A regra se aplica a carteiras de hardware e software. Elas são obrigadas a fornecer, no prazo de 24 horas, um aviso preliminar sobre vulnerabilidades graves. Em seguida, em até 72 horas, devem apresentar uma notificação completa. O relatório final será exigido 14 dias após o desenvolvimento de medidas para remediar ou atenuar os efeitos e, em caso de incidentes graves, no prazo de um mês.
A medida entrou em vigor na sexta-feira, no âmbito de regras mais amplas da UE no campo da cibersegurança. Ela se aplica a todos os produtos que contenham elementos digitais e estejam disponíveis na UE. As violações estão sujeitas a multas de até 15 milhões de euros ou 2,5% do faturamento anual global (o que for maior). O fornecimento de informações incorretas, incompletas ou enganosas é punido com multa de até 5 milhões de euros.