越南資訊系統安全等級申報：5 個等級、法規依據與申報流程
越南資訊系統安全等級申報，是指資訊系統的主管單位依越南法規，判定每套系統屬於第 1 到第 5 級中的哪一級，準備「等級建議文件」（越南文 Hồ sơ đề xuất cấp độ，常簡稱 HSĐX）送審核准，並依等級落實對應的網路安全措施。現行依據是 2026 年 7 月 1 日施行的《網路安全法》（第 116/2025/QH15 號）與 2026 年 8 月 19 日發布的第 331/2026/NĐ-CP 號議定，後者已取代第 85/2016/NĐ-CP 號議定。
對在越南經營電商、金融科技、線上服務或工廠的台商來說，關鍵問題有三個：系統屬於哪一級、文件由誰審查與核准、舊制已完成的申報要不要重做。這篇依議定原文逐一說明；需要協助準備文件，可以參考我們的 越南資訊系統安全等級申報顧問。
重點整理 – 越南資訊系統分為 5 個安全等級，判定標準規定在第 331/2026/NĐ-CP 號議定第 11 至第 15 條。 – 提供線上服務、處理 10 萬名以上主體的基本個資或 1 萬名以上主體的敏感個資，屬於第 3 級。 – 第 1、2 級由主管單位的網路安全專責單位審查並核准；第 3 級由專責單位審查、主管單位核准；第 4、5 級由公安部等機關主持審查。 – 依舊法已判定等級的系統可保留原等級，但須在 2027 年 7 月 1 日前符合新法的保護條件。
越南資訊系統安全等級申報是什麼？
越南資訊系統安全等級申報，是越南《網路安全法》要求的資訊系統保護任務之一：先判定系統等級，再依等級建立並落實網路安全方案。依該法第 10 條，「確定資訊系統的網路安全等級」與「評估及管理網路安全風險」都屬於資訊系統保護任務，第 1、2 級系統的主管單位也必須完整執行。
這裡的「資訊系統」，依議定第 7 條，是具備明確業務功能、會處理資料、有特定使用者，並輸出資訊或資料的系統。範圍要依業務功能、資料流與相依性界定，而不是依行政組織或機房位置；議定第 8 條也禁止為了降低等級而刻意拆分系統。
法規依據：第 331/2026 號議定取代第 85/2016 號
越南資訊系統安全等級的法規架構，在 2026 年整套更新：上位法改為《網路安全法》（第 116/2025/QH15 號），細部規定改由第 331/2026/NĐ-CP 號議定訂定。新法自 2026 年 7 月 1 日施行，同時廢止 2015 年《網路資訊安全法》與 2018 年《網路安全法》。
| 層級 | 新制（2026 年起） | 舊制 |
|---|---|---|
| 法律 | 《網路安全法》第 116/2025/QH15 號，2026/7/1 施行 | 《網路資訊安全法》第 86/2015/QH13 號 |
| 議定 | 第 331/2026/NĐ-CP 號，2026/8/19 發布並施行 | 第 85/2016/NĐ-CP 號 |
| 技術要求 | TCVN 14423:2026《網路安全－資訊系統－基本要求》 | TCVN 11930:2017 |
| 第 4、5 級審查與年度報告 | 公安部（Bộ Công an） | 依舊制規定 |
議定第 28 至第 30 條規定，網路安全方案要符合國家標準《網路安全－資訊系統－基本要求》，也就是 2026 年發布、取代 TCVN 11930:2017 與 TCVN 14423:2025 的 TCVN 14423:2026，並分成管理與技術兩類基本要求。管理面包括政策、組織、人力、設計建置管理、營運管理、風險管理與系統終止；技術面包括網路、伺服器、應用程式與資料安全。
越南資訊系統 5 個安全等級怎麼判定？
越南資訊系統依遭破壞時的損害程度分為 5 級：《網路安全法》第 8 條定義各級的損害程度，第 331/2026 號議定第 11 至第 15 條則列出具體判定標準。系統同時符合不同等級的標準時，依議定第 8 條取最高等級。
| 等級 | 法律定義的損害程度 | 議定的主要判定標準（節錄） |
|---|---|---|
| 第 1 級 | 損害組織、個人的合法權益 | 只服務內部作業，且只處理公開資訊 |
| 第 2 級 | 嚴重損害組織、個人合法權益，或損害公共利益 | 內部系統處理非公開資訊或個資；線上服務不屬附條件經營行業；線上服務處理未滿 10 萬名主體的基本個資或未滿 1 萬名主體的敏感個資；服務單一機關組織的資訊基礎設施 |
| 第 3 級 | 特別嚴重損害組織、個人權益；嚴重損害公共利益；損害社會秩序或國家安全 | 屬附條件投資經營行業的線上服務；處理行政程序的系統；線上服務處理 10 萬名以上主體的基本個資或 1 萬名以上主體的敏感個資；第 II 至第 IV 級建築工程的工業控制系統 |
| 第 4 級 | 特別嚴重損害公共利益、社會秩序，或嚴重損害國家安全 | 須 24 小時全年運作的國家級電子政府系統或全國性資訊基礎設施；第 I 級建築工程的工業控制系統 |
| 第 5 級 | 特別嚴重損害國家安全 | 國家特別重要資料的集中儲存系統；連接越南與國際的國家資訊基礎設施；特級建築工程的工業控制系統 |
各等級另外還有處理國家機密或服務國防安全的標準，以及「由總理決定或依網路安全風險管理框架評估」的概括條款。依議定第 16 條，第 5 級系統屬於「國家安全重要資訊系統」，名單由總理核定。
台商常見系統大概落在哪一級？
台商在越南的系統，多數落在第 1 到第 3 級，關鍵在於是不是對外的線上服務、處理多少主體的個資，以及是否屬於附條件經營行業。下表是依議定標準整理的判斷方向，實際等級仍要逐一對照條文並保留論證。
| 系統類型 | 判斷重點 | 可能等級 |
|---|---|---|
| 只放公開資訊的內部系統 | 只服務內部、只處理公開資訊 | 第 1 級 |
| 工廠 ERP、人資、內部 CRM | 內部系統、處理員工或客戶個資 | 第 2 級 |
| 會員網站、電商平台 | 個資主體數是否達 10 萬（基本）或 1 萬（敏感）；行業是否附條件 | 第 2 或第 3 級 |
| 金融、醫療等線上服務 | 是否屬附條件投資經營行業 | 屬附條件行業時為第 3 級 |
| 工廠的工業控制系統 | 所服務建築工程的分級 | 第 3 至第 5 級 |
個資的「基本」與「敏感」分類，依越南個資法規定；處理越南個資的企業，通常同時要處理 DPIA 等個資法義務，兩套文件可以共用系統盤點與資料流圖。
哪些單位要申報越南資訊系統安全等級？
在越南建置、營運資訊系統的機關、組織都可能需要申報，包括外資企業。《網路安全法》第 1 條適用於越南及在越南的外國組織；第 331/2026 號議定第 2 條則明定，議定適用於服務國家機關的系統，以及向民眾、企業提供線上服務的系統，其他組織「鼓勵」比照適用。
負責申報的是「資訊系統主管單位」。依議定第 4 條，企業的主管單位是有權決定投資建置、升級或擴充該系統的層級；實際準備文件的是主管單位指派的「營運單位」。系統若委外或使用雲端服務，依第 5 條，營運單位依合約約定，合約須寫明資料治理、存取控制與網路安全的責任。
| 角色 | 越南文 | 主要工作 |
|---|---|---|
| 資訊系統主管單位 | Chủ quản hệ thống thông tin | 指示建立文件、核准第 3、4 級、每年向公安部報告 |
| 營運單位 | Đơn vị vận hành | 建立等級建議文件並送審 |
| 網路安全專責單位 | Đơn vị chuyên trách về an ninh mạng | 審查文件；第 1、2 級並負責核准 |
| 公安部等機關 | Bộ Công an 等 | 主持第 4、5 級審查 |
依議定第 35 條，主管單位每年須在 12 月 25 日前向公安部提交年度報告，內容包括系統清單、建議等級與核准情形，以及保護措施的落實程度。
越南資訊系統安全等級申報要準備哪些文件？
等級建議文件依議定第 21 條包括 5 項：系統概述、設計文件、等級建議說明、依等級的網路安全方案說明，以及第 4、5 級系統的專責單位專業意見。第 22 條再規定各項說明要寫到多細。
| 文件 | 內容重點（議定第 22 條） |
|---|---|
| 1. 系統概述 | 主管單位與營運單位資料；系統範圍、規模與服務對象；邏輯與實體架構、主要設備、應用服務清單、網段與 IP 規劃 |
| 2. 設計文件 | 新建或擴充：初步設計；營運中系統：已核准的施工設計或同等文件 |
| 3. 等級建議說明 | 系統清單與建議等級；處理的資訊類型、系統類型與判定依據；主要網路安全風險初步辨識 |
| 4. 網路安全方案說明 | 依建議等級，逐項說明管理與技術要求的落實方式 |
| 5. 專業意見 | 僅第 4、5 級：主管單位網路安全專責單位的意見 |
第 4、5 級的等級說明，還要附更詳細的網路安全風險評估報告。另依議定第 30 條，系統的網路安全規章必須在等級建議文件核准前發布；第 3、4 級系統若放在資料中心或雲端，系統、網段與儲存區都要在邏輯上與其他系統分開。
