Hồ sơ cấp độ 2 mất bao lâu? Không có một số ngày cố định cho toàn bộ việc chuẩn bị. Với hồ sơ đầy đủ, hợp lệ, thời gian xử lý phê duyệt tối đa là 07 ngày làm việc. Nhưng mốc này chỉ tính từ khi đã có đủ hồ sơ hợp lệ; không bao gồm khảo sát hiện trạng, gom tài liệu, xử lý điểm thiếu hay các vòng xác nhận nội bộ.
Cách hiểu đúng về tiến độ: hãy tách ba mốc: có bản dự thảo, có bộ hồ sơ sẵn sàng trình và có kết quả phê duyệt. Chỉ mốc cuối mới có thời hạn xử lý theo quy định; hai mốc đầu phụ thuộc mức sẵn sàng của hệ thống và người cung cấp thông tin.
Từ ngày 19/8/2026, Nghị định 331/2026/NĐ-CP là căn cứ hiện hành về bảo vệ an ninh mạng đối với hệ thống thông tin. Với hệ thống đề xuất cấp độ 2, việc phê duyệt được thực hiện theo thẩm quyền của đơn vị chuyên trách về an ninh mạng thuộc chủ quản hệ thống; vì vậy, cần xác định đúng đầu mối ngay khi lập kế hoạch.
Mốc thời gian nào cần theo dõi?
| Mốc | Đầu ra cần có | Điều khiến mốc bị trễ |
|---|---|---|
| 1. Chốt phạm vi | Tên hệ thống, ranh giới, đơn vị vận hành và người xác nhận. | Nhầm lẫn giữa website, ứng dụng, hạ tầng dùng chung và dịch vụ thuê ngoài. |
| 2. Hoàn tất đầu vào | Sơ đồ, danh mục tài sản, dữ liệu, tài khoản, hiện trạng vận hành và biện pháp bảo vệ. | Tài liệu cũ, thiếu người sở hữu thông tin, nhiều nhà cung cấp cùng tham gia. |
| 3. Rà bộ hồ sơ | Nội dung đề xuất cấp độ và phương án bảo vệ khớp với hiện trạng. | Mô tả biện pháp chưa có bằng chứng hoặc phạm vi thay đổi giữa chừng. |
| 4. Phê duyệt | Hồ sơ đầy đủ, hợp lệ và đúng thẩm quyền. | Thiếu thành phần, sai đầu mối hoặc phải bổ sung, làm rõ. |
Doanh nghiệp nên chốt lịch theo bốn mốc này thay vì hỏi chung “bao nhiêu ngày là xong”. Khi chưa hoàn thành mốc 2, mọi cam kết ngày hoàn tất chỉ là ước lượng, không phải cam kết về một bộ hồ sơ hợp lệ.
07 ngày làm việc có ý nghĩa gì?
Khoản thời gian tối đa 07 ngày làm việc áp dụng cho bước xử lý hồ sơ phê duyệt sau khi đã nhận đủ hồ sơ hợp lệ. Đây không phải thời gian để đơn vị tư vấn hoặc đội nội bộ làm xong mọi việc từ đầu.
- Không bao gồm thời gian xác định phạm vi, kiểm kê và dựng lại sơ đồ hiện trạng.
- Không bao gồm thời gian chờ phòng ban hoặc nhà cung cấp xác nhận dữ liệu, tài khoản, sao lưu, nhật ký và trách nhiệm vận hành.
- Không thay thế thời gian khắc phục các điểm bảo vệ cần có trước khi mô tả chúng là biện pháp đang áp dụng.
Vì vậy, không nên lấy “07 ngày” làm cam kết cho cả dự án hoặc dùng con số này để so sánh đơn vị nào làm nhanh hơn. Cách báo tiến độ có trách nhiệm là nêu rõ đầu vào còn thiếu, người phụ trách từng đầu vào và mốc bắt đầu tính thời gian xử lý.
Năm yếu tố quyết định thời gian chuẩn bị
1. Phạm vi có được xác định nhất quán?
Nếu website, ứng dụng, máy chủ, cơ sở dữ liệu, API và dịch vụ đám mây được gọi bằng những phạm vi khác nhau giữa các bên, hồ sơ sẽ phải quay lại từ bước đầu. Chốt một sơ đồ phạm vi và một người có quyền xác nhận trước khi bắt đầu viết.
2. Tài liệu có phản ánh hiện trạng?
Một sơ đồ có sẵn chưa chắc còn đúng. Hệ thống đã đổi nhà cung cấp, thêm máy chủ, tích hợp API hoặc thay cách phân quyền cần được rà lại. Phần rà hiện trạng thường mất thời gian hơn phần biên soạn.
3. Có đủ bằng chứng về vận hành và bảo vệ?
Hồ sơ cần khớp với thực tế về tài khoản quản trị, sao lưu, nhật ký, cập nhật bản vá và xử lý sự cố. Không nên ghi một biện pháp là đã vận hành khi đó chỉ mới là kế hoạch; việc này có thể khiến vòng rà soát kéo dài và tạo rủi ro cho người phê duyệt.
