JC-STAR cho cơ sở tại Thái Lan | Đặt tiêu chuẩn mua sắm khi không có MRA

JC-STAR của Nhật Bản và CLS của Singapore đã được công nhận lẫn nhau, và thỏa thuận có hiệu lực từ ngày 1 tháng 6 năm 2026. Nếu bạn đọc tin đó và lập tức tự hỏi điều này ảnh hưởng thế nào tới việc mua sắm thiết bị của nhà máy tại Thái Lan, xin đưa ra kết luận trước. Thỏa thuận công nhận lẫn nhau giữa Nhật Bản và Singapore không thể áp dụng trực tiếp cho tiêu chuẩn mua sắm của một cơ sở tại Thái Lan. Thái Lan không phải là một bên của thỏa thuận này, và ngay từ đầu Thái Lan cũng không có chương trình chứng nhận an ninh mạng cho thiết bị IoT tương đương JC-STAR hay CLS.

Vậy cơ sở tại Thái Lan nên lấy gì làm chuẩn? Bài viết này đi qua bốn câu hỏi thực tế: vạch ranh giới giữa tiêu chuẩn của trụ sở chính và việc tối ưu theo thực tế địa phương ở đâu, truyền đạt một yêu cầu có nguồn gốc từ Nhật Bản cho nhà cung cấp Thái Lan chưa từng nghe tới chương trình này bằng cách nào, giữa cơ sở và trụ sở chính ai nắm quyền quyết định cuối cùng về tiêu chuẩn mua sắm, và Luật An ninh mạng B.E. 2562 của Thái Lan liên quan tới chuyện này ra sao. Mục tiêu không phải tóm tắt văn bản pháp luật, mà là câu chữ có thể đưa thẳng vào yêu cầu báo giá của ngày mai.

Ôn lại JC-STAR và thỏa thuận Nhật Bản – Singapore trong ba phút

Trước khi vào phần riêng của Thái Lan, đây là nền tảng tối thiểu cần cho việc suy nghĩ về mua sắm. Phần giải thích chi tiết về bản thân chương trình nằm ở bài khác, nên mục này giữ ngắn.

JC-STAR thể hiện mức độ tuân thủ an ninh của thiết bị IoT theo bậc

JC-STAR là chương trình của Nhật Bản giúp mức yêu cầu an ninh mà một sản phẩm IoT đáp ứng trở nên nhìn thấy được từ bên ngoài, biểu thị bằng bậc sao. Đơn vị vận hành là IPA. Giá trị với bên mua là bạn không cần đọc và so sánh tài liệu đặc tả an ninh của từng model, vì bậc trên nhãn cho biết ngưỡng tối thiểu mà sản phẩm đã vượt qua.

Cấu trúc của chương trình, khác biệt giữa các bậc sao, và lập luận rằng ngày yêu cầu trở thành bắt buộc quan trọng hơn ngày chiếc nhãn xuất hiện được trình bày trong JC-STAR là gì trong năm 2026 và vì sao ngày hiệu lực của yêu cầu quan trọng hơn chiếc nhãn. Bài viết này nối tiếp bài đó và tập trung vào phía Thái Lan.

Ngày 1 tháng 6 năm 2026 thực sự thay đổi điều gì

Ngày 18 tháng 3 năm 2026, Bộ Kinh tế, Thương mại và Công nghiệp Nhật Bản, với đại diện là Thứ trưởng Ino, cùng Cơ quan An ninh mạng Singapore, tức CSA, đã ký tại Tokyo bản ghi nhớ hợp tác về công nhận lẫn nhau các chương trình an ninh mạng cho sản phẩm IoT. Việc công nhận lẫn nhau có hiệu lực từ ngày 1 tháng 6 năm 2026.

Nội dung được công nhận là một phần các yêu cầu cơ bản của bậc sao 1 trong JC-STAR và một phần các yêu cầu cơ bản của Level 1 trong Cybersecurity Labelling Scheme, viết tắt là CLS, của Singapore được coi là tương đương. Không phải toàn bộ được tuyên bố tương đương, và đây là câu chuyện về bậc đầu vào của cả hai phía. Xin ghi nhớ cả hai điều kiện giới hạn này.

