TI 为在 ti.com 上作为 SDK 组成部分提供公开源代码的所有产品提供 SPDX 和 CycloneDX 格式的 SBOM。可通过 TI 的 MySecure 访问计划获取安全软件组件的 SBOM。

在每次发布之前都会扫描 TI 处理器 SDK 检查已知漏洞。TI 通过 PSIRT 管理完整的漏洞处理生命周期：通知接收、分类、技术分析、补救以及基于 CVSS v3.1 严重性评分和 CVE 分配协调的公开披露。该流程符合 ISO/IEC 30111 和 ISO/IEC 29147 标准。TI 免费提供安全补丁及安全公告消息。

TI 通过产品安全公告门户 (PSAP)（网址：ti.com/psap）发布补丁和安全公告。PSAP 为客户提供一个结构化渠道，使其能够通过 myTI 帐户报告漏洞、订阅针对其设计中 TI 产品的安全公告信息源，并以 CSAF v2.0 机器可读格式访问披露信息。CSAF v2.0 安全公告指明受影响的具体软件组件，使客户能够根据其 SBOM 自动关联，并在 CRA 报告时限内评估风险暴露情况。

TI 根据 BSI TR-03183-3 和 RFC 9116 标准，在 ti.com/.well-known/security.txt 发布了 security.txt 文件。该文本文件包含 PSIRT 联系地址、CVD 政策 URI 和 CSAF 提供商元数据。TI 受德国司法管辖，对于第 14 条规定的报告，TI 指定的国家 CSIRT 为由德国联邦信息安全办公室 (BSI) 运营的 CERT-Bund。TI 通过 CRA 单一报告平台在规定时限内提交事件通知。

第 14 条要求制造商在“获悉”遭到积极利用的漏洞后 24 小时内通知相应的国家 CSIRT。该法规没有规定在多人组织中何时视为已经获悉漏洞。制造商会提前定义在其组织内何种情况构成“获悉”，无论是在接收确认时，还是由负责的技术团队成员首次审查报告时；但是，如果这一时间点未作定义，就会产生合规风险。24 小时的时限从定义的时刻开始，而不是从某位工程师审查报告时开始。PSAP 的自动截止日期跟踪功能通过在时限结束前升级处理报告来强制执行此规定。任何 TI 已知的、遭到积极利用的漏洞都会触发这一 24 小时时限，无论相关信息来自安全研究人员、客户还是内部发现。随后将在 72 小时内提交后续通知，并附上更全面的评估，通过 CRA 单一报告平台同时提交给国家 CSIRT 和 ENISA。