Nella regolamentazione della cybersicurezza, un produttore è l'attore regolamentato che immette un prodotto sul mercato con il proprio nome o marchio. Ai sensi del Cyber Resilience Act, questa è la parte considerata responsabile della postura di sicurezza del prodotto, anche quando il software include codice open source a monte o componenti di terze parti.
Questo ruolo è importante perché gli obblighi di sicurezza seguono il prodotto che raggiunge i clienti, non solo il contribuente al codice che lo ha scritto. Un produttore può dover mantenere un SBOM accurato, monitorare le vulnerabilità nelle dipendenze, distribuire correzioni e gestire i flussi di lavoro di incident e reporting. Nella difesa nel mondo reale, questo significa incorporare la responsabilità nell'ingegneria delle release, nella gestione delle patch e nei processi di divulgazione. Negli attacchi, il produttore è la parte che i difensori si aspettano di informare, con cui coordinarsi e ritenere responsabile quando un prodotto distribuito contiene una libreria vulnerabile o una patch ritardata espone gli utenti al rischio.