Hiệu quả thực tế là giấy tờ nhẹ hơn và phí thấp hơn

Nhìn từ phía nhà sản xuất, tác động khá cụ thể. Khi một sản phẩm phù hợp CLS nộp hồ sơ xin JC-STAR bậc sao 1, hồ sơ gồm ba tài liệu: đơn đăng ký dành cho sản phẩm phù hợp CLS, danh mục kiểm tra dành cho sản phẩm phù hợp CLS, và nhãn phù hợp CLS. Mức giảm phí áp dụng cho chính hồ sơ bậc sao 1 này, giảm từ mức thông thường 198,000 yên đã gồm thuế xuống còn 140,000 yên đã gồm thuế, chênh lệch 58,000 yên. Nơi tiếp nhận hồ sơ là bộ phận phụ trách hồ sơ JC-STAR thuộc Phòng Đánh giá Công nghệ, Trung tâm An ninh của IPA. Nếu nộp hồ sơ ở bậc sao 3 trở lên thì bổ sung thêm bản công bố phù hợp CLS, nhưng bản công bố này nộp cho tổ chức đánh giá của JC-STAR chứ không đi cùng tuyến với hồ sơ bậc sao 1 nộp cho IPA. Đừng hiểu mức giảm phí là mở rộng sang bậc sao 3 trở lên.

Nói cách khác, bản chất của thỏa thuận này là cơ chế giảm gánh nặng trùng lặp cho nhà sản xuất muốn bán ở cả hai thị trường. Tác động lên tiêu chuẩn mua sắm của bên mua là gián tiếp: nguồn cung sản phẩm có nhãn dễ dồi dào hơn, chứ bản thân tiêu chuẩn của bên mua không đổi.

Mỗi thỏa thuận công nhận đều là song phương và không thỏa thuận nào bao gồm Thái Lan

Đây là điểm xuất phát cho mọi nội dung phía sau. Singapore không phải là đối tác đầu tiên. Bộ Kinh tế, Thương mại và Công nghiệp Nhật Bản đã ký bản ghi nhớ với Vương quốc Anh về công nhận lẫn nhau với PSTI Act tại London ngày 5 tháng 11 năm 2025, và việc công nhận lẫn nhau đó bắt đầu từ ngày 1 tháng 1 năm 2026. Thỏa thuận Nhật Bản – Singapore là thỏa thuận thứ hai. Với U.S. Cyber Trust Mark của Hoa Kỳ và Cyber Resilience Act của Liên minh châu Âu, thông tin IPA công bố cho thấy quan hệ mới ở giai đoạn chia sẻ thông tin, chưa đạt thỏa thuận công nhận lẫn nhau và cũng chưa có hiệu lực. Và không tìm thấy thông tin công khai nào xác nhận có đàm phán với Thái Lan.

Điểm đáng lưu ý là mọi thỏa thuận trong số này đều là thỏa thuận giữa hai quốc gia. Việc số thỏa thuận tăng từ một lên hai không mở rộng hiệu lực ra ngoài hai nước ký kết. Thái Lan không nằm trong bất kỳ khuôn khổ nào.

Vì vậy điều duy nhất có thể khẳng định hôm nay là thỏa thuận Nhật Bản – Singapore là khuôn khổ song phương và Thái Lan nằm ngoài khuôn khổ đó. Do không có căn cứ, đừng viết vào tài liệu nội bộ rằng rồi Thái Lan cũng sẽ có.

Thái Lan không có chương trình tương đương JC-STAR hay CLS

Bây giờ tới phần riêng của Thái Lan. Trước hết hãy chốt lại các dữ kiện.

Thái Lan không phải một bên của thỏa thuận

Thỏa thuận Nhật Bản – Singapore là thỏa thuận giữa hai chính phủ đó. Không có tình huống nào thỏa thuận này được áp dụng khi cơ sở Thái Lan của bạn mua thiết bị trong nước. Mua một sản phẩm phù hợp CLS tại Thái Lan không làm giảm bất kỳ khoản phí JC-STAR nào của bạn và cũng không cắt bớt thủ tục nào ở phía Thái Lan. Khoản giảm phí thuộc về nhà sản xuất nộp hồ sơ JC-STAR tại Nhật Bản.

Đi sâu thêm một bậc: Thái Lan hoàn toàn không có chương trình chứng nhận hay dán nhãn an ninh mạng cho thiết bị IoT có thể so sánh với JC-STAR hoặc CLS. Điều đó cũng loại bỏ phương án quy đổi yêu cầu sang chương trình bản địa, vì không có chương trình nào để quy đổi sang.

Chương trình hiện có tại Thái Lan liên quan tới thiết bị IoT là chứng nhận hợp quy của NBTC

Với bạn đọc cho rằng Thái Lan chắc phải có gì đó, đây là điểm tham chiếu đúng. Chương trình hiện có tại Thái Lan liên quan tới thiết bị IoT là chứng nhận hợp quy, hay Type Approval, do NBTC, tức Ủy ban Phát thanh Truyền hình và Viễn thông Quốc gia, thực hiện.

