Điều 8. Quản lý thiết kế, xây dựng hệ thống thông tin
1. Bảo đảm an toàn thông tin là yêu cầu bắt buộc, phải được thực hiện thường xuyên, liên tục trong suốt quá trình thiết kế, xây dựng, vận hành, nâng cấp, hủy bỏ hệ thống thông tin.
2. Khi thiết kế xây dựng, nâng cấp, mở rộng hệ thống thông tin, chủ quản hệ thống thông tin phải xây dựng phương án bảo đảm an toàn thông tin trong hồ sơ thiết kế và gửi đơn vị chuyên trách về an toàn thông tin của chủ quản hệ thống thông tin thẩm định trước khi trình cấp có thẩm quyền phê duyệt dự án.
3. Đánh giá, phân loại cấp độ an toàn thông tin của hệ thống thông tin
a) Chủ quản hệ thống thông tin có trách nhiệm tổ chức đánh giá, phân loại cấp độ an toàn thông tin của hệ thống thông tin theo quy định tại Nghị định số 85/2016/NĐ-CP ngày 01 tháng 7 năm 2016 của Chính phủ về bảo đảm an toàn hệ thống theo cấp độ (gọi tắt là Nghị định số 85/2016/NĐ-CP) để áp dụng phương án bảo đảm an toàn thông tin phù hợp;
b) Hồ sơ đề xuất cấp độ lập theo hướng dẫn tại Điều 15 Nghị định số 85/2016/NĐ-CP, gửi đơn vị chuyên trách về an toàn thông tin của chủ quản hệ thống thông tin thẩm định, trình cấp có thẩm quyền phê duyệt;
c) Đối với hệ thống thông tin được xây dựng mới hoặc nâng cấp, mở rộng, việc thẩm định phương án bảo đảm an toàn thông tin và hồ sơ đề xuất cấp độ an toàn thông tin thực hiện đồng thời với thẩm định dự án ứng dụng công nghệ thông tin.
4. Trước khi đưa vào vận hành, khai thác hệ thống thông tin, chủ quản hệ thống thông tin phối hợp với tổ chức chuyên môn có đủ năng lực (đơn vị sự nghiệp nhà nước có chức năng, nhiệm vụ phù hợp hoặc tổ chức chuyên môn được cơ quan, đơn vị có thẩm quyền cấp phép theo Nghị định số 108/2016/NĐ-CP ngày 01 tháng 7 năm 2016 của Chính phủ quy định chi tiết điều kiện kinh doanh sản phẩm, dịch vụ an toàn thông tin mạng - gọi tắt là Nghị định số 108/2016/NĐ-CP) thực hiện đánh giá, kiểm định an toàn thông tin. Trên cơ sở đề xuất của đơn vị kiểm định, chủ quản hệ thống thông tin có trách nhiệm tổ chức triển khai hiệu chỉnh thiết kế, mã nguồn để hạn chế, phòng ngừa rủi ro, nguy cơ xảy ra mất an toàn thông tin.