Từ ngày 1/7/2026, Luật An ninh mạng 2025 (Luật ANM) đặt ra một yêu cầu đáng chú ý: một số cơ quan, tổ chức, doanh nghiệp nhà nước phải bố trí tối thiểu 15% tổng kinh phí thực hiện chương trình, đề án, dự án đầu tư chuyển đổi số, ứng dụng công nghệ thông tin để bảo vệ an ninh mạng. Quy định tưởng như chỉ là một tỷ lệ ngân sách, nhưng khi đi vào thực tế lại đặt ra hàng loạt câu hỏi: 15% tính trên khoản nào, ai bắt buộc phải áp dụng và chi như thế nào để vừa đúng luật, vừa tránh đầu tư hình thức và lãng phí tài chính cho doanh nghiệp?
Luật mới đi thêm một bước khi định lượng tỷ lệ tối thiểu.
Từ “chi nếu còn ngân sách” thành một cấu phần bắt buộc
Một trong những điểm mới đáng chú ý của Luật ANM là quy định về kinh phí bảo vệ an ninh mạng. Quy định mới[1] yêu cầu cơ quan, tổ chức, doanh nghiệp nhà nước, tổ chức chính trị, tổ chức chính trị - xã hội và các đơn vị sự nghiệp công lập do ngân sách nhà nước bảo đảm phải bố trí kinh phí bảo vệ an ninh mạng trong dự toán chi thực hiện nhiệm vụ chuyển đổi số, ứng dụng công nghệ thông tin hằng năm của mình. Theo đó, các chủ thể này phải “bố trí tối thiểu 15% tổng kinh phí thực hiện chương trình, đề án, dự án đầu tư chuyển đổi số, ứng dụng công nghệ thông tin để bảo vệ an ninh mạng”.
Đây là một thay đổi quan trọng về cách tiếp cận. Trước đây, Nghị định 53/2022/NĐ-CP hướng dẫn Luật An ninh mạng 2018 đã quy định kinh phí bảo đảm an ninh mạng trong hoạt động của cơ quan nhà nước, tổ chức chính trị ở Trung ương và địa phương do ngân sách nhà nước bảo đảm. Với dự án đầu tư công xây dựng mới, mở rộng hoặc nâng cấp hệ thống thông tin, kinh phí đầu tư cho an ninh mạng được bố trí trong vốn đầu tư của dự án tương ứng.
Luật mới đi thêm một bước khi định lượng tỷ lệ tối thiểu. Điều đó có nghĩa, đối với phạm vi thuộc khoản 1 Điều 38, an ninh mạng không còn là hạng mục có thể cân nhắc bổ sung sau khi hệ thống công nghệ thông tin đã được thiết kế, mà phải được tính đến ngay từ quá trình lập chương trình, đề án, dự án và bố trí nguồn lực. Nói cách khác, tư duy “xây hệ thống trước, có tiền thì mua bảo mật sau” về nguyên tắc không còn phù hợp khi các quy định mới có hiệu lực.
15% được tính trên khoản tiền nào?
Tỷ lệ 15% là “tổng kinh phí thực hiện chương trình, đề án, dự án đầu tư chuyển đổi số, ứng dụng công nghệ thông tin”. Vì vậy, không nên hiểu rằng một cơ quan phải dành 15% toàn bộ ngân sách hoạt động hằng năm cho an ninh mạng.
Ví dụ, một cơ quan có tổng ngân sách hoạt động trong năm là 500 tỷ đồng, nhưng thực hiện một dự án chuyển đổi số có tổng kinh phí 20 tỷ đồng. Nếu dự án thuộc phạm vi áp dụng khoản 1 Điều 38, thì tỷ lệ tối thiểu về nguyên tắc được xác định trên 20 tỷ đồng của dự án, chứ không phải 500 tỷ đồng ngân sách của cơ quan. Theo cách tính trực tiếp từ điều luật, dự án 20 tỷ đồng phải bố trí ít nhất 3 tỷ đồng cho bảo vệ an ninh mạng.
Tương tự, nếu một đề án ứng dụng công nghệ thông tin có tổng kinh phí 100 tỷ đồng, phần kinh phí dành cho bảo vệ an ninh mạng theo ngưỡng tối thiểu sẽ là 15 tỷ đồng.
Phép tính 15% mới là bước khởi đầu. Đối với dự án triển khai nhiều năm, có điều chỉnh tổng mức đầu tư hoặc kết hợp chi phí đầu tư ban đầu với chi phí vận hành, cần làm rõ tổng kinh phí nào được dùng làm căn cứ và thời điểm xác định tỷ lệ. Điều 38 đặt ra mức tối thiểu nhưng không tự mình giải quyết mọi vấn đề về điều chỉnh, phân bổ và quyết toán; việc áp dụng còn phải đối chiếu pháp luật về ngân sách, đầu tư công, đấu thầu và hướng dẫn có liên quan.
