Giai đoạn 2027 - 2028: Triển khai thử nghiệm, đánh giá, cập nhật, điều chỉnh Chỉ số gồm 03 nhóm tiêu chí với 29 tiêu chí thành phần. Nội dung chi tiết, nguyên tắc, cấu trúc chỉ số, quy trình tính toán, thang đánh giá của Chỉ số được thực hiện dựa trên 07 Phụ lục kèm theo Quyết định này.
Cụ thể, về cấu trúc tổng thể Chỉ số, Quyết định nêu rõ: Chỉ số bao gồm 03 nhóm tiêu chí và 29 tiêu chí thành phần, trong đó, Nhóm I - Nhóm tiêu chí đánh giá chung và Nhóm II - Nhóm tiêu chí đánh giá đặc thù được dùng để tính toán Chỉ số, Nhóm III - Nhóm tiêu chí phục vụ chỉ đạo, điều hành không dùng để tính toán Chỉ số.
Nhóm I - Nhóm tiêu chí đánh giá chung (áp dụng đối với mọi hệ thống thông tin, chủ quản hệ thống thông tin) gồm 2 tiêu chí thành phần: 1- Đáp ứng hồ sơ đề xuất cấp độ;
2- Đáp ứng phương án bảo đảm an ninh mạng theo cấp độ.
Nhóm II - Nhóm tiêu chí đánh giá đặc thù (áp dụng đối vói hệ thống thông tin cấp độ 3 trở lên, chủ quản hệ thống thông tin cấp độ 3 trở lên) gồm 18 tiêu chí thành phần:
1- Quản lý rủi ro an ninh mạng;
2- Quản lý tài sản phần cứng;
3- Quản lý tài sản phần mềm;
4- Quản lý tài sản thông tin;
5- Cấu hình an toàn cho phần cứng và phần mềm;
6- Quản lý tài khoản và quyền truy cập tài khoản của người dùng;
7- Quản lý lỗ hổng bảo mật;
8- Quản lý nhật ký an ninh mạng;
9- Bảo vệ cho trình duyệt web, dịch vụ thư điện tử;
10- Phòng chống phần mềm độc hại;
11- Sao lưu và khôi phục dữ liệu;
12- Quản lý hạ tầng mạng;
13- Giám sát phòng thủ an ninh mạng;
14- Nhân sự vận hành, quản trị hệ thống, bảo vệ an ninh mạng;
15- Quản lý nhà cung cấp sản phẩm, dịch vụ;
16- Phát triển ứng dụng an toàn;
17- Quản trị ứng phó sự cố an ninh mạng;
18- Quản lý kiểm tra an ninh mạng.
Nhóm III - Nhóm tiêu chí phục vụ chỉ đạo, điều hành (áp dụng đối với mọi hệ thống thông tin, chủ quản hệ thống thông tin) gồm 9 tiêu chí thành phần:
1- Tỷ lệ biện pháp xử lý rủi ro được thực hiện đúng hạn theo kế hoạch (%);
2- Tỷ lệ sự cố an ninh mạng được kiểm soát và xử lý kịp thời trên tổng số lượng sự cố an ninh mạng (%);
3- Số lượng sự cố an ninh mạng nghiêm trọng xảy ra (số vụ);
4- Số bản ghi dữ liệu cá nhân của công dân bị lộ lọt (số bản ghi);
5- Số Gigabyte dữ liệu bị lộ lọt (GB);
6- Số Gigabyte dữ liệu bị mất, mã hoá (GB);
7- Số vụ lộ bí mật nhà nước trên không gian mạng do sự cố an ninh mạng gây ra (vụ);
8- Số đầu tài liệu bí mật nhà nước bị đăng tải, truyền đưa trên không gian mạng do sự cố an ninh mạng gây ra (tài liệu);
9- Thiệt hại tài chính do các sự cố an ninh mạng gây ra trên tổng ngân sách chi cho công tác bảo đảm an ninh mạng (%).
Trong quá trình triển khai thử nghiệm, các nội dung quy định tại Phụ lục được cập nhật, hiệu chỉnh nhằm bảo đảm tính khả thi và phù hợp với thực tiễn trước khi áp dụng chính thức.
Quyết định cũng nêu rõ: Việc sơ kết giai đoạn triển khai thử nghiệm được thực hiện trong Quý II năm 2028. Kết quả đánh giá trong giai đoạn triển khai thử nghiệm này được cơ quan thường trực sử dụng làm cơ sở thực tiễn để rà soát, hoàn thiện Chỉ số, không tổng hợp làm căn cứ xét thi đua, khen thưởng hoặc đánh giá mức độ hoàn thành nhiệm vụ của các bộ, cơ quan ngang bộ, Ủy ban nhân dân cấp tỉnh (các bộ, cơ quan, địa phương).
Trên cơ sở kết quả sơ kết giai đoạn triển khai thử nghiệm, cơ quan thường trực báo cáo, đề xuất Thủ tướng Chính phủ xem xét, quyết định việc áp dụng chính thức Chỉ số cho giai đoạn 2029 - 2030 và định hướng các năm tiếp theo, bảo đảm phù hợp với xu hướng công nghệ mới và yêu cầu quản trị an ninh mạng quốc gia.
