Quyết định 556-QĐ/VPTW 2026 quy định xây dựng và quản lý hệ thống thông tin cơ quan Đảng

Điều 1. Ban hành kèm theo Quyết định này Quy định về xây dựng, triển khai, nghiệm thu, quản lý và vận hành hệ thống thông tin trong các cơ quan Đảng.

Điều 2. Các cơ quan, tổ chức đảng ở Trung ương và địa phương khi xây dựng, triển khai, nghiệm thu, quản lý và vận hành hệ thống thông tin thuộc phạm vi quản lý, sử dụng, kết nối, chia sẻ dữ liệu hoặc dùng chung trong các cơ quan Đảng có trách nhiệm thực hiện Quyết định này.

Các cơ quan, tổ chức khác khi kết nối, chia sẻ dữ liệu, khai thác, phối hợp vận hành hoặc tham gia bảo đảm an ninh mạng, an ninh dữ liệu, an toàn dữ liệu, sao lưu, phục hồi, khôi phục sau sự cố đối với hệ thống thông tin của các cơ quan Đảng thực hiện Quyết định này trong phạm vi trách nhiệm có liên quan.

Điều 3. Giao Cục Chuyển đổi số - Cơ yếu là đơn vị đầu mối tham mưu, hướng dẫn, theo dõi, kiểm tra, đôn đốc việc thực hiện Quyết định này; tổng hợp khó khăn, vướng mắc, báo cáo Chánh Văn phòng Trung ương Đảng xem xét, quyết định hoặc báo cáo cấp có thẩm quyền đối với nội dung vượt thẩm quyền.

Điều 4. Quyết định này có hiệu lực kể từ ngày ký.

Điều 1. Phạm vi điều chỉnh

1. Quy định này điều chỉnh toàn bộ quá trình xây dựng, triển khai, nghiệm thu, quản lý và vận hành hệ thống thông tin trong các cơ quan Đảng, từ khi phát sinh nhu cầu, xác định bài toán nghiệp vụ, xây dựng đầu bài, lập phương án, thiết kế, triển khai, kiểm thử, nghiệm thu, bàn giao đến quản lý, vận hành, bảo trì, thay đổi, đánh giá, dừng khai thác, thay thế, chuyển giao hoặc thanh lý.

2. Quy định này là căn cứ thống nhất để quản lý hệ thống thông tin theo yêu cầu nghiệp vụ, dữ liệu và kiến trúc; bảo đảm phù hợp với Khung kiến trúc tổng thể quốc gia số, Khung Kiến trúc số trong các cơ quan Đảng và các tài liệu Kiến trúc số có liên quan.

3. Quy định này không thay thế các quy định pháp luật về quy trình, thủ tục về đầu tư, mua sắm, thuê dịch vụ, đấu thầu, đặt hàng, quản lý hợp đồng, nghiệm thu khối lượng, thanh toán, quyết toán, quản lý tài sản hoặc trình tự, thủ tục chuyên ngành về bảo vệ an ninh mạng đối với hệ thống thông tin theo cấp độ. Các cơ quan, đơn vị, tổ chức, cá nhân có liên quan có trách nhiệm, ngoài việc thực hiện Quy định này, tuân thủ đầy đủ các quy định pháp luật hiện hành đối với các nội dung này khi xây dựng, triển khai, nghiệm thu, quản lý và vận hành hệ thống thông tin trong các cơ quan Đảng.

4. Các yêu cầu về hồ sơ, biểu mẫu và điểm kiểm soát tại Quy định này nhằm phục vụ quản trị vòng đời hệ thống thông tin, không làm phát sinh thủ tục trùng lặp với quy định chuyên ngành. Trường hợp pháp luật chuyên ngành, hồ sơ nhiệm vụ, dự án, mua sắm, thuê dịch vụ, hợp đồng hoặc quy định của cấp có thẩm quyền đã có tài liệu tương đương và bảo đảm đầy đủ nội dung cần kiểm soát theo Quy định này thì được sử dụng tài liệu đó.

5. Đối với hệ thống thông tin có tạo lập, xử lý, lưu trữ, truyền đưa, hiển thị, khai thác, tích hợp, chia sẻ hoặc sao lưu thông tin thuộc danh mục bí mật nhà nước, dữ liệu cá nhân, dữ liệu cá nhân nhạy cảm, dữ liệu nội bộ nhạy cảm, dữ liệu hạn chế truy cập, ngoài việc thực hiện Quy định này còn phải tuân thủ quy định của Đảng, pháp luật của Nhà nước về bảo vệ bí mật nhà nước, cơ yếu, bảo vệ dữ liệu cá nhân, bảo vệ an ninh mạng đối với hệ thống thông tin theo cấp độ, quản lý rủi ro an ninh mạng, an ninh dữ liệu, an toàn dữ liệu, bảo mật thông tin, sao lưu, phục hồi, khôi phục sau sự cố và các quy định có liên quan.

Điều 2. Đối tượng áp dụng

1. Cơ quan chủ quản hệ thống thông tin; chủ đầu tư hoặc cơ quan, đơn vị được giao quản lý nhiệm vụ, dự án, hoạt động mua sắm, thuê dịch vụ, xây dựng, nâng cấp, mở rộng hệ thống thông tin.

2. Đơn vị chủ trì sử dụng, đơn vị đề xuất nhu cầu, đơn vị khai thác hệ thống thông tin trong thực tiễn nghiệp vụ.

3. Đơn vị chuyên trách về chuyển đổi số; đơn vị chuyên trách về an ninh mạng, an ninh dữ liệu hoặc đầu mối được giao nhiệm vụ bảo vệ an ninh mạng, an toàn dữ liệu; đơn vị cơ yếu; đơn vị quản lý hạ tầng kỹ thuật; đơn vị quản lý, vận hành hệ thống thông tin.

4. Chủ quản dữ liệu, đơn vị quản trị dữ liệu, đơn vị tạo lập, cập nhật, cung cấp, khai thác, chia sẻ dữ liệu.

5. Nhà thầu, đơn vị tư vấn, thiết kế, phát triển, kiểm thử, cung cấp phần mềm thương mại, cung cấp dịch vụ công nghệ số, bảo trì, hỗ trợ kỹ thuật; người sử dụng hệ thống thông tin; cơ quan, tổ chức khác trong hệ thống chính trị khi kết nối, chia sẻ dữ liệu, phối hợp vận hành hoặc tham gia bảo đảm an ninh mạng, an ninh dữ liệu, an toàn dữ liệu, sao lưu, phục hồi, khôi phục sau sự cố theo phạm vi trách nhiệm được giao.

Điều 3. Giải thích từ ngữ

1. Hệ thống thông tin là tập hợp hạ tầng kỹ thuật, phần mềm, cơ sở dữ liệu, các quy chế, quy định, quy trình quản lý, vận hành và nhân lực có liên quan, được thiết lập để tạo lập, thu thập, xử lý, lưu trữ, gửi nhận, khai thác, chia sẻ thông tin, dữ liệu phục vụ hoạt động của cơ quan, tổ chức, cá nhân.

2. Phần mềm là bộ mã lệnh (còn gọi là chương trình, ứng dụng, nền tảng) được thiết kế, phát triển, cấu hình để xử lý nghiệp vụ, dữ liệu, tương tác với người dùng, tích hợp hệ thống hoặc cung cấp dịch vụ số. Trong phạm vi Quy định này, phần mềm là một thành phần cấu thành nên hệ thống thông tin; không sử dụng thay thế cho khái niệm hệ thống thông tin. Trong đó:

- Phần mềm nội bộ là phần mềm được thiết kế, xây dựng, phát triển, nâng cấp, mở rộng theo yêu cầu riêng nhằm đáp ứng nhu cầu đặc thù của cơ quan, tổ chức, đơn vị, cá nhân.

- Phần mềm thương mại là phần mềm sẵn có, được cung cấp ngay khi có nhu cầu mà không phải thông qua đặt hàng thiết kế, xây dựng, phát triển, nâng cấp, mở rộng theo yêu cầu riêng.

3. Dịch vụ công nghệ số là việc cung cấp sản phẩm, nền tảng, phần mềm, hạ tầng, công cụ, dữ liệu hoặc năng lực công nghệ số dưới dạng dịch vụ để cơ quan, tổ chức, cá nhân khai thác, sử dụng theo thoả thuận, hợp đồng hoặc điều kiện dịch vụ được phê duyệt.

4. Cổng ứng dụng của các cơ quan Đảng là môi trường tập trung để công bố, tích hợp, truy cập hoặc khai thác các ứng dụng thành phần phục vụ hoạt động của các cơ quan Đảng theo mô hình được cấp có thẩm quyền phê duyệt. Ứng dụng thành phần trên Cổng là phần mềm, dịch vụ hoặc chức năng được đưa lên Cổng ứng dụng để người dùng truy cập, khai thác theo phân quyền.

5. Hệ thống thông tin có xử lý thông tin mật là hệ thống thông tin có tạo lập, xử lý, lưu trữ, gửi nhận, hiển thị, khai thác hoặc sao lưu thông tin thuộc danh mục bí mật nhà nước.

6. Chủ quản hệ thống thông tin là cơ quan, tổ chức, đơn vị, cá nhân có thẩm quyền quản lý trực tiếp hoặc được giao quản lý đối với hệ thống thông tin; trực tiếp chỉ đạo, chịu trách nhiệm tổ chức bảo vệ an ninh mạng đối với hệ thống thông tin thuộc phạm vi quản lý; chịu trách nhiệm về mục tiêu, phạm vi, dữ liệu, an ninh mạng, an ninh dữ liệu, an toàn dữ liệu, khả năng vận hành liên tục, hiệu quả khai thác và tổ chức vận hành hệ thống theo thẩm quyền.

7. Chủ đầu tư hoặc đơn vị được giao quản lý nhiệm vụ, dự án là cơ quan, đơn vị được cấp có thẩm quyền giao tổ chức thực hiện nhiệm vụ, dự án, hoạt động mua sắm, thuê dịch vụ, xây dựng, nâng cấp, mở rộng hệ thống thông tin theo quy định.

8. Đơn vị chủ trì sử dụng là đơn vị đề xuất nhu cầu, xác định bài toán nghiệp vụ, yêu cầu sử dụng, yêu cầu dữ liệu nghiệp vụ; tham gia kiểm thử, vận hành thử, nghiệm thu sử dụng và chịu trách nhiệm về tính đúng, đủ, phù hợp, hợp pháp của yêu cầu nghiệp vụ, dữ liệu nghiệp vụ và nội dung xác nhận trong quá trình kiểm thử, vận hành thử, nghiệm thu.

9. Chủ quản dữ liệu là cơ quan, tổ chức, đơn vị có thẩm quyền quản lý, quyết định mục đích, phạm vi, phương thức tạo lập, cập nhật, khai thác, chia sẻ, lưu trữ, chỉnh sửa, chuyển đổi, thu hồi, tiêu huỷ hoặc lưu trữ lâu dài đối với dữ liệu thuộc phạm vi được giao.

10. Đơn vị quản trị dữ liệu là đơn vị được giao tổ chức quản lý kỹ thuật đối với dữ liệu, gồm cấu trúc dữ liệu, chuẩn dữ liệu, mã định danh, phân quyền, nhật ký, truy vết, sao lưu, đối soát, tích hợp và điều kiện kỹ thuật phục vụ quản lý dữ liệu.

11. Bài toán nghiệp vụ là tài liệu mô tả nhu cầu, hiện trạng, vấn đề cần giải quyết, mục tiêu nghiệp vụ, quy trình nghiệp vụ, yêu cầu chức năng, yêu cầu dữ liệu, yêu cầu phi chức năng và kết quả kỳ vọng do đơn vị chủ trì sử dụng đề xuất.

12. Đầu bài là tài liệu mô tả yêu cầu nghiệp vụ, dữ liệu, kỹ thuật, tích hợp, an ninh mạng, an ninh dữ liệu, an toàn dữ liệu, sao lưu, phục hồi, vận hành liên tục, nghiệm thu và các yêu cầu liên quan của hệ thống thông tin, làm căn cứ lập phương án xây dựng, triển khai, thuê, mua hệ thống thông tin.

13. Phương án xây dựng, triển khai là tài liệu xác định mục tiêu, phạm vi, kiến trúc, công nghệ, mô hình triển khai, yêu cầu dữ liệu, tích hợp, an ninh mạng, an ninh dữ liệu, an toàn dữ liệu, sao lưu, phục hồi, vận hành liên tục, kiểm thử, vận hành thử, nghiệm thu, bàn giao, vận hành, bảo trì, tiến độ và phân công trách nhiệm.

14. Hồ sơ hoàn thành là tập hợp hồ sơ, tài liệu hình thành trong quá trình xây dựng, triển khai, kiểm thử, vận hành thử, nghiệm thu, bàn giao hệ thống thông tin, được lưu trữ để phục vụ vận hành, bảo trì, kiểm tra, đánh giá, xử lý sự cố, nâng cấp, thay thế hoặc dừng khai thác.

15. Quản lý thay đổi là việc tiếp nhận, đánh giá, phê duyệt, kiểm thử, triển khai, giám sát và lưu hồ sơ đối với thay đổi về nghiệp vụ, chức năng, dữ liệu, cấu hình, tích hợp, hạ tầng, phân quyền, an ninh mạng, an ninh dữ liệu, an toàn dữ liệu, sao lưu, phục hồi, vận hành liên tục và chính sách vận hành sau khi hệ thống đã triển khai.

16. Cấp độ của hệ thống thông tin là cấp độ an ninh mạng của hệ thống thông tin được xác định theo quy định của pháp luật về an ninh mạng, căn cứ loại thông tin, loại hệ thống thông tin, mức độ ảnh hưởng, thiệt hại có thể xảy ra khi hệ thống bị xâm phạm, mất kiểm soát, gián đoạn, bị phá hoại, lộ lọt, mất, sai lệch hoặc không sẵn sàng; trường hợp hệ thống đồng thời thuộc nhiều tiêu chí cấp độ khác nhau thì áp dụng cấp độ cao hơn.

17. Hồ sơ xác định cấp độ là tập hợp hồ sơ, tài liệu phục vụ việc đề xuất, thẩm định, phê duyệt hoặc điều chỉnh cấp độ của hệ thống thông tin và phương án bảo vệ an ninh mạng theo cấp độ, gồm hồ sơ đề xuất cấp độ, hồ sơ phê duyệt cấp độ và các tài liệu liên quan theo quy định của pháp luật về an ninh mạng.

18. Đơn vị chuyên trách về an ninh mạng là đơn vị có chức năng, nhiệm vụ bảo đảm an ninh mạng của chủ quản hệ thống thông tin. Trường hợp cơ quan, đơn vị chưa có đơn vị chuyên trách riêng, thì người đứng đầu cơ quan chủ quản hệ thống thông tin chỉ định bộ phận, cá nhân phụ trách hoặc giao đơn vị chuyên trách chuyển đổi số thực hiện nhiệm vụ chuyên trách về an ninh mạng theo quy định.

19. Đơn vị vận hành hệ thống thông tin là đơn vị được chủ quản hệ thống thông tin giao nhiệm vụ vận hành hệ thống. Trường hợp hệ thống gồm nhiều thành phần hoặc do nhà thầu, đơn vị cung cấp dịch vụ vận hành theo hợp đồng, thì hồ sơ phải xác định rõ trách nhiệm vận hành, quyền quản trị, phạm vi hỗ trợ, thời hạn duy trì và trách nhiệm bàn giao, chuyển giao khi kết thúc dịch vụ.

20. Kiến trúc số giải pháp là mô tả kiến trúc của một nhiệm vụ, dự án, hệ thống thông tin hoặc thay đổi lớn, làm rõ nghiệp vụ, dữ liệu, ứng dụng, nền tảng, hạ tầng, tích hợp, an toàn, an ninh mạng, bảo vệ dữ liệu, vận hành và quan hệ với các tài liệu Kiến trúc số có liên quan.

21. Nguồn dữ liệu có thẩm quyền là hệ thống hoặc chủ thể được giao quyền xác lập, cập nhật và chịu trách nhiệm về giá trị gốc của dữ liệu trong một ngữ cảnh nghiệp vụ xác định.

22. Ngoại lệ kiến trúc là nội dung chưa đáp ứng yêu cầu kiến trúc nhưng được cấp có thẩm quyền xem xét chấp thuận có thời hạn, có căn cứ, đánh giá rủi ro, biện pháp kiểm soát, chủ thể chịu trách nhiệm và lộ trình khắc phục, hội tụ hoặc kết thúc.

Điều 4. Nguyên tắc thực hiện

1. Việc triển khai, vận hành hệ thống thông tin phải tuân thủ quy định của Đảng, pháp luật của Nhà nước và quy định có liên quan; bảo đảm phù hợp với quy mô, mức độ quan trọng, cấp độ, tính chất dữ liệu, phạm vi sử dụng, kết nối, chia sẻ dữ liệu và mức độ rủi ro của hệ thống.

2. Hệ thống thông tin phải phù hợp với Khung Kiến trúc số trong các cơ quan Đảng và các tài liệu Kiến trúc số có liên quan; ưu tiên sử dụng, kế thừa, tái sử dụng nền tảng, hệ thống, dữ liệu và thành phần dùng chung; không đầu tư, thuê dịch vụ hoặc phát triển trùng lặp, phân tán.

3. An ninh mạng, an ninh dữ liệu, an toàn dữ liệu, bảo vệ bí mật nhà nước, bảo vệ dữ liệu cá nhân và quản lý rủi ro phải được xác định, kiểm soát ngay từ khi đề xuất nhu cầu và duy trì trong suốt vòng đời hệ thống thông tin, phù hợp với cấp độ, tính chất dữ liệu và mức độ rủi ro.

4. Yêu cầu nghiệp vụ phải được xác định trước yêu cầu kỹ thuật. Quy trình nghiệp vụ phải được rà soát, chuẩn hoá, đơn giản hoá trước khi số hoá; xác định rõ trách nhiệm, dữ liệu, người dùng, yêu cầu kết nối, tích hợp và các điều kiện bảo đảm an ninh, bảo mật.

5. Hệ thống thông tin phải được thiết kế, quản lý theo hướng lấy dữ liệu làm nền tảng; dữ liệu được tạo lập, cập nhật, quản lý tại nguồn có thẩm quyền, bảo đảm chất lượng và khả năng kết nối, chia sẻ, khai thác, tái sử dụng theo đúng thẩm quyền, mục đích và phạm vi được phép.

6. Việc ứng dụng trí tuệ nhân tạo phải phục vụ yêu cầu nghiệp vụ, bảo đảm quản trị, bảo vệ dữ liệu, an ninh, bảo mật và có sự giám sát của con người. Không sử dụng nền tảng trí tuệ nhân tạo công cộng để xử lý thông tin mật, dữ liệu cá nhân nhạy cảm, dữ liệu nội bộ nhạy cảm hoặc dữ liệu hạn chế truy cập khi chưa được cấp có thẩm quyền cho phép.

Điều 5. Phân loại hệ thống thông tin để áp dụng Quy định

1. Hệ thống thông tin được phân loại để xác định phạm vi hồ sơ, mức độ kiểm soát, yêu cầu thẩm định, kiểm thử, nghiệm thu, bàn giao, vận hành, giám sát và trách nhiệm của các chủ thể tham gia.

2. Việc phân loại căn cứ các tiêu chí: tính chất thông tin xử lý; tính chất nhiệm vụ; mức độ quan trọng; cấp độ của hệ thống thông tin; phạm vi phục vụ; mô hình quản trị.

3. Theo tính chất thông tin xử lý, hệ thống được phân loại thành: hệ thống có xử lý thông tin thuộc danh mục bí mật nhà nước; hệ thống không xử lý thông tin mật nhưng có xử lý dữ liệu cá nhân, dữ liệu cá nhân nhạy cảm, dữ liệu nội bộ nhạy cảm hoặc dữ liệu hạn chế truy cập; và hệ thống không thuộc các trường hợp nêu trên.

4. Theo tính chất nhiệm vụ, hệ thống được phân loại thành xây dựng mới; nâng cấp, mở rộng; mua sắm, cấu hình phần mềm thương mại; thuê dịch vụ công nghệ số; tiếp nhận chuyển giao, tài trợ, sử dụng thử, sử dụng nền tảng dùng chung; bảo trì, thay đổi, thay thế, dừng khai thác hệ thống hiện có. Các nội dung phát triển thử nghiệm, thử nghiệm có kiểm soát trong chuyển đổi số thực hiện theo trình tự, thủ tục riêng quy định tại Điều 12 của Quy định này và quy định của pháp luật có liên quan.

5. Theo mức độ quan trọng, hệ thống được phân loại thành hệ thống thông thường, hệ thống quan trọng và hệ thống trọng yếu phục vụ lãnh đạo, chỉ đạo, điều hành hoặc có tác động lớn đến hoạt động của cơ quan Đảng nếu bị gián đoạn, mất dữ liệu, lộ lọt dữ liệu, sai lệch dữ liệu hoặc bị tấn công.

6. Căn cứ kết quả phân loại, hệ thống thông tin được xác định theo một trong ba nhóm áp dụng:

a) Nhóm áp dụng đầy đủ đối với hệ thống trọng yếu, hệ thống quan trọng, hệ thống dùng chung, hệ thống có xử lý thông tin mật, dữ liệu cá nhân, dữ liệu hạn chế truy cập, hệ thống có kết nối, chia sẻ dữ liệu rộng, hệ thống từ cấp độ 3 trở lên hoặc có yêu cầu vận hành liên tục;

b) Nhóm áp dụng rút gọn đối với hệ thống nội bộ quy mô nhỏ, cấp độ 1, cấp độ 2, ít người dùng, ít kết nối, không xử lý thông tin mật, không xử lý dữ liệu cá nhân, dữ liệu cá nhân nhạy cảm, dữ liệu nội bộ nhạy cảm, dữ liệu hạn chế truy cập và không tác động lớn đến hoạt động nghiệp vụ nếu gián đoạn;

c) Nhóm áp dụng đặc thù đối với phần mềm thương mại, dịch vụ công nghệ số, nền tảng dùng chung, dịch vụ điện toán đám mây, hệ thống thuê dịch vụ, hệ thống tiếp nhận chuyển giao, tài trợ, sử dụng thử hoặc phối hợp khai thác.

7. Hồ sơ, kiểm thử, nghiệm thu, bàn giao, vận hành và giám sát đối với từng nhóm áp dụng được xác định theo phụ lục hoặc hướng dẫn kèm theo; không áp dụng cùng một mức hồ sơ, kiểm soát và thủ tục kỹ thuật đối với mọi loại hệ thống. Việc áp dụng rút gọn hoặc đặc thù phải được nêu rõ trong hồ sơ, được xác nhận theo thẩm quyền và không làm giảm yêu cầu về bảo vệ bí mật nhà nước, bảo vệ dữ liệu cá nhân, bảo vệ dữ liệu, an ninh mạng và trách nhiệm vận hành.

Trường hợp một hệ thống đồng thời có dấu hiệu thuộc nhiều nhóm áp dụng, thực hiện yêu cầu kiểm soát cao hơn đối với từng nội dung có liên quan. Việc xác định là nhóm áp dụng đặc thù chỉ để lựa chọn hồ sơ, cách thức kiểm soát phù hợp với hình thức triển khai, không làm giảm các yêu cầu bắt buộc về bảo vệ bí mật nhà nước, bảo vệ dữ liệu cá nhân, an ninh mạng, phân quyền, nhật ký, sao lưu, phục hồi, xử lý sự cố và trách nhiệm vận hành.

8. Việc xác định hệ thống thông tin để phân loại, xác định cấp độ phải căn cứ chức năng nghiệp vụ, dữ liệu xử lý, đối tượng sử dụng, đối tượng vận hành, đối tượng phục vụ, dịch vụ cung cấp và kết quả đầu ra; không chỉ căn cứ địa giới hành chính, mô hình triển khai, hạ tầng, thiết bị hoặc phạm vi đầu tư.

9. Không phân tách hệ thống thông tin thành nhiều hệ thống nhằm hạ thấp cấp độ. Trường hợp các hệ thống thành phần có phụ thuộc chặt chẽ, chia sẻ dữ liệu, cùng quy trình nghiệp vụ hoặc có khả năng gây tác động dây chuyền khi xảy ra sự cố thì phải xem xét trong một chỉnh thể khi phân loại, xác định cấp độ và phương án bảo vệ.

10. Trường hợp hệ thống xử lý nhiều loại thông tin, dữ liệu hoặc đáp ứng đồng thời nhiều tiêu chí cấp độ khác nhau thì xác định theo cấp độ cao nhất; trường hợp hệ thống chỉ kết nối, chia sẻ dữ liệu với hệ thống khác nhưng không phụ thuộc chức năng, vận hành thì có thể xác định cấp độ riêng theo phạm vi, rủi ro và thẩm quyền quản lý.

Điều 12. Đề xuất nhu cầu và tiếp nhận yêu cầu

1. Khi có nhu cầu xây dựng mới, nâng cấp, mở rộng, mua sắm, thuê dịch vụ, tiếp nhận chuyển giao, sử dụng thử, sử dụng nền tảng dùng chung hoặc thay thế hệ thống thông tin, đơn vị chủ trì sử dụng lập Phiếu yêu cầu hoặc tài liệu đề xuất tương đương gửi chủ đầu tư hoặc đơn vị được giao quản lý nhiệm vụ, dự án để xem xét, xử lý theo thẩm quyền.

2. Phiếu yêu cầu hoặc tài liệu tương đương phải nêu rõ tên nhu cầu, căn cứ chính trị, pháp lý, nghiệp vụ, mục tiêu, phạm vi, đối tượng sử dụng, quy mô dự kiến, quy trình nghiệp vụ liên quan, điểm cần xử lý, dữ liệu dự kiến xử lý, nhu cầu tích hợp, yêu cầu vận hành liên tục, hình thức thực hiện, tiến độ và đầu mối phối hợp.

3. Phiếu yêu cầu hoặc tài liệu tương đương phải đánh giá sơ bộ khả năng sử dụng trực tiếp, cấu hình, kế thừa, dùng chung, tái sử dụng, tích hợp hoặc mở rộng lõi số dùng chung, thành phần dùng chung và hệ thống thông tin đã có; sự phù hợp với Khung Kiến trúc số trong các cơ quan Đảng và Kiến trúc số có liên quan; nguồn dữ liệu có thẩm quyền, khả năng kết nối, chia sẻ dữ liệu, tránh trùng lặp đầu tư và khả năng đáp ứng tiêu chuẩn, quy chuẩn kỹ thuật. Trường hợp đề xuất thành phần đặc thù phải nêu rõ khoảng trống mà thành phần dùng chung chưa đáp ứng và phương án tích hợp, hội tụ khi điều kiện thay đổi.

4. Chủ đầu tư hoặc đơn vị được giao quản lý nhiệm vụ, dự án có trách nhiệm tiếp nhận, kiểm tra tính đầy đủ, hợp lệ của Phiếu yêu cầu; phân công đầu mối xử lý; thông báo tiếp nhận hoặc yêu cầu bổ sung thông tin.

5. Trường hợp phát triển thử nghiệm, thử nghiệm có kiểm soát sản phẩm, dịch vụ, mô hình hoặc giải pháp công nghệ số, việc đề xuất, phê duyệt, tổ chức thử nghiệm, đánh giá, công nhận kết quả thử nghiệm và xử lý sau thử nghiệm thực hiện theo quy định của pháp luật về chuyển đổi số và hướng dẫn của cấp có thẩm quyền; không áp dụng trình tự đề xuất nhu cầu thông thường quy định tại các khoản 1, 2, 3 và 4 của Điều này, trừ trường hợp cấp có thẩm quyền yêu cầu.

Điều 13. Khảo sát nghiệp vụ, hiện trạng và dữ liệu

1. Căn cứ Phiếu yêu cầu đã được tiếp nhận, chủ đầu tư hoặc đơn vị được giao quản lý nhiệm vụ, dự án tổ chức khảo sát nghiệp vụ, dữ liệu, hệ thống thông tin, hạ tầng kỹ thuật, tích hợp, an ninh mạng và các điều kiện liên quan để làm cơ sở xây dựng đầu bài, lập phương án.

2. Trường hợp đã có đủ thông tin, tài liệu, dữ liệu, hồ sơ, báo cáo hoặc kết quả khảo sát trước đó làm cơ sở xây dựng đầu bài, lập phương án, có thể không tổ chức khảo sát mới hoặc chỉ khảo sát bổ sung đối với nội dung còn thiếu; việc này phải được thể hiện trong hồ sơ.