Điểm cần đặc biệt chú ý là luật sử dụng cụm từ “tối thiểu 15%”. Đây là mức sàn, không phải mức trần. Một hệ thống có yêu cầu bảo mật cao, xử lý dữ liệu quan trọng hoặc đối mặt với rủi ro an ninh mạng lớn hoàn toàn có thể cần tỷ lệ đầu tư cao hơn.
Ngược lại, việc đạt đủ con số 15% về mặt kế toán cũng không có nghĩa đương nhiên đã đáp ứng đầy đủ yêu cầu bảo vệ an ninh mạng. Chi tiêu vẫn phải gắn với nhu cầu thực tế, hiệu quả đầu tư và các nghĩa vụ bảo vệ hệ thống tương ứng.
Một vấn đề khác là dự án được phê duyệt trước ngày 1/7/2026 nhưng tiếp tục triển khai sau thời điểm Luật có hiệu lực. Việc có phải điều chỉnh cơ cấu kinh phí đã được phê duyệt hay không cần được xem xét theo quy định chuyển tiếp (nếu có), tình trạng pháp lý và nguồn vốn của từng dự án; không nên mặc nhiên áp dụng hồi tố hoặc mặc nhiên miễn trừ.
Có phải mọi doanh nghiệp đều phải dành 15%?
Một điểm dễ gây hiểu nhầm khác là phạm vi chủ thể chịu sự điều chỉnh. Luật ANM không quy định rằng mọi doanh nghiệp đang hoạt động tại Việt Nam phải dành 15% ngân sách công nghệ thông tin cho an ninh mạng. Nhóm được luật nêu trực tiếp gồm: cơ quan, tổ chức; doanh nghiệp nhà nước; tổ chức chính trị; tổ chức chính trị - xã hội; và đơn vị sự nghiệp công lập do ngân sách nhà nước bảo đảm.
Đối với cơ quan, tổ chức, đơn vị không thuộc phạm vi khoản 1 Điều 38, Luật không đặt ra tỷ lệ phân bổ kinh phí tối thiểu 15%, mà yêu cầu các chủ thể này tự bảo đảm kinh phí bảo vệ an ninh mạng. Việc không phải áp dụng tỷ lệ 15% không đồng nghĩa với việc được miễn các nghĩa vụ bảo đảm an ninh mạng khác theo pháp luật.
Sự phân biệt này đặc biệt quan trọng đối với khu vực tư nhân. Doanh nghiệp không thuộc diện áp dụng tỷ lệ tối thiểu 15% không vì thế được xem nhẹ an ninh mạng: tùy hệ thống, dữ liệu, dịch vụ và hoạt động kinh doanh, doanh nghiệp vẫn phải đáp ứng các nghĩa vụ bảo vệ tương ứng.
Vấn đề pháp lý - tài chính không chỉ là bố trí đủ tỷ lệ, mà còn là xác định khoản chi nào thực sự phục vụ bảo vệ an ninh mạng và có đủ căn cứ để ghi nhận, thẩm định, nghiệm thu, quyết toán.
Bố trí đủ 15% chưa chắc đã chi đúng
Nếu hiểu an ninh mạng đơn thuần là mua tường lửa, phần mềm diệt mã độc hay thiết bị bảo mật, việc triển khai rất dễ rơi vào tình trạng “tiêu đủ tỷ lệ” nhưng hiệu quả phòng vệ thấp.
Một hệ thống an ninh mạng thực chất có nhiều lớp. Nguồn lực có thể liên quan đến giải pháp giám sát và phát hiện tấn công, quản lý danh tính và quyền truy cập, bảo vệ dữ liệu, sao lưu và phục hồi, kiểm thử và đánh giá an ninh, ứng cứu sự cố, bảo vệ hạ tầng mạng và thiết bị đầu cuối, quản lý lỗ hổng, đào tạo nhân sự, thuê dịch vụ an ninh mạng hoặc vận hành trung tâm giám sát an ninh mạng.
Vấn đề pháp lý - tài chính không chỉ là bố trí đủ tỷ lệ, mà còn là xác định khoản chi nào thực sự phục vụ bảo vệ an ninh mạng và có đủ căn cứ để ghi nhận, thẩm định, nghiệm thu, quyết toán.