申報流程與過渡期怎麼安排？
營運中的系統，依議定第 20 條由營運單位建立文件、送審查，再由有權機關核准；審查與核准的單位依等級不同。依第 23、24 條，文件不完整時，審查單位最晚 5 個工作天內回覆補件；第 3 級審查最長 15 個工作天，第 4、5 級最長 25 個工作天；核准最長 7 個工作天。
| 等級 | 審查 | 核准 | 審查期限 |
|---|---|---|---|
| 第 1、2 級 | 主管單位的網路安全專責單位 | 同一專責單位核准，並報告主管單位 | 議定未訂 |
| 第 3 級 | 主管單位的網路安全專責單位 | 資訊系統主管單位 | 最長 15 個工作天 |
| 第 4 級 | 公安部主持（軍事系統為國防部、機要系統為政府機要委員會） | 資訊系統主管單位 | 最長 25 個工作天 |
| 第 5 級 | 同第 4 級 | 總理核定名單；主管單位核准網路安全方案 | 最長 25 個工作天 |
如果網路安全專責單位同時負責營運該系統，依議定第 18 條，須改由主管單位指定另一個有能力的單位審查，或成立獨立審查委員會。新建或擴充的系統，則依第 19 條把等級建議說明併入可行性研究或資訊服務租用計畫，一起送審。
過渡期：舊制完成的申報怎麼辦？
過渡規定分兩種情況。依《網路安全法》第 45 條，依舊法已判定等級的系統，可以繼續保留原等級，但須在新法施行後 12 個月內，也就是 2027 年 7 月 1 日前，符合新法對應等級的保護條件。依議定第 39 條，2026 年 7 月 1 日前仍在投資建置中的系統，須在新法施行後 6 個月內依第 85/2016 號議定完成審查與核准，並同樣在 12 個月內符合新議定的保護措施。
| 情況 | 期限 | 要做的事 |
|---|---|---|
| 已依舊法判定等級 | 2027 年 7 月 1 日前 | 保留原等級，補齊新法要求的保護措施 |
| 2026/7/1 前建置中 | 新法施行後 6 個月內 | 依第 85/2016 號議定完成審查與核准 |
| 同上 | 2027 年 7 月 1 日前 | 符合第 331/2026 號議定的保護措施 |
| 新系統或擴充 | 上線前 | 依新議定判定等級，方案落實後才能上線 |
越南的系統要先盤點哪些事？
台商現在最該做的，是在 2026 年 12 月 25 日年度報告與 2027 年 7 月 1 日過渡期限前，先列出在越南的所有資訊系統，逐一確認主管單位、營運單位、處理的資訊類型與個資主體數，再依議定第 11 至第 15 條初判等級。舊制已核准的系統，則對照新法找出要補的保護措施。
系統若涉及把越南個資傳到台灣或雲端，同時也要處理 越南個資跨境傳輸 的評估。想確認系統等級與文件要補什麼，可以參考我們的 越南資訊系統安全等級申報顧問，或 先請顧問看一下現況。
越南資訊系統安全等級常見問題
外資企業也要申報嗎？
要看系統性質。《網路安全法》適用於在越南的外國組織，判定系統等級是所有資訊系統主管單位的保護任務；第 331/2026 號議定的程序，明定適用於服務國家機關及向民眾、企業提供線上服務的系統，其他組織鼓勵比照。在越南經營電商、金融或會員服務的外資企業，屬於提供線上服務，應依議定辦理。
越南資訊系統安全等級怎麼判定？
依第 331/2026 號議定第 11 至第 15 條，主要看系統類型、處理的資訊類型與規模。例如線上服務處理 10 萬名以上主體的基本個資或 1 萬名以上主體的敏感個資，屬於第 3 級；只服務內部且只處理公開資訊，屬於第 1 級。同時符合多個等級時，取最高等級。
舊制完成的申報要重做嗎？
不一定要重新判定。依《網路安全法》第 45 條，依舊法已判定等級的系統可保留原等級，但須在 2027 年 7 月 1 日前符合新法對應等級的保護條件。系統功能、規模或處理的資訊有變動時，依議定第 25 條，要按首次判定的程序重新判定等級。
參考資料
- 第 331/2026/NĐ-CP 號議定（資訊系統網路安全保護） – 5 個等級判定標準、審查核准、文件與過渡規定。越南政府 · 2026 年 8 月 19 日
- 《網路安全法》第 116/2025/QH15 號 – 第 8 條等級、第 10 條保護任務、第 45 條過渡規定。越南國會 · 2025 年 12 月 10 日通過
- 第 85/2016/NĐ-CP 號議定 – 已被第 331/2026 號議定取代的舊制。越南政府 · 2016 年 7 月 1 日
