Điều 26 Nghị định số 330/2026/NĐ-CP: Vi phạm quy định về bảo vệ an ninh mạng đối với hệ thống thông tin quan trọng về an ninh quốc gia

Điều 26. Vi phạm quy định về bảo vệ an ninh mạng đối với hệ thống thông tin quan trọng về an ninh quốc gia

1. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với một trong các hành vi vi phạm quy định về xác lập hệ thống thông tin quan trọng về an ninh quốc gia sau:

a) Không thực hiện hoặc thực hiện không đầy đủ theo quy định việc rà soát xác lập hệ thống thông tin quan trọng về an ninh quốc gia đối với hệ thống thông tin thuộc phạm vi quản lý;

b) Không rà soát xác lập hệ thống thông tin quan trọng về an ninh quốc gia đối với hệ thống thông tin thuộc phạm vi quản lý sau khi đã có thông báo của lực lượng chuyên trách bảo vệ an ninh mạng;

c) Không gửi Bộ Công an, Bộ Quốc phòng, Ban Cơ yếu Chính phủ theo phân cấp quản lý hồ sơ hệ thống thông tin quan trọng quốc gia đã được Thủ tướng Chính phủ phê duyệt để xác lập Danh mục hệ thống thông tin quan trọng về an ninh quốc gia;

d) Không chuyển cho Bộ Công an, Bộ Quốc phòng, Ban Cơ yếu Chính phủ theo phân cấp quản lý hồ sơ thẩm định về cấp độ an ninh mạng mà xét thấy có đủ căn cứ để đưa vào Danh mục hệ thống thông tin quan trọng về an ninh quốc gia để thẩm định hồ sơ đề nghị đưa hệ thống thông tin vào Danh mục hệ thống thông tin quan trọng về an ninh quốc gia.

2. Phạt tiền từ 30.000.000 đồng đến 40.000.000 đồng đối với một trong các hành vi vi phạm quy định về thẩm định an ninh mạng sau:

a) Không tiến hành thẩm định an ninh mạng làm cơ sở cho việc quyết định xây dựng hệ thống thông tin có đủ tiêu chí là hệ thống thông tin quan trọng về an ninh quốc gia;

b) Không tiến hành thẩm định an ninh mạng làm cơ sở cho việc nâng cấp hệ thống thông tin có đủ tiêu chí là hệ thống thông tin quan trọng về an ninh quốc gia.

3. Phạt tiền từ 40.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi vi phạm về kiểm tra an ninh mạng, giám sát an ninh mạng sau:

a) Không tiến hành đánh giá điều kiện an ninh mạng đối với hệ thống thông tin trước khi đưa vào vận hành, sử dụng;

b) Không xây dựng quy định, quy trình và phương án bảo đảm an ninh mạng; không bố trí nhân sự vận hành, quản trị hệ thống;

c) Không xây dựng phương án ứng phó, khắc phục sự cố an ninh mạng đối với hệ thống thông tin theo quy định pháp luật;

d) Không xây dựng biện pháp kỹ thuật để giám sát, bảo vệ an ninh mạng, biện pháp bảo vệ hệ thống;

đ) Không xây dựng các biện pháp bảo vệ bí mật nhà nước, phòng, chống lộ, mất bí mật nhà nước qua các kênh kỹ thuật;

e) Không có biện pháp bảo đảm an ninh vật lý theo quy định pháp luật;

g) Chủ quản hệ thống thông tin quan trọng về an ninh quốc gia không tiến hành kiểm tra an ninh mạng, giám sát an ninh mạng đối với hệ thống thông tin thuộc phạm vi quản lý theo quy định pháp luật;

h) Không phối hợp với lực lượng chuyên trách bảo vệ an ninh mạng khi tiến hành kiểm tra an ninh mạng, giám sát an ninh mạng theo quy định pháp luật;

i) Không triển khai, không tham gia hoạt động ứng phó, khắc phục sự cố khi sự cố an ninh mạng xảy ra hoặc khi có yêu cầu của lực lượng chủ trì điều phối;

k) Không báo cáo kịp thời cho lực lượng chuyên trách bảo vệ an ninh mạng về sự cố an ninh mạng nghiêm trọng đối với hệ thống thông tin thuộc phạm vi quản lý;

l) Không thực hiện các biện pháp theo hướng dẫn của lực lượng chuyên trách bảo vệ an ninh mạng và các biện pháp phù hợp khác để ngăn chặn, xử lý, khắc phục hậu quả trong thời hạn 24 giờ kể từ thời điểm nhận được thông báo.

4. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong các hành vi sau:

a) Không tiến hành kiểm tra an ninh mạng định kỳ hằng năm;

b) Không tiến hành kiểm tra an ninh mạng, giám sát an ninh mạng khi có yêu cầu quản lý nhà nước về an ninh mạng;

c) Không thông báo kết quả kiểm tra an ninh mạng bằng văn bản cho lực lượng chuyên trách bảo vệ an ninh mạng theo quy định;

d) Quá thời hạn mà không khắc phục điểm yếu, lỗ hổng bảo mật theo khuyến cáo của lực lượng chuyên trách bảo vệ an ninh mạng theo quy định;

đ) Vi phạm quy định, quy trình, phương án bảo đảm an ninh mạng đối với hệ thống thông tin quan trọng về an ninh quốc gia;

e) Vi phạm quy định về nhân sự vận hành, quản trị hệ thống, bảo vệ an ninh mạng;

g) Vi phạm quy định về điều kiện bảo đảm an ninh mạng đối với thiết bị, phần cứng, phần mềm là thành phần hệ thống;

h) Vi phạm quy định về biện pháp kỹ thuật, an ninh vật lý để giám sát, bảo vệ an ninh mạng.

5. Biện pháp khắc phục hậu quả:

a) Buộc thực hiện các biện pháp bảo đảm an ninh mạng đối với hệ thống thông tin quan trọng về an ninh quốc gia đối với các hành vi vi phạm tại khoản 1, 2, 3, 4 Điều này;

b) Buộc cải chính kết quả thẩm định, đánh giá, kiểm tra, chứng nhận về an ninh mạng đối với các hành vi quy định tại khoản 2, 3, 4 Điều này.