Đạo luật Khả năng chống chịu an ninh mạng EU: nghĩa vụ báo cáo áp dụng từ 11/9/2026. Nhà sản xuất trụ sạc và biến tần cần làm gì

#Mốc thời gian

#Báo cáo gì và trong bao lâu

Thời hạn tính từ khi nhà sản xuất biết sự việc. Báo cáo nộp một lần qua nền tảng, gửi đến CSIRT điều phối của quốc gia nơi nhà sản xuất có cơ sở chính và, trừ trường hợp đặc biệt, đồng thời đến ENISA.

Sự cố được coi là nghiêm trọng nếu ảnh hưởng hoặc có thể ảnh hưởng đến khả năng của sản phẩm bảo vệ tính sẵn sàng, xác thực, toàn vẹn hoặc bảo mật của dữ liệu hay chức năng, hoặc dẫn đến (hoặc có thể dẫn đến) việc mã độc chạy trên sản phẩm hoặc hệ thống của người dùng.

Nhà sản xuất cũng phải thông báo cho người dùng bị ảnh hưởng, và khi phù hợp là tất cả người dùng, về lỗ hổng hoặc sự cố và biện pháp giảm thiểu, khi phù hợp ở định dạng có cấu trúc, máy đọc được.

#Sản phẩm đã bán cũng được tính

Sản phẩm đưa ra thị trường trước 11/12/2027 thường chỉ chịu CRA sau khi có sửa đổi đáng kể (Điều 69(2)). Nghĩa vụ báo cáo là ngoại lệ: Điều 14 áp dụng cho mọi sản phẩm như vậy trong phạm vi, không cần sửa đổi (Điều 69(3)). Thiết bị đã lắp đặt tại EU nằm trong phạm vi ngay bây giờ.

#Trụ sạc, biến tần và hệ lưu trữ có thuộc phạm vi không?

CRA áp dụng cho sản phẩm có yếu tố số kết nối với thiết bị hoặc mạng. Trụ sạc dùng OCPP, biến tần giám sát qua Wi-Fi hoặc 4G, hệ lưu trữ kết nối nền tảng đám mây, bộ quản lý năng lượng đều phù hợp mô tả này.

Không sản phẩm nào trong số này có tên trong Phụ lục III (sản phẩm quan trọng) hay Phụ lục IV (sản phẩm then chốt). Phụ lục III gồm ví dụ bộ định tuyến và modem, hệ điều hành, sản phẩm nhà thông minh có chức năng an ninh; Phụ lục IV gồm cổng công tơ thông minh. Sản phẩm không được liệt kê thuộc nhóm mặc định, nhà sản xuất có thể tự đánh giá sự phù hợp từ tháng 12/2027.

Trước đó, thiết bị vô tuyến có kết nối bán tại EU đã phải đáp ứng yêu cầu an ninh mạng của Chỉ thị thiết bị vô tuyến, đánh giá theo EN 18031.

#Cần làm gì ngay

1. Thiết lập quy trình 24 giờ. Ai nhận báo cáo lỗ hổng, ai đánh giá lỗ hổng có đang bị khai thác hay không, ai nộp cảnh báo sớm.
2. Chuẩn bị quyền truy cập Nền tảng báo cáo duy nhất và xác định CSIRT nhận thông báo.
3. Lập danh sách thiết bị đã bán. Mọi mẫu có kết nối đã bán tại EU, phiên bản firmware và cách cập nhật đến thiết bị. Nghĩa vụ áp dụng cả với sản phẩm cũ.
4. Chuẩn bị thông báo người dùng. Mẫu thông báo và kênh phát hành, tốt nhất ở dạng máy đọc được.
5. Lên kế hoạch cho tháng 12/2027. Thiết kế an toàn mặc định, cập nhật bảo mật trong thời gian hỗ trợ và danh mục thành phần phần mềm (SBOM) sẽ thành yêu cầu.