1. L’équipe d’évaluation par les pairs fournit à l’organisme de certification évalué par les pairs un projet de rapport d’évaluation par les pairs.
2. L’organisme de certification évalué par les pairs soumet à l’équipe d’évaluation par les pairs des observations concernant les constatations et une liste d’engagements visant à remédier aux lacunes recensées dans le projet de rapport d’évaluation par les pairs.
3. L’équipe d’évaluation par les pairs soumet au groupe européen de certification de cybersécurité un rapport final d’évaluation par les pairs, qui comprend également les commentaires formulés et les engagements pris par l’organisme de certification évalué par les pairs. L’équipe d’évaluation par les pairs fait également part de sa position quant aux commentaires et indique si les engagements sont suffisants pour remédier aux lacunes constatées.
4. Lorsque des non-conformités sont recensées dans le rapport d’évaluation par les pairs, le groupe européen de certification de cybersécurité peut fixer un délai approprié pour que l’organisme de certification évalué par les pairs remédie à ces non-conformités.
5. Le groupe européen de certification de cybersécurité adopte un avis sur le rapport d’évaluation par les pairs:
a) lorsque le rapport d’évaluation par les pairs ne recense pas de non-conformités ou lorsque les non-conformités ont été traitées de manière appropriée par l’organisme de certification évalué par les pairs, le groupe européen de certification de cybersécurité peut émettre un avis positif et tous les documents pertinents sont publiés sur le site web de certification de l’ENISA;
b) lorsque l’organisme de certification évalué par les pairs ne traite pas les non-conformités de manière appropriée dans le délai imparti, le groupe européen de certification de cybersécurité peut émettre un avis négatif à publier sur le site web de certification de l’ENISA, avec le rapport d’évaluation par les pairs et tous les documents pertinents.
6. Avant la publication de l’avis, toutes les informations sensibles, personnelles ou propriétaires sont retirées des documents publiés.