Un incident cibernetic care afectează un produs software sau un echipament conectat şi compromite date personale poate genera mai multe obligaţii de raportare. În funcţie de produs, de organizaţiile implicate şi de gravitatea incidentului, acesta poate intra sub incidenţa Cyber Resilience Act (CRA), GDPR şi NIS 2 sau, pentru entităţile din sectorul financiar, DORA - fiecare cu propriile termene şi autorităţi competente. Obligaţiile pot reveni unor actori diferiţi: producătorului produsului vulnerabil şi organizaţiilor care îl folosesc. De la 11 septembrie 2026, odată cu aplicarea obligaţiilor de raportare prevăzute de CRA, s-a adăugat un nou set de notificări.
