Châu Âu ra quy tắc mới đối với thiết bị kết nối internet

Các nhà cung cấp công nghệ kết nối internet sẽ phải đáp ứng yêu cầu an ninh mạng mới ở Liên minh châu Âu (EU), hoặc đối mặt với tiền phạt và có thể phải rút sản phẩm ra khỏi thị trường.

Theo Bloomberg, quy tắc mới của Ủy ban châu Âu (EC) được gọi là Đạo luật về khả năng phục hồi không gian mạng (Cyber Resilience Act) sẽ được công bố vào tuần tới, nhằm cải thiện tính bảo mật của các thiết bị trước tình trạng tấn công trực tuyến đang gia tăng trên toàn cầu. Thiệt hại từ phần mềm và phần cứng gây ra bởi tội phạm mạng đã lên tới khoảng 6.000 tỉ USD chỉ trong năm ngoái.

Quy tắc mới của Ủy ban châu Âu nhằm cải thiện tính bảo mật của các thiết bị trước tình trạng tấn công trực tuyến đang gia tăng trên toàn cầu

Hiện thiết bị gia dụng và thiết bị công nghệ khác ngày càng được trang bị cảm biến và kết nối trực tuyến, với mục đích tạo ra mạng lưới Internet Vạn vật (Internet of Things). Tuy nhiên, theo dự thảo quy tắc mới, các sản phẩm này có thể có “mức độ an ninh mạng thấp, được phản ánh bởi lỗ hổng bảo mật phổ biến và việc cung cấp các bản cập nhật bảo mật không đầy đủ, không nhất quán để giải quyết vấn đề”, đồng thời người dùng cũng không được cung cấp thông tin “đầy đủ” về mức độ bảo vệ từ thiết bị kết nối internet.

“Trong một môi trường kết nối, sự cố an ninh mạng ở một sản phẩm có thể ảnh hưởng đến toàn bộ hệ thống hoặc toàn bộ chuỗi cung ứng. Điều này có khả năng dẫn đến gián đoạn nghiêm trọng hoạt động kinh tế và xã hội, hoặc thậm chí đe dọa đến tính mạng người dùng”, trích dự thảo.

Theo quy tắc được đề xuất của EU, sản phẩm kết nối internet sẽ phải đáp ứng các tiêu chuẩn mạng khác nhau để nhận được phê duyệt và được bán trong khu vực. Thiết bị nguồn mở sẽ không phải đáp ứng quy tắc mới trừ khi chúng được bán trên thị trường.

Các nước thuộc EU, hoặc cơ quan mạng của EU, khi được EC yêu cầu sẽ phải điều tra bất kỳ thiết bị kết nối internet nào được bán trong khu vực. Ngay cả khi đáp ứng đầy đủ quy tắc mạng, chúng vẫn có thể bị phát hiện là “có nguy cơ đáng kể về an ninh mạng”, gây nguy hiểm cho sức khỏe và sự an toàn của mọi người, hoặc không tuân thủ các quyền cơ bản. ENISA, cơ quan An ninh mạng của EU, cũng sẽ thiết lập cơ sở dữ liệu lỗ hổng để giúp đánh giá các cuộc tấn công mạng xuyên biên giới.

Nếu một thiết bị kết nối internet không đáp ứng tiêu chuẩn mới, cơ quan quản lý quốc gia có thể yêu cầu thu hồi hoặc đưa sản phẩm đó ra khỏi thị trường EU. Trong những trường hợp đặc biệt, EC cũng có thể làm như vậy.

Tiền phạt do vi phạm quy định quan trọng có thể lên tới 15 triệu euro, hoặc 2,5% doanh thu hằng năm trên toàn cầu của một công ty, tùy theo mức nào là cao nhất. Vi phạm ít nghiêm trọng hơn sẽ chịu khoản tiền phạt 10 triệu euro, hoặc 2% doanh thu hằng năm trên toàn cầu. Trong trường hợp bị phát hiện cung cấp thông tin “không chính xác, không đầy đủ hoặc gây hiểu lầm”, công ty đó có thể bị phạt 5 triệu euro, hoặc lên đến 1% doanh thu hằng năm.