3. Nội dung khảo sát phải xác định được quy trình nghiệp vụ, hồ sơ, biểu mẫu, nhóm người dùng, vai trò, quyền hạn, điểm cần cải tiến và yêu cầu chuẩn hoá trước khi số hoá; đồng thời ghi nhận danh mục dữ liệu, nguồn dữ liệu có thẩm quyền, nơi tạo lập và chủ thể chịu trách nhiệm xác lập giá trị gốc, chủ thể cập nhật, cấu trúc, chất lượng, dữ liệu chủ, dữ liệu tham chiếu, dữ liệu dùng chung, dữ liệu kế thừa, dữ liệu cần làm sạch, chuẩn hoá, đối soát, dữ liệu mật hoặc dữ liệu nhạy cảm nếu có.

4. Đối với hệ thống, hạ tầng kỹ thuật và an ninh mạng, nội dung khảo sát phải đánh giá các hệ thống liên quan, chức năng nghiệp vụ, dữ liệu xử lý, đối tượng sử dụng, đối tượng vận hành, đối tượng phục vụ, yêu cầu tích hợp, tài khoản, phân quyền, nhật ký, sao lưu, phục hồi, giám sát, cấp độ của hệ thống thông tin, rủi ro an ninh mạng và khả năng phụ thuộc, tác động dây chuyền giữa các hệ thống; trường hợp hệ thống có yêu cầu mô hình kiến trúc hoặc xử lý thông tin mật thì bổ sung các nội dung về lớp nghiệp vụ, ứng dụng, dữ liệu, hạ tầng, điểm phát sinh thông tin mật, môi trường mạng, thiết bị, nhân sự, cơ yếu và bảo mật.

5. Kết quả khảo sát phải được lập thành Biên bản khảo sát hoặc Báo cáo khảo sát, có xác nhận của các bên tham gia theo phạm vi trách nhiệm.

Điều 14. Xây dựng, thẩm định và phê duyệt đầu bài

1. Trên cơ sở Phiếu yêu cầu hoặc tài liệu tương đương, kết quả khảo sát và tài liệu liên quan, chủ đầu tư hoặc đơn vị được giao quản lý nhiệm vụ, dự án chủ trì xây dựng đầu bài, có sự tham gia của đơn vị chủ trì sử dụng, đơn vị chuyên trách chuyển đổi số, an ninh mạng, cơ yếu, chủ quản dữ liệu, đơn vị quản trị dữ liệu, đơn vị vận hành và các đơn vị liên quan.

2. Đầu bài phải mô tả tối thiểu mục tiêu, phạm vi, đối tượng sử dụng, quy trình nghiệp vụ, yêu cầu chức năng, yêu cầu phi chức năng, yêu cầu dữ liệu, yêu cầu tích hợp, yêu cầu an ninh mạng, yêu cầu bảo vệ bí mật nhà nước, yêu cầu vận hành, yêu cầu kiểm thử, nghiệm thu, bàn giao và tiêu chí đánh giá kết quả.

3. Đối với nội dung dữ liệu, đầu bài phải xác định dữ liệu đầu vào, dữ liệu đầu ra, dữ liệu nghiệp vụ, dữ liệu chủ, dữ liệu tham chiếu, dữ liệu dùng chung, dữ liệu kế thừa, chủ quản dữ liệu, nguồn dữ liệu có thẩm quyền, nơi tạo lập, đơn vị cập nhật, đơn vị khai thác, phạm vi xử lý, mục đích xử lý, thời hạn lưu trữ, yêu cầu làm sạch, chuẩn hoá, đối soát và trách nhiệm quản lý chất lượng dữ liệu.

4. Đầu bài phải được đánh giá sơ bộ về sự phù hợp với Khung Kiến trúc số trong các cơ quan Đảng và Kiến trúc số có liên quan; khả năng sử dụng lõi số dùng chung, thành phần dùng chung, nguồn dữ liệu có thẩm quyền; kiến trúc dữ liệu, tiêu chuẩn kết nối, tích hợp, chia sẻ dữ liệu và yêu cầu an ninh mạng.

5. Đối với hệ thống có xử lý thông tin mật, dữ liệu cá nhân hoặc dữ liệu nội bộ hạn chế truy cập, đầu bài phải xác định rõ loại thông tin, loại dữ liệu, phạm vi xử lý, thẩm quyền tiếp cận, yêu cầu bảo vệ, yêu cầu nhật ký, yêu cầu sao lưu, phục hồi, thu hồi, tiêu huỷ và điều kiện chia sẻ.

6. Đầu bài sau khi hoàn thiện phải được lấy ý kiến các đơn vị liên quan theo phạm vi trách nhiệm; nội dung tiếp thu, giải trình phải được thể hiện trong hồ sơ. Đầu bài hoặc tài liệu yêu cầu tương đương được phê duyệt hoặc xác nhận theo thẩm quyền là căn cứ để lập phương án xây dựng, triển khai, thiết kế, kiểm thử, vận hành thử, nghiệm thu và bàn giao.

Điều 15. Đánh giá tuân thủ Kiến trúc số

1. Việc xây dựng, nâng cấp, mở rộng, mua sắm, thuê dịch vụ, tiếp nhận chuyển giao, thay đổi lớn hoặc thay thế hệ thống thông tin phải được đánh giá sự phù hợp với Khung Kiến trúc số trong các cơ quan Đảng và các tài liệu Kiến trúc số có liên quan theo mức độ, phạm vi và nhóm áp dụng của hệ thống.

2. Nội dung đánh giá tập trung vào khả năng truy vết từ yêu cầu nghiệp vụ, năng lực cần hình thành đến hệ thống; mức độ kế thừa lõi số dùng chung và thành phần dùng chung; ranh giới dùng chung - chuyên ngành - đặc thù; nguồn dữ liệu có thẩm quyền; dữ liệu, ứng dụng, nền tảng, hạ tầng, tích hợp, kênh tương tác, quản trị, vận hành, an toàn, an ninh mạng, cơ yếu, bảo mật, bảo vệ dữ liệu; khả năng mở rộng, thay thế, chuyển giao, quản lý vòng đời và tránh đầu tư trùng lặp.

3. Việc đánh giá tuân thủ kiến trúc được thực hiện tại các giai đoạn phù hợp, gồm đề xuất nhu cầu, xây dựng đầu bài, lập phương án, xây dựng hoặc cập nhật Kiến trúc số giải pháp khi có yêu cầu, thiết kế, kiểm thử, nghiệm thu, bàn giao và khi có thay đổi lớn về nghiệp vụ, kiến trúc, dữ liệu, tích hợp, cấp độ của hệ thống thông tin hoặc phạm vi vận hành.

4. Trường hợp chưa đáp ứng đầy đủ yêu cầu kiến trúc nhưng có căn cứ nghiệp vụ và cần triển khai do yêu cầu cấp thiết thì được xem xét như ngoại lệ kiến trúc. Hồ sơ phải nêu rõ nội dung chưa tuân thủ, lý do, phạm vi, chủ thể chịu trách nhiệm, đánh giá rủi ro, biện pháp kiểm soát, thời hạn áp dụng, điều kiện rà soát và lộ trình tích hợp, hội tụ, khắc phục hoặc kết thúc; ngoại lệ không được sử dụng để hợp thức hoá đầu tư trùng lặp và phải được cấp có thẩm quyền xem xét, quyết định.

5. Kết quả đánh giá tuân thủ, nội dung chưa tuân thủ, ngoại lệ kiến trúc và tình trạng khắc phục phải được ghi nhận trong hồ sơ của hệ thống; trường hợp làm thay đổi Kiến trúc số cấp cơ quan, Kiến trúc số chuyên ngành hoặc Kiến trúc số trong các cơ quan Đảng tỉnh, thành phố thì phải cập nhật tài liệu kiến trúc có liên quan theo quy định.

Điều 16. Xử lý khi nghiệp vụ thay đổi

1. Khi nghiệp vụ của đơn vị chủ trì sử dụng thay đổi do sửa đổi, bổ sung quy định của Đảng, pháp luật của Nhà nước, thay đổi quy trình nội bộ, thay đổi cơ cấu tổ chức, phát sinh nghiệp vụ mới hoặc bãi bỏ nghiệp vụ hiện có làm cho hệ thống thông tin không còn đáp ứng yêu cầu, đơn vị chủ trì sử dụng có trách nhiệm thông báo bằng văn bản cho chủ đầu tư hoặc đơn vị được giao quản lý nhiệm vụ, dự án.

2. Chủ đầu tư hoặc đơn vị được giao quản lý nhiệm vụ, dự án chủ trì, phối hợp với đơn vị chủ trì sử dụng, đơn vị vận hành, chủ quản dữ liệu và các đơn vị liên quan đánh giá tác động của thay đổi.

3. Thay đổi được phân loại thành: thay đổi cấu hình; nâng cấp, mở rộng; xây dựng mới hoặc thay thế. Việc phân loại căn cứ mức độ thay đổi về nghiệp vụ, mã nguồn, kiến trúc, công nghệ, mô hình nghiệp vụ, dữ liệu hoặc cấp độ của hệ thống thông tin.

4. Việc đánh giá tác động phải xem xét yêu cầu nghiệp vụ, năng lực số, sự phù hợp với Khung và Kiến trúc số có liên quan, lõi số dùng chung, dữ liệu, nguồn dữ liệu có thẩm quyền, tích hợp, quyền truy cập, phân quyền, nhật ký, cấp độ của hệ thống thông tin, thông tin mật, dữ liệu cá nhân, dữ liệu hạn chế truy cập, vận hành, chi phí, tiến độ, đào tạo, hỗ trợ người dùng và khả năng quay lui khi thay đổi không đạt yêu cầu.

5. Kết quả đánh giá, phân loại thay đổi và phương án xử lý phải được lập thành hồ sơ, trình cấp có thẩm quyền phê duyệt hoặc xác nhận theo phân cấp trước khi thực hiện. Thay đổi lớn ảnh hưởng đến kiến trúc mục tiêu, ranh giới dùng chung - đặc thù, nguồn dữ liệu có thẩm quyền, tích hợp hoặc lộ trình chuyển đổi phải đồng thời cập nhật Kiến trúc số giải pháp và tài liệu Kiến trúc số có liên quan; trong thời gian xử lý thay đổi, các đơn vị liên quan áp dụng phương án nghiệp vụ tạm thời để bảo đảm hoạt động không bị gián đoạn.

