Article considérant 26

(26) Le titulaire d’un certificat EUCC devrait mettre en œuvre les procédures de gestion des vulnérabilités nécessaires et veiller à ce que ces procédures soient intégrées dans son organisation. Lorsqu’il a connaissance d’une vulnérabilité potentielle, le titulaire du certificat EUCC devrait effectuer une analyse d’impact de la vulnérabilité. Si cette analyