Điều 23 Nghị định số 330/2026/NĐ-CP: Vi phạm quy định về biện pháp giám sát an toàn, bảo vệ hệ thống thông tin

Điều 23. Vi phạm quy định về biện pháp giám sát an toàn, bảo vệ hệ thống thông tin

1. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với hành vi sau:

a) Không ban hành quy định về bảo đảm an ninh mạng trong thiết kế, xây dựng, quản lý, vận hành, sử dụng, nâng cấp, hủy bỏ hệ thống thông tin;

b) Không xây dựng hồ sơ đề xuất cấp độ hệ thống thông tin đối với cấp độ 3 đến cấp độ 5;

c) Đưa hệ thống thông tin vào vận hành khi chưa được phê duyệt cấp độ an ninh mạng đối với cấp độ 3 đến cấp độ 5;

d) Không triển khai đầy đủ các biện pháp bảo đảm an ninh mạng như hồ sơ an ninh mạng đã được phê duyệt cấp độ từ cấp độ 3 đến cấp độ 5.

2. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau:

a) Không kiểm tra, giám sát việc tuân thủ quy định về bảo đảm an ninh mạng, lưu trữ nhật ký hệ thống theo quy định hoặc không đánh giá hiệu quả của các biện pháp quản lý và kỹ thuật được áp dụng;

b) Không phối hợp với chủ quản hệ thống thông tin trong việc giám sát an toàn hệ thống thông tin theo yêu cầu của cơ quan nhà nước có thẩm quyền;

c) Không tổ chức thực thi, đôn đốc, kiểm tra, giám sát công tác bảo đảm an ninh mạng;

d) Cản trở hoặc không thực hiện việc trao đổi thông tin, dữ liệu giám sát của hệ thống giữa đơn vị được chủ quản hệ thống thông tin thuê với lực lượng chuyên trách bảo đảm an ninh mạng.

3. Hình thức xử phạt bổ sung: Tước quyền sử dụng Giấy phép Thiết lập trang thông tin điện tử tổng hợp có thời hạn từ 01 tháng đến 06 tháng đối với hành vi quy định tại khoản 1, 2 Điều này trong trường hợp tái phạm.

4. Biện pháp khắc phục hậu quả:

a) Buộc khôi phục lại tình trạng ban đầu của hệ thống thông tin đối với hành vi quy định tại khoản 1, 2 Điều này;

b) Buộc thực hiện biện pháp khắc phục tình trạng mất an ninh mạng, nguy cơ mất an ninh mạng đối với hành vi quy định tại khoản 1, 2 Điều này;

c) Buộc loại bỏ các yếu tố vi phạm về an ninh mạng trong quá trình thiết kế, xây dựng, quản lý, vận hành, sử dụng, nâng cấp hoặc hủy bỏ hệ thống thông tin đối với hành vi quy định tại khoản 1, 2 Điều này.