根據歐盟《網路彈性法案》（Cyber Resilience Act，Regulation (EU) 2024/2847），雖然法案的大部分要求要到 2027年12月11日 才正式全面實施，但其中一項與製造商密切相關的重要義務——製造商的報告義務——將率先從 2026年9月11日 開始適用。

這意味著，從這一日期起，面向歐盟市場銷售相關帶有數位元素的產品（下文簡稱：數位產品）的製造商，如果發現產品存在已被駭客實際利用的漏洞，或者發生了嚴重影響產品安全的事件，就不能只在公司內部處理，而是必須按照法案要求，向歐盟維護的單一報告平臺提交報告。

按照法案規定，製造商在發現上述漏洞或安全事件後，首先要在24小時內發出預警；隨後要在72小時內提交進一步說明，介紹基本情況、受影響產品以及已經採取的措施；之後還要在一個月內提交最終報告，補充說明漏洞或事件的影響、原因，以及修復或緩解措施。

除了向單一報告平臺報告外，製造商在必要時還要向用戶說明風險，並告知用戶可以採取哪些保護措施。

如果製造商沒有履行這些義務，法案也規定了比較嚴厲的處罰。按照法案內容，違反相關要求的企業，最高可能被罰1500萬歐元，或者按企業上一財年全球營業額的2.5%處罰，兩者取較高。如果企業向監管機構提供了錯誤、不完整或者誤導性資訊，也會被處罰，最高可達 500萬歐元，或者上一財年全球營業額的 1%，同樣是兩者取較高。

法案對微型和小型企業有一定的照顧。微型小型企業不會因為沒有履行“24小時內發出預警“義務而被罰款。歐盟定義下的微型企業為雇用人數少於 10 人且其年營業額和/或年資產負債表總額不超過 200 萬歐元；小型企業為雇用人數少於 50 人且其年營業額和/或年資產負債表總額不超過 1,000 萬歐元的企業。

歐盟對製造商的要求已經不只是“產品上市前合規”，而是進一步強調產品上市後的持續安全責任。從 2026年9月11日 開始，製造商就必須建立起內部的漏洞發現、事件回應、對外報告和資訊留存機制，否則將面臨較大的合規和處罰風險。