Producătorii de software şi hardware comercializate în Uniunea Europeană care intră sub incidenţa Regulamentului privind rezilienţa cibernetică (CRA) raportează vulnerabilităţile exploatate activ şi incidentele severe de securitate într-un termen iniţial de maximum 24 de ore de la constatare.
