欧州委員会の説明では、報告義務が2026年9月11日から、CRAが導入する主要な義務が2027年12月11日から適用されます。つまり段階適用で、まず報告義務が先行しています。報告の内容は、積極的に悪用されている脆弱性と重大インシデントについて、24時間以内の早期警告、72時間以内の通知、最終報告で、最終報告は是正措置の利用可能後14日以内（脆弱性）または72時間通知から1か月以内（重大インシデント）とされます。オープンソースソフトウェア・スチュワードの対象は2027年12月11日からです。
適用時期の段階と報告の段階
全義務が同時に始まるのではなく、報告義務が先に適用される点が特徴。