Trong hai ngày 22 và 23/10/2026, ba doanh nghiệp CAEX, SCEX và TCEX lần lượt công bố hồ sơ an toàn hệ thống thông tin cấp độ 4 của mình đã vượt qua vòng thẩm định tại Cục An ninh mạng (A05), Bộ Công an.
Với nhiều người dùng, cụm từ cấp độ 4 nghe khá kỹ thuật và khó hình dung. Thực chất, đó là một nấc trong thang phân loại 5 cấp mà Nhà nước dùng để quyết định một hệ thống thông tin cần lớp bảo vệ dày tới đâu, dựa trên loại dữ liệu hệ thống xử lý và hậu quả nếu hệ thống ngừng chạy hoặc rơi vào tay kẻ tấn công.
Với các sàn tài sản mã hóa, cấp độ 4 mang thêm một ý nghĩa pháp lý cụ thể. Nghị quyết 05/2025/NQ-CP của Chính phủ về thí điểm thị trường tài sản mã hóa yêu cầu hệ thống công nghệ thông tin của tổ chức cung cấp dịch vụ phải đạt chuẩn an toàn cấp độ 4 trước khi đưa vào vận hành, khai thác.
Thang 5 cấp độ và vị trí của cấp độ 4 trong quy định pháp luật
Nền tảng của khái niệm nằm ở Nghị định 85/2016/NĐ-CP ngày 1/7/2016 về bảo đảm an toàn hệ thống thông tin theo cấp độ, văn bản hướng dẫn Luật An toàn thông tin mạng năm 2015. Nghị định chia thông tin thành bốn loại gồm thông tin công cộng, thông tin riêng, thông tin cá nhân và thông tin bí mật nhà nước, đồng thời chia hệ thống theo chức năng phục vụ.
Ở nấc thấp nhất, cấp độ 1 dành cho hệ thống nội bộ chỉ xử lý thông tin công cộng. Cấp độ 2 bao gồm các dịch vụ trực tuyến xử lý thông tin cá nhân của dưới 10.000 người dùng. Khi con số chạm mốc 10.000 người dùng, hoặc dịch vụ thuộc danh mục ngành nghề kinh doanh có điều kiện, hệ thống chuyển lên cấp độ 3.
![Thang 5 cấp và vị trí an toàn hệ thống thông tin cấp độ 4 tại Việt Nam. Chú thích ảnh có thể ghi: Thang phân loại 5 cấp độ theo Nghị định 85/2016/NĐ-CP.]( "Thang 5 cấp và vị trí an toàn hệ thống thông tin cấp độ 4 tại Việt Nam. Chú thích ảnh có thể ghi: Thang phân loại 5 cấp độ theo Nghị định 85/2016/NĐ-CP.") |
| Thang 5 cấp và vị trí an toàn hệ thống thông tin cấp độ 4 tại Việt Nam. Chú thích ảnh có thể ghi: Thang phân loại 5 cấp độ theo Nghị định 85/2016/NĐ-CP. |
Cấp độ 4 nằm ngay dưới mức cao nhất. Theo Điều 10 Nghị định 85/2016/NĐ-CP, một hệ thống thuộc cấp độ 4 khi đáp ứng một trong bốn tiêu chí. Thứ nhất là hệ thống xử lý bí mật nhà nước hoặc phục vụ quốc phòng, an ninh mà hành vi phá hoại có thể gây tổn hại nghiêm trọng tới an ninh quốc gia.
Thứ hai là hệ thống thông tin quốc gia phục vụ Chính phủ điện tử, phải chạy liên tục 24/7 và không chấp nhận ngừng ngoài kế hoạch. Thứ ba là hạ tầng thông tin dùng chung cho các cơ quan, tổ chức trên phạm vi toàn quốc, cũng với yêu cầu vận hành 24/7. Thứ tư là hệ thống điều khiển công nghiệp trực tiếp vận hành các công trình xây dựng cấp I.
Phía trên cấp độ 4 chỉ còn cấp độ 5, nhóm hệ thống thông tin quan trọng quốc gia mà Thủ tướng Chính phủ phê duyệt danh mục. Nhóm cấp độ 5 bao gồm hệ thống lưu trữ tập trung dữ liệu đặc biệt quan trọng và hạ tầng kết nối Việt Nam với quốc tế.
Đối chiếu bốn tiêu chí an toàn hệ thống thông tin cấp độ 4, sàn tài sản mã hóa không thuộc trọn vẹn nhóm nào. Theo thang tiêu chí gốc, một nền tảng giao dịch trực tuyến phục vụ trên 10.000 người dùng thường rơi vào cấp độ 3. Yêu cầu cấp độ 4 với nhóm doanh nghiệp đến trực tiếp từ khoản 7 Điều 8 Nghị quyết 05/2025/NQ-CP.
Một cách lý giải là sàn giữ tài sản thật của người dùng, khớp lệnh liên tục và luôn nằm trong tầm ngắm của các nhóm tin tặc quy mô lớn. Tháng 9/2026, sàn quốc tế Bitget cho biết một vụ tấn công ảnh hưởng tới khoảng 351,6 triệu USD tài sản số, cho thấy mức thiệt hại một sự cố có thể gây ra với loại hình kinh doanh đó.
Hồ sơ cấp độ 4 phải chứng minh những gì trước cơ quan thẩm định
Hồ sơ an toàn hệ thống thông tin cấp độ 4 không dừng ở việc doanh nghiệp tự nhận mình thuộc nhóm nào. Theo Điều 15 Nghị định 85/2016/NĐ-CP, hồ sơ đề xuất gồm tài liệu mô tả tổng quan hệ thống, tài liệu thiết kế, thuyết minh căn cứ đề xuất cấp độ và thuyết minh phương án bảo đảm an toàn.
Thành phần thứ năm là ý kiến chuyên môn của đơn vị chuyên trách an toàn thông tin thuộc chủ quản hệ thống, chỉ bắt buộc với hồ sơ cấp độ 4 và cấp độ 5. Cơ quan thẩm định có tối đa 30 ngày để xem xét một bộ hồ sơ cấp độ 4 hợp lệ, gấp đôi thời hạn 15 ngày áp cho cấp độ 3.
Phương án bảo đảm an toàn phải bao trùm toàn bộ vòng đời hệ thống, từ khâu thiết kế, xây dựng, vận hành tới kiểm tra đánh giá, quản lý rủi ro, giám sát, dự phòng và khôi phục sau thảm họa. Phương án cũng phải tính tới giai đoạn kết thúc vận hành, thanh lý và hủy bỏ hệ thống.
Phần nội dung kỹ thuật bám theo Thông tư 12/2022/TT-BTTTT và tiêu chuẩn quốc gia TCVN 11930:2017. Hai văn bản chia yêu cầu thành hai nhóm. Nhóm quản lý gồm chính sách an toàn thông tin, tổ chức bộ máy, nhân lực, quản lý thiết kế, vận hành và quản lý rủi ro. Nhóm kỹ thuật gồm bảo vệ mạng, máy chủ, ứng dụng và dữ liệu.
Sau khi có cấp độ, nghĩa vụ vẫn tiếp diễn. Chủ quản hệ thống cấp độ 3 và cấp độ 4 phải kiểm tra, đánh giá an toàn thông tin cùng rủi ro hằng năm. Đơn vị đứng ra đánh giá phải là tổ chức chuyên môn có giấy phép, tổ chức sự nghiệp nhà nước có chức năng phù hợp hoặc đơn vị mà cơ quan có thẩm quyền chỉ định.
Từ ngày 1/7/2026, Luật An ninh mạng số 116/2025/QH15 có hiệu lực, kéo theo Nghị định 331/2026/NĐ-CP ngày 19/8/2026 về bảo vệ an ninh mạng đối với hệ thống thông tin. Những hệ thống đã có cấp độ theo Luật An toàn thông tin mạng tiếp tục giữ cấp độ đó trong giai đoạn chuyển tiếp.
Với hệ thống đầu tư, xây dựng trước ngày 1/7/2026, chủ quản phải hoàn tất thẩm định, phê duyệt cấp độ theo Nghị định 85/2016/NĐ-CP trong 6 tháng. Trong 12 tháng kể từ ngày luật mới có hiệu lực, hệ thống phải đáp ứng đủ điều kiện và biện pháp bảo vệ tương ứng với cấp độ theo nghị định mới.
Nghị định 331/2026/NĐ-CP cho phép hệ thống cấp độ 3 và cấp độ 4 dùng chung hạ tầng vật lý tại trung tâm dữ liệu hoặc nền tảng điện toán đám mây. Điều kiện đi kèm là doanh nghiệp phải tách riêng về mặt lô gíc phần hệ thống, phân vùng mạng và phân vùng lưu trữ dữ liệu, qua đó giảm chi phí đầu tư phần cứng riêng.
CAEX, SCEX và TCEX đạt cấp độ 4, giấy phép vẫn ở phía trước
CAEX là Công ty cổ phần Sàn giao dịch Tài sản mã hóa Việt Nam Thịnh Vượng, thành viên hệ sinh thái VPBank. Ngày 22/10/2026, doanh nghiệp công bố Cục An ninh mạng đã thẩm định và đồng ý với đề xuất an toàn hệ thống thông tin cấp độ 4 của sàn.
