1. Un candidat à la certification EUCC fournit ou met à la disposition de l’organisme de certification et du CESTI toutes les informations nécessaires pour les activités de certification et d’évaluation.
2. Les informations visées au paragraphe 1 comprennent tous les éléments de preuve pertinents conformément aux sections relatives aux «Éléments d’action du développeur» dans le format approprié, comme indiqué dans les sections relatives au «Contenu et présentation des éléments de preuve» des critères communs et de la méthode d’évaluation commune pour le niveau d’assurance choisi et les exigences d’assurance de sécurité associées. Les éléments de preuve comprennent, si nécessaire, des détails sur le produit TIC et son code source conformément au présent règlement, sous réserve de garanties contre toute divulgation non autorisée.
3. Les candidats à la certification peuvent fournir à l’organisme de certification et au CESTI des résultats d’évaluation appropriés provenant d’une certification antérieure en vertu:
a) du présent règlement;
b) d’un autre schéma européen de certification de cybersécurité adopté conformément à l’article 49 du règlement (UE) 2019/881;
c) d’un schéma national visé à l’article 49 du présent règlement.
4. Lorsque les résultats de l’évaluation sont pertinents pour ses tâches, le CESTI peut réutiliser les résultats d’évaluation fournis à condition que ces preuves soient conformes aux exigences applicables et que leur authenticité soit confirmée.
5. Lorsque l’organisme de certification autorise la soumission du produit à un processus de certification de produit composite, le candidat à la certification met à la disposition de l’organisme de certification et du CESTI tous les éléments nécessaires, le cas échéant, conformément au document de référence.
6. Le candidat à la certification fournit également à l’organisme de certification et au CESTI les informations suivantes:
a) le lien vers son site web contenant les informations supplémentaires en matière de cybersécurité visées à l’article 55 du règlement (UE) 2019/881;
b) une description des procédures de gestion et de divulgation des vulnérabilités du demandeur.
7. Toute la documentation pertinente visée au présent article est conservée par l’organisme de certification, par le CESTI et par le demandeur pendant une période de cinq ans après l’expiration du certificat.