Điều 17. Lập, phê duyệt và điều chỉnh phương án xây dựng, triển khai

1. Trên cơ sở đầu bài đã được phê duyệt, chủ đầu tư hoặc đơn vị được giao quản lý nhiệm vụ, dự án chủ trì lập phương án xây dựng, triển khai hệ thống thông tin.

2. Phương án xây dựng, triển khai phải xác định rõ thiết kế tổng thể, thiết kế chi tiết hoặc tài liệu tương đương phù hợp với hình thức triển khai; mô hình nghiệp vụ, mô hình dữ liệu, mô hình ứng dụng, mô hình tích hợp, mô hình hạ tầng, mô hình an ninh mạng và điều kiện vận hành, nghiệm thu, bàn giao. Ưu tiên sử dụng nền tảng, hệ thống, thành phần dùng chung đáp ứng yêu cầu; không đầu tư, thuê dịch vụ hoặc phát triển hệ thống, phần mềm trùng lặp, phân tán. Đối với hệ thống thông tin, dịch vụ công nghệ số có quy mô, tính chất và mức độ phức tạp không lớn, phương án xây dựng, triển khai phải bảo đảm tinh gọn, rõ đầu mối và trách nhiệm; hạn chế việc phân chia, tổ chức thực hiện làm phát sinh không cần thiết nhiều đầu mối cung cấp sản phẩm, dịch vụ, gây khó khăn cho việc tích hợp, quản lý chất lượng, bảo đảm an ninh mạng, vận hành, bảo hành, bảo trì và xác định trách nhiệm, phù hợp với quy định của pháp luật về đầu tư, đấu thầu, mua sắm và quy định có liên quan.

3. Đối với phần mềm thương mại, nền tảng dùng chung, dịch vụ công nghệ số hoặc hệ thống có xử lý thông tin mật, dữ liệu nhạy cảm, phương án phải làm rõ điều kiện sử dụng, quyền dữ liệu, trách nhiệm nhà cung cấp, môi trường triển khai, kiểm soát truy cập, bảo mật, cơ yếu, sao lưu, phục hồi và điều kiện tham gia của nhà thầu.

4. Phương án xây dựng, triển khai được phê duyệt theo thẩm quyền là căn cứ để tổ chức thiết kế, phát triển, cấu hình, mua sắm, thuê dịch vụ, kiểm thử, nghiệm thu, bàn giao và đưa vào vận hành chính thức. Khi phát sinh thay đổi ảnh hưởng đến phạm vi, kiến trúc, công nghệ, dữ liệu, tích hợp, cấp độ của hệ thống thông tin, tiến độ, chi phí hoặc phương án vận hành, phải lập hồ sơ điều chỉnh phương án và trình cấp có thẩm quyền xem xét, quyết định.

5. Việc lập, thẩm định, phê duyệt hồ sơ xác định cấp độ và phương án bảo vệ an ninh mạng theo cấp độ được thực hiện theo quy định của Đảng, pháp luật của Nhà nước và phân cấp có liên quan; các điều kiện bắt buộc về an ninh mạng phải được hoàn thành trước khi hệ thống được đưa vào vận hành chính thức.

6. Hình thức, bước thiết kế và hồ sơ thiết kế hệ thống thông tin được xác định theo quy định pháp luật hiện hành, phù hợp với quy mô, tính chất, mức độ phức tạp và hình thức triển khai. Hồ sơ thiết kế phải làm rõ kiến trúc, chức năng, dữ liệu, tích hợp, hạ tầng, an ninh mạng, an ninh dữ liệu, kiểm thử, nghiệm thu, vận hành và bảo trì phù hợp với nhiệm vụ, dự án hoặc hoạt động triển khai.

Điều 18. Kiến trúc số giải pháp, mô hình kiến trúc và ứng dụng trí tuệ nhân tạo

1. Nhiệm vụ, dự án, hệ thống thông tin, cơ sở dữ liệu, nền tảng số hoặc hạ tầng số có quy mô người dùng lớn, liên quan đến nhiều cấp, nhiều cơ quan, nhiều hệ thống khác hoặc có yêu cầu cao về an toàn, an ninh mạng, bảo mật, bảo vệ dữ liệu phải xây dựng Kiến trúc số giải pháp phù hợp với Khung và các tài liệu Kiến trúc số có liên quan.

2. Kiến trúc số giải pháp phải làm rõ tối thiểu nghiệp vụ và năng lực cần đáp ứng; dữ liệu và nguồn dữ liệu có thẩm quyền; ứng dụng, nền tảng, hạ tầng, tích hợp, API hoặc dịch vụ dữ liệu; ranh giới dùng chung - đặc thù; định danh, phân quyền; an toàn, an ninh mạng, cơ yếu, bảo mật, bảo vệ dữ liệu; vận hành, mức dịch vụ, chuyển đổi và vòng đời. Nội dung Kiến trúc số giải pháp có thể được tích hợp trong phương án xây dựng, triển khai hoặc hồ sơ thiết kế nếu bảo đảm đầy đủ nội dung và khả năng truy vết theo hướng dẫn của Văn phòng Trung ương Đảng.

3. Đối với các hệ thống không thuộc trường hợp quy định tại khoản 1 Điều này, phương án xây dựng, triển khai vẫn phải xác định mô hình kiến trúc phù hợp với quy mô, tính chất nhiệm vụ, mức độ quan trọng, cấp độ của hệ thống thông tin, mức độ mật, phạm vi dùng chung, phạm vi kết nối, chia sẻ dữ liệu và hình thức triển khai của hệ thống.

4. Đối với hệ thống quan trọng, hệ thống trọng yếu, hệ thống dùng chung, hệ thống có xử lý thông tin mật, hệ thống có dữ liệu tập trung hoặc có kết nối, chia sẻ dữ liệu rộng, phương án phải thể hiện mô hình tổng thể, mô hình lô-gic, mô hình vật lý hoặc tài liệu tương đương; làm rõ lớp người dùng, nghiệp vụ, ứng dụng, dữ liệu, nền tảng, hạ tầng công nghệ số, an ninh mạng và quan hệ tích hợp với các hệ thống liên quan. Đối với hệ thống quy mô nhỏ, nội bộ, ít rủi ro, có thể áp dụng mô hình rút gọn nhưng vẫn phải mô tả được yêu cầu nghiệp vụ, dữ liệu xử lý, thành phần chính, môi trường triển khai, phân quyền, sao lưu, phục hồi, yêu cầu cơ bản về an ninh mạng và điều kiện nghiệm thu.

5. Trường hợp hệ thống thông tin có ứng dụng trí tuệ nhân tạo, phương án phải xác định rõ mục đích, phạm vi sử dụng, loại dữ liệu được xử lý, dữ liệu huấn luyện, dữ liệu kiểm thử, cơ chế kiểm soát dữ liệu đầu vào, đầu ra, trách nhiệm giám sát của con người, nhật ký xử lý khi cần thiết và biện pháp phòng ngừa sai lệch, lạm dụng, lộ lọt dữ liệu hoặc sử dụng vượt phạm vi được phê duyệt. Việc ứng dụng trí tuệ nhân tạo đối với thông tin mật, dữ liệu cá nhân, dữ liệu cá nhân nhạy cảm, dữ liệu nội bộ nhạy cảm, dữ liệu hạn chế truy cập chỉ được thực hiện khi có biện pháp bảo vệ phù hợp và được cấp có thẩm quyền cho phép.

Điều 31. Rà soát hệ thống thông tin đã vận hành

1. Các hệ thống thông tin đã có quyết định đưa vào vận hành chính thức trước ngày Quyết định này có hiệu lực tiếp tục được khai thác, nhưng cơ quan chủ quản hệ thống thông tin có trách nhiệm rà soát, xác định phạm vi hệ thống, phân loại hệ thống, phân loại thông tin, phân loại dữ liệu, cập nhật hồ sơ, đánh giá rủi ro an ninh mạng, xác định hoặc xác định lại cấp độ của hệ thống thông tin, hoàn thiện hồ sơ xác định cấp độ, phương án bảo vệ an ninh mạng theo cấp độ, phương án bảo đảm an ninh dữ liệu, an toàn dữ liệu, sao lưu, phục hồi, quản lý thay đổi, quy chế vận hành và hồ sơ vận hành theo Quy định này và quy định về bảo vệ an ninh mạng đối với hệ thống thông tin theo cấp độ.

2. Nội dung rà soát gồm phạm vi sử dụng, chức năng nghiệp vụ, đối tượng sử dụng, đối tượng vận hành, chủ quản hệ thống, đơn vị chủ trì sử dụng, đơn vị vận hành, chủ quản dữ liệu, đơn vị quản trị dữ liệu, nguồn dữ liệu có thẩm quyền, cấp độ của hệ thống thông tin, hồ sơ xác định cấp độ, phương án bảo vệ an ninh mạng theo cấp độ, đánh giá rủi ro an ninh mạng, hồ sơ kỹ thuật, hồ sơ dữ liệu, hồ sơ vận hành, hồ sơ bàn giao, hợp đồng dịch vụ, quyền dữ liệu, phương án sao lưu, phục hồi, sự cố, kết nối, chia sẻ dữ liệu; khả năng sử dụng lõi số dùng chung, tình trạng trùng lặp và mức độ phù hợp với Khung Kiến trúc số trong các cơ quan Đảng và các tài liệu Kiến trúc số có liên quan.

