Camera, bộ phát Wi-Fi, đồng hồ thông minh, thiết bị nhà thông minh, phần mềm và nhiều sản phẩm có kết nối mạng sẽ phải đáp ứng thêm yêu cầu về an toàn mạng trước khi được đưa ra thị trường EU. Quy định mới sẽ áp dụng đầy đủ từ ngày 11/12/2027, nhưng một số nghĩa vụ đã bắt đầu từ tháng 9/2026.
Quy định mới của Liên minh Châu Âu có tên Cyber Resilience Act – CRA. Hiểu đơn giản, EU muốn các sản phẩm có kết nối mạng phải được làm an toàn hơn ngay từ khi sản xuất, thay vì bán ra rồi mới xử lý khi xảy ra lỗi hoặc bị tấn công.
Quy định đã có hiệu lực từ tháng 12/2024. Một số nghĩa vụ bắt đầu áp dụng từ 11/9/2026, còn phần lớn yêu cầu sẽ được áp dụng đầy đủ từ 11/12/2027.
Những sản phẩm nào có thể bị ảnh hưởng?
Quy định áp dụng với nhiều loại phần cứng và phần mềm có khả năng kết nối trực tiếp hoặc gián tiếp với thiết bị khác hoặc với mạng.
Ví dụ có thể gồm:
camera kết nối mạng;
bộ phát Wi-Fi, router;
đồng hồ và thiết bị thông minh;
thiết bị nhà thông minh;
một số máy móc có phần mềm điều khiển;
ứng dụng, chương trình máy tính;
các linh kiện hoặc phần mềm được bán riêng.
Ủy ban Châu Âu gọi chung đây là “sản phẩm có yếu tố kỹ thuật số”.
Tuy nhiên, không phải mọi sản phẩm điện tử đều tự động thuộc cùng một nhóm. Một số lĩnh vực như thiết bị y tế, ô tô, hàng không dân dụng và một số sản phẩm đặc biệt đã có quy định riêng.
Từ cuối năm 2027, muốn bán hàng phải chứng minh sản phẩm đủ an toàn
Từ 11/12/2027, nhà sản xuất phải kiểm tra mức độ an toàn của sản phẩm, chuẩn bị hồ sơ kỹ thuật và chứng minh sản phẩm đáp ứng các yêu cầu của EU trước khi đưa ra thị trường.
Sản phẩm phù hợp sẽ mang dấu CE và có giấy xác nhận phù hợp của EU.
Dấu CE vốn đã quen thuộc trên nhiều mặt hàng tại châu Âu. Với các sản phẩm thuộc CRA, việc đánh giá để được gắn CE sẽ phải tính thêm các yêu cầu về an toàn mạng.
Nhà sản xuất cũng phải tiếp tục xử lý các lỗ hổng bảo mật trong thời gian hỗ trợ sản phẩm, thay vì coi trách nhiệm đã kết thúc sau khi bán hàng.
Người nhập hàng từ ngoài EU cũng phải chú ý
Điểm này đặc biệt đáng chú ý với những doanh nghiệp Việt Nam đang nhập thiết bị điện tử từ Việt Nam, Trung Quốc hoặc các nước ngoài EU về Séc và châu Âu để bán.
Theo quy định, người nhập hàng vào EU không thể chỉ nhận hàng rồi bán.
Trước khi đưa sản phẩm ra thị trường, đơn vị nhập khẩu phải kiểm tra xem nhà sản xuất đã:
làm các thủ tục kiểm tra cần thiết;
chuẩn bị hồ sơ kỹ thuật;
có giấy xác nhận phù hợp;
gắn dấu CE theo yêu cầu.
Nếu có lý do để cho rằng sản phẩm chưa đáp ứng quy định, người nhập khẩu không được đưa sản phẩm đó ra thị trường cho tới khi vấn đề được khắc phục.
Người bán lại cũng có trách nhiệm kiểm tra các thông tin và giấy tờ cần thiết trước khi đưa sản phẩm tới khách hàng.
Một số trách nhiệm đã bắt đầu từ tháng 9/2026
Một điểm dễ bỏ qua là không phải đợi tới cuối năm 2027 mới cần quan tâm.
Từ 11/9/2026, nhà sản xuất đã phải báo cáo những lỗi bảo mật đang bị khai thác và các sự cố nghiêm trọng liên quan đến sản phẩm thuộc phạm vi CRA.
Việc báo cáo được thực hiện qua hệ thống chung do Cơ quan An ninh mạng của EU – ENISA vận hành.
Theo hướng dẫn của EU, cảnh báo ban đầu trong một số trường hợp phải được gửi trong vòng 24 giờ, sau đó là báo cáo chi tiết hơn.
Hàng đã bán trước cuối năm 2027 có phải làm lại toàn bộ không?
Không phải tất cả.
Những sản phẩm đã được đưa ra thị trường trước 11/12/2027 về cơ bản chỉ phải áp dụng đầy đủ các yêu cầu mới nếu sau thời điểm đó sản phẩm có thay đổi lớn.
Tuy nhiên, nghĩa vụ báo cáo các lỗi bảo mật đang bị khai thác và sự cố nghiêm trọng vẫn có thể áp dụng với các sản phẩm thuộc phạm vi CRA đã có trên thị trường từ trước.
Mức phạt có thể rất cao
Đây không phải quy định mang tính khuyến khích.
Với một số vi phạm nghiêm trọng, mức phạt tối đa có thể lên tới 15 triệu euro hoặc 2,5% tổng doanh thu toàn cầu của doanh nghiệp trong năm trước, tùy mức nào cao hơn.
Một số nhóm vi phạm khác có thể bị phạt tới 10 triệu euro hoặc 2% doanh thu toàn cầu.
Ngoài tiền phạt, cơ quan chức năng tại các nước EU còn có thể yêu cầu sửa lỗi, hạn chế việc bán hoặc có biện pháp đối với sản phẩm không đáp ứng yêu cầu.
Người Việt kinh doanh tại Séc cần để ý điều gì?
Nếu chỉ bán những mặt hàng thông thường như thực phẩm, quần áo hay đồ gia dụng không có phần mềm và không kết nối mạng, quy định này không phải là vấn đề chính.
Nhưng nếu cửa hàng hoặc công ty nhập khẩu, phân phối hoặc bán các thiết bị thông minh, camera, thiết bị mạng, điện tử có phần mềm hoặc những sản phẩm kết nối Internet, thì nên bắt đầu kiểm tra với nhà cung cấp từ bây giờ.
Đặc biệt với hàng nhập từ ngoài EU, cần hỏi rõ:
Sản phẩm có thuộc CRA không? Nhà sản xuất đã chuẩn bị hồ sơ phù hợp chưa? Khi quy định áp dụng đầy đủ, sản phẩm có đáp ứng yêu cầu để tiếp tục bán tại EU không?
Không nên đợi tới cuối năm 2027 mới kiểm tra, bởi Ủy ban Châu Âu đã ban hành hướng dẫn thực hiện từ tháng 7/2026 để doanh nghiệp có thời gian chuẩn bị.
Nguồn chính thức: podnikatel.cz
