Đạo luật về khả năng phục hồi an ninh mạng của EU (EU CRA). Tuyên bố của khách hàng

The EU Cyber Resilience Act (EU CRA) được thiết kế nhằm tăng cường an ninh cho các sản phẩm số, bao gồm phần mềm và thiết bị kết nối. Đạo luật này thiết lập các quy tắc rõ ràng và nhất quán để các công ty tuân theo khi đưa các sản phẩm này ra thị trường. Quy định bắt buộc này giúp giảm rủi ro bằng cách yêu cầu nhà sản xuất tích hợp an ninh vào sản phẩm của họ và nhanh chóng khắc phục mọi lỗ hổng an ninh mạng được phát hiện trong quá trình sử dụng thực tế. Mục tiêu là tạo ra một môi trường số an toàn hơn cho mọi người bằng cách khuyến khích sự hiện diện của các sản phẩm "an toàn theo mặc định". EU CRA yêu cầu nhà sản xuất đưa các sản phẩm tuân thủ ra thị trường Liên minh châu Âu bắt đầu từ ngày 11 tháng 12 năm 2027. Nhà sản xuất cũng có nghĩa vụ báo cáo các sự cố nghiêm trọng và các lỗ hổng bị khai thác tích cực cho các cơ quan có thẩm quyền quốc gia liên quan hoặc Đội ứng cứu sự cố an ninh máy tính (CSIRTs) bắt đầu từ ngày 11 tháng 9 năm 2026.

EU CRA quy định rằng các Sản phẩm có Yếu tố Kỹ thuật số (PDEs) kết nối hoặc tương tác với các thiết bị hay mạng khác phải đáp ứng các yêu cầu an ninh mạng thiết yếu trong quá trình thiết kế, phát triển và sản xuất. Đạo luật cũng yêu cầu quản lý lỗ hổng trong suốt vòng đời sản phẩm. Phần mô tả dưới đây cung cấp tổng quan về các nghĩa vụ chính theo EU CR.

Đạo luật CRA của EU phân loại PDEs thành bốn nhóm với các mức đánh giá sự phù hợp khác nhau: "Common," "Important Class I," "Important Class II," và "Critical." Các PDEs "Important" và "Critical" được liệt kê trong Phụ lục III và IV. Các PDEs "Important" (ví dụ: tường lửa) và "Critical" (ví dụ: Mô-đun Bảo mật Phần cứng, thẻ thông minh) cung cấp các chức năng an ninh mạng then chốt hoặc là thiết yếu đối với các thực thể chủ chốt hay chuỗi cung ứng trong EU. Chúng yêu cầu tuân thủ các tiêu chuẩn hài hòa và chứng nhận của bên thứ ba.

Các sản phẩm chỉ được liệt kê trong Phụ lục III hoặc IV nếu các chức năng cốt lõi của chúng tương ứng với các loại được quy định; các sản phẩm kết hợp, chẳng hạn như máy móc, không tự động kế thừa phân loại mức độ nghiêm trọng. Mặc dù có sự khác nhau trong các đánh giá sự phù hợp, các yêu cầu an ninh mạng cơ bản đối với đặc tính sản phẩm vẫn nhất quán trên tất cả các nhóm.