống rất tốt về mặt kỹ thuật nhưng vẫn vi phạm quy định bảo vệ dữ liệu cá nhân nếu thu thập hoặc sử dụng dữ liệu không đúng căn cứ pháp luật.

Doanh nghiệp nên rà soát an toàn thông tin như thế nào?

Trước tiên, doanh nghiệp nên kiểm kê hệ thống đang sử dụng và xác định dữ liệu nào có giá trị hoặc có mức độ nhạy cảm cao.

Tiếp theo cần xác định ai có quyền truy cập, tài khoản nào có quyền quản trị, dữ liệu được sao lưu ở đâu và quy trình xử lý khi nhân viên nghỉ việc.

Một số điểm nên đặc biệt kiểm tra gồm tài khoản email quản trị, hệ thống kế toán, máy chủ, website, dữ liệu khách hàng, dữ liệu nhân viên, phần mềm bán hàng và các dịch vụ lưu trữ đám mây.

Việc rà soát nên được thực hiện định kỳ, không chỉ sau khi xảy ra sự cố.

Những sai sót phổ biến khi quản lý an toàn thông tin

Một sai sót thường gặp là sử dụng cùng một mật khẩu cho nhiều hệ thống. Khi một dịch vụ bị lộ mật khẩu, kẻ tấn công có thể thử thông tin đó trên email, tài khoản ngân hàng hoặc phần mềm quản trị khác.

Một vấn đề khác là nhân viên đã nghỉ việc nhưng tài khoản vẫn còn quyền truy cập.

Doanh nghiệp cũng thường gặp rủi ro khi không sao lưu dữ liệu hoặc lưu cả bản sao lưu trên cùng hệ thống đang vận hành. Khi máy chủ gặp sự cố hoặc bị mã hóa, bản sao lưu cũng có thể bị ảnh hưởng.

Ngoài ra, việc sử dụng phần mềm không rõ nguồn gốc, chia sẻ tài khoản quản trị và không cập nhật bản vá bảo mật đều làm tăng nguy cơ xảy ra sự cố.

Luật 86/2015/QH13 đã được sửa đổi trước khi hết hiệu lực

Trước khi hết hiệu lực, Luật An toàn thông tin mạng 86/2015/QH13 đã được sửa đổi, bổ sung một số nội dung bởi Luật 35/2018/QH14. Điều này cũng được Điều 44 Luật An ninh mạng 116/2025/QH15 ghi nhận khi xác định văn bản hết hiệu lực từ 01/07/2026.

Do đó, khi tra cứu một vụ việc phát sinh trong giai đoạn Luật 86 còn hiệu lực, không nên chỉ sử dụng bản gốc năm 2015 mà cần kiểm tra cả những nội dung sửa đổi có liên quan.

Luật 86/2015/QH13 còn hiệu lực không?

Không. Luật 86/2015/QH13 đã hết hiệu lực từ ngày 01/07/2026.

Điều 44 của Luật 116/2025/QH15 quy định Luật An ninh mạng mới có hiệu lực từ ngày 01/07/2026, đồng thời Luật An toàn thông tin mạng 86/2015/QH13 và Luật An ninh mạng 24/2018/QH14 hết hiệu lực từ cùng thời điểm.

Đây là thông tin rất quan trọng khi đăng Luật 86/2015/QH13 lên website. Nên hiển thị rõ trạng thái:

HẾT HIỆU LỰC TỪ NGÀY 01/07/2026

và dẫn người đọc sang văn bản hiện hành là Luật 116/2025/QH15 – Luật An ninh mạng trên Cổng Thông tin điện tử Chính phủ.

Vì sao Luật An toàn thông tin mạng 2015 hết hiệu lực?

Quốc hội đã thông qua Luật An ninh mạng 116/2025/QH15 ngày 10/12/2025, có hiệu lực từ ngày 01/07/2026. Luật mới được xây dựng trên cơ sở hợp nhất Luật An ninh mạng năm 2018 và Luật An toàn thông tin mạng năm 2015.

Việc hợp nhất giúp đưa các quy định về an ninh mạng và an toàn thông tin mạng vào cùng một hệ thống luật thay vì tiếp tục tồn tại ở hai đạo luật riêng.

