Cyber Resilience Act đòi hỏi gì ở phần cứng

Hai mốc thời gian, và mốc gần hơn bị bỏ sót

Quy định (EU) 2024/2847, tức Cyber Resilience Act (CRA), điều chỉnh các “sản phẩm có thành phần số” được đưa ra thị trường Liên minh. Trên thực tế là mọi thứ có firmware; với hàng điện tử tiêu dùng và thiết bị chăm sóc sức khỏe tại gia thì gần như là tất cả những gì đang xuất xưởng hôm nay.

Phần lớn tài liệu kế hoạch chỉ ghi một mốc: 11/12/2027, thời điểm tuân thủ đầy đủ và sản phẩm không phù hợp không còn được đưa ra thị trường. Lộ trình đều được vẽ theo mốc này.

Mốc đến trước lại là mốc kia: 11/9/2026, ngày nghĩa vụ báo cáo theo Điều 14 có hiệu lực. Nó bị bỏ sót vì đó không phải hạn thiết kế sản phẩm, nên không xuất hiện trên tiến độ phần cứng.

Nó nên xuất hiện. Lý do ở dưới.

Đồng hồ báo cáo với ngược về quá khứ

Từ 11/9/2026, nhà sản xuất khi biết sản phẩm của mình có lỗ hổng đang bị khai thác trên thực tế, hoặc xảy ra sự cố nghiêm trọng ảnh hưởng tới an toàn của sản phẩm, sẽ bước vào một đồng hồ nhiều nấc:

Giai đoạn	Tính từ lúc biết
Cảnh báo sớm	24 giờ
Thông báo kỹ thuật	72 giờ
Báo cáo cuối	14 ngày (lỗ hổng bị khai thác) / 1 tháng (sự cố nghiêm trọng)

Nơi nhận là ENISA và CSIRT quốc gia liên quan.

Đoạn đáng đọc hai lần: nghĩa vụ báo cáo áp dụng cho cả sản phẩm đã được cung cấp trên thị trường EU, kể cả những lô đưa ra trước hạn. Các yêu cầu thiết kế ở Phụ lục I áp dụng cho sản phẩm đưa ra thị trường từ tháng 12/2027, còn sản phẩm cũ chỉ bị áp khi có sửa đổi đáng kể. Nghĩa vụ báo cáo không có ranh giới đó.

Vì vậy câu hỏi thực tế cho một thương hiệu vào tháng 9/2026 không còn là “sản phẩm tiếp theo của tôi có tuân thủ không”. Nó trở thành:

Một thiết bị chúng ta xuất năm 2023 đang có lỗ hổng bị khai thác. Chúng ta có biết trong vòng 24 giờ không, và có hiểu bên trong nó đủ rõ để mô tả vấn đề không?

Với phần lớn thương hiệu phần cứng, câu trả lời thành thật cho nửa sau là không. Đó là vấn đề hồ sơ sản xuất trước khi là vấn đề an ninh.

→ Một hạn EU khác biến thành quyết định về vỏ máy: Quy định pin EU 2027: pin tháo rời được

Thời hạn hỗ trợ là một quyết định về bảng vật tư

Phụ lục I yêu cầu công bố thời hạn hỗ trợ tối thiểu năm năm, hoặc bằng tuổi thọ dự kiến nếu ngắn hơn, với ngày kết thúc mà người mua biết ngay tại thời điểm mua. Trong thời hạn đó nhà sản xuất xử lý lỗ hổng và cung cấp bản vá bảo mật miễn phí.

Hãy đọc câu này như một ràng buộc mua hàng, vì đúng là như vậy.

Nếu mô-đun vô tuyến trong thiết kế chạy trên SDK của nhà cung cấp mà SDK đó ngừng nhận bản vá bảo mật từ năm thứ ba, bạn không thể vá thứ nằm bên trên nó. Bạn đã công bố năm năm hỗ trợ lúc bán và mất khả năng thực hiện ngay năm thứ ba, do một quyết định ở khâu chọn linh kiện.

Vì thế hai câu hỏi bước vào phần đánh giá mô-đun, ngang hàng với giá, thời gian giao và nguồn thứ hai:

• Nhà cung cấp này sẽ phát bản vá bảo mật cho linh kiện này trong bao lâu, bằng văn bản, và khi ngừng sản xuất thì sao?
• Có nguồn thứ hai nào chạy ngăn xếp mà chúng ta chuyển sang được mà không phải vẽ lại bo mạch?

Cả hai thường không có trong buổi rà soát bảng vật tư. Nhưng cả hai thuộc cùng một cuộc trò chuyện với rủi ro nguồn cung, vì đó là cùng một loại rủi ro: một linh kiện trở nên không dùng được, một bên là về thương mại, một bên là về pháp lý.

→ Xếp hạng linh kiện và ý nghĩa của một đèn đỏ: Ma trận rủi ro nguồn cung linh kiện

SBOM phải mô tả thứ thực sự nằm bên trong

Phụ lục I phần II yêu cầu một bảng vật tư phần mềm ở định dạng phổ biến, máy đọc được, bao phủ ít nhất các phụ thuộc ở lớp đầu tiên.

