Depuis le 11 septembre 2026, tout fabricant d'objet connecté vendu dans l'UE doit signaler en 24 heures une faille activement exploitée. Le reste du CRA arrive en décembre 2027 : il se prépare dès le prototype.