Quy định CRA là quy định bắt buộc cốt lõi của EU đối với an ninh mạng của các sản phẩm kỹ thuật số, bao gồm tất cả các sản phẩm có yếu tố kỹ thuật số, và thang máy thông minh và thang máy IoT rõ ràng được đưa vào danh mục sản phẩm có rủi ro cao. Các yêu cầu cốt lõi của quy định bao gồm: các nhà sản xuất thang máy cần thiết lập hệ thống quản lý an ninh mạng toàn vòng đời cho các sản phẩm và tiết lộ cơ chế sửa chữa lỗ hổng bảo mật sản phẩm; yêu cầu hệ thống điều khiển và hệ thống vận hành và bảo trì từ xa của thang máy thông minh đáp ứng các tiêu chuẩn phân loại an ninh mạng của EU; sản phẩm cần hoàn thành đánh giá tuân thủ an ninh mạng trước khi niêm yết và tiếp tục theo dõi rủi ro bảo mật và phát hành các bản vá kịp thời sau khi niêm yết. Quy định đặt ra một giai đoạn chuyển tiếp, nghĩa vụ báo cáo sẽ được thực hiện từ tháng 9 năm 2026 và nó sẽ hoàn toàn bắt buộc vào tháng 12 năm 2027. Các sản phẩm thang máy thông minh không đáp ứng các yêu cầu sẽ bị cấm vào thị trường EU.