3. Đối với hệ thống có xử lý thông tin mật, dữ liệu cá nhân, dữ liệu hạn chế truy cập hoặc hệ thống trọng yếu, cơ quan chủ quản hệ thống thông tin phải ưu tiên rà soát yêu cầu bảo vệ bí mật nhà nước, an ninh mạng, phân quyền, nhật ký, sao lưu, phục hồi, xử lý sự cố và điều kiện tham gia của nhà thầu, nhà cung cấp dịch vụ. Đối với hệ thống thông tin đã được xác định cấp độ theo quy định trước đây, việc rà soát, bổ sung, hoàn thiện điều kiện, tiêu chuẩn, biện pháp bảo vệ an ninh mạng thực hiện theo điều khoản chuyển tiếp của Nghị định số 331/2026/NĐ-CP và các quy định có liên quan.

4. Đối với hệ thống thuê dịch vụ, phần mềm thương mại, nền tảng dùng chung đang sử dụng, phải rà soát quyền quản lý, khai thác, kết xuất, sao lưu, phục hồi, chuyển giao, trả về và xoá dữ liệu khi chấm dứt dịch vụ; trường hợp chưa được quy định rõ trong hợp đồng, thoả thuận hoặc hồ sơ sử dụng thì phải bổ sung, điều chỉnh theo thẩm quyền.

5. Kết quả rà soát là căn cứ để tiếp tục vận hành, bổ sung hồ sơ, chuẩn hoá, tích hợp, hợp nhất, nâng cấp, mở rộng, chuyển đổi, thay thế hoặc dừng khai thác hệ thống thông tin; trường hợp phát hiện trùng lặp với thành phần dùng chung, nguồn dữ liệu song song hoặc nội dung không còn phù hợp với kiến trúc mục tiêu phải xác định phương án và lộ trình khắc phục, hội tụ.

6. Trong thời hạn 06 tháng kể từ ngày Quyết định này có hiệu lực, cơ quan chủ quản hệ thống thông tin hoàn thành việc lập danh mục, phân loại, xác định chủ quản hệ thống, đơn vị vận hành, chủ quản dữ liệu, nhóm áp dụng và mức độ ưu tiên rà soát đối với các hệ thống đang vận hành. Việc bổ sung, hoàn thiện hồ sơ thực hiện theo lộ trình do cơ quan chủ quản phê duyệt, bảo đảm hoàn thành trong thời hạn 12 tháng; ưu tiên trước đối với hệ thống trọng yếu, hệ thống có xử lý thông tin mật, dữ liệu cá nhân nhạy cảm, dữ liệu nội bộ nhạy cảm, hệ thống dùng chung hoặc hệ thống có kết nối, chia sẻ dữ liệu rộng.

Điều 32. Trách nhiệm của Cục Chuyển đổi số - Cơ yếu

1. Là đơn vị đầu mối tham mưu, hướng dẫn, theo dõi, đôn đốc, kiểm tra việc thực hiện Quyết định này theo chức năng, nhiệm vụ được giao.

2. Tham mưu, hướng dẫn, đánh giá tuân thủ Kiến trúc số giải pháp, quản lý ngoại lệ kiến trúc, sử dụng lõi số dùng chung, nguồn dữ liệu có thẩm quyền, tiêu chuẩn kỹ thuật, tiêu chuẩn tích hợp, chia sẻ dữ liệu, định danh, xác thực, an ninh mạng, cơ yếu, bảo vệ bí mật nhà nước trong quá trình triển khai, vận hành hệ thống thông tin.

3. Cho ý kiến thẩm định hoặc hướng dẫn thẩm định đối với đầu bài, phương án xây dựng, triển khai, Kiến trúc số giải pháp, kết quả đánh giá tuân thủ và hồ sơ ngoại lệ kiến trúc khi thuộc phạm vi cần kiểm soát; đồng thời tham gia đối với hồ sơ xác định cấp độ, phương án bảo vệ an ninh mạng, phương án kết nối, chia sẻ dữ liệu, phương án vận hành, phương án xử lý sự cố theo phân cấp.

4. Chủ trì hoặc phối hợp với Bộ Công an, Bộ Quốc phòng, Ban Cơ yếu Chính phủ và cơ quan có thẩm quyền trong việc hướng dẫn, thẩm định, kiểm tra hoặc xử lý vấn đề về bảo vệ an ninh mạng đối với hệ thống thông tin từ cấp độ 3  trở lên, hệ thống thông tin quan trọng về an ninh quốc gia, hệ thống có xử lý thông tin mật, sử dụng cơ yếu, mật mã hoặc có yếu tố quốc phòng, an ninh theo quy định.

5. Chủ trì hoặc phối hợp xây dựng, cập nhật biểu mẫu khuyến nghị, hướng dẫn kỹ thuật, tiêu chí phân loại, tiêu chí chất lượng dịch vụ, tiêu chí đánh giá tuân thủ, mẫu hồ sơ ngoại lệ kiến trúc và yêu cầu hồ sơ hoàn thành để tổ chức thực hiện thống nhất. Việc hướng dẫn, cập nhật không được làm thay đổi phạm vi điều chỉnh, đối tượng áp dụng, nguyên tắc, trách nhiệm hoặc làm phát sinh thủ tục bắt buộc ngoài Quy định này và quy định của cấp có thẩm quyền. Tổng hợp khó khăn, vướng mắc, kiến nghị sửa đổi, bổ sung Quy định, báo cáo lãnh đạo Văn phòng Trung ương Đảng xem xét, quyết định theo thẩm quyền.

Điều 33. Trách nhiệm của các cơ quan, đơn vị, cá nhân

1. Các cơ quan, đơn vị thuộc phạm vi áp dụng có trách nhiệm tổ chức thực hiện Quyết định này; rà soát, phân loại hệ thống thông tin thuộc phạm vi quản lý; xác định rõ cơ quan chủ quản hệ thống, đơn vị chủ trì sử dụng, đơn vị vận hành, chủ quản dữ liệu, đơn vị quản trị dữ liệu và các đầu mối liên quan.

2. Cơ quan, đơn vị có trách nhiệm bố trí hoặc đề xuất cấp có thẩm quyền bố trí nhân lực, kinh phí thường xuyên, nguồn lực và điều kiện kỹ thuật cần thiết cho vận hành, bảo trì, sao lưu, kiểm thử, diễn tập xử lý sự cố, bảo vệ an ninh mạng, bảo vệ bí mật nhà nước, bảo vệ dữ liệu, quản lý hồ sơ, tài liệu và thực hiện Quyết định này.

3. Các đơn vị chuyên trách chuyển đổi số, an ninh mạng, cơ yếu, dữ liệu, tài chính, đầu tư, mua sắm, pháp chế, văn thư - lưu trữ và các đơn vị liên quan có trách nhiệm phối hợp thực hiện theo chức năng, nhiệm vụ được giao.

4. Việc kiểm tra, giám sát định kỳ hằng năm hoặc đột xuất thực hiện Quyết định này được thực hiện theo yêu cầu quản lý, yêu cầu bảo vệ an ninh mạng, bảo vệ bí mật nhà nước, quản lý dữ liệu, vận hành và sử dụng hiệu quả hệ thống.

5. Trường hợp phát hiện vi phạm có nguy cơ ảnh hưởng đến an ninh mạng, bảo vệ bí mật nhà nước, dữ liệu cá nhân, dữ liệu hạn chế truy cập, vận hành hệ thống hoặc quyền quản lý dữ liệu của cơ quan Đảng, cơ quan có thẩm quyền có trách nhiệm yêu cầu tạm dừng, cô lập, khắc phục, thu hồi quyền truy cập, bổ sung hồ sơ, thay đổi phương án vận hành hoặc áp dụng biện pháp xử lý cần thiết. Tổ chức, cá nhân vi phạm thì tuỳ tính chất, mức độ bị xem xét xử lý theo quy định của Đảng, pháp luật của Nhà nước và quy chế nội bộ có liên quan.

6. Việc xem xét trách nhiệm đối với sự cố an ninh mạng, sự cố dữ liệu, sự cố vận hành hệ thống thông tin phải căn cứ nguyên nhân, phạm vi trách nhiệm được giao, mức độ tuân thủ quy trình, biện pháp đã thực hiện và kết quả khắc phục; thực hiện theo quy định của Đảng, pháp luật của Nhà nước và quy chế nội bộ có liên quan.

Điều 34. Quy định chuyển tiếp

1. Hệ thống thông tin bắt đầu thực hiện sau ngày Quyết định này có hiệu lực phải áp dụng Quyết định này theo nhóm hệ thống, hình thức triển khai, cấp độ của hệ thống thông tin, mức độ mật, phạm vi dữ liệu và trách nhiệm của các chủ thể liên quan.

2. Đối với nhiệm vụ, dự án, hoạt động mua sắm, thuê dịch vụ, xây dựng, nâng cấp, mở rộng hệ thống thông tin đã được phê duyệt hoặc đang triển khai chính thức trước ngày Quyết định này có hiệu lực, tiếp tục thực hiện theo hồ sơ đã được cấp có thẩm quyền phê duyệt; đồng thời rà soát, bổ sung yêu cầu của Quyết định này đối với các bước chưa thực hiện hoặc chưa hoàn thành, nhất là về sự phù hợp với Khung và Kiến trúc số có liên quan, khả năng dùng chung, nguồn dữ liệu có thẩm quyền, Kiến trúc số giải pháp khi thuộc trường hợp phải xây dựng, dữ liệu, an ninh mạng, bảo vệ bí mật nhà nước, bảo vệ dữ liệu cá nhân, kiểm thử, nghiệm thu, bàn giao, vận hành và hồ sơ hoàn thành.

3. Trường hợp việc bổ sung yêu cầu theo Quyết định này làm thay đổi mục tiêu, phạm vi, kiến trúc, công nghệ, dữ liệu, cấp độ của hệ thống thông tin, tiến độ, chi phí hoặc thẩm quyền phê duyệt, chủ đầu tư hoặc đơn vị được giao quản lý nhiệm vụ, dự án phải báo cáo cấp có thẩm quyền xem xét, quyết định trước khi thực hiện.