Do đó, với những vấn đề phát sinh từ ngày 01/07/2026 trở đi, tổ chức và cá nhân cần ưu tiên tra cứu Luật 116/2025/QH15 cùng các nghị định, thông tư hướng dẫn hiện hành.

Quy định chuyển tiếp doanh nghiệp cần lưu ý

Việc Luật cũ hết hiệu lực không đồng nghĩa mọi giấy phép, hệ thống và giải pháp được triển khai trước đó lập tức mất giá trị.

Luật mới quy định cơ chế chuyển tiếp đối với:

Hệ thống thông tin đã xác định cấp độ: tiếp tục giữ cấp độ đã được xác định, nhưng phải đáp ứng điều kiện bảo vệ theo Luật mới trong vòng 12 tháng.

Giấy phép kinh doanh sản phẩm, dịch vụ an toàn thông tin mạng và mật mã dân sự: tiếp tục có giá trị đến hết thời hạn ghi trên giấy phép.

Sản phẩm, dịch vụ và giải pháp an toàn thông tin đã được đưa vào sử dụng: được tiếp tục sử dụng nhưng phải đáp ứng điều kiện an ninh mạng mới trong thời hạn 12 tháng.

Đây là ba nhóm doanh nghiệp và tổ chức nên kiểm tra ngay khi chuyển sang áp dụng Luật An ninh mạng 2025.

Tra cứu Luật 86/2015/QH13 ở đâu?

Toàn văn Luật 86/2015/QH13 – Luật An toàn thông tin mạng trên Cổng Thông tin điện tử Chính phủ cung cấp thông tin chính thức về số hiệu, ngày ban hành, ngày có hiệu lực và bản PDF của Luật.

Bản công bố chính thức cũng có tại Công báo điện tử Chính phủ – Luật 86/2015/QH13, thuộc Công báo số 1239 + 1240 ngày 28/12/2015.

Đối với quy định hiện hành, người đọc nên chuyển sang Luật 116/2025/QH15 – Luật An ninh mạng. Văn bản được Quốc hội ban hành ngày 10/12/2025 và có hiệu lực từ 01/07/2026.

Chính phủ cũng đã có bài thông tin chính thức về việc Quốc hội thông qua Luật An ninh mạng mới trên cơ sở hợp nhất hai Luật, giúp người đọc hiểu thêm lý do thay đổi hệ thống pháp luật.

Tải Luật 86/2015/QH13 – Luật An toàn thông tin mạng

Bạn đọc có thể tải toàn văn Luật 86/2015/QH13 tại phần tài liệu đính kèm trên website để phục vụ tra cứu các quy định áp dụng trong giai đoạn Luật còn hiệu lực.

Khi đăng tài liệu, nên ghi rõ:

“Văn bản đã hết hiệu lực từ ngày 01/07/2026. Quy định hiện hành được thực hiện theo Luật 116/2025/QH15 – Luật An ninh mạng và các văn bản hướng dẫn.”

Cách hiển thị này giúp người đọc tránh sử dụng nhầm Luật 86/2015/QH13 cho hồ sơ hoặc hoạt động phát sinh sau ngày 01/07/2026.

Kết luận

Luật 86/2015/QH13 – Luật An toàn thông tin mạng từng là văn bản pháp lý nền tảng điều chỉnh các hoạt động về bảo vệ thông tin mạng, hệ thống thông tin, thông tin cá nhân, mật mã dân sự và kinh doanh sản phẩm, dịch vụ an toàn thông tin mạng. Luật được ban hành ngày 19/11/2015 và có hiệu lực từ 01/07/2016.

Tuy nhiên, Luật 86/2015/QH13 đã hết hiệu lực từ ngày 01/07/2026. Từ thời điểm này, Luật 116/2025/QH15 – Luật An ninh mạng trở thành văn bản luật thống nhất trên cơ sở hợp nhất các quy định của Luật An toàn thông tin mạng 2015 và Luật An ninh mạng 2018.

Doanh nghiệp đang có hệ thống thông tin đã xác định cấp độ, giấy phép kinh doanh dịch vụ an toàn thông tin hoặc giải pháp được triển khai theo Luật cũ cần đặc biệt kiểm tra các điều khoản chuyển tiếp của Luật 116/2025/QH15 để cập nhật hệ thống và hồ sơ đúng thời hạn.