Với một ứng dụng web thì đó là đầu ra của công cụ dựng. Với một sản phẩm vật lý thì đó là chuyện lắp ráp, bởi firmware hiếm khi hoàn toàn là của bạn. Một thiết bị tiêu dùng có kết nối điển hình chứa:

• firmware ứng dụng viết riêng cho sản phẩm này
• một SDK của nhà cung cấp đi kèm mô-đun vô tuyến
• một ngăn xếp giao thức (Bluetooth, Wi-Fi, Thread) giao dưới dạng tệp nhị phân
• một hệ điều hành thời gian thực
• các thư viện nguồn mở do bất kỳ thành phần nào ở trên kéo theo

Thương hiệu thường sở hữu mục đầu tiên và không nhìn thấy phần còn lại, vì chúng đi qua nhà máy và các nhà cung cấp mô-đun của nhà máy. Dựng được một SBOM thật nghĩa là phải hỏi nhà máy, rồi để nhà máy hỏi tiếp nhà cung cấp của họ.

Yêu cầu này rẻ hơn nhiều khi đưa ra trong giai đoạn phát triển so với sau một sự cố. Nó cũng cho bạn biết nhà sản xuất mô-đun có sẵn lòng nói trong tệp nhị phân của họ có gì hay không, điều đáng biết trước khi đưa nó vào thiết kế.

An toàn theo mặc định, và khả năng nhận cập nhật

Hai yêu cầu nữa của Phụ lục I rơi vào những quyết định phần cứng rất sớm.

An toàn theo mặc định nghĩa là sản phẩm xuất xưởng với cấu hình an toàn: không có mật khẩu mặc định dùng chung, không có dịch vụ hay cổng mở không cần thiết, bề mặt tấn công được thu nhỏ. Đó là các giá trị mặc định của firmware, và người viết firmware thường là người đặt chúng. Nếu đó là nhà gia công của bạn, phần thực thi thuộc về họ còn phần đặc tả thuộc về bạn.

Cập nhật bảo mật miễn phí suốt thời hạn hỗ trợ giả định rằng sản phẩm nhận được cập nhật. Có nhận được hay không không phải quyết định phần mềm:

• Dung lượng flash. Sơ đồ hai phân vùng cho cập nhật qua mạng an toàn làm nhu cầu bộ nhớ tăng khoảng gấp đôi. Phát hiện sau khi chốt bảng vật tư thì chỉ còn hai lựa chọn: đổi bộ nhớ hoặc bỏ cập nhật qua mạng.
• Kết nối. Thiết bị không có đường ra Internet chỉ cập nhật được tại chỗ hoặc qua ứng dụng đồng hành, cả hai đều có tỷ lệ hoàn tất thấp hơn nhiều so với giả định của một nghĩa vụ kéo dài năm năm.
• Nguồn điện. Bản cập nhật chạy khi pin yếu và làm hỏng máy còn tệ hơn không cập nhật, nên logic cập nhật cần một ngưỡng pin, và ngưỡng đó cần mạch đo dung lượng.

Không thứ nào trong số này thêm vào sau mà rẻ. Cả ba đều được quyết trong buổi rà soát kỹ thuật, trước khi làm khuôn.

→ Buổi rà soát nơi những ràng buộc này lộ ra: Rà soát rủi ro DFX trước khi làm khuôn

Một dự án thực sự thay đổi những gì

Với sản phẩm đang bước vào phát triển và sẽ bán vào EU, ba thứ thay đổi:

1. Đánh giá mô-đun có thêm câu hỏi về tuổi thọ bản vá. Xin cam kết hỗ trợ bảo mật của nhà cung cấp bằng văn bản, và coi câu “chúng tôi không công bố điều đó” đúng như bản chất của nó: một câu trả lời.
2. SBOM trở thành một hạng mục bàn giao. Ghi nó vào hợp đồng phát triển bên cạnh bản vẽ và báo cáo thử nghiệm, để nó đến cùng sản phẩm thay vì phải dựng lại dưới một đồng hồ 24 giờ.
3. Khả năng cập nhật được đưa vào đặc tả trước khi làm khuôn. Dung lượng flash dự phòng, sơ đồ phân vùng và đường cập nhật rất rẻ ở giai đoạn ý tưởng và rất đắt khi vỏ máy đã có.

Với sản phẩm đã nằm trên thị trường, câu hỏi trước mắt hẹp hơn và gấp hơn: bạn có tra ra được bên trong chúng có gì không, và nhanh đến đâu?

Ghi chú về phạm vi

Đây là cách đọc văn bản pháp luật đã công bố, không phải ý kiến pháp lý, và chi tiết thi hành của CRA vẫn đang được bổ sung qua tiêu chuẩn và hướng dẫn. Hãy xác nhận với tư vấn pháp lý đủ năng lực về cách nó áp dụng cho nhóm sản phẩm và thị trường của bạn trước khi dựng kế hoạch trên đó. Điều đã đủ chắc để làm căn cứ thiết kế là hướng đi: hỗ trợ bảo mật đã trở thành một cam kết có công bố và có ngày tháng, còn những quyết định khiến cam kết đó khả thi hay bất khả thi lại nằm ở phần cứng, và nằm rất sớm.

→ Chi tiết ở tầng bo mạch, từ sơ đồ nguyên lý tới dây chuyền SMT: Gia công điện tử tiêu dùng