Điều 35. Tổ chức thực hiện

1. Các cơ quan, đơn vị thuộc phạm vi áp dụng tổ chức thực hiện Quy định này theo trách nhiệm quy định tại Điều 32 và Điều 33 của Quy định này.

2. Trong quá trình thực hiện, nếu phát sinh khó khăn, vướng mắc hoặc yêu cầu sửa đổi, bổ sung, các cơ quan, đơn vị phản ánh về Cục Chuyển đổi số - Cơ yếu để tổng hợp, báo cáo Chánh Văn phòng Trung ương Đảng xem xét, quyết định hoặc báo cáo cấp có thẩm quyền đối với nội dung vượt thẩm quyền.

Điều 13. Khảo sát nghiệp vụ, hiện trạng và dữ liệu

1. Căn cứ Phiếu yêu cầu đã được tiếp nhận, chủ đầu tư hoặc đơn vị được giao quản lý nhiệm vụ, dự án tổ chức khảo sát nghiệp vụ, dữ liệu, hệ thống thông tin, hạ tầng kỹ thuật, tích hợp, an ninh mạng và các điều kiện liên quan để làm cơ sở xây dựng đầu bài, lập phương án.

2. Trường hợp đã có đủ thông tin, tài liệu, dữ liệu, hồ sơ, báo cáo hoặc kết quả khảo sát trước đó làm cơ sở xây dựng đầu bài, lập phương án, có thể không tổ chức khảo sát mới hoặc chỉ khảo sát bổ sung đối với nội dung còn thiếu; việc này phải được thể hiện trong hồ sơ.

3. Nội dung khảo sát phải xác định được quy trình nghiệp vụ, hồ sơ, biểu mẫu, nhóm người dùng, vai trò, quyền hạn, điểm cần cải tiến và yêu cầu chuẩn hoá trước khi số hoá; đồng thời ghi nhận danh mục dữ liệu, nguồn dữ liệu có thẩm quyền, nơi tạo lập và chủ thể chịu trách nhiệm xác lập giá trị gốc, chủ thể cập nhật, cấu trúc, chất lượng, dữ liệu chủ, dữ liệu tham chiếu, dữ liệu dùng chung, dữ liệu kế thừa, dữ liệu cần làm sạch, chuẩn hoá, đối soát, dữ liệu mật hoặc dữ liệu nhạy cảm nếu có.

4. Đối với hệ thống, hạ tầng kỹ thuật và an ninh mạng, nội dung khảo sát phải đánh giá các hệ thống liên quan, chức năng nghiệp vụ, dữ liệu xử lý, đối tượng sử dụng, đối tượng vận hành, đối tượng phục vụ, yêu cầu tích hợp, tài khoản, phân quyền, nhật ký, sao lưu, phục hồi, giám sát, cấp độ của hệ thống thông tin, rủi ro an ninh mạng và khả năng phụ thuộc, tác động dây chuyền giữa các hệ thống; trường hợp hệ thống có yêu cầu mô hình kiến trúc hoặc xử lý thông tin mật thì bổ sung các nội dung về lớp nghiệp vụ, ứng dụng, dữ liệu, hạ tầng, điểm phát sinh thông tin mật, môi trường mạng, thiết bị, nhân sự, cơ yếu và bảo mật.

5. Kết quả khảo sát phải được lập thành Biên bản khảo sát hoặc Báo cáo khảo sát, có xác nhận của các bên tham gia theo phạm vi trách nhiệm.

Điều 14. Xây dựng, thẩm định và phê duyệt đầu bài

1. Trên cơ sở Phiếu yêu cầu hoặc tài liệu tương đương, kết quả khảo sát và tài liệu liên quan, chủ đầu tư hoặc đơn vị được giao quản lý nhiệm vụ, dự án chủ trì xây dựng đầu bài, có sự tham gia của đơn vị chủ trì sử dụng, đơn vị chuyên trách chuyển đổi số, an ninh mạng, cơ yếu, chủ quản dữ liệu, đơn vị quản trị dữ liệu, đơn vị vận hành và các đơn vị liên quan.

2. Đầu bài phải mô tả tối thiểu mục tiêu, phạm vi, đối tượng sử dụng, quy trình nghiệp vụ, yêu cầu chức năng, yêu cầu phi chức năng, yêu cầu dữ liệu, yêu cầu tích hợp, yêu cầu an ninh mạng, yêu cầu bảo vệ bí mật nhà nước, yêu cầu vận hành, yêu cầu kiểm thử, nghiệm thu, bàn giao và tiêu chí đánh giá kết quả.

3. Đối với nội dung dữ liệu, đầu bài phải xác định dữ liệu đầu vào, dữ liệu đầu ra, dữ liệu nghiệp vụ, dữ liệu chủ, dữ liệu tham chiếu, dữ liệu dùng chung, dữ liệu kế thừa, chủ quản dữ liệu, nguồn dữ liệu có thẩm quyền, nơi tạo lập, đơn vị cập nhật, đơn vị khai thác, phạm vi xử lý, mục đích xử lý, thời hạn lưu trữ, yêu cầu làm sạch, chuẩn hoá, đối soát và trách nhiệm quản lý chất lượng dữ liệu.

4. Đầu bài phải được đánh giá sơ bộ về sự phù hợp với Khung Kiến trúc số trong các cơ quan Đảng và Kiến trúc số có liên quan; khả năng sử dụng lõi số dùng chung, thành phần dùng chung, nguồn dữ liệu có thẩm quyền; kiến trúc dữ liệu, tiêu chuẩn kết nối, tích hợp, chia sẻ dữ liệu và yêu cầu an ninh mạng.

5. Đối với hệ thống có xử lý thông tin mật, dữ liệu cá nhân hoặc dữ liệu nội bộ hạn chế truy cập, đầu bài phải xác định rõ loại thông tin, loại dữ liệu, phạm vi xử lý, thẩm quyền tiếp cận, yêu cầu bảo vệ, yêu cầu nhật ký, yêu cầu sao lưu, phục hồi, thu hồi, tiêu huỷ và điều kiện chia sẻ.

6. Đầu bài sau khi hoàn thiện phải được lấy ý kiến các đơn vị liên quan theo phạm vi trách nhiệm; nội dung tiếp thu, giải trình phải được thể hiện trong hồ sơ. Đầu bài hoặc tài liệu yêu cầu tương đương được phê duyệt hoặc xác nhận theo thẩm quyền là căn cứ để lập phương án xây dựng, triển khai, thiết kế, kiểm thử, vận hành thử, nghiệm thu và bàn giao.

Điều 15. Đánh giá tuân thủ Kiến trúc số

1. Việc xây dựng, nâng cấp, mở rộng, mua sắm, thuê dịch vụ, tiếp nhận chuyển giao, thay đổi lớn hoặc thay thế hệ thống thông tin phải được đánh giá sự phù hợp với Khung Kiến trúc số trong các cơ quan Đảng và các tài liệu Kiến trúc số có liên quan theo mức độ, phạm vi và nhóm áp dụng của hệ thống.

2. Nội dung đánh giá tập trung vào khả năng truy vết từ yêu cầu nghiệp vụ, năng lực cần hình thành đến hệ thống; mức độ kế thừa lõi số dùng chung và thành phần dùng chung; ranh giới dùng chung - chuyên ngành - đặc thù; nguồn dữ liệu có thẩm quyền; dữ liệu, ứng dụng, nền tảng, hạ tầng, tích hợp, kênh tương tác, quản trị, vận hành, an toàn, an ninh mạng, cơ yếu, bảo mật, bảo vệ dữ liệu; khả năng mở rộng, thay thế, chuyển giao, quản lý vòng đời và tránh đầu tư trùng lặp.

3. Việc đánh giá tuân thủ kiến trúc được thực hiện tại các giai đoạn phù hợp, gồm đề xuất nhu cầu, xây dựng đầu bài, lập phương án, xây dựng hoặc cập nhật Kiến trúc số giải pháp khi có yêu cầu, thiết kế, kiểm thử, nghiệm thu, bàn giao và khi có thay đổi lớn về nghiệp vụ, kiến trúc, dữ liệu, tích hợp, cấp độ của hệ thống thông tin hoặc phạm vi vận hành.

4. Trường hợp chưa đáp ứng đầy đủ yêu cầu kiến trúc nhưng có căn cứ nghiệp vụ và cần triển khai do yêu cầu cấp thiết thì được xem xét như ngoại lệ kiến trúc. Hồ sơ phải nêu rõ nội dung chưa tuân thủ, lý do, phạm vi, chủ thể chịu trách nhiệm, đánh giá rủi ro, biện pháp kiểm soát, thời hạn áp dụng, điều kiện rà soát và lộ trình tích hợp, hội tụ, khắc phục hoặc kết thúc; ngoại lệ không được sử dụng để hợp thức hoá đầu tư trùng lặp và phải được cấp có thẩm quyền xem xét, quyết định.

5. Kết quả đánh giá tuân thủ, nội dung chưa tuân thủ, ngoại lệ kiến trúc và tình trạng khắc phục phải được ghi nhận trong hồ sơ của hệ thống; trường hợp làm thay đổi Kiến trúc số cấp cơ quan, Kiến trúc số chuyên ngành hoặc Kiến trúc số trong các cơ quan Đảng tỉnh, thành phố thì phải cập nhật tài liệu kiến trúc có liên quan theo quy định.