Những gì chương trình này xem xét chủ yếu là các yêu cầu về sóng vô tuyến đối với thiết bị vô tuyến. Các yêu cầu an ninh mạng không nằm trong phạm vi. Vì vậy khi nhà cung cấp trong nước nói rằng sản phẩm này đã được chứng nhận tại Thái Lan, gần như chắc chắn đó là chứng nhận hợp quy của NBTC và nó không cung cấp bảo đảm an ninh mạng nào. Được phép phát sóng hợp pháp tại Thái Lan và thiết bị đó có bảo mật hay không là hai mệnh đề hoàn toàn khác nhau.

Đặt ba khu vực pháp lý cạnh nhau sẽ được bức tranh sau.

Khi chia sẻ bảng này trong nội bộ, đừng trình bày cột Thái Lan như một điểm yếu. Việc không có chương trình cũng có nghĩa bạn được tự do tự viết yêu cầu, và đó chính là nội dung của toàn bộ phần còn lại.

Việc không có chương trình dẫn tới ba hệ quả tại hiện trường mua sắm

Để không rơi vào trừu tượng, đây là những gì thực sự xảy ra trong một lần mua hàng.

Thứ nhất, đề xuất từ nhà cung cấp trong nước sẽ không kèm bằng chứng của bên thứ ba về tuân thủ an ninh. Dù trụ sở chính ban hành quy định hãy chọn sản phẩm có nhãn, phần lớn ứng viên tìm được qua kênh thương mại Thái Lan đều nằm ngoài phạm vi của bất kỳ chiếc nhãn nào.

Thứ hai, có rủi ro thật là đọc câu đã được chứng nhận tại Thái Lan thành một tuyên bố về an ninh mạng. Như đã nêu, nhiều khả năng đó là chứng nhận hợp quy của NBTC, vốn xem xét một nhóm nội dung khác.

Thứ ba, vì không thể sàng lọc ứng viên bằng việc có hay không có nhãn, bạn buộc phải tự viết yêu cầu. Mặt khác, khi đã viết xong một lần, tiêu chuẩn mua sắm của cơ sở Thái Lan sẽ không còn phụ thuộc vào việc có tồn tại một chương trình hay không.

Áp dụng nguyên tiêu chuẩn trụ sở chính hay nới lỏng tại Thái Lan

Khi không có chương trình bản địa để dựa vào, nguồn duy nhất của chuẩn mực là tiêu chuẩn của trụ sở chính. Điều đó lập tức làm nảy sinh câu hỏi liệu tiêu chuẩn ấy có nên áp dụng nguyên vẹn tại Thái Lan hay không.

Chỉ có ba phương án

Khi sắp xếp lại, lựa chọn thu về ba phương án.

Phương án thứ nhất là áp dụng nguyên tiêu chuẩn của trụ sở chính. Bạn giữ một tiêu chuẩn duy nhất, dễ giải trình nhất khi kiểm toán. Cái giá là khi thiết bị tìm được qua kênh thương mại Thái Lan không đạt chuẩn, việc mua sắm đơn giản là dừng lại.

Phương án thứ hai là duy trì một tiêu chuẩn nới lỏng riêng cho cơ sở Thái Lan. Số thiết bị mua được sẽ nhiều hơn, nhưng bạn có hai tiêu chuẩn, và theo thời gian không ai còn phân biệt được lần mua nào áp dụng bản nào. Nếu lý do nới lỏng không được ghi lại, tới chu kỳ thay thế kế tiếp sẽ không ai giải thích được vì sao ngưỡng bị hạ xuống.

Phương án thứ ba là phân biệt theo nhóm thiết bị. Thay vì đối xử như nhau với mọi thiết bị, bạn thay đổi độ chặt của yêu cầu theo vị trí của thiết bị trong mạng. Chi phí vận hành cao hơn, nhưng trên thực tế đây là phương án khó đổ vỡ nhất.

Trục 1 thiết bị nằm ở đâu trong mạng

Trục đầu tiên là vị trí lắp đặt. Thiết bị kết nối trực tiếp ra mạng bên ngoài hoặc lên đám mây, thiết bị chỉ kết nối vào mạng điều khiển trong nhà máy, và thiết bị không kết nối gì cả có mức rủi ro khác nhau. Không có nghĩa vụ phải áp cùng một ngưỡng cho cả ba nhóm.

Trục 2 có lựa chọn nào ngoài mua trong nước không

Trục thứ hai là khả năng thay thế. Thiết bị có thể xuất khẩu từ Nhật Bản và thiết bị chỉ mua được trong Thái Lan cho bạn dư địa xoay xở khác nhau để giữ chuẩn. Với thiết bị mà việc bảo trì phụ thuộc nhà cung cấp trong nước, hãy nhìn xa hơn đặc tả của thiết bị, tới cả đường truy cập được dùng khi bảo trì.

