NIS2, tổ chức và nhà cung cấp phần mềm: mỗi bên cần làm gì

01Tình hình NIS2 vào mùa thu năm 2026

Chỉ thị NIS2 (mở trang web bên ngoài), tức Chỉ thị (EU) 2022/2555, được đăng trên Công báo của Liên minh châu Âu ngày 27/12/2022 và có hiệu lực từ ngày 16/1/2023. Các quốc gia thành viên phải ban hành và công bố biện pháp quốc gia trước ngày 17/10/2024 và áp dụng từ ngày 18/10/2024, ngày Chỉ thị NIS đầu tiên bị bãi bỏ.

Vì NIS2 là chỉ thị, điều ràng buộc một tổ chức là luật quốc gia chuyển đổi chỉ thị. Việc chuyển đổi không đồng đều: một số quốc gia thành viên áp dụng luật đúng hạn, số khác chỉ áp dụng trong năm 2025 hoặc 2026, và Ủy ban châu Âu đã khởi động thủ tục xử lý vi phạm đối với các quốc gia trễ hạn. Vì vậy, nghĩa vụ đăng ký, cổng báo cáo và cơ quan giám sát khác nhau theo từng nước.

02Thực thể thiết yếu và thực thể quan trọng

NIS2 áp dụng cho các thực thể công và tư trong các ngành thuộc Phụ lục I (mức trọng yếu cao: năng lượng, giao thông vận tải, ngân hàng, hạ tầng thị trường tài chính, y tế, nước sạch, nước thải, hạ tầng số, quản lý dịch vụ ICT, hành chính công và không gian) và Phụ lục II (các ngành trọng yếu khác: bưu chính và chuyển phát, quản lý chất thải, hóa chất, thực phẩm, sản xuất, nhà cung cấp dịch vụ số và nghiên cứu). Theo nguyên tắc chung, chỉ thị áp dụng cho tổ chức quy mô vừa và lớn. Một số tổ chức thuộc phạm vi bất kể quy mô, như nhà cung cấp dịch vụ tin cậy, nhà cung cấp dịch vụ DNS và các thực thể thuộc chính phủ trung ương.

Điều 3 chia các tổ chức này thành hai nhóm:

• Thực thể thiết yếu: chủ yếu là tổ chức lớn trong các ngành thuộc Phụ lục I, cùng các thực thể thiết yếu bất kể quy mô, như nhà cung cấp dịch vụ tin cậy đủ điều kiện, cơ quan quản lý tên miền cấp cao nhất, nhà cung cấp dịch vụ DNS và các thực thể thuộc chính phủ trung ương. Nhóm này chịu giám sát chủ động, có thể gồm kiểm toán và kiểm tra tại chỗ.
• Thực thể quan trọng: các tổ chức còn lại thuộc phạm vi Phụ lục I và II. Việc giám sát diễn ra sau: cơ quan chức năng hành động khi có dấu hiệu tổ chức không tuân thủ.

Hai nhóm có cùng các nghĩa vụ cốt lõi: biện pháp quản lý rủi ro (Điều 21), báo cáo sự cố (Điều 23) và trách nhiệm của ban lãnh đạo (Điều 20). Khác biệt nằm ở cách giám sát và mức phạt. Với vi phạm Điều 21 hoặc Điều 23, luật quốc gia phải cho phép mức phạt tối đa ít nhất 10 triệu euro hoặc 2% doanh thu toàn cầu hằng năm đối với thực thể thiết yếu, và ít nhất 7 triệu euro hoặc 1,4% đối với thực thể quan trọng, lấy mức cao hơn. Các quốc gia thành viên quyết định có áp dụng phạt tiền đối với các thực thể hành chính công hay không, và ở mức nào.

Bản thân nhà cung cấp phần mềm có thuộc phạm vi không?

Viết phần mềm tự nó không phải là một ngành thuộc NIS2. Dù vậy, nhà cung cấp vẫn có thể trực tiếp thuộc phạm vi. Phụ lục I bao gồm nhà cung cấp dịch vụ được quản lý, và NIS2 định nghĩa nhóm này rộng: tổ chức lắp đặt, quản lý, vận hành hoặc bảo trì sản phẩm, mạng, hạ tầng hoặc ứng dụng ICT cho khách hàng, tại chỗ hoặc từ xa. Một nhà cung cấp quy mô vừa trở lên vận hành hoặc bảo trì ứng dụng cho khách hàng vì vậy có thể thuộc NIS2 với tư cách riêng, cũng như nhà cung cấp dịch vụ điện toán đám mây và trung tâm dữ liệu. Với các nhà cung cấp này, Quy định thực thi (EU) 2024/2690 (mở trang web bên ngoài) nêu chi tiết các yêu cầu kỹ thuật.