Phạm vi triển khai thí điểm
Quyết định nêu rõ, trong giai đoạn 2027 - 2028, các bộ, cơ quan, địa phương tổ chức đánh giá thí điểm Chỉ số trên cơ sở áp dụng cấu trúc, nguyên tắc và phương pháp của Chỉ số nêu tại các Phụ lục kèm theo Quyết định này. Cơ quan, tổ chức khác có nhu cầu có thể nghiên cứu, tham khảo để tự tổ chức đánh giá.
Hồ sơ đề xuất cấp độ hệ thống thông tin đã được phê duyệt trước ngày Quyết định này có hiệu lực thi hành (12/10/2026) tiếp tục được sử dụng làm căn cứ đánh giá Chỉ số cho đến khi được rà soát, điều chỉnh hoặc phê duyệt lại theo quy định.
Việc đánh giá Chỉ số trong giai đoạn thí điểm được thực hiện theo hướng dẫn của cơ quan thường trực, trên cơ sở số liệu, kết quả triển khai thực tế và hồ sơ, tài liệu minh chứng của kỳ đánh giá tương ứng.
Xử lý kết quả đánh giá
Kết quả đánh giá Chỉ số được bảo mật, quản lý, sử dụng theo quy định; bảo đảm tuân thủ quy định pháp luật về bảo vệ bí mật nhà nước đối với các nội dung có chứa bí mật nhà nước. Trường hợp công bố đối với kết quả đánh giá chính thức (từ năm 2029 trở đi), nội dung công bố gồm điểm số và mức xếp loại của cơ quan, tổ chức.
Đối với kết quả đánh giá thử nghiệm (giai đoạn 2027 - 2028): Kết quả giai đoạn này là cơ sở thực tiễn để rà soát, hoàn thiện cấu trúc, tiêu chí và phương pháp tính toán của Chỉ số.
Đối với kết quả đánh giá chính thức (từ năm 2029 trở đi): Kết quả đánh giá được tổng hợp, báo cáo Thủ tướng Chính phủ và tổ chức công bố, xếp hạng định kỳ theo quy định trước tháng 5 hằng năm; làm căn cứ quan trọng trong công tác quản lý nhà nước, phục vụ hoạch định chính sách vĩ mô, chiến lược về an ninh mạng quốc gia. Kết quả đánh giá chính thức có thể được sử dụng làm một trong các thông tin tham khảo phục vụ công tác đánh giá cán bộ, công chức theo quy định của pháp luật về cán bộ, công chức và quy định khác có liên quan.
Bộ Công an là cơ quan thường trực theo dõi, đánh giá, tổng hợp kết quả đánh giá Chỉ số hằng năm
Thủ tướng Chính phủ giao Bộ Công an là cơ quan thường trực theo dõi, đánh giá, tổng hợp kết quả đánh giá Chỉ số hằng năm; chủ trì, phối hợp Bộ Khoa học và Công nghệ, Bộ Quốc phòng và các bộ, cơ quan, địa phương đề xuất điều chỉnh Chỉ số; sơ kết, tổng kết việc triển khai thử nghiệm; xem xét, điều chỉnh đối với các nhóm tiêu chí, tiêu chí thành phần để phù hợp với tình hình thực tiễn; hướng dẫn việc áp dụng Chỉ số, phương pháp đánh giá, phạm vi và thời điểm thu thập dữ liệu đánh giá, việc áp dụng các tiêu chuẩn, quy chuẩn kỹ thuật và các vấn đề phát sinh trong quá trình triển khai thực hiện Chỉ số; nghiên cứu, xây dựng công cụ hỗ trợ đánh giá tự động, xây dựng hệ thống thông tin phục vụ việc chấm điểm, tổng hợp, báo cáo, thống kê kết quả đánh giá hằng năm.
Các bộ, cơ quan, địa phương tổ chức đánh giá đối với các hệ thống thông tin thuộc phạm vi quản lý, bao gồm hệ thống thông tin của các đơn vị trực thuộc; xây dựng cơ chế, chính sách phù hợp để theo dõi, thống kê, tổng hợp số liệu các chỉ tiêu, đảm bảo cập nhật thường xuyên, liên tục, đầy đủ, chính xác và báo cáo về cơ quan thường trực để tổng hợp, đánh giá theo thời hạn do cơ quan thường trực hướng dẫn; tăng cường ứng dụng khoa học, công nghệ để hình thành hệ thống dữ liệu đầy đủ, hỗ trợ cho việc triển khai đánh giá Chỉ số.
Công an tỉnh, thành phố là đầu mối tham mưu cho Ủy ban nhân dân tỉnh, thành phố tổ chức triển khai thực hiện Quyết định này; phối hợp với các cơ quan, tổ chức có liên quan trong việc theo dõi, tổng hợp, báo cáo kết quả đánh giá theo quy định.