Trục 3 chu kỳ thay thế và hình thức hợp đồng

Trục thứ ba là thời gian. Thiết bị gắn theo máy sản xuất sẽ nằm trên chuyền từ năm năm trở lên, còn thiết bị phía công nghệ thông tin thì vài năm lại thay. Hai nhóm này khác nhau ở chỗ một ngoại lệ cấp hôm nay sẽ còn phát huy tác dụng trong bao lâu. Thiết bị gắn với hợp đồng thuê hoặc hợp đồng bảo trì thường chỉ áp lại chuẩn được vào dịp gia hạn, điều này cũng cần đưa vào kế hoạch.

Kết hợp ba trục sẽ được cách sắp xếp sau.

Điều quan trọng nhất khi dùng bảng này là khi đã nới ngưỡng thì phải ghi lại rằng đã nới. Cấp ngoại lệ không phải vấn đề. Vấn đề là ngoại lệ không được ghi nhận, đông cứng thành mặc định, rồi người tiếp quản hiểu nhầm đó là tiêu chuẩn. Mọi ngoại lệ đã duyệt đều cần có ngày hết hiệu lực và ngày đánh giá lại.

Phần thảo luận ở thượng nguồn, tức nên đưa gì vào tiêu chí lựa chọn ngay từ đầu, được trình bày trong JC-STAR và mua sắm thiết bị trong ngành sản xuất, tiêu chí lựa chọn cần chốt trong năm 2026. Bài viết này bàn về việc vận hành các tiêu chí đó tại cơ sở Thái Lan, nên nếu bản thân tiêu chí còn chưa chốt, hãy bắt đầu từ bài đó.

Truyền đạt JC-STAR và CLS cho nhà cung cấp trong nước ra sao

Một tiêu chuẩn không đến được tay nhà cung cấp thì không làm việc mua sắm dịch chuyển được. Đây là chỗ quy trình hay tắc nhất.

Đừng mở đầu bằng tên chương trình

Hãy mặc định rằng nhà cung cấp tại Thái Lan chưa từng nghe tới JC-STAR hay CLS. Các chương trình này áp dụng ở thị trường khác, đó không phải thiếu sót của đối tác. Vì vậy viết vào yêu cầu báo giá rằng phải tương đương JC-STAR bậc sao 1 thường sẽ bị bỏ qua, hoặc nhận về câu trả lời lệch trọng tâm.

Thứ cần truyền đi không phải tên chương trình mà là nội dung mà chương trình đó đòi hỏi. Liệt kê những điểm cần xác nhận bằng câu đơn giản, không dùng danh từ riêng mà người đọc không nhận ra, sẽ cho câu trả lời chính xác và nhanh hơn nhiều.

Ba bước truyền đạt

Trên thực tế, trình tự sau phát huy tác dụng.

Bước 1 là viết các yêu cầu thành một danh sách đơn giản không chứa tên chương trình nào. Mật khẩu ban đầu có riêng theo từng máy không, hoặc có bắt buộc đổi khi khởi động lần đầu không? Kế hoạch và phương thức cung cấp bản cập nhật phần mềm là gì? Các cổng và dịch vụ truyền thông không dùng có được tắt sẵn không? Khi phát hiện lỗ hổng thì đầu mối liên hệ là ai và thông báo bằng cách nào? Thời điểm dự kiến kết thúc hỗ trợ là khi nào? Mọi câu trên đều trả lời được mà không cần biết bất kỳ chương trình nào.

Bước 2 là đừng giới hạn hình thức bằng chứng vào một dạng duy nhất. Nếu có chứng nhận của bên thứ ba thì nhận, nếu không có thì nhận bản công bố phù hợp của nhà sản xuất, nếu cũng không có nữa thì nhận tài liệu quy trình cấu hình kèm ảnh chụp màn hình. Sản phẩm đi kèm chứng nhận bên thứ ba là thiểu số trong kênh thương mại Thái Lan, nên khăng khăng một dạng bằng chứng đồng nghĩa với xóa sạch danh sách ứng viên.

Bước 3 là gửi kèm thời hạn và mẫu trả lời. Câu hỏi mở sẽ nhận về văn xuôi không so sánh được. Hãy đưa một bảng mà mỗi dòng chọn một trong ba đáp án là đã đáp ứng, chưa đáp ứng, và có biện pháp bù đắp, kèm ô mô tả biện pháp bù đắp.

