Od 11. září 2026 platí pro výrobce, dovozce i distributory produktů s digitálními prvky nová hlásicí povinnost: aktivně zneužívané zranitelnosti a závažné bezpečnostní incidenty musí nahlásit agentuře ENISA do 24 hodin od zjištění, s doplněním do 72 hodin a závěrečnou zprávou do 14 dnů. Povinnost vyplývá z nařízení Evropského parlamentu a Rady (EU) 2024/2847, známého jako Cyber Resilience Act (CRA) – prvního evropského předpisu, který ukládá závazné požadavky na kybernetickou bezpečnost napříč celým trhem s digitálními produkty, od spotřebního softwaru přes průmyslová zařízení po jednotlivé komponenty a knihovny. Vztahuje se na výrobce, dovozce i distributory a ukládá jim mimo jiné navrhnout produkt podle čtrnácti požadavků na vlastnosti a zavést osm procesů řízení zranitelností po celou dobu jeho podpory. Plná použitelnost nařízení nastává 11. prosince 2027, za nesoulad hrozí pokuty až 15 milionů eur nebo 2,5 % celosvětového obratu.

Na tento harmonogram reaguje Acresia spuštěním nového nástroje CRA Tools. Umožňuje výrobcům softwaru a hardwaru evidovat produkty s digitálními prvky, klasifikovat je podle příloh nařízení a projít strukturovaným sebehodnocením proti všem 22 požadavkům přílohy I – od návrhu produktu přes řízení zranitelností až po vedení softwarového kusovníku (SBOM) a registru rizik. Plnou podporu má sebehodnocení podle takzvaného modulu A, kterým prokazuje shodu většina produktů na trhu; u produktů vyžadujících posouzení třetí stranou slouží nástroj jako interní příprava a evidence pro oznámený subjekt. Z nashromážděných dat pak CRA Tools generuje povinnou dokumentaci, včetně EU prohlášení o shodě a technické dokumentace, takže výstupy vznikají přímo ze strukturovaných záznamů, ne ručním přepisováním.