Od 11 września 2026 r. producenci objęci Cyber Resilience Act będą musieli zgłaszać aktywnie wykorzystywane podatności i poważne incydenty, a część polskich firm ma czas tylko do 3 października na wpis do wykazu Krajowego Systemu Cyberbezpieczeństwa.