Điều 6. An toàn thông tin mạng đối với việc cung cấp, vận hành và sử dụng dịch vụ công nghệ thông tin
1. Trách nhiệm của đơn vị cung cấp dịch vụ công nghệ thông tin:
Bảo đảm an toàn, bảo mật thông tin, dữ liệu trong suốt quá trình cung cấp dịch vụ cho các cơ quan, đơn vị. Chịu trách nhiệm trước pháp luật nếu để xảy ra mất an toàn thông tin dẫn đến mất an ninh thông tin do lỗi của bên cung cấp dịch vụ.
2. Trách nhiệm của cơ quan, đơn vị chủ trì thuê dịch vụ công nghệ thông tin:
a) Yêu cầu đơn vị cung cấp dịch vụ phải bảo mật thông tin, dữ liệu, mã nguồn, tài liệu thiết kế; triển khai các biện pháp bảo đảm an toàn thông tin theo quy định tại Quy chế này, Luật An toàn thông tin mạng và các quy định khác có liên quan;
b) Giám sát chặt chẽ và giới hạn quyền truy cập của bên cung cấp dịch vụ khi cho phép truy cập vào hệ thống thông tin của cơ quan, đơn vị.
c) Yêu cầu đơn vị cung cấp dịch vụ thực hiện trách nhiệm của đơn vị vận hành hệ thống thông tin theo quy định tại khoản 3 Điều này.
d) Khi phát hiện đơn vị cung cấp dịch vụ có dấu hiệu vi phạm quy định về bảo đảm an toàn thông tin:
Kịp thời thông báo, làm việc với đơn vị cung cấp dịch vụ để xử lý theo quy định của pháp luật; có biện pháp bảo đảm an toàn, bảo mật thông tin, dữ liệu trên hệ thống thông tin.
d) Khi kết thúc sử dụng dịch vụ:
Thu hồi quyền truy cập hệ thống thông tin và các tài sản khác liên quan đã cấp cho đơn vị cung cấp dịch vụ; thay đổi các khoá, mật khẩu truy cập hệ thống thông tin; yêu cầu đơn vị cung cấp dịch vụ chuyển giao đầy đủ các thông tin, dữ liệu, mã nguồn, tài liệu thiết kế và các công cụ cần thiết để bảo đảm cơ quan, đơn vị vẫn có thế khai thác sử dụng dịch vụ được liên tục kể cả trong trường hợp thay đổi đơn vị cung cấp dịch vụ.
3. Trách nhiệm của đơn vị vận hành hệ thống thông tin
a) Thực hiện đầy đủ theo quy định tại Điều 22 Nghị định số 85/2016/NĐ-CP;
b) Trên cơ sở báo cáo kết quả kiểm tra, đánh giá an toàn thông tin mạng hoặc cảnh báo nguy cơ gây mất an toàn thông tin mạng từ đơn vị chuyên trách về an toàn thông tin của tỉnh hoặc cơ quan có thẩm quyền theo quy định của pháp luật, đơn vị vận hành hệ thống thông tin có trách nhiệm tự tổ chức triển khai khắc phục hoặc lựa chọn đơn vị đủ năng lực để triển khai các phương án khắc phục bảo đảm quy trình theo quy định tại Thông tư số 20/2017/TT-BTTTT. Kết thúc quá trình khắc phục, báo cáo kết quả thực hiện về đơn vị chuyên trách an toàn thông tin của tỉnh để theo dõi, tổng hợp.