Tuy nhiên, phần lớn nhà cung cấp phần mềm đáp ứng NIS2 thông qua khách hàng, những người chuyển nghĩa vụ chuỗi cung ứng của mình thành điều khoản hợp đồng, bảng câu hỏi và kiểm toán. Sản phẩm phần mềm còn thuộc phạm vi Đạo luật Khả năng chống chịu trên không gian mạng (mở trang web bên ngoài) (Cyber Resilience Act), Quy định (EU) 2024/2847: nghĩa vụ báo cáo lỗ hổng đang bị khai thác và sự cố nghiêm trọng áp dụng từ ngày 11/9/2026, các nghĩa vụ khác từ ngày 11/12/2027.

03Mười biện pháp tối thiểu của Điều 21

Điều 21 yêu cầu các biện pháp kỹ thuật, vận hành và tổ chức phù hợp và tương xứng, dựa trên cách tiếp cận mọi loại nguy cơ. Các biện pháp phải phản ánh trình độ kỹ thuật hiện tại và các tiêu chuẩn châu Âu và quốc tế liên quan, và tương xứng với mức độ phơi nhiễm rủi ro, quy mô của thực thể và mức độ nghiêm trọng có thể có của sự cố. Tối thiểu, các biện pháp bao gồm:

1. 01chính sách phân tích rủi ro và an toàn hệ thống thông tin;
2. 02xử lý sự cố;
3. 03duy trì hoạt động liên tục, như quản lý sao lưu và khôi phục sau thảm họa, và quản lý khủng hoảng;
4. 04an ninh chuỗi cung ứng, gồm các khía cạnh an ninh trong quan hệ với nhà cung cấp và đơn vị cung cấp dịch vụ trực tiếp;
5. 05an ninh trong việc mua sắm, phát triển và bảo trì mạng và hệ thống thông tin, gồm xử lý và công bố lỗ hổng;
6. 06chính sách và quy trình đánh giá hiệu quả của các biện pháp này;
7. 07thực hành vệ sinh an ninh mạng cơ bản và đào tạo an ninh mạng;
8. 08chính sách và quy trình về mật mã và, khi phù hợp, mã hóa;
9. 09an ninh nhân sự, chính sách kiểm soát truy cập và quản lý tài sản;
10. 10xác thực đa yếu tố hoặc xác thực liên tục, và liên lạc thoại, video, văn bản và khẩn cấp được bảo mật, khi phù hợp.

Điểm 4 và điểm 5 là nơi nhà cung cấp xuất hiện. Khoản 3 Điều 21 yêu cầu thực thể tính đến các lỗ hổng riêng của từng nhà cung cấp trực tiếp, chất lượng tổng thể của sản phẩm và thực hành an ninh mạng của nhà cung cấp, và quy trình phát triển an toàn của họ. Khách hàng được kỳ vọng xem xét cách nhà cung cấp xây dựng phần mềm, không chỉ những gì được bàn giao.

04Ban lãnh đạo phê duyệt, giám sát và chịu trách nhiệm

Theo Điều 20, ban lãnh đạo (management body) của thực thể thiết yếu và quan trọng phải phê duyệt các biện pháp quản lý rủi ro an ninh mạng, giám sát việc thực hiện và có thể phải chịu trách nhiệm về vi phạm. Thành viên ban lãnh đạo phải tham gia đào tạo, và thực thể được khuyến khích đào tạo nhân viên thường xuyên. Với cơ quan nhà nước, quy định quốc gia về trách nhiệm của cơ quan nhà nước và công chức tiếp tục áp dụng.

Điều này thay đổi cuộc trao đổi với nhà cung cấp. Một ban lãnh đạo phải phê duyệt các biện pháp sẽ muốn có bằng chứng mà họ theo dõi được: nhà cung cấp nào hỗ trợ dịch vụ nào, rủi ro nào còn lại, và điều gì đã thực sự được kiểm thử.

05Báo cáo sự cố: 24 giờ, 72 giờ, một tháng

Điều 23 yêu cầu thực thể báo cáo sự cố nghiêm trọng cho CSIRT hoặc cơ quan có thẩm quyền. Một sự cố là nghiêm trọng nếu đã gây ra, hoặc có thể gây ra, gián đoạn vận hành nghiêm trọng hoặc tổn thất tài chính cho thực thể, hoặc thiệt hại vật chất hay phi vật chất đáng kể cho người khác. Việc báo cáo diễn ra theo từng giai đoạn:

Khi phù hợp, thực thể cũng phải thông báo không chậm trễ cho người nhận dịch vụ về sự cố nghiêm trọng có khả năng ảnh hưởng đến dịch vụ đó. Luật quốc gia bổ sung biểu mẫu và cổng báo cáo riêng.

