Desde el 11 de septiembre de 2026, todo fabricante de un objeto conectado vendido en la UE debe notificar en 24 horas un fallo aprovechado activamente. El resto del CRA llega en diciembre de 2027 y se prepara desde el prototipo.