Im September 2022 legte die Europäische Kommission den Entwurf für einen Cyber Resilience Act (CRA) in Form einer EU-Verordnung vor, die im März 2024 vom Europäischen Parlament angenommen wurde. Die Verordnung regelt Anforderungen, die Produkte mit digitalen Elementen erfüllen müssen. Davon betroffen sind insbesondere Hardware, Firmware und Software. Unter anderem schreibt die CRA-Verordnung eine fortlaufende Risikobewertung, Maßnahmen für sichere Entwicklungsprozesse, Zusicherungen an die Sicherheit in Verkehr gebrachter Produkte und eine technische Dokumentation vor. Für bestimmte Kategorien von Geräten ist darüber hinaus eine externe Auditierung vorgesehen. Da es sich, anders als bei NIS, um eine Verordnung handelt, gilt sie unmittelbar und vorrangig nach Inkrafttreten in allen Mitgliedsstaaten. Allerdings gibt es eine Übergangszeit von 36 Monaten.