1. Le titulaire établit un rapport d’analyse d’impact d’une vulnérabilité lorsque l’analyse d’impact montre qu’une vulnérabilité a une incidence probable sur la conformité du produit TIC avec son certificat.
2. Le rapport d’analyse d’impact d’une vulnérabilité contient l’évaluation des éléments suivants:
a) l’incidence de la vulnérabilité sur le produit TIC certifié;
b) les risques éventuels liés à la proximité ou à la disponibilité d’une attaque;
c) la possibilité de remédier à la vulnérabilité;
d) s’il est possible de remédier à la vulnérabilité, les résolutions possibles de cette vulnérabilité.
3. Le rapport d’analyse d’impact d’une vulnérabilité contient, le cas échéant, des détails sur les moyens d’exploitation possibles de la vulnérabilité. Les informations relatives aux moyens d’exploitation possibles de la vulnérabilité sont traitées conformément aux mesures de sécurité appropriées afin de protéger leur confidentialité et de garantir, le cas échéant, leur diffusion limitée.
4. Le titulaire d’un certificat EUCC transmet sans retard injustifié le rapport d’analyse d’impact d’une vulnérabilité à l’organisme de certification ou à l’autorité nationale de certification de cybersécurité conformément à l’article 56, paragraphe 8, du règlement (UE) 2019/881.
5. Lorsque le rapport d’analyse d’impact d’une vulnérabilité établit que la vulnérabilité n’est pas résiduelle au sens des normes visées à l’article 3 et qu’il est possible d’y remédier, l’article 36 s’applique.
6. Lorsque le rapport d’analyse d’impact d’une vulnérabilité établit que la vulnérabilité n’est pas résiduelle et qu’il n’est pas possible d’y remédier, le certificat EUCC est retiré conformément à l’article 14.
7. Le titulaire du certificat EUCC surveille les éventuelles vulnérabilités résiduelles afin de s’assurer qu’elles ne pourront pas être exploitées en cas de modification de l’environnement opérationnel.