Điều 21 Nghị định số 330/2026/NĐ-CP: Vi phạm các quy định về ứng cứu sự cố an ninh mạng

Điều 21. Vi phạm các quy định về ứng cứu sự cố an ninh mạng

1. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với một trong các hành vi sau:

a) Không công bố thông tin về địa chỉ tiếp nhận sự cố trên Trang thông tin điện tử hoặc Cổng thông tin điện tử;

b) Không khai báo hồ sơ, cung cấp, cập nhật thông tin về đầu mối ứng cứu sự cố, nhân lực kỹ thuật an ninh mạng, ứng cứu sự cố thuộc phạm vi quản lý tới lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an;

c) Cập nhật thông tin về đầu mối ứng cứu sự cố không đúng thời gian quy định khi có thay đổi;

d) Vi phạm quy chế hoạt động của mạng lưới ứng cứu sự cố an ninh mạng quốc gia hoặc không tuân thủ các yêu cầu điều phối của cơ quan điều phối.

2. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với một trong các hành vi sau:

a) Không báo cáo với lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an khi tiếp nhận thông tin, phát hiện sự cố đối với hệ thống thông tin trong phạm vi quản lý;

b) Không triển khai các hoạt động ứng cứu sự cố và báo cáo theo quy định sau khi phát hiện sự cố hoặc nhận được yêu cầu của lực lượng chuyên trách bảo vệ an ninh mạng.

3. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau:

a) Không tổng hợp, báo cáo lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an về diễn biến sự cố khi được yêu cầu;

b) Không thành lập hoặc không chỉ định đơn vị chuyên trách ứng cứu sự cố an ninh mạng hoặc không thành lập Đội ứng cứu sự cố;

c) Không ghi nhận hoặc không tiếp nhận thông báo hoặc không báo cáo sự cố an ninh mạng theo đúng quy trình;

d) Không xây dựng Kế hoạch ứng phó sự cố bảo đảm an ninh mạng;

đ) Thực hiện không đầy đủ các yêu cầu điều phối ứng cứu sự cố của Bộ Công an.

4. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong các hành vi sau:

a) Không cử đầu mối thực hiện các hoạt động phối hợp ứng cứu sự cố hoặc không tham gia mạng lưới ứng cứu sự cố an ninh mạng quốc gia;

b) Không thực hiện các yêu cầu điều phối ứng cứu sự cố của lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an;

c) Không bố trí mặt bằng, cổng kết nối và các điều kiện kỹ thuật cần thiết theo yêu cầu của Bộ Công an;

d) Không tổ chức hoạt động ứng cứu sự cố trong lĩnh vực, địa bàn, phạm vi mình quản lý;

đ) Không phối hợp với lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an, các nhà cung cấp dịch vụ và các cơ quan chức năng khôi phục một số hoạt động, dữ liệu hoặc kết nối cần thiết nhất để giảm thiểu thiệt hại đối với hệ thống thông tin hoặc gây ảnh hưởng xấu tới xã hội;

e) Không phối hợp trong thời gian chưa khắc phục triệt để sự cố;

g) Không xử lý các hậu quả do sự cố hệ thống thông tin của mình gây ra ảnh hưởng đến người dân, cơ quan, tổ chức khác;

h) Không lưu trữ hoặc không cung cấp thông tin liên quan đến các địa chỉ IP thuê bao, máy chủ, thiết bị IoT, các log file, nhật ký dịch vụ phân giải tên miền DNS trong phạm vi quản lý;

i) Không thiết lập môi trường để lắp đặt thiết bị quan trắc, lấy mẫu và cung cấp luồng dữ liệu mạng;

k) Không thiết lập đầu mối thường trực 24/7 hoặc không bố trí nhân lực, vật lực sẵn sàng phối hợp, triển khai các giải pháp nhằm ứng cứu, khắc phục hậu quả sự cố trong trường hợp nguồn tấn công được xác định xuất phát từ thuê bao thuộc doanh nghiệp mình hoặc khi được yêu cầu của Bộ Công an.

5. Biện pháp khắc phục hậu quả:

a) Buộc khôi phục lại tình trạng ban đầu của hệ thống thông tin đối với hành vi vi phạm quy định tại khoản 1, 2, 3, 4 Điều này;

b) Buộc thu hồi, loại bỏ dữ liệu, thông tin hoặc kết nối mạng gây mất an ninh mạng trong trường hợp hành vi vi phạm quy định tại khoản 1, 2, 3, 4 Điều này.