Điều 25. Kiểm tra, đánh giá an ninh mạng
1. Chủ quản hệ thống thông tin có thẩm quyền yêu cầu kiểm tra, đánh giá đối với các hệ thống thông tin thuộc thẩm quyền quản lý. Đơn vị chuyên trách về an ninh mạng của chủ quản hệ thống thông tin có thẩm quyền yêu cầu kiểm tra, đánh giá đối với các hệ thống thông tin do đơn vị này phê duyệt hồ sơ đề xuất cấp độ.
2. Đơn vị chủ trì kiểm tra, đánh giá là đơn vị được cấp có thẩm quyền giao nhiệm vụ hoặc được lựa chọn để thực hiện việc kiểm tra, đánh giá. Đối tượng kiểm tra, đánh giá là chủ quản hệ thống thông tin hoặc đơn vị vận hành hệ thống thông tin và các hệ thống thông tin có liên quan.
3. Hoạt động kiểm tra, đánh giá an ninh mạng được thực hiện định kỳ hoặc đột xuất nhằm xác định thực trạng hệ thống thông tin; phát hiện, cảnh báo, khắc phục các lỗ hổng, điểm yếu bảo mật và đánh giá sự tuân thủ các quy định.
4. Việc kiểm tra, đánh giá được thực hiện theo quy định tại điểm c khoản 2 Điều 20 Nghị định số 85/2016/NĐ-CP, như sau:
a) Định kỳ 02 năm đối với hệ thống thông tin cấp độ 1 và cấp độ 2.
b) Định kỳ hằng năm đối với hệ thống thông tin cấp độ 3 và cấp độ 4.
c) Định kỳ 06 tháng một lần đối với hệ thống thông tin cấp độ 5.
5. Nội dung, hình thức kiểm tra, đánh giá quy định tại Điều 11, Điều 12 Thông tư số 12/2022/TT-BTTTT của Bộ trưởng Bộ Thông tin và Truyền thông của Bộ trưởng Bộ Thông tin và Truyền thông quy định chi tiết và hướng dẫn một số điều của Nghị định số 85/2016/NĐ-CP ngày 01 tháng 7 năm 2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ và quy định có liên quan. Đơn vị chuyên trách về an ninh mạng có trách nhiệm thông báo kế hoạch, thành lập đoàn kiểm tra, lập biên bản và thông báo kết quả kiểm tra, đánh giá cho đơn vị được kiểm tra, đánh giá.
6. Cơ quan, đơn vị được kiểm tra có trách nhiệm phối hợp, cung cấp thông tin, tài liệu, nhật ký cần thiết, tạo điều kiện cho đoàn kiểm tra; tổ chức khắc phục các tồn tại theo yêu cầu và báo cáo kết quả khắc phục theo thời hạn được thông báo.