EU-Vorschriften verpflichten nun gewerbliche Hersteller von in den Anwendungsbereich fallenden verbundenen Hardware-Wallets und Wallet-Software dazu, die Cyber-Behörden innerhalb von 24 Stunden nach der Entdeckung einer aktiv ausgenutzten Schwachstelle oder eines schwerwiegenden Sicherheitsvorfalls zu warnen. Laut NS3.AI trat die Anforderung am 11. September 2026 in Kraft, im Rahmen des EU-Gesetzes zur Cyber-Resilienz.

Das Gesetz gilt für Produkte mit digitalen Elementen, die auf dem EU-Markt bereitgestellt werden, wobei der Anwendungsbereich von dem jeweiligen Produkt, der Art der Bereitstellung und etwaigen einschlägigen Ausnahmen abhängt.