Cyber Resilience Act (CRA) của EU: báo cáo từ 9/2026, yêu cầu CE từ 2027

Phạm vi và đánh giá sự phù hợp

CRA áp dụng cho các sản phẩm phần cứng và phần mềm có yếu tố kỹ thuật số được cung cấp trên thị trường EU, bao gồm cả giải pháp xử lý dữ liệu từ xa và các linh kiện được đưa ra thị trường riêng, khi mục đích sử dụng dự kiến hoặc có thể lường trước một cách hợp lý bao gồm kết nối dữ liệu trực tiếp hoặc gián tiếp. Sản phẩm không được cung cấp trong hoạt động thương mại không thuộc phạm vi, và một số sản phẩm thuộc pháp luật khác của EU bị loại trừ.

Hầu hết sản phẩm có thể tự đánh giá (kiểm soát sản xuất nội bộ, module A). Sản phẩm quan trọng Nhóm I chỉ được tự đánh giá nếu đã áp dụng tiêu chuẩn hài hòa, quy cách kỹ thuật chung hoặc chương trình chứng nhận an ninh mạng châu Âu; nếu không thì cần tổ chức được thông báo (notified body). Sản phẩm quan trọng Nhóm II và sản phẩm trọng yếu cần đánh giá của bên thứ ba hoặc chương trình chứng nhận. Áp dụng tiêu chuẩn hài hòa mang lại giả định phù hợp (presumption of conformity).

Nghĩa vụ của nhà sản xuất

• Thực hiện đánh giá rủi ro an ninh mạng và đáp ứng các yêu cầu thiết yếu tại Phụ lục I, bao gồm xử lý lỗ hổng trong thời gian hỗ trợ.
• Thực hiện thẩm định cẩn trọng (due diligence) đối với các thành phần của bên thứ ba được tích hợp.
• Lưu giữ hồ sơ kỹ thuật sẵn sàng cho các cơ quan giám sát thị trường.
• Cung cấp thông tin nhận dạng và liên hệ cùng thông tin cho người dùng theo Phụ lục II, bao gồm ngày kết thúc thời gian hỗ trợ (tháng và năm) tại thời điểm mua hàng.
• Lập bản công bố hợp chuẩn của EU và gắn dấu CE trước khi đưa sản phẩm ra thị trường.
• Báo cáo các lỗ hổng đang bị khai thác tích cực và các sự cố nghiêm trọng: cảnh báo sớm trong 24 giờ, thông báo trong 72 giờ, và báo cáo cuối cùng trong 14 ngày sau khi có bản khắc phục (đối với lỗ hổng) hoặc trong 1 tháng (đối với sự cố nghiêm trọng).

Nhà nhập khẩu, nhà phân phối và lộ trình

Nhà nhập khẩu phải kiểm tra xem nhà sản xuất đã thực hiện đánh giá sự phù hợp hay chưa, hồ sơ kỹ thuật có tồn tại hay không và sản phẩm có được gắn dấu CE hay không, đồng thời không được đưa sản phẩm không tuân thủ ra thị trường. Nhà phân phối phải kiểm tra dấu CE cùng thông tin của nhà sản xuất và nhà nhập khẩu, bao gồm thời gian hỗ trợ. Cả hai đều phải thông báo cho nhà sản xuất về các lỗ hổng và hợp tác với cơ quan có thẩm quyền. Nhà sản xuất có thể chỉ định đại diện được ủy quyền bằng văn bản ủy quyền.

Nghĩa vụ báo cáo áp dụng từ 11/9/2026, kể cả với các sản phẩm đã có trên thị trường. Các quy định chính áp dụng từ 11/12/2027; sản phẩm đã có trên thị trường chỉ thuộc phạm vi nếu được sửa đổi đáng kể sau ngày đó. Các chứng chỉ kiểm tra kiểu của EU hiện có về an ninh mạng hết hiệu lực vào 11/6/2028, trừ khi hết hiệu lực sớm hơn. Chế tài do từng quốc gia thành viên quy định, và doanh nghiệp siêu nhỏ và nhỏ có thể không bị phạt khi không đáp ứng thời hạn 24 giờ.