Durch den CRA müssen zukünftig Software-Hersteller alle(!) Schwachstellen, 0days und Lücken an das @nprofile1q... melden...

Durch den CVP melden derzeit Zivilgesellschaft und Wirtschaft freiwillig Schwachstellen und 0days an das BSI. Noch...

Durch die Anpassung der Nachrichtendienst-Gesetze ist das BSI zukünftig verpflichtet, alle Lücken mit dem BND zu teilen und die nutzen diese dann aktiv aus:

"Bis eine 0-Day-Schwachstelle nach Veröffentlichung bei den Herstellern..."

https://www.bmi.bund.de/SharedDocs/gesetzgebungsverfahren/DE/OESI2/nachrichtendienstrecht.html