Từ NIS2 của châu Âu đến bài toán bảo vệ hạ tầng số trọng yếu tại Việt Nam

Người dân mua sắm tại siêu thị ở Paris, Pháp. Ảnh: THX/TTXVN

Khi thiết bị làm lạnh trở thành điểm yếu của hạ tầng số

Các cuộc tấn công mạng vào hệ thống làm lạnh tại châu Âu cho thấy những thiết bị phục vụ hoạt động thường ngày cũng có thể trở thành mục tiêu gây gián đoạn kinh tế. Theo Cơ quan An ninh mạng Liên minh châu Âu (ENISA) ngày 4/11, các sự cố an ninh mạng đã ảnh hưởng đến hệ thống làm lạnh thương mại tại nhiều quốc gia thành viên EU từ ngày 11/10, tiếp tục xuất hiện trong hai ngày 1-2/11. Trước quy mô và tính chất xuyên biên giới của vụ việc, Ủy ban châu Âu, ENISA, Cơ quan Cảnh sát Liên minh châu Âu (Europol) cùng các mạng lưới ứng cứu sự cố đã phối hợp cảnh báo, chia sẻ thông tin và hướng dẫn giảm thiểu rủi ro.

Điểm đáng chú ý là các hệ thống bị tấn công thuộc nhóm công nghệ vận hành (OT), vốn được trực tiếp điều khiển bởi thiết bị vật lý thay vì chỉ xử lý dữ liệu. Theo Euronews ngày 7/11, tin tặc đã khai thác những điểm yếu trong hệ thống quản lý làm lạnh kết nối Internet, can thiệp chế độ hoạt động và khiến nhiệt độ bảo quản tăng bất thường. Những sự cố này có thể buộc doanh nghiệp loại bỏ thực phẩm, ngừng vận hành thiết bị và chịu tổn thất kinh tế. Các chuyên gia cảnh báo những điểm yếu tương tự cũng có thể tồn tại trong hệ thống điều khiển tại bệnh viện hoặc trung tâm dữ liệu.

Sự cố làm rõ một thách thức mới của chuyển đổi số, đó là khi thiết bị vật lý kết nối với mạng, an ninh mạng trở thành điều kiện bảo đảm hoạt động liên tục của nền kinh tế. Các hệ thống điều khiển từ xa giúp doanh nghiệp tiết kiệm nhân lực, giám sát thiết bị và tối ưu chi phí. Tuy nhiên, nếu thiếu biện pháp bảo vệ, một lỗ hổng trong phần mềm hoặc tài khoản quản trị có thể tạo điều kiện cho kẻ tấn công can thiệp hoạt động thực tế. Đây là lý do bảo vệ hạ tầng số trọng yếu không thể chỉ giới hạn ở máy chủ, cơ sở dữ liệu và hệ thống thông tin truyền thống.

NIS2: Từ bảo vệ hệ thống thông tin đến quản trị rủi ro của toàn bộ dịch vụ thiết yếu

Chỉ thị (EU) 2022/2555, thường gọi là NIS2, thay thế Chỉ thị 2016/1148, hay NIS1, đánh dấu bước mở rộng đáng kể trong cách EU quản lý an ninh mạng đối với những lĩnh vực có vai trò quan trọng đối với nền kinh tế và xã hội. Theo Ủy ban châu Âu, NIS2 thiết lập một khuôn khổ pháp lý thống nhất nhằm bảo đảm an ninh mạng trong 18 lĩnh vực trọng yếu trên toàn EU, bao gồm năng lượng, giao thông, ngân hàng, y tế, cấp thoát nước, hạ tầng số, quản lý dịch vụ công nghệ thông tin, hành chính công, thực phẩm và một số ngành sản xuất. Phạm vi mở rộng phản ánh nhận thức rằng sự cố mạng trong một lĩnh vực có thể gây tác động dây chuyền sang những lĩnh vực khác.

