EUサイバーレジリエンス法（CRA）の枠組み下で、2026年9月11日から積極的に悪用された脆弱性や深刻な事象に対する24時間以内の報告義務が開始される。2026年CRA啓発と準備レポートによれば、参加者の66%が法についてほとんど知識がないか、全く知識がないと回答しており、法が自分たちに適用されるかどうかを判断できない回答者は41%に上る。Linux Foundationは、OSPO専門家がこの空白を埋めるために製品-コンポーネントマッピング、SBOMの品質、上流のオープンソースコミュニティとの協調的な介入プロセスを構築していると強調している。