EUのサイバーレジリエンス法の対象となる、接続型ハードウェアウォレットおよびウォレットソフトウェアの商用メーカーは、実際に悪用されている脆弱性や重大な製品セキュリティー事故を発見した場合、24時間以内にENISAと指定されたサイバー対応チームへ通知しなければならない。報告に関する規定は2026年9月11日に施行された。これは、CRAが定める、より広範なセキュリティー・バイ・デザイン、適合性評価、CEマーキングの要件が2027年12月11日に始まるのに先立つものである。メーカーはENISAの「単一報告プラットフォーム」を通じて、72時間以内により詳細な通知を提出し、是正措置または緩和措置が利用可能になった後には最終報告書も提出しなければならない。新たな義務は、コールドカードが自社デバイスからビットコインを流出させた攻撃への対応を進め、トレザーが米国の数千人の顧客に影響したShipMonkのデータ侵害を報告する中で導入される。24時間以内の早期警告期限に違反した場合でも、零細企業と小規模企業には行政罰金は適用されないが、報告義務は残る。