テーマ： regulation
-
製造者のCRA脆弱性対応フローを整備する：受付、証拠、報告期限の管理
脆弱性の受付と構成要素の記録をCRAの報告判断につなげる準備手順案である。2026年にすでに適用されている報告義務と、2027年12月に適用される、より広範な脆弱性対応要件を区別する。
-
2026年9月からのCRA報告義務：報告要件、期限、Single Reporting Platform
CRAは製造者に対し、実際に悪用されている製品の脆弱性と、製品のセキュリティに影響する重大なインシデントの報告を求めている。どちらにも24時間と72時間の段階があるが、最終報告の期限は異なる事象を起点に計算する。
-
スイスのサイバー攻撃報告とCRA：運用者と製品の製造者で異なる義務
スイスの重要インフラに関する報告は、対象となる運用者への、要件を満たすサイバー攻撃を扱う。CRAは、スイスの製造者を含め、EU市場に製品を供給する製造者を対象としており、初期の期限が似ていても、報告先や報告要件を相互に置き換えることはできない。
-
CRAとオープンソース：コントリビューター、製造者、スチュワードの区別
オープンソースライセンスだけではCRA上の義務は決まらない。規則は、製品の商業的な供給、自らの責任範囲外にあるソフトウェアへの貢献、オープンソースソフトウェア・スチュワードによる継続的な支援を区別しており、スチュワードの第24条上の義務は2027年12月に始まる。
機械可読： JSON