![Bảo vệ thông tin nhạy cảm trong các trung tâm dữ liệu đòi hỏi một chiến lược toàn diện bao gồm cả các biện pháp an ninh vật lý cho cơ sở và các biện pháp phòng thủ ảo chống lại các mối đe dọa mạng, đảm bảo một cách tiếp cận đa lớp để bảo vệ dữ liệu. Nguồn ENCOR]( "Bảo vệ thông tin nhạy cảm trong các trung tâm dữ liệu đòi hỏi một chiến lược toàn diện bao gồm cả các biện pháp an ninh vật lý cho cơ sở và các biện pháp phòng thủ ảo chống lại các mối đe dọa mạng, đảm bảo một cách tiếp cận đa lớp để bảo vệ dữ liệu. Nguồn ENCOR") |
| Bảo vệ thông tin nhạy cảm trong các trung tâm dữ liệu đòi hỏi một chiến lược toàn diện bao gồm cả các biện pháp an ninh vật lý cho cơ sở và các biện pháp phòng thủ ảo chống lại các mối đe dọa mạng, đảm bảo một cách tiếp cận đa lớp để bảo vệ dữ liệu. Nguồn: ENCOR |
CAEX cho biết đang phát triển năng lực giám sát giao dịch trên blockchain, sàng lọc địa chỉ ví và nhận diện luồng tài sản có dấu hiệu rủi ro, hướng tới khả năng truy vết giao dịch theo chuẩn tuân thủ quốc tế. Doanh nghiệp cũng công bố đã nâng vốn điều lệ lên 10.000 tỷ đồng.
SCEX, tức Công ty cổ phần Sàn giao dịch Tài sản mã hóa Sacom, thông báo kết quả thẩm định cùng thời điểm. Doanh nghiệp cho biết đã thiết kế hạ tầng theo yêu cầu cấp độ 4 ngay từ giai đoạn xây dựng, kết hợp mô hình lưu ký tài sản nhiều lớp. Theo thông tin thay đổi đăng ký doanh nghiệp ngày 14/10/2026, SCEX tăng vốn điều lệ từ 5.000 tỷ đồng lên 10.000 tỷ đồng.
Ngày 23/10/2026, Công ty cổ phần Sàn giao dịch Tài sản mã hóa Techcom (TCEX) công bố kết quả thẩm định an toàn hệ thống thông tin cấp độ 4 theo Công văn số 5490/BCA-A05 ngày 12/10/2026. TCEX thành lập ngày 5/5/2025, với Công ty cổ phần Chứng khoán Kỹ Thương (TCBS) tham gia sáng lập và góp vốn.
TCEX định hướng tự vận hành tại Việt Nam các hệ thống lõi gồm khớp lệnh, lưu ký tài sản mã hóa và giám sát giao dịch. Doanh nghiệp lưu khóa bảo mật trong nước, kết hợp cơ chế ký đa bên và thiết bị bảo mật chuyên dụng, còn hệ thống nạp, rút bằng đồng Việt Nam kết nối trực tiếp với ngân hàng.
Kết quả cấp độ 4 không đồng nghĩa với giấy phép tổ chức thị trường giao dịch. Theo Điều 8 Nghị quyết 05/2025/NQ-CP, doanh nghiệp còn phải có vốn điều lệ đã góp tối thiểu 10.000 tỷ đồng, trong đó ít nhất 65% vốn đến từ các tổ chức và trên 35% vốn đến từ ít nhất hai tổ chức thuộc nhóm ngành nghề quy định.
Hồ sơ cấp phép còn phải chứng minh năng lực nhân sự, cơ sở vật chất, quản trị rủi ro, lưu ký tài sản, giám sát giao dịch và phòng, chống rửa tiền. Bộ Tài chính là cơ quan xem xét, cấp giấy phép cung cấp dịch vụ tổ chức thị trường giao dịch tài sản mã hóa.
Với TCEX, Bộ Tài chính đã có Công văn 5547/BTC-UBCK ngày 4/5/2026 xác nhận hồ sơ vòng đánh giá đầu tiên đầy đủ, hợp lệ, và doanh nghiệp đang hoàn thiện phần xác nhận vốn góp cùng cơ sở vật chất. Với SCEX, mức vốn ghi trên đăng ký doanh nghiệp chưa thay thế tài liệu chứng minh vốn đã góp có kiểm toán theo yêu cầu của Nghị quyết 05.
Ba doanh nghiệp đã có kết quả thẩm định cấp độ 4 trong cùng một tuần, còn số giấy phép tổ chức thị trường giao dịch mà nhóm nhận về vẫn là 0. Với ngưỡng vốn 10.000 tỷ đồng cho mỗi sàn tài sản mã hóa, cuộc đua vào thị trường thí điểm tại Việt Nam đang diễn ra song song ở cả hạ tầng công nghệ lẫn năng lực tài chính.