Một nguyên tắc quan trọng của NIS2 là các tổ chức quy mô vừa và lớn hoạt động trong những lĩnh vực trọng yếu nêu trên phải triển khai các biện pháp quản lý rủi ro an ninh mạng phù hợp và thông báo cho cơ quan có thẩm quyền của quốc gia về các sự cố nghiêm trọng. Đây là những sự cố có khả năng gây gián đoạn hoặc thiệt hại đáng kể. Đồng thời, NIS2 quy định trách nhiệm của ban lãnh đạo cấp cao khi tổ chức không tuân thủ các biện pháp quản lý rủi ro an ninh mạng, qua đó đưa vấn đề an ninh mạng trở thành một nội dung được quan tâm ở cấp hội đồng quản trị. Để xử lý các sự cố hoặc khủng hoảng an ninh mạng quy mô lớn, NIS2 yêu cầu thành lập Mạng lưới các tổ chức liên lạc ứng phó khủng hoảng mạng châu Âu (EU-CyCLONe). Mạng lưới này hỗ trợ công tác quản lý và ứng phó phối hợp, đồng thời bảo đảm trao đổi thông tin thường xuyên giữa các quốc gia thành viên và các cơ quan EU khi xảy ra sự cố hoặc khủng hoảng quy mô lớn.

Khoảng cách giữa quy định pháp luật và an ninh vận hành

Các cuộc tấn công vào hệ thống làm lạnh tại châu Âu cho thấy những thách thức trong việc chuyển các yêu cầu quản trị an ninh mạng thành biện pháp bảo vệ cụ thể đối với thiết bị công nghệ vận hành. Dù NIS2 đã mở rộng phạm vi quản lý rủi ro sang nhiều lĩnh vực thiết yếu, hiệu quả bảo vệ vẫn phụ thuộc vào việc từng tổ chức nhận diện đầy đủ tài sản kết nối mạng, kiểm soát quyền truy cập và duy trì khả năng phát hiện, ứng phó sự cố. Vì vậy, không thể chỉ dựa vào việc ban hành quy định hoặc hoàn thành các thủ tục tuân thủ để đánh giá mức độ an toàn thực tế.

Bài học nổi bật là an ninh mạng không thể chỉ được đánh giá bằng việc doanh nghiệp có chính sách bảo mật hay đã đầu tư phần mềm phòng chống tấn công. Điều quan trọng hơn là doanh nghiệp có biết chính xác những thiết bị nào đang kết nối mạng, ai có quyền điều khiển, phần mềm nào cần cập nhật và hoạt động thiết yếu sẽ được duy trì ra sao nếu hệ thống bị xâm nhập. Một hệ thống đạt yêu cầu trên giấy tờ nhưng thiếu khả năng phát hiện, cô lập và khôi phục sự cố vẫn có thể gây tổn thất lớn.

Bên cạnh NIS2, EU còn mở rộng trách nhiệm an ninh mạng sang nhà sản xuất thiết bị và phần mềm. Theo ENISA ngày 4/11/2026, Đạo luật Khả năng chống chịu mạng (CRA) bắt đầu áp dụng nghĩa vụ báo cáo một số lỗ hổng bị khai thác và sự cố nghiêm trọng từ ngày 11/9/2026. Các yêu cầu chính về bảo mật ngay từ thiết kế, hỗ trợ an ninh trong vòng đời sản phẩm và khắc phục lỗ hổng sẽ áp dụng từ ngày 11/12/2027. Đây là khuôn khổ pháp lý riêng, bổ sung cho NIS2 chứ không phải một phần của chỉ thị này.

Đường dây 500kV đi qua địa bàn tỉnh Quảng Nam. Ảnh: Ngọc Hà/TTXVN

Bài học đối với Việt Nam trong thực hiện Nghị quyết 57

Đối với Việt Nam, kinh nghiệm từ NIS2 cho thấy bảo vệ hạ tầng số trọng yếu cần được tiếp cận theo mức độ ảnh hưởng của sự cố đối với hoạt động kinh tế, xã hội. Thực hiện Nghị quyết 57-NQ/TW không chỉ đòi hỏi phát triển hạ tầng số hiện đại, đồng bộ mà còn phải bảo đảm an ninh, an toàn và khả năng vận hành liên tục của các dịch vụ thiết yếu. Theo đó, việc quản lý rủi ro cần bao quát cả hệ thống thông tin, thiết bị điều khiển, nhà cung cấp công nghệ và những mối phụ thuộc giữa các ngành, đồng thời gắn trách nhiệm bảo vệ với toàn bộ quá trình đầu tư, xây dựng và vận hành hạ tầng.

Nghị quyết số 57-NQ/TW ngày 22/12/2024 của Bộ Chính trị về đột phá phát triển khoa học, công nghệ, đổi mới sáng tạo và chuyển đổi số quốc gia đã đặt ra yêu cầu gắn phát triển khoa học, công nghệ và chuyển đổi số với bảo đảm an ninh, an toàn. Theo Nghị quyết 57, bảo đảm chủ quyền quốc gia trên không gian mạng, an ninh mạng, an ninh dữ liệu và an toàn thông tin là yêu cầu xuyên suốt, không thể tách rời quá trình phát triển. Nghị quyết 57 đồng thời nhấn mạnh phát triển hạ tầng số hiện đại, đồng bộ và làm chủ công nghệ chiến lược. Điều này đặt ra yêu cầu không chỉ mở rộng hạ tầng mà còn nâng cao năng lực bảo vệ, giám sát và phục hồi của những hệ thống phục vụ hoạt động thiết yếu.

Việt Nam cũng đang tiếp tục hoàn thiện khuôn khổ pháp luật về bảo vệ an ninh mạng. Theo website Bộ Tài chính ngày 18/3/2026, Luật An ninh mạng số 116/2025/QH15 được Quốc hội khóa XV thông qua ngày 10/12/2025 và có hiệu lực thi hành kể từ ngày 01/7/2026. Để bảo đảm Luật An ninh mạng được thực thi kịp thời, hiệu lực, hiệu quả, đưa vào thực tiễn một cách đồng bộ, thống nhất, Thủ tướng Chính phủ ban hành Kế hoạch triển khai thi hành Luật với 06 nhiệm vụ cụ thể để các bộ, ngành, địa phương, cơ quan liên quan triển khai thực hiện. Đây là nền tảng pháp lý trong nước cần được xem xét khi nghiên cứu kinh nghiệm NIS2, thay vì sao chép nguyên mẫu quy định của EU.

Yêu cầu bảo đảm an toàn ngay từ thiết kế còn phù hợp với tinh thần Thông báo số 24-TB/CQTTBCĐ ngày 7/7/2026 về triển khai Nghị quyết 57. Thông báo 24 nhấn mạnh không đánh đổi an ninh, an toàn để lấy phát triển, nhưng cũng không vì lo ngại rủi ro mà làm chậm đổi mới sáng tạo. Từ nguyên tắc này, có thể nghiên cứu đưa yêu cầu kiểm thử bảo mật, quản lý lỗ hổng, phương án dự phòng và khả năng khôi phục vào toàn bộ vòng đời đầu tư, xây dựng, vận hành hạ tầng số trọng yếu.

Nói tóm lại, từ NIS2 đến các cuộc tấn công vào hệ thống làm lạnh châu Âu, bài học quan trọng là an ninh mạng phải được chuyển hóa thành năng lực bảo vệ và duy trì hoạt động thực tế, thay vì chỉ dừng ở yêu cầu tuân thủ. Đối với Việt Nam, thực hiện Nghị quyết 57 đòi hỏi gắn phát triển hạ tầng số với quản trị rủi ro, bảo mật ngay từ thiết kế và khả năng phục hồi sau sự cố. Chuyển đổi số chỉ thực sự bền vững khi các hệ thống thiết yếu có thể duy trì hoạt động và phục hồi kịp thời trước những cuộc tấn công mạng.

.