Thời hạn bắt đầu tính từ khi thực thể biết về sự cố. Nếu sự cố bắt đầu trong hệ thống của nhà cung cấp, khách hàng chỉ đáp ứng được thời hạn 24 giờ khi nhà cung cấp phát hiện, nhận diện và chuyển thông tin trong vòng vài giờ. Vì vậy, khả năng phát hiện, ghi nhật ký và một kênh thông báo đã thống nhất là điều khoản hợp đồng, không chỉ là chi tiết kỹ thuật.

06Khách hàng chịu NIS2 sẽ yêu cầu gì ở nhà cung cấp phần mềm

Trên thực tế, Điều 21 chuyển thành các biện pháp kỹ thuật và bằng chứng mà nhà cung cấp nên trình bày được mà không cần mở một dự án mới. Những yêu cầu thường gặp nhất:

• Vòng đời phát triển an toàn. Mô hình hóa mối đe dọa cho các thay đổi đáng kể, rà soát chéo mã nguồn, kiểm thử bảo mật tự động và quét thư viện phụ thuộc trong quy trình phát hành, bản build được ký số và danh mục thành phần phần mềm (SBOM) cho mỗi bản phát hành.
• Xử lý và công bố lỗ hổng. Một kênh công khai để báo cáo lỗ hổng, thời gian phản hồi thống nhất theo mức độ nghiêm trọng, và thông báo cho khách hàng khi một lỗ hổng ảnh hưởng đến môi trường của họ.
• Kiểm soát truy cập của nhân sự nhà cung cấp. Tài khoản định danh, xác thực đa yếu tố, quyền tối thiểu, quyền nâng cao có thời hạn và nhật ký mọi thao tác quản trị trong môi trường của khách hàng.
• Nhật ký và bằng chứng sự cố. Sự kiện liên quan đến an ninh được ghi nhật ký với dấu thời gian tin cậy, lưu trong thời hạn đã thống nhất và xuất được, để khách hàng trả lời được các câu hỏi của cảnh báo sớm và báo cáo cuối cùng.
• Phối hợp khi có sự cố. Một đầu mối và kênh liên lạc được chỉ định, thời gian thông báo nằm gọn trong 24 giờ của khách hàng, và hỗ trợ phân tích nguyên nhân gốc.
• Duy trì hoạt động và khôi phục. Bản sao lưu được chứng minh bằng việc khôi phục thực tế, mục tiêu khôi phục khớp với mục tiêu của khách hàng, và một quy trình đã được diễn tập.
• Hồ sơ chuỗi cung ứng. Danh sách cập nhật các nhà thầu phụ và địa điểm lưu trữ, và các thành phần, dịch vụ chính của bên thứ ba mà giải pháp phụ thuộc vào.
• Kế hoạch rút lui. Xuất dữ liệu ở định dạng dùng được, tài liệu và hỗ trợ bàn giao, để khách hàng có thể đổi nhà cung cấp mà không mất quyền kiểm soát dịch vụ.

Không điều nào ở trên là mới với các đội ngũ kỹ thuật trưởng thành. Điều NIS2 thay đổi là khách hàng phải chứng minh được những điều đó. Trang Tin cậy và tuân thủ mô tả cách chúng tôi làm việc với tư cách nhà cung cấp, kể cả hệ thống quản lý an toàn thông tin đạt chứng nhận ISO/IEC 27001.

07Danh mục kiểm tra cho hợp đồng và mua sắm

1. 01Gắn nhà cung cấp với dịch vụ. Ghi lại nhà cung cấp nào hỗ trợ dịch vụ nào thuộc phạm vi, và nhà cung cấp nào có quyền truy cập hệ thống hoặc dữ liệu.
2. 02Phân loại theo mức độ trọng yếu. Áp dụng yêu cầu cao nhất cho nhà cung cấp vận hành hoặc có thể thay đổi hệ thống trọng yếu.
3. 03Đưa các biện pháp vào hợp đồng. Yêu cầu an ninh, thời gian và kênh thông báo sự cố, xử lý lỗ hổng, ghi và lưu nhật ký, quyền kiểm toán hoặc quyền yêu cầu bằng chứng, quy tắc thuê nhà thầu phụ và địa điểm.
4. 04Yêu cầu bằng chứng, không phải lời cam kết. Chứng nhận kèm phạm vi, kết quả kiểm thử, SBOM, ngày của lần kiểm thử khôi phục gần nhất.
5. 05Thống nhất trước phương án rút lui. Hoàn trả dữ liệu, hỗ trợ chuyển đổi và khoảng thời gian nhà cung cấp tiếp tục duy trì dịch vụ.
6. 06Diễn tập cùng nhau. Tổ chức diễn tập sự cố với các nhà cung cấp trọng yếu, kể cả cảnh báo sớm trong 24 giờ.
7. 07Rà soát thường xuyên. Nhà cung cấp, dịch vụ và mối đe dọa luôn thay đổi; một sổ theo dõi nhà cung cấp chỉ cập nhật mỗi năm một lần sẽ lỗi thời trong phần lớn thời gian của năm.