Khi câu trả lời là sản phẩm của chúng tôi đã được chứng nhận tại Thái Lan

Câu trả lời này sẽ đến thường xuyên. Khi nhận được, hãy hỏi lại đó là chứng nhận nào. Nếu là chứng nhận hợp quy của NBTC thì nó tập trung vào các yêu cầu về sóng vô tuyến đối với thiết bị vô tuyến, và không phải câu trả lời cho các câu hỏi an ninh mạng bạn đã đặt. Không cần bác bỏ đối tác, chỉ cần nói rằng ngoài chứng nhận đó, chúng tôi muốn xác nhận các mục sau, rồi kéo về lại bảng yêu cầu.

Ngoài ra, sản phẩm phù hợp CLS đôi khi cũng chảy vào kênh thương mại Thái Lan. Khi đó có thể đọc là sản phẩm đáp ứng các yêu cầu của Level 1, nhưng đó là trạng thái lúc xuất xưởng. Nếu thiếu cấu hình khi lắp đặt, phân tách mạng và kỷ luật quản lý mật khẩu đi kèm, chiếc nhãn không còn ý nghĩa, và điều này đúng bất kể sản phẩm có nhãn hay không.

Quyền quyết định cuối cùng về tiêu chuẩn mua sắm thuộc về ai

Dù đã viết xong yêu cầu, chủ sở hữu không rõ ràng thì quy trình vẫn dừng. Phần này là quản trị, không phải chuyện chương trình chứng nhận.

Có ba mô hình

Trên thực tế chúng tôi khuyến nghị mô hình hai tầng. Đó là hình thái duy nhất giữ cho việc mua sắm tiếp tục chạy mà không mất khả năng giải trình ở cấp tập đoàn. Trụ sở chính nắm bản thân tiêu chuẩn và quyền đánh giá lại ngoại lệ, còn cơ sở nắm quyền quyết định sơ thẩm có giới hạn thời gian.

Dựng đường xin ngoại lệ trước khi cần đến nó

Đừng đảo thứ tự. Đường xin ngoại lệ được ban hành cùng lúc với tiêu chuẩn, không phải sau đó. Nếu chỉ có tiêu chuẩn đến nơi, đội tại chỗ còn hai lựa chọn: dừng mọi lần mua không đáp ứng được, hoặc lặng lẽ phớt lờ. Cả hai đều không phải trạng thái mong muốn.

Mẫu đơn xin ngoại lệ nên ghi nhận sáu điều: thiết bị liên quan, yêu cầu không đáp ứng được, lý do không đáp ứng được, biện pháp bù đắp, ngày hết hiệu lực, và ngày đánh giá lại. Có đủ sáu mục thì người kế nhiệm mới tiếp quản được hồ sơ.

Quyết định ai giữ sổ ngoại lệ

Đây là phần hay bị bỏ sót nhất. Sau khi được duyệt, ngoại lệ phải lên sổ và được đánh giá lại khi hết hạn. Hãy quyết định ngay từ đầu và nêu đích danh một người, rằng sổ này do trụ sở chính hay do cơ sở duy trì. Một cuốn sổ không có chủ sẽ ngừng được cập nhật trong khoảng sáu tháng.

Luật An ninh mạng B.E. 2562 của Thái Lan liên quan thế nào

Cuối cùng là câu hỏi pháp lý. Hiểu sai chỗ này rồi đem đi giải thích trong nội bộ sẽ dẫn tới hoặc đổ công sức vào việc chưa từng bị đòi hỏi, hoặc yên tâm một cách vô căn cứ.

Phạm vi là đơn vị vận hành hạ tầng thông tin trọng yếu thuộc 8 lĩnh vực

Luật An ninh mạng B.E. 2562 của Thái Lan, tức đạo luật năm 2019, điều chỉnh các đơn vị vận hành hạ tầng thông tin trọng yếu, gọi tắt là CII. Các lĩnh vực thuộc phạm vi gồm an ninh quốc gia, dịch vụ công thiết yếu, dịch vụ tài chính, công nghệ thông tin và viễn thông, vận tải và logistics, năng lượng và tiện ích công cộng, y tế công cộng, và lĩnh vực khác do NCSC, tức Ủy ban An ninh mạng Quốc gia, chỉ định. Tổng cộng là 8 lĩnh vực.

Nghĩa vụ đặt lên tổ chức thuộc phạm vi cũng là nghĩa vụ ở cấp tổ chức: thực hiện đánh giá rủi ro an ninh mạng ít nhất mỗi năm một lần và nộp báo cáo tóm tắt kết quả cho Văn phòng trong vòng 30 ngày kể từ khi hoàn tất, xây dựng hướng dẫn theo quy định, cung cấp thông tin về thiết kế hệ thống và vận hành hạ tầng, và báo cáo cho Văn phòng cùng cơ quan quản lý có thẩm quyền khi xảy ra mối đe dọa mạng, cùng một số nghĩa vụ khác.