4. Bao nhiêu bên phải xác nhận?
Khi ứng dụng, hạ tầng và bảo mật do các phòng ban hoặc nhà cung cấp khác nhau phụ trách, nút thắt thường là chờ phản hồi. Một đầu mối điều phối, danh sách câu hỏi dùng chung và hạn trả lời cho từng bên giúp tiến độ dự đoán được hơn.
5. Đang áp dụng quy định nào cho trường hợp cụ thể?
Nghị định 331/2026/NĐ-CP có hiệu lực từ 19/8/2026 và có điều khoản chuyển tiếp cho một số hệ thống đã đầu tư, xây dựng trước thời điểm luật mới có hiệu lực. Trước khi chốt lịch, cần xác nhận tình trạng hệ thống và cơ chế áp dụng với bộ phận pháp chế hoặc đầu mối có thẩm quyền; không nên suy từ tên “cấp độ 2” sang cùng một quy trình cho mọi trường hợp.
Checklist để nhận được một kế hoạch đáng tin
- Đã có tên, phạm vi và đơn vị vận hành hệ thống.
- Đã chỉ định đầu mối kỹ thuật, vận hành và người có quyền xác nhận.
- Có sơ đồ kiến trúc hoặc đủ thông tin để dựng lại sơ đồ.
- Có danh mục ứng dụng, máy chủ, cơ sở dữ liệu, API và dịch vụ thuê ngoài.
- Đã xác định dữ liệu xử lý, nhóm người dùng và tài khoản quản trị.
- Đã rà hiện trạng sao lưu, nhật ký, quản lý bản vá và xử lý sự cố.
- Đã phân biệt biện pháp đang áp dụng với hạng mục dự kiến bổ sung.
- Đã xác định đầu mối phê duyệt và cách nộp, lưu hồ sơ phù hợp.
Nếu còn nhiều mục chưa rõ, hãy chia dự án thành giai đoạn rà soát đầu vào và giai đoạn hoàn thiện hồ sơ. Cách này tốt hơn việc đặt một ngày cố định rồi phải dời lịch vì thông tin chưa được xác nhận.
Cách rút ngắn tiến độ mà không làm hồ sơ sơ sài
- Chốt phạm vi và người ra quyết định từ buổi khởi động.
- Dùng một danh mục tài sản và một sơ đồ kiến trúc làm nguồn thông tin chung.
- Gắn mỗi dữ liệu cần cung cấp với một người phụ trách và hạn phản hồi.
- Rà khung hồ sơ sớm với người có quyền xác nhận, thay vì chờ đến bản cuối.
- Tách hạng mục cần hoàn thiện trước khi trình khỏi kế hoạch cải tiến dài hạn.
- Quản lý phiên bản để tất cả bên cùng rà một bản chính thức.
Nếu cần đi vào các hạng mục kỹ thuật và bằng chứng, xem checklist ATTT cấp độ 2. Bài quy trình lập hồ sơ đề xuất cấp độ giúp bạn theo dõi thứ tự công việc; còn hồ sơ đề xuất cấp độ là gì giải thích thành phần cần chuẩn bị.
Khi nào nên nhờ hỗ trợ?
Nên cân nhắc hỗ trợ khi phạm vi chưa rõ, hồ sơ liên quan nhiều nhà cung cấp, tài liệu không còn đúng hiện trạng hoặc cần một kế hoạch có đầu vào, đầu ra và trách nhiệm rõ ràng. Dịch vụ lập hồ sơ đề xuất cấp độ ATTT phù hợp khi bạn cần rà đầu vào trước rồi mới lập tiến độ theo hiện trạng.
Câu hỏi thường gặp
Có thể làm hồ sơ cấp độ 2 trong 3 ngày không?
Có thể có bản dự thảo nhanh nếu phạm vi đơn giản và toàn bộ đầu vào đã sẵn sàng. Tuy nhiên, không nên gọi đó là cam kết cho một bộ hồ sơ đầy đủ, hợp lệ nếu chưa rà hiện trạng và chưa có xác nhận của các bên liên quan.
Khâu nào thường làm chậm nhất?
Thường là thu thập và xác nhận đầu vào: ranh giới hệ thống, sơ đồ, tài sản, dữ liệu, tài khoản, sao lưu, nhật ký và người chịu trách nhiệm vận hành.
Có cần kiểm thử xâm nhập trước khi lập hồ sơ không?
Không thể kết luận chỉ dựa vào nhãn cấp độ 2. Nhu cầu kiểm thử phải được xác định theo phạm vi, rủi ro, yêu cầu áp dụng và các bằng chứng hiện có của hệ thống.
Nguồn tham khảo
- Nghị định 331/2026/NĐ-CP về bảo vệ an ninh mạng đối với hệ thống thông tin.
- Thông tin hướng dẫn về Nghị định 331/2026/NĐ-CP của Bộ Công an.
Đoàn Trình Dục là Giảng viên Khoa Công nghệ Thông tin tại Đại học Công nghệ Sài Gòn (STU), với hơn 10 năm kinh nghiệm thực chiến trong các lĩnh vực Mạng máy tính, Marketing Online, SEO và Bảo mật hệ thống.
Với nền tảng sư phạm và kinh nghiệm tư vấn cho nhiều doanh nghiệp, thầy chuyên sâu vào việc xây dựng các giải pháp kỹ thuật số toàn diện và hiệu quả.