サイバーレジリエンス法 (CRA)
サイバーセキュリティを電気安全のような製品要件にするEU規則。適合しなければCEマークは付かない。
規則（EU）2024/2847は2024年秋に採択され、スマート電球からデスクトップソフトウェアまで、あらゆる「デジタル要素を持つ製品」を対象とする。製造者は製品の存続期間中ずっと脆弱性に対処し、セキュリティ更新を提供し、技術文書にSBOMを備えなければならない。2026年9月からは、悪用されている脆弱性を24時間以内にENISAへ報告する義務が始まり、残りの義務は2027年12月から適用される。
2022年の草案では、GitHubにコードをプッシュする人が誰でも製造者になりかねず、Python Software FoundationやEclipseなどが強く反発した。最終的な条文は非商用のオープンソースを除外し、他者が製品を作る基盤となるプロジェクトを支える財団向けに、より軽い「オープンソース・スチュワード」という役割を設けた。責任が及ぶのは、お金が動くところ、つまりIoT機器を売る側であり、ライブラリを無償で書いた側ではない。