08Luật quốc gia quyết định chi tiết

Đăng ký, cổng báo cáo, biểu mẫu, cơ quan có thẩm quyền và mọi yêu cầu bổ sung đều đến từ luật quốc gia. Một số quốc gia thành viên gắn các biện pháp của Điều 21 với một khung hoặc chứng nhận quốc gia. Theo nguyên tắc chung, thực thể thuộc thẩm quyền của quốc gia thành viên nơi được thành lập. Điều 26 có các ngoại lệ: nhà cung cấp mạng và dịch vụ viễn thông công cộng thuộc thẩm quyền của từng quốc gia nơi cung cấp dịch vụ; nhà cung cấp dịch vụ điện toán đám mây, trung tâm dữ liệu, dịch vụ được quản lý và một số nhà cung cấp số khác thuộc quốc gia có cơ sở chính; và thực thể hành chính công thuộc quốc gia đã thành lập ra chúng.

Với nhà cung cấp ngoài EU, khoản 3 Điều 26 quy định riêng: các nhà cung cấp số được liệt kê, gồm dịch vụ điện toán đám mây, trung tâm dữ liệu, mạng phân phối nội dung (CDN), dịch vụ được quản lý và dịch vụ an ninh được quản lý, sàn giao dịch trực tuyến, công cụ tìm kiếm, mạng xã hội, dịch vụ DNS và đăng ký tên miền, nếu không được thành lập trong EU nhưng cung cấp dịch vụ tại EU, phải chỉ định một người đại diện tại một quốc gia thành viên nơi họ cung cấp dịch vụ.

09Nhà cung cấp tại Việt Nam và NIS2

Với công ty phần mềm và dịch vụ số tại Việt Nam phát triển, bảo trì hoặc vận hành hệ thống cho khách hàng châu Âu, NIS2 đến theo hai đường. Nếu doanh nghiệp thuộc nhóm nhà cung cấp số được liệt kê ở trên và cung cấp dịch vụ tại EU, quy định về người đại diện của khoản 3 Điều 26 có thể áp dụng trực tiếp; đây là điểm cần đánh giá pháp lý riêng. Các nhà cung cấp còn lại đáp ứng NIS2 thông qua hợp đồng với khách hàng tại EU: các biện pháp, bằng chứng và thời gian thông báo sự cố nêu trong bài này sẽ xuất hiện trong hồ sơ mời thầu, bảng câu hỏi và điều khoản hợp đồng.

Trong nước, Luật An ninh mạng số 116/2025/QH15 có hiệu lực từ ngày 1/7/2026, thay thế Luật An toàn thông tin mạng số 86/2015/QH13 và Luật An ninh mạng số 24/2018/QH14. Nghĩa vụ theo luật Việt Nam và nghĩa vụ hợp đồng theo NIS2 là hai khung riêng; một bộ biện pháp kỹ thuật được ghi chép đầy đủ (nhật ký, kiểm soát truy cập, quy trình sự cố, khôi phục đã kiểm thử) giúp trả lời yêu cầu của cả hai.

10Cần theo dõi gì trong những tháng tới

• Luật chuyển đổi tại quốc gia của từng khách hàng: thời hạn đăng ký, nghị định hướng dẫn và hướng dẫn của cơ quan có thẩm quyền.
• Đề xuất Digital Omnibus (mở trang web bên ngoài) của Ủy ban châu Âu ngày 19/11/2025, COM(2025) 837, theo đó báo cáo sự cố theo NIS2, GDPR, DORA và các luật khác sẽ đi qua một đầu mối duy nhất do ENISA vận hành. Vào tháng 10/2026, đề xuất này vẫn đang được Nghị viện châu Âu xem xét (mở trang web bên ngoài)); cho đến khi được thông qua và áp dụng, các kênh và thời hạn hiện hành vẫn giữ nguyên.
• Các đánh giá rủi ro phối hợp cấp EU về chuỗi cung ứng ICT trọng yếu theo Điều 22, mà thực thể phải tính đến khi lựa chọn biện pháp đối với nhà cung cấp.
• Lộ trình của Đạo luật Khả năng chống chịu trên không gian mạng đối với sản phẩm phần mềm, áp dụng đầy đủ từ ngày 11/12/2027.

Với tổ chức tài chính, Đạo luật về khả năng chống chịu hoạt động số (DORA) thay thế các quy định của NIS2 về quản lý rủi ro ICT, báo cáo sự cố và giám sát; xem bài viết DORA và nhà cung cấp dịch vụ ICT bên thứ ba. Ủy ban châu Âu duy trì trang tổng quan về NIS2 và các văn bản thực thi trên trang chính sách NIS2 (mở trang web bên ngoài).