Liên minh châu Âu lúng túng trước rủi ro từ nhà cung cấp công nghệ Trung Quốc

Viện Dịch vụ Hoàng gia Anh (RUSI) vừa công bố báo cáo cảnh báo rằng chính sách công nghệ thiếu nhất quán của Liên minh châu Âu (EU) đang đặt các quốc gia thành viên vào thế rủi ro trước các nhà cung cấp thiết bị Trung Quốc. Tổ chức này kêu gọi EU xây dựng một khung đánh giá rủi ro thống nhất, nhưng cũng thừa nhận rằng cách tiếp cận đó có thể khiến các nhà cung cấp đến từ Mỹ bị soi xét không kém.

Báo cáo của RUSI đặt vấn đề rằng việc phụ thuộc vào công nghệ Trung Quốc cho hạ tầng trọng yếu của châu Âu tiềm ẩn nhiều nguy cơ, nhưng không phải quốc gia thành viên nào cũng nhìn nhận mức độ nghiêm trọng như nhau. Theo viện nghiên cứu có trụ sở tại Anh, EU cần phát triển một khung đánh giá rủi ro mới áp dụng cho toàn bộ thành viên, đồng thời tăng cường quyền hạn của khối mà không xâm phạm quyền tự quyết chính sách an ninh quốc gia của từng nước.

Bài toán cân bằng giữa an ninh chung và chủ quyền quốc gia

Theo RUSI, EU phải giải một bài toán khó: vừa bảo đảm an ninh cho toàn khối, vừa duy trì sự linh hoạt để mỗi quốc gia có thể tự thiết lập chính sách trong nước và các nhà lập pháp có thể tính đến những đặc thù rủi ro khác nhau giữa các lĩnh vực. Rủi ro trong lĩnh vực viễn thông không nhất thiết áp dụng theo cùng một cách cho các ngành khác.

Hiện chỉ có khung Bộ công cụ EU về An ninh 5G là tự nguyện – và "tự nguyện" chính là điểm mấu chốt, khi chỉ 10 trong số 27 quốc gia thành viên triển khai đầy đủ kể từ khi ra mắt hồi tháng 1/2020.

Về mặt lý thuyết, khung này phần nào hướng tới điều mà RUSI đang kêu gọi: một bộ tiêu chuẩn hài hòa nhằm giảm thiểu các rủi ro an ninh liên quan đến 5G ảnh hưởng tới các quốc gia thành viên.

Đề xuất sửa đổi Luật An ninh mạng của EU

Trước sự thiếu hụt trong triển khai thực tế, Ủy ban châu Âu (EC) hồi đầu năm nay đã đề xuất sửa đổi Luật An ninh mạng (CSA), cho phép xây dựng danh sách các nhà cung cấp không đáng tin cậy mà các thành viên buộc phải loại khỏi mạng lưới của 18 lĩnh vực trọng yếu.

Nếu được thông qua, bất kỳ quốc gia nào đang sử dụng thiết bị từ các nhà cung cấp bị chỉ định sẽ phải tháo dỡ và thay thế trong vòng 36 tháng. EC đã ám chỉ rằng họ sẽ đề xuất đưa Huawei và ZTE vào danh sách nếu các sửa đổi được thông qua.

Tuy nhiên, trước khi EU bắt tay vào việc liệt kê các nhà cung cấp bị coi là rủi ro cao, khối này cần định nghĩa rõ thế nào là "nhà cung cấp rủi ro cao". Hiện vẫn chưa có định nghĩa chính thức, cũng chưa phải một phạm trù pháp lý, khiến các quốc gia có thể lách qua những mô tả này để mua công nghệ mình muốn.

Ba quốc gia, ba cách tiếp cận khác biệt

Các nhà nghiên cứu RUSI dùng Đức, Tây Ban Nha và Anh làm ví dụ cho thấy ba quốc gia có thể đối xử rất khác nhau với các nhà cung cấp công nghệ nước ngoài như Huawei và ZTE.

• Đức: Đối tác thương mại quan trọng nhất là Trung Quốc, với kim ngạch khoảng 251,8 tỷ euro (284,4 tỷ USD) mỗi năm. Nước này trước đây ưu tiên duy trì quan hệ kinh tế thay vì giảm rủi ro chuỗi cung ứng. Dưới thời Thủ tướng Friedrich Merz, tình hình đang dần thay đổi, nhưng RUSI không cho rằng cơ cấu hạ tầng 5G RAN của Đức sẽ có biến chuyển đáng kể trong tương lai gần. Các nhà cung cấp Trung Quốc chiếm khoảng 59% thị phần 5G RAN của nước này trong năm 2024.
• Tây Ban Nha: Thiết bị Trung Quốc chiếm khoảng 32% hạ tầng 5G RAN năm 2024, dù tỷ lệ này được dự báo sẽ thu hẹp. Cuộc tranh luận gay gắt hơn sau vụ việc gây tranh cãi năm ngoái, khi Tây Ban Nha trao cho Huawei hợp đồng liên quan đến lưu trữ bản ghi nghe lén tư pháp. Các quyết định mua sắm trong quá khứ cho thấy Tây Ban Nha thường ưu tiên phương án tiết kiệm chi phí nhất, và chính phủ nước này không chia sẻ mối lo an ninh quốc gia về Trung Quốc ở mức độ như Anh hay Mỹ.
• Anh: Dự kiến loại bỏ hoàn toàn công nghệ Trung Quốc khỏi mạng viễn thông vào cuối năm tới, sau khi nhượng bộ trước yêu cầu gay gắt của Mỹ rằng Huawei là mối đe dọa với an ninh địa chính trị phương Tây.

