Luật An ninh mạng 2025 đã chính thức có hiệu lực từ ngày 1/7/2026. Một trong những câu hỏi CMC Telecom nhận được nhiều từ doanh nghiệp là: “Có phải từ nay máy chủ (server) chứa dữ liệu của doanh nghiệp bắt buộc phải đặt tại Việt Nam?”. Câu trả lời không đơn giản là […]
Luật An ninh mạng 2025 đã chính thức có hiệu lực từ ngày 1/7/2026. Một trong những câu hỏi CMC Telecom nhận được nhiều từ doanh nghiệp là: “Có phải từ nay máy chủ (server) chứa dữ liệu của doanh nghiệp bắt buộc phải đặt tại Việt Nam?”. Câu trả lời không đơn giản là “có” hay “không”. Điều quan trọng là doanh nghiệp cần xác định mình có thuộc đối tượng áp dụng hay không, loại dữ liệu nào đang được xử lý và nghĩa vụ lưu trữ nào thực sự phát sinh.
Trong quá trình chuyển đổi số, việc một doanh nghiệp vận hành hạ tầng tại nhiều địa điểm đã trở nên phổ biến. Dữ liệu có thể được xử lý tại Data Center trong nước, trên Private Cloud, Public Cloud, Hybrid Cloud hoặc trên hạ tầng của các nhà cung cấp quốc tế.
Vì vậy, sau khi Luật An ninh mạng 2025 có hiệu lực, câu hỏi “Server có bắt buộc phải đặt tại Việt Nam?” nhanh chóng trở thành mối quan tâm của nhiều doanh nghiệp.
Tuy nhiên, cách hiểu rằng mọi doanh nghiệp phải đưa toàn bộ server về Việt Nam có thể dẫn đến việc đơn giản hóa một yêu cầu pháp lý phức tạp.
Luật An ninh mạng 2025 quy định trách nhiệm đối với doanh nghiệp trong nước và nước ngoài cung cấp dịch vụ trên mạng viễn thông, mạng Internet và các dịch vụ gia tăng trên không gian mạng tại Việt Nam, khi có hoạt động thu thập, khai thác, phân tích hoặc xử lý các nhóm dữ liệu thuộc phạm vi luật quy định.
Với các trường hợp thuộc phạm vi này, doanh nghiệp phải áp dụng các biện pháp bảo vệ dữ liệu theo quy định và lưu trữ dữ liệu tại Việt Nam trong thời gian theo quy định của Chính phủ.
Đối với doanh nghiệp nước ngoài thuộc trường hợp này, Luật cũng đặt ra yêu cầu về việc có chi nhánh hoặc văn phòng đại diện tại Việt Nam.
Như vậy, điều doanh nghiệp cần xem xét trước tiên không phải là:
“Server của tôi đang đặt ở đâu?” mà là “Doanh nghiệp của tôi thuộc đối tượng nào và đang thu thập, xử lý những loại dữ liệu nào?”
Theo các chuyên gia bảo mật CMC Telecom, việc tuân thủ không nên được nhìn nhận đơn thuần như một bài toán về vị trí vật lý của máy chủ.
Một hệ thống thông tin hiện đại có thể bao gồm Data Center, Cloud, SaaS, hệ thống của đối tác và nhiều lớp xử lý dữ liệu khác nhau. Dữ liệu cũng có thể được sao lưu, đồng bộ hoặc xử lý tại nhiều môi trường.
Do đó, trước khi quyết định có cần thay đổi kiến trúc hạ tầng hay không, doanh nghiệp cần xây dựng được bức tranh tổng thể về dữ liệu của mình.
Ít nhất bốn câu hỏi cần được làm rõ:
Thứ nhất, doanh nghiệp đang có những loại dữ liệu nào?
Cần xác định dữ liệu nào đang được thu thập, xử lý và lưu trữ; đâu là dữ liệu của người sử dụng dịch vụ và đâu là những nhóm dữ liệu thuộc phạm vi điều chỉnh của các quy định liên quan.
Thứ hai, dữ liệu đang nằm ở đâu?
Không chỉ server chính, doanh nghiệp cần nhìn cả Cloud, hệ thống backup, ứng dụng SaaS, hệ thống của nhà cung cấp và các môi trường dự phòng.
Thứ ba, dữ liệu đang đi đâu?
Một dữ liệu có thể được tạo ra tại Việt Nam nhưng được đồng bộ, phân tích hoặc xử lý qua nhiều hệ thống khác nhau. Vì vậy, hiểu được data flow quan trọng không kém việc xác định nơi đặt server.
Thứ tư, ai đang có quyền truy cập dữ liệu?
Quản trị truy cập, phân quyền, giám sát và lưu vết hoạt động là những thành phần quan trọng của bài toán bảo vệ dữ liệu, đặc biệt khi doanh nghiệp vận hành môi trường Hybrid Cloud hoặc Multi-Cloud.
Một sai lầm doanh nghiệp có thể gặp phải khi quy định mới có hiệu lực là ngay lập tức tìm thêm một sản phẩm Security, di chuyển workload hoặc thay đổi kiến trúc hạ tầng khi chưa đánh giá đầy đủ hiện trạng.
Theo chuyên gia bảo mật CMC Telecom, một lộ trình phù hợp nên bắt đầu từ việc xác định phạm vi – đánh giá hiện trạng – nhận diện khoảng trống – sau đó mới lựa chọn giải pháp.
Doanh nghiệp có thể bắt đầu bằng việc rà soát:
Cách tiếp cận này giúp doanh nghiệp tránh hai thái cực: đầu tư thiếu vì đánh giá thấp nghĩa vụ, hoặc đầu tư quá mức vì hiểu chưa đúng phạm vi áp dụng.
Luật An ninh mạng 2025 có hiệu lực từ ngày 1/7/2026 không chỉ tạo thêm những yêu cầu doanh nghiệp cần đáp ứng, mà còn đặt ra nhu cầu nhìn lại toàn bộ cách tổ chức đang quản trị hạ tầng, dữ liệu và rủi ro an ninh mạng.
Vì vậy, câu hỏi “Server có bắt buộc đặt tại Việt Nam?” chỉ nên là điểm khởi đầu.
Câu hỏi lớn hơn mà CIO, CISO và lãnh đạo doanh nghiệp cần trả lời là:
Dữ liệu của doanh nghiệp đang ở đâu, đang được xử lý như thế nào, ai có quyền truy cập và liệu toàn bộ hệ thống hiện tại đã đáp ứng đúng các nghĩa vụ áp dụng hay chưa?
Khi trả lời được những câu hỏi đó, doanh nghiệp mới có cơ sở để quyết định nên giữ nguyên, điều chỉnh hay tái thiết kế kiến trúc hạ tầng và bảo mật của mình.