Không phải cứ một sản phẩm có yếu tố công nghệ là toàn bộ giá trị của nó đương nhiên được tính vào 15%. Một nền tảng điện toán đám mây, chẳng hạn, có thể bao gồm cả tài nguyên tính toán, lưu trữ, truyền dữ liệu và các chức năng bảo mật. Nếu hợp đồng không tách bạch cấu phần, việc xác định phần nào thực sự là kinh phí bảo vệ an ninh mạng có thể trở thành vấn đề khi thẩm định, kiểm toán hoặc quyết toán.
Vì vậy, ngay từ khâu thiết kế và dự toán, chủ đầu tư cần tách bạch mục tiêu bảo vệ, giải pháp kỹ thuật, hạng mục chi phí và hồ sơ chứng minh. Việc một khoản chi như sao lưu dữ liệu, đào tạo hoặc thuê dịch vụ cloud có được tính vào kinh phí an ninh mạng hay không phải căn cứ chức năng thực tế và quy định tài chính áp dụng; không nên mặc nhiên tính toàn bộ giá trị hợp đồng.
Quy định mới cũng kéo theo thay đổi trong quy trình chuẩn bị đầu tư. Tinh thần của quy định này là an ninh mạng phải trở thành một cấu phần của dự án ngay từ đầu. Do đó, khi xây dựng chương trình, đề án hoặc dự án, chủ đầu tư cần đồng thời xác định tài sản và dữ liệu cần bảo vệ, nguy cơ và kịch bản tấn công, yêu cầu kỹ thuật, phương án bảo vệ, chi phí đầu tư ban đầu và chi phí vận hành.
Cũng cần tách bạch ba giai đoạn: lập và phê duyệt dự toán để bố trí kinh phí; triển khai, mua sắm đúng mục tiêu và quy định; cuối cùng là nghiệm thu, quyết toán dựa trên khối lượng và chứng từ hợp lệ. Thuật ngữ “bố trí” trong luật không nên bị đồng nhất với yêu cầu phải chi hết một khoản tiền bằng mọi giá.
Từ tỷ lệ ngân sách đến hiệu quả bảo vệ thực chất
Có thể hình dung vấn đề qua một tình huống giả định.
Một tỉnh triển khai dự án nền tảng dữ liệu dùng chung với tổng kinh phí 200 tỷ đồng. Nếu dự án thuộc phạm vi khoản 1 Điều 38 Luật ANM, phần kinh phí dành cho bảo vệ an ninh mạng tối thiểu sẽ là 30 tỷ đồng. Nhưng công việc không dừng ở phép nhân 200 tỷ đồng với 15%.
Chủ đầu tư phải xác định 30 tỷ đồng đó sẽ giải quyết những lớp bảo vệ nào: an ninh hạ tầng; kiểm soát truy cập; bảo vệ dữ liệu; giám sát tấn công; sao lưu và khôi phục; đánh giá lỗ hổng; kiểm thử an ninh; ứng cứu sự cố; hay các dịch vụ vận hành liên quan.
Quan trọng hơn, phải chứng minh cơ cấu đầu tư phù hợp với kiến trúc và mức độ rủi ro của chính hệ thống.
Nếu phương án kỹ thuật ban đầu chưa sử dụng hết nguồn lực dự kiến, chủ đầu tư cần rà soát lại phạm vi, cấu trúc và nhu cầu bảo vệ của dự án theo đúng quy định, thay vì mua sắm thiết bị không cần thiết chỉ để đạt tỷ lệ. Ngược lại, nếu nhu cầu bảo vệ vượt 30 tỷ đồng, tỷ lệ tối thiểu không thể là căn cứ giới hạn đầu tư. Cần phân biệt việc bố trí kinh phí theo luật với nghĩa vụ thực chi, nghiệm thu và quyết toán theo các quy định tài chính tương ứng.
Quy định dành tối thiểu 15% kinh phí cho bảo vệ an ninh mạng đánh dấu sự thay đổi trong cách tiếp cận đầu tư chuyển đổi số: an ninh mạng phải được tính đến ngay từ khâu hoạch định nguồn lực. Tuy nhiên, thách thức không nằm ở phép tính 15%, mà ở việc xác định đúng phạm vi áp dụng, cơ sở phân bổ và hiệu quả sử dụng kinh phí. Một dự án có thể đáp ứng tỷ lệ ngân sách nhưng vẫn thiếu an toàn nếu nguồn lực được sử dụng không đúng trọng tâm. Tuân thủ quy định 15% vì vậy là yêu cầu quản trị đầu tư và rủi ro an ninh mạng, chứ không đơn thuần là hoàn thành một chỉ tiêu tài chính.
[1] Theo khoản 1 Điều 38, Luật ANM