Rủi ro bảo mật có thực

RUSI khẳng định những lo ngại về các nhà cung cấp công nghệ Trung Quốc "là có cơ sở", và việc chính phủ Trung Quốc có thể trao quyền cho cơ quan chức năng kiểm soát các công ty như Huawei là sự thật.

Điều này bao gồm việc cung cấp dữ liệu cho nhà nước theo yêu cầu, bố trí đại diện của Đảng Cộng sản Trung Quốc trong doanh nghiệp, và báo cáo các hoạt động được cho là đe dọa an ninh quốc gia.

Ngoài ra còn có một luật yêu cầu các công ty công nghệ không chỉ báo cáo lỗ hổng cho chính phủ trong vòng 48 giờ sau khi phát hiện, mà còn phải giữ kín thông tin đó với các đối tác nước ngoài, ngoại trừ nhà cung cấp sản phẩm.

RUSI nhận định: "Điều này biến hoạt động nghiên cứu bảo mật của khu vực tư nhân Trung Quốc thành một kênh do nhà nước kiểm soát, trao cho các cơ quan tình báo quyền truy cập sớm đặc biệt vào các lỗ hổng có thể bị khai thác."

Theo RUSI, Trung Quốc cũng đã chứng minh thiện chí và năng lực phát động tấn công mạng nhằm vào hạ tầng quốc gia trọng yếu của các đối thủ chính trị.

Rủi ro kinh tế song hành với rủi ro kỹ thuật

Bên cạnh khía cạnh an ninh kỹ thuật, những tiến bộ công nghệ của Trung Quốc còn mang đến rủi ro kinh tế. Trong một số trường hợp, các nhà cung cấp nước này đã phát triển sản phẩm có năng lực vượt trội so với sản phẩm tương đương của EU hoặc Mỹ, với mức giá hấp dẫn hơn.

Lợi thế này khiến một số quốc gia khó biện minh cho khoản chi phí cao hơn để mua thiết bị không phải của Trung Quốc. Khi xây dựng sự phụ thuộc toàn cầu vào sản phẩm của mình, Trung Quốc có thể tạo ra những "sự phụ thuộc không mong muốn", hoặc củng cố vị thế thống trị trong các chuỗi cung ứng then chốt.

Trung Quốc đã cho thấy trong những năm gần đây rằng họ sẵn sàng sử dụng ảnh hưởng này, chẳng hạn khi đe dọa Đức về "hậu quả" đối với quan hệ kinh tế giữa hai nước trong cuộc tranh luận 5G gay gắt năm 2019.

Liệu hệ thống chỉ định rủi ro cao có hiệu quả?

Một lý do khiến RUSI kêu gọi EU có khung đánh giá rủi ro kỹ lưỡng hơn là không có gì bảo đảm rằng đề xuất sửa đổi CSA hiện tại của EC sẽ tạo ra nhiều tác động.

Việc cấm toàn diện đối với một công ty hay một quốc gia không giải quyết triệt để các vấn đề bảo mật nền tảng khiến sản phẩm dễ bị tấn công. Nói cách khác, ngay cả khi Trung Quốc bị loại hoàn toàn khỏi hạ tầng công nghệ của các thành viên EU, các nhà cung cấp khác đến từ những quốc gia "đáng tin cậy" cũng đã chứng minh rằng họ không thể cung cấp phần mềm miễn nhiễm với xâm nhập.

Đáng chú ý, vụ tấn công gây chú ý của nhóm tin tặc Salt Typhoon vào mạng lưới viễn thông Mỹ mới diễn ra gần đây, vào năm 2024.

Cũng cần nói thêm rằng các chỉ định kiểu CSA có thể áp dụng cho cả các công ty Mỹ, vì một số quốc gia châu Âu coi các nhà cung cấp Mỹ cũng rủi ro tương tự, dù vì lý do khác.

RUSI cho biết: "Một người tham gia thậm chí lưu ý rằng một số quan chức coi các công cụ pháp lý của Mỹ như Đạo luật Patriot là tạo ra rủi ro chủ quyền tương đương với Luật Tình báo Quốc gia của Trung Quốc – một cách diễn giải thiếu chính xác khi xét về mặt luật pháp, nhưng thuận tiện về mặt chính trị."

Tại Tây Ban Nha, các công ty đám mây của Mỹ đang chiếm ưu thế, nhưng tâm lý bài Mỹ mạnh hơn nhiều người tưởng, đặc biệt là những lo ngại về giám sát. Những yếu tố đó, cùng với mức giá cao hơn từ một số nhà cung cấp phi Trung Quốc, đã làm giảm mong muốn tháo dỡ thiết bị mà nhiều người coi là rủi ro cao của Tây Ban Nha.

Hàm ý cho Việt Nam

Câu chuyện của EU mang đến bài học đáng suy ngẫm cho Việt Nam, khi các nhà mạng trong nước cũng đang cân nhắc kỹ lưỡng giữa thiết bị 5G từ nhiều nguồn cung khác nhau. Việc xây dựng một khung đánh giá rủi ro nhà cung cấp rõ ràng, minh bạch và dựa trên tiêu chí kỹ thuật – thay vì chỉ dựa trên yếu tố địa chính trị hay giá cả – sẽ giúp Việt Nam vừa bảo vệ hạ tầng trọng yếu, vừa duy trì được sự linh hoạt trong quan hệ thương mại quốc tế.

RUSI gợi ý rằng nếu muốn tạo ra thay đổi thực sự bằng chính sách, EU cần "dũng cảm hơn về mặt kinh tế" và sẵn sàng coi việc mua sắm công nghệ là phương tiện bảo vệ hạ tầng trọng yếu, chứ không phải một "bài tập tuân thủ" đơn thuần.