Điều 16. Xử lý khi nghiệp vụ thay đổi

1. Khi nghiệp vụ của đơn vị chủ trì sử dụng thay đổi do sửa đổi, bổ sung quy định của Đảng, pháp luật của Nhà nước, thay đổi quy trình nội bộ, thay đổi cơ cấu tổ chức, phát sinh nghiệp vụ mới hoặc bãi bỏ nghiệp vụ hiện có làm cho hệ thống thông tin không còn đáp ứng yêu cầu, đơn vị chủ trì sử dụng có trách nhiệm thông báo bằng văn bản cho chủ đầu tư hoặc đơn vị được giao quản lý nhiệm vụ, dự án.

2. Chủ đầu tư hoặc đơn vị được giao quản lý nhiệm vụ, dự án chủ trì, phối hợp với đơn vị chủ trì sử dụng, đơn vị vận hành, chủ quản dữ liệu và các đơn vị liên quan đánh giá tác động của thay đổi.

3. Thay đổi được phân loại thành: thay đổi cấu hình; nâng cấp, mở rộng; xây dựng mới hoặc thay thế. Việc phân loại căn cứ mức độ thay đổi về nghiệp vụ, mã nguồn, kiến trúc, công nghệ, mô hình nghiệp vụ, dữ liệu hoặc cấp độ của hệ thống thông tin.

4. Việc đánh giá tác động phải xem xét yêu cầu nghiệp vụ, năng lực số, sự phù hợp với Khung và Kiến trúc số có liên quan, lõi số dùng chung, dữ liệu, nguồn dữ liệu có thẩm quyền, tích hợp, quyền truy cập, phân quyền, nhật ký, cấp độ của hệ thống thông tin, thông tin mật, dữ liệu cá nhân, dữ liệu hạn chế truy cập, vận hành, chi phí, tiến độ, đào tạo, hỗ trợ người dùng và khả năng quay lui khi thay đổi không đạt yêu cầu.

5. Kết quả đánh giá, phân loại thay đổi và phương án xử lý phải được lập thành hồ sơ, trình cấp có thẩm quyền phê duyệt hoặc xác nhận theo phân cấp trước khi thực hiện. Thay đổi lớn ảnh hưởng đến kiến trúc mục tiêu, ranh giới dùng chung - đặc thù, nguồn dữ liệu có thẩm quyền, tích hợp hoặc lộ trình chuyển đổi phải đồng thời cập nhật Kiến trúc số giải pháp và tài liệu Kiến trúc số có liên quan; trong thời gian xử lý thay đổi, các đơn vị liên quan áp dụng phương án nghiệp vụ tạm thời để bảo đảm hoạt động không bị gián đoạn.

Điều 17. Lập, phê duyệt và điều chỉnh phương án xây dựng, triển khai

1. Trên cơ sở đầu bài đã được phê duyệt, chủ đầu tư hoặc đơn vị được giao quản lý nhiệm vụ, dự án chủ trì lập phương án xây dựng, triển khai hệ thống thông tin.

2. Phương án xây dựng, triển khai phải xác định rõ thiết kế tổng thể, thiết kế chi tiết hoặc tài liệu tương đương phù hợp với hình thức triển khai; mô hình nghiệp vụ, mô hình dữ liệu, mô hình ứng dụng, mô hình tích hợp, mô hình hạ tầng, mô hình an ninh mạng và điều kiện vận hành, nghiệm thu, bàn giao. Ưu tiên sử dụng nền tảng, hệ thống, thành phần dùng chung đáp ứng yêu cầu; không đầu tư, thuê dịch vụ hoặc phát triển hệ thống, phần mềm trùng lặp, phân tán. Đối với hệ thống thông tin, dịch vụ công nghệ số có quy mô, tính chất và mức độ phức tạp không lớn, phương án xây dựng, triển khai phải bảo đảm tinh gọn, rõ đầu mối và trách nhiệm; hạn chế việc phân chia, tổ chức thực hiện làm phát sinh không cần thiết nhiều đầu mối cung cấp sản phẩm, dịch vụ, gây khó khăn cho việc tích hợp, quản lý chất lượng, bảo đảm an ninh mạng, vận hành, bảo hành, bảo trì và xác định trách nhiệm, phù hợp với quy định của pháp luật về đầu tư, đấu thầu, mua sắm và quy định có liên quan.

3. Đối với phần mềm thương mại, nền tảng dùng chung, dịch vụ công nghệ số hoặc hệ thống có xử lý thông tin mật, dữ liệu nhạy cảm, phương án phải làm rõ điều kiện sử dụng, quyền dữ liệu, trách nhiệm nhà cung cấp, môi trường triển khai, kiểm soát truy cập, bảo mật, cơ yếu, sao lưu, phục hồi và điều kiện tham gia của nhà thầu.

4. Phương án xây dựng, triển khai được phê duyệt theo thẩm quyền là căn cứ để tổ chức thiết kế, phát triển, cấu hình, mua sắm, thuê dịch vụ, kiểm thử, nghiệm thu, bàn giao và đưa vào vận hành chính thức. Khi phát sinh thay đổi ảnh hưởng đến phạm vi, kiến trúc, công nghệ, dữ liệu, tích hợp, cấp độ của hệ thống thông tin, tiến độ, chi phí hoặc phương án vận hành, phải lập hồ sơ điều chỉnh phương án và trình cấp có thẩm quyền xem xét, quyết định.

5. Việc lập, thẩm định, phê duyệt hồ sơ xác định cấp độ và phương án bảo vệ an ninh mạng theo cấp độ được thực hiện theo quy định của Đảng, pháp luật của Nhà nước và phân cấp có liên quan; các điều kiện bắt buộc về an ninh mạng phải được hoàn thành trước khi hệ thống được đưa vào vận hành chính thức.

6. Hình thức, bước thiết kế và hồ sơ thiết kế hệ thống thông tin được xác định theo quy định pháp luật hiện hành, phù hợp với quy mô, tính chất, mức độ phức tạp và hình thức triển khai. Hồ sơ thiết kế phải làm rõ kiến trúc, chức năng, dữ liệu, tích hợp, hạ tầng, an ninh mạng, an ninh dữ liệu, kiểm thử, nghiệm thu, vận hành và bảo trì phù hợp với nhiệm vụ, dự án hoặc hoạt động triển khai.

Điều 18. Kiến trúc số giải pháp, mô hình kiến trúc và ứng dụng trí tuệ nhân tạo

1. Nhiệm vụ, dự án, hệ thống thông tin, cơ sở dữ liệu, nền tảng số hoặc hạ tầng số có quy mô người dùng lớn, liên quan đến nhiều cấp, nhiều cơ quan, nhiều hệ thống khác hoặc có yêu cầu cao về an toàn, an ninh mạng, bảo mật, bảo vệ dữ liệu phải xây dựng Kiến trúc số giải pháp phù hợp với Khung và các tài liệu Kiến trúc số có liên quan.

2. Kiến trúc số giải pháp phải làm rõ tối thiểu nghiệp vụ và năng lực cần đáp ứng; dữ liệu và nguồn dữ liệu có thẩm quyền; ứng dụng, nền tảng, hạ tầng, tích hợp, API hoặc dịch vụ dữ liệu; ranh giới dùng chung - đặc thù; định danh, phân quyền; an toàn, an ninh mạng, cơ yếu, bảo mật, bảo vệ dữ liệu; vận hành, mức dịch vụ, chuyển đổi và vòng đời. Nội dung Kiến trúc số giải pháp có thể được tích hợp trong phương án xây dựng, triển khai hoặc hồ sơ thiết kế nếu bảo đảm đầy đủ nội dung và khả năng truy vết theo hướng dẫn của Văn phòng Trung ương Đảng.

3. Đối với các hệ thống không thuộc trường hợp quy định tại khoản 1 Điều này, phương án xây dựng, triển khai vẫn phải xác định mô hình kiến trúc phù hợp với quy mô, tính chất nhiệm vụ, mức độ quan trọng, cấp độ của hệ thống thông tin, mức độ mật, phạm vi dùng chung, phạm vi kết nối, chia sẻ dữ liệu và hình thức triển khai của hệ thống.

4. Đối với hệ thống quan trọng, hệ thống trọng yếu, hệ thống dùng chung, hệ thống có xử lý thông tin mật, hệ thống có dữ liệu tập trung hoặc có kết nối, chia sẻ dữ liệu rộng, phương án phải thể hiện mô hình tổng thể, mô hình lô-gic, mô hình vật lý hoặc tài liệu tương đương; làm rõ lớp người dùng, nghiệp vụ, ứng dụng, dữ liệu, nền tảng, hạ tầng công nghệ số, an ninh mạng và quan hệ tích hợp với các hệ thống liên quan. Đối với hệ thống quy mô nhỏ, nội bộ, ít rủi ro, có thể áp dụng mô hình rút gọn nhưng vẫn phải mô tả được yêu cầu nghiệp vụ, dữ liệu xử lý, thành phần chính, môi trường triển khai, phân quyền, sao lưu, phục hồi, yêu cầu cơ bản về an ninh mạng và điều kiện nghiệm thu.

5. Trường hợp hệ thống thông tin có ứng dụng trí tuệ nhân tạo, phương án phải xác định rõ mục đích, phạm vi sử dụng, loại dữ liệu được xử lý, dữ liệu huấn luyện, dữ liệu kiểm thử, cơ chế kiểm soát dữ liệu đầu vào, đầu ra, trách nhiệm giám sát của con người, nhật ký xử lý khi cần thiết và biện pháp phòng ngừa sai lệch, lạm dụng, lộ lọt dữ liệu hoặc sử dụng vượt phạm vi được phê duyệt. Việc ứng dụng trí tuệ nhân tạo đối với thông tin mật, dữ liệu cá nhân, dữ liệu cá nhân nhạy cảm, dữ liệu nội bộ nhạy cảm, dữ liệu hạn chế truy cập chỉ được thực hiện khi có biện pháp bảo vệ phù hợp và được cấp có thẩm quyền cho phép.