Cyber Resilience Act ผู้ส่งออกไทยต้องรู้: รายงาน 24 ชั่วโมงเริ่มแล้ว กฎเต็มปี 2027

Cyber Resilience Act ผู้ส่งออกไทยต้องรายงานอะไรและเร็วแค่ไหน

ตาม Cyber Resilience Act ผู้ส่งออกไทยที่เป็นผู้ผลิตต้องแจ้งสองเรื่อง คือช่องโหว่ที่ถูกโจมตีจริง และเหตุร้ายแรงที่กระทบความปลอดภัยของสินค้า โดยส่งครั้งเดียวผ่าน Single Reporting Platform ที่ ENISA ดูแล ระบบจะส่งถึง CSIRT ของประเทศที่บริษัทมีสำนักงานหลัก แล้ว CSIRT กระจายต่อไปยังประเทศที่มีการขายสินค้า

เอกสารที่เราเปิดอ่านอธิบายกรณีบริษัทที่มีสำนักงานหลักใน EU บริษัทที่ไม่มีสำนักงานใน EU ควรตรวจหน้า FAQ ของ ENISA และแนวทางของคณะกรรมาธิการว่าต้องส่งถึงหน่วยใด

ข้อกำหนดด้านการออกแบบตาม Cyber Resilience Act ผู้ส่งออกไทยมีอะไรบ้าง

หน้าสำหรับผู้ผลิต ของคณะกรรมาธิการยกตัวอย่างข้อกำหนดพื้นฐานไว้ชัดเจน สินค้าต้องปลอดภัยตั้งแต่ค่าเริ่มต้น เช่น ไม่ใช้คำว่า password เป็นรหัสผ่านตั้งต้น มีการควบคุมการเข้าถึง ใช้การเข้ารหัส และรองรับการอัปเดตอัตโนมัติ ผู้ผลิตยังต้องดูแลสินค้าตลอดช่วงที่คาดว่าจะมีการใช้งาน

เส้นทางของผู้ผลิตเรียงเป็นลำดับดังนี้

การประเมินความสอดคล้องขึ้นกับประเภทสินค้า สินค้าทั่วไปเลือกประเมินตนเองได้ สินค้า important class I ประเมินตนเองได้เมื่อใช้มาตรฐานที่ EU รับรอง ข้อกำหนดร่วม หรือโครงการรับรองของ EU ถ้าไม่ใช้ต้องผ่านหน่วยรับรอง ส่วน class II และ critical ต้องผ่านบุคคลที่สามหรือโครงการรับรองของ EU

แนวทางของคณะกรรมาธิการเมื่อ 27 กรกฎาคม 2026 ตอบคำถามที่พบบ่อยหลายเรื่อง เช่น เมื่อใดสินค้าเข้าข่ายกฎหมาย การประมวลผลระยะไกล ซอฟต์แวร์โอเพนซอร์ส การแก้ไขสินค้าแบบใดถือว่าเปลี่ยนแปลงสาระสำคัญ การตีความระยะเวลาสนับสนุน และการประเมินความเสี่ยง ผู้ส่งออกที่สงสัยเรื่องเหล่านี้ควรอ่านเอกสารฉบับนี้ก่อนจ้างที่ปรึกษา

โทษและข้อยกเว้นของ Cyber Resilience Act ผู้ส่งออกไทยควรรู้

สรุปของคณะกรรมาธิการ ระบุว่าบทลงโทษกำหนดในระดับประเทศสมาชิก และผู้ผลิตที่เป็นวิสาหกิจรายย่อยหรือขนาดเล็กจะไม่ถูกปรับเพราะพลาดกำหนด 24 ชั่วโมง ส่วนผู้ดูแลโอเพนซอร์สไม่ถูกปรับตามกฎหมายนี้ ข้อยกเว้นนี้ไม่ได้ยกเว้นหน้าที่รายงาน และไม่ครอบคลุมกำหนด 72 ชั่วโมง

เจ้าหน้าที่กำกับตลาดในแต่ละประเทศยังสั่งแก้ไขหรือจำกัดสินค้าที่มีความเสี่ยงได้ สำหรับผู้ส่งออก ความเสี่ยงทางการค้าจึงอาจมากกว่าค่าปรับ เพราะผู้นำเข้าต้องไม่วางสินค้าที่ไม่สอดคล้องกับกฎหมายลงตลาด

Cyber Resilience Act ผู้ส่งออกไทยควรเตรียมตัวอย่างไร

ขั้นตอนที่ 1: ระบุบทบาทต่อสินค้าแต่ละรุ่น

แยกว่าสินค้าใดขายในชื่อตนเอง สินค้าใดรับจ้างผลิต และสินค้าใดได้รับการยกเว้น แล้วถามคู่ค้าใน EU เป็นหนังสือว่าใครรับบทผู้ผลิต ถ้าบริษัทไทยรับจ้างผลิตแต่ลูกค้าติดแบรนด์ของตนเอง ลูกค้ามักเป็นผู้ผลิตตามนิยาม แต่ถ้าบริษัทไทยทำตลาดด้วยชื่อของตนเอง ภาระทั้งหมดจะอยู่ที่บริษัท การระบุบทบาทผิดตั้งแต่ต้นจะทำให้เตรียมเอกสารผิดฝ่าย

ขั้นตอนที่ 2: เปิดช่องทางรับรายงานช่องโหว่และเวรรับเหตุ

กำหนด 24 ชั่วโมงนับรวมวันหยุด บริษัทต้องมีผู้รับเรื่องที่ตัดสินใจได้ มีข้อมูลติดต่อที่ผู้ใช้ส่งรายงานถึงได้ และลงทะเบียนใช้ Single Reporting Platform ก่อนเกิดเหตุ

ขั้นตอนที่ 3: กำหนดระยะเวลาสนับสนุนสินค้า

ผู้ผลิตต้องกำหนดระยะเวลาสนับสนุนและระบุวันสิ้นสุดเป็นเดือนและปีให้ผู้ใช้เห็นชัด ควรคำนวณต้นทุนการออกแพตช์ตลอดช่วงนี้ไว้ในราคาสินค้า

ขั้นตอนที่ 4: จัดทำการประเมินความเสี่ยงและเอกสารทางเทคนิค

ต้องประเมินความเสี่ยงตั้งแต่ขั้นออกแบบ เก็บเอกสารให้หน่วยงานกำกับขอดูได้ และตรวจชิ้นส่วนของบุคคลที่สามด้วยความระมัดระวัง สินค้าทั่วไปประเมินตนเองได้ แต่สินค้ากลุ่ม important class II และ critical ต้องผ่านบุคคลที่สามหรือโครงการรับรองของ EU ก่อนติด CE

ขั้นตอนที่ 5: เชื่อมกับแผนรับเหตุในไทย

ภายใต้ Cyber Resilience Act ผู้ส่งออกไทยอาจต้องแจ้งทั้ง EU และไทยจากเหตุเดียวกัน จึงควรเขียนขั้นตอนคู่กับการแจ้งเหตุตาม PDPA ภายใน 72 ชั่วโมง และซ้อมอย่างน้อยหนึ่งครั้งก่อนสิ้นปี

ติดตามเรื่องกฎหมายดิจิทัลอื่น ๆ ได้ที่หมวด Policy และอ่านประเด็นมาตรฐานของ EU ได้ที่ร่าง Standardisation Regulation