Bản thân máy sản xuất và thiết bị IoT không bị điều chỉnh

Đây là điểm bài viết này muốn nhấn mạnh nhất. Đạo luật này không phải chương trình chứng nhận sản phẩm. Nó không đặt ra yêu cầu an ninh cho máy sản xuất hay thiết bị IoT rồi buộc chứng minh sự phù hợp. Cái được điều chỉnh là hoạt động vận hành của tổ chức thuộc các lĩnh vực được chỉ định, không phải đặc tả của thiết bị.

Từ đó suy ra, nếu cơ sở Thái Lan mua một thiết bị không đạt tiêu chuẩn của trụ sở chính thì bản thân việc đó không cấu thành vi phạm đạo luật này. Cũng từ đó suy ra, bạn không thể lấy đạo luật này làm căn cứ để nói rằng an ninh của thiết bị đã được bảo đảm vì đã tuân thủ pháp luật Thái Lan.

Không vi phạm, nhưng luật cũng không cho bảo đảm thay thế

Tóm lại, Luật An ninh mạng B.E. 2562 của Thái Lan không cấm và cũng không đòi hỏi điều gì đối với việc mua sắm thiết bị nhà máy. Điều đó có nghĩa là mức tự do rất cao, đồng thời cũng có nghĩa là không tồn tại một ngưỡng tối thiểu do bên ngoài áp đặt.

Ở Nhật Bản, bậc sao của JC-STAR đóng vai trò ngưỡng tối thiểu ước lệ; ở Singapore, CLS giữ vai trò tương tự. Thái Lan không có cả hai, nên ngưỡng tối thiểu phải do chính bạn đặt ra. Tiêu chuẩn của trụ sở chính và đường xin ngoại lệ đã mô tả ở trên chính là cơ chế để giữ một ngưỡng tối thiểu do bạn tự dựng.

Một lưu ý: nếu cơ sở của bạn đang hoạt động trong một trong 8 lĩnh vực nêu trên thì đó là câu chuyện khác. Khi đó hãy tách nó khỏi phần bàn về mua sắm thiết bị, và xác nhận nghĩa vụ ở cấp tổ chức với bộ phận pháp chế.

Danh mục kiểm tra khi xây dựng tiêu chuẩn mua sắm cho cơ sở Thái Lan

Toàn bộ nội dung trên, sắp theo thứ tự việc cần làm trước. Đi hết danh sách này là bạn có bản thảo đầu tiên của tiêu chuẩn.

• Xác nhận trụ sở chính có tiêu chuẩn an ninh cho mua sắm thiết bị dưới dạng văn bản hay không
• Xác nhận tiêu chuẩn đó có ghi rõ là áp dụng cho cả cơ sở ở nước ngoài hay không
• Xác nhận tiêu chuẩn có được viết thuần bằng tên chương trình như JC-STAR hay không. Tiêu chuẩn chỉ viết bằng tên chương trình thì không dùng được ở Thái Lan
• Nếu viết bằng tên chương trình, hãy khai triển nội dung được đòi hỏi thành các câu yêu cầu dễ hiểu
• Chia thiết bị mà cơ sở Thái Lan mua thành ba nhóm là kết nối ra ngoài, kết nối mạng điều khiển, và không nối mạng
• Quyết định theo từng nhóm rằng áp dụng nguyên tiêu chuẩn trụ sở chính hay mở đường xin ngoại lệ
• Tạo mẫu đơn xin ngoại lệ với sáu ô là thiết bị, yêu cầu không đáp ứng được, lý do, biện pháp bù đắp, ngày hết hiệu lực, ngày đánh giá lại
• Nêu đích danh một người phụ trách, ở trụ sở chính hoặc ở cơ sở, để duy trì sổ ngoại lệ
• Tạo bảng xác nhận yêu cầu dành cho nhà cung cấp trong nước, không dùng tên chương trình, và trả lời được theo ba đáp án là đã đáp ứng, chưa đáp ứng, có biện pháp bù đắp
• Chấp nhận ba hình thức bằng chứng là chứng nhận bên thứ ba, bản công bố của nhà sản xuất, hoặc tài liệu quy trình cấu hình
• Đưa việc nộp bảng xác nhận yêu cầu vào mẫu yêu cầu báo giá như một mục bắt buộc
• Hỏi bộ phận pháp chế xem hoạt động kinh doanh của bạn có thuộc một trong 8 lĩnh vực theo Luật An ninh mạng Thái Lan hay không
• Lập kế hoạch đưa thiết bị đã lắp đặt về đối chiếu lại với tiêu chuẩn vào chu kỳ thay thế kế tiếp

Câu hỏi thường gặp

Mua thiết bị có nhãn JC-STAR cho cơ sở Thái Lan có ý nghĩa gì không

Có ý nghĩa, nhưng hãy xem đó là lối tắt trong khâu lựa chọn chứ không phải hiệu lực pháp lý. Không quy định nào của Thái Lan đòi hỏi JC-STAR, nên việc có nhãn không thay đổi vị thế pháp lý của bạn. Cái nhãn làm được là đại diện cho những yêu cầu mà sản phẩm đã đáp ứng, giúp bạn đỡ phải bắt đối tác điền bảng yêu cầu từ con số không. Khi nhập khẩu từ Nhật Bản là lựa chọn khả thi, lập luận về hiệu quả này vẫn đứng vững.

Trong tương lai Thái Lan có tham gia thỏa thuận công nhận lẫn nhau của JC-STAR không

Chưa có dữ liệu để phán đoán. Công nhận lẫn nhau của JC-STAR đã bắt đầu với Vương quốc Anh theo PSTI Act từ ngày 1 tháng 1 năm 2026 và có hiệu lực với CLS của Singapore từ ngày 1 tháng 6 năm 2026. Với Hoa Kỳ và Liên minh châu Âu, quan hệ mới ở giai đoạn chia sẻ thông tin, chưa đạt thỏa thuận và chưa có hiệu lực. Không tìm thấy thông tin công khai về đàm phán với Thái Lan, nên lập trường trung thực là không khẳng định được mà cũng không loại trừ được. Đừng viết vào tài liệu nội bộ rằng dự kiến sẽ có công nhận lẫn nhau với Thái Lan, và hãy thiết kế tiêu chuẩn trên giả định hôm nay chưa có chương trình nào.

Nếu mua thiết bị Singapore có chứng nhận CLS về dùng tại Thái Lan thì có coi là an toàn không

Có thể nói sản phẩm đã đáp ứng một bộ yêu cầu xác định tại thời điểm xuất xưởng. Nhưng CLS Level 1 là bậc đầu vào, và cái mà thỏa thuận Nhật Bản – Singapore công nhận là một phần các yêu cầu cơ bản của JC-STAR bậc sao 1. Hơn nữa, an ninh của thiết bị thay đổi rất nhiều theo cấu hình và vận hành sau lắp đặt. Nếu không đổi mật khẩu ban đầu, không tắt cổng không dùng, không phân tách mạng và không áp bản cập nhật thì không chiếc nhãn nào làm thiết bị an toàn. Nhãn là điểm khởi đầu, không phải đích đến.

Luật An ninh mạng Thái Lan có đòi hỏi gì ở nhà máy của chúng tôi không

Trong bối cảnh mua sắm thiết bị, không có việc gì phải làm vì đạo luật này, bởi luật áp dụng cho đơn vị vận hành hạ tầng thông tin trọng yếu thuộc 8 lĩnh vực được chỉ định và không điều chỉnh máy sản xuất hay thiết bị IoT với tư cách sản phẩm. Tuy nhiên, nếu hoạt động kinh doanh của bạn thuộc một trong các lĩnh vực đó, chẳng hạn năng lượng và tiện ích công cộng hoặc vận tải và logistics, thì nghĩa vụ ở cấp tổ chức có thể phát sinh. Hãy tách câu hỏi đó khỏi phần thiết bị và đưa sang bộ phận pháp chế.

Nếu bộ phận công nghệ thông tin của trụ sở chính và cơ sở Thái Lan bất đồng thì sao

Cách bảo vệ mạnh nhất là không tranh luận về quyền quyết định khi đang có một hồ sơ dở dang. Nếu ngay lúc ban hành tiêu chuẩn đã xác lập rằng tiêu chuẩn đến từ trụ sở chính, quyết định ngoại lệ sơ thẩm thuộc cơ sở, và trụ sở chính rà soát sau, thì sẽ không còn quyền hạn nào để tranh giành trong từng lần mua. Nếu đã bất đồng rồi, hãy tách xem tranh chấp nằm ở bản thân tiêu chuẩn hay ở việc cấp ngoại lệ. Thường là vế sau, và một phê duyệt ngoại lệ có thời hạn sẽ giải quyết được.

Kết luận

Các điểm chính từ bài viết này.

• Thỏa thuận Nhật Bản – Singapore là khuôn khổ song phương và Thái Lan không phải một bên, nên không thể áp dụng trực tiếp cho tiêu chuẩn mua sắm của cơ sở tại Thái Lan
• Thỏa thuận được ký ngày 18 tháng 3 năm 2026 và có hiệu lực ngày 1 tháng 6 năm 2026, công nhận một phần các yêu cầu cơ bản của JC-STAR bậc sao 1 và CLS Level 1 là tương đương
• Hiệu quả thực tế là giấy tờ gọn hơn và phí giảm từ 198,000 yên xuống 140,000 yên, chênh lệch 58,000 yên, khi sản phẩm phù hợp CLS nộp hồ sơ JC-STAR, và điều đó không thay đổi tiêu chuẩn của bên mua
• Thái Lan không có chương trình chứng nhận hay dán nhãn an ninh mạng cho thiết bị IoT tương đương JC-STAR hoặc CLS
• Chứng nhận hợp quy của NBTC Thái Lan tập trung vào các yêu cầu về sóng vô tuyến đối với thiết bị vô tuyến, không bao gồm yêu cầu an ninh mạng
• Khi không có chương trình bản địa để dựa vào, nguồn duy nhất của chuẩn mực là tiêu chuẩn trụ sở chính, và lựa chọn thu về áp dụng đồng nhất, nới lỏng đồng nhất, hoặc phân biệt theo nhóm
• Phân biệt theo nhóm là phương án khó đổ vỡ nhất trên thực tế, thay đổi độ chặt giữa thiết bị kết nối ra ngoài, thiết bị trên mạng điều khiển và thiết bị không nối mạng
• Truyền đạt cho nhà cung cấp trong nước bằng nội dung chứ không bằng tên chương trình, và chấp nhận ba hình thức bằng chứng là chứng nhận bên thứ ba, bản công bố phù hợp, hoặc tài liệu cấu hình
• Mô hình quản trị hai tầng, tiêu chuẩn từ trụ sở chính, quyết định ngoại lệ sơ thẩm tại cơ sở, rà soát sau tại trụ sở chính, là dễ vận hành nhất
• Mọi đơn xin ngoại lệ phải có sáu mục là thiết bị, yêu cầu không đáp ứng được, lý do, biện pháp bù đắp, ngày hết hiệu lực, ngày đánh giá lại
• Luật An ninh mạng B.E. 2562 của Thái Lan bao trùm đơn vị vận hành CII thuộc 8 lĩnh vực và không điều chỉnh bản thân thiết bị nhà máy, nên không vi phạm nhưng cũng không có bảo đảm thay thế từ luật
• Công nhận lẫn nhau của JC-STAR đã bắt đầu với Vương quốc Anh theo PSTI Act từ ngày 1 tháng 1 năm 2026 và thỏa thuận Nhật Bản – Singapore là thỏa thuận thứ hai, còn Hoa Kỳ và Liên minh châu Âu mới ở giai đoạn chia sẻ thông tin, và không có thông tin được xác nhận về đàm phán với Thái Lan

Việc đầu tiên cần làm không phải đi hỏi nhà cung cấp hay so sánh thiết bị. Đó là rút ra một bản tiêu chuẩn mua sắm thiết bị của trụ sở chính và kiểm tra xem nó được viết bằng tên chương trình hay bằng các yêu cầu có nội dung. Nếu viết bằng tên chương trình thì bản tiêu chuẩn đó sẽ không vận hành được ở Thái Lan. Viết lại thành các câu yêu cầu chính là bước đầu tiên thực chất trong việc xây dựng tiêu chuẩn mua sắm cho cơ sở tại Thái Lan.

TOMAS TECH hỗ trợ các nhà sản xuất Nhật Bản đang hoạt động tại Thái Lan trong việc triển khai IT và OT cho nhà máy, bao gồm hệ thống quản lý sản xuất PEGASUS. Chúng tôi cũng nhận tư vấn về soạn thảo tiêu chuẩn mua sắm, cách đưa yêu cầu tới nhà cung cấp trong nước, và cách khớp với quy định của trụ sở chính, ngay từ giai đoạn chưa quyết định điều gì. Nếu bạn chỉ mới muốn nhìn rõ hiện trạng thì đó cũng là điểm bắt đầu hợp lý, hãy liên hệ với chúng tôi qua trang liên hệ.

Nguồn tham khảo

• IPA – Hồ sơ JC-STAR dành cho sản phẩm phù hợp CLS
• METI – Thứ trưởng Ino đã ký bản ghi nhớ về công nhận lẫn nhau giữa JC-STAR và chương trình dán nhãn an ninh mạng CLS của Singapore
• IPA – Hồ sơ công nhận lẫn nhau của JC-STAR cho sự phù hợp với PSTI Act của Vương quốc Anh
• ScanNetSecurity – Công nhận lẫn nhau chương trình dán nhãn an ninh IoT của Nhật Bản và Singapore
• Luật An ninh mạng B.E. 2562 của Thái Lan, bản dịch tiếng Anh đầy đủ PDF
• ib-lenhardt – Type Approval Thailand, chứng nhận hợp quy thiết bị vô tuyến của NBTC
• IPA – Tổng quan chương trình JC-STAR