Vietnam refuerza las obligaciones de ciberseguridad de las empresas

El decreto, compuesto por seis capítulos y 32 artículos, regula las medidas de protección de la ciberseguridad, la gestión de direcciones IP, la supervisión y respuesta ante incidentes, así como el tratamiento de información ilegal o falsa que atente contra la seguridad nacional, el orden y la seguridad social o los derechos e intereses legítimos de organizaciones y particulares.

Entre las principales obligaciones figura la autenticación de las cuentas de los usuarios. Las empresas deberán verificar la identidad al registrar una cuenta digital y autenticarla mediante un número de teléfono móvil en Vietnam. Quienes no dispongan de este número podrán utilizar su número de identificación personal u otro método legal de identificación electrónica. En el caso de las transmisiones en directo con fines comerciales, será obligatorio utilizar el número de identificación personal para autenticar la cuenta.

Las empresas también deberán proporcionar información de los usuarios al cuerpo especializado en protección de la ciberseguridad del Ministerio de Seguridad Pública cuando exista una solicitud válida. El plazo máximo será de 24 horas, y se reducirá a tres horas en situaciones de emergencia que amenacen la seguridad nacional o la vida de las personas.

El decreto establece además mecanismos para limitar el acceso, eliminar información o retirar servicios y aplicaciones que infrinjan las normas de seguridad de la información en redes. Estas solicitudes deberán cumplirse en un plazo máximo de 24 horas, o de seis horas cuando exista una amenaza de emergencia contra la seguridad nacional.

Las cuentas, páginas, grupos comunitarios y canales de contenidos que publiquen reiteradamente información infractora podrán ser restringidos o bloqueados temporalmente. Si publican contenidos que infringen la normativa tres veces o más en 30 días, podrán ser bloqueados hasta 60 días; mientras que diez publicaciones o más en 90 días podrán conllevar un bloqueo de hasta 180 días.

También podrá limitarse indefinidamente la visibilidad en Vietnam o bloquearse de forma indefinida una cuenta utilizada para difundir información que atente contra la seguridad nacional, cuando haya sido bloqueada temporalmente al menos tres veces y continúe utilizándose para cometer infracciones, o cuando existan fundamentos para determinar que sigue siendo utilizada para vulnerar la legislación sobre ciberseguridad. Estas cuentas podrán ser restauradas cuando desaparezcan los motivos que justificaron la medida o aparezcan nuevas circunstancias que modifiquen sus fundamentos.

Por otra parte, las empresas deberán conservar los registros de sus sistemas durante al menos 12 meses, incluidos datos sobre las cuentas de los usuarios, horarios de inicio y cierre de sesión, direcciones IP, puertos de origen y registros relacionados con el tratamiento de los contenidos publicados.

El Decreto 333/2026/ND-CP entró en vigor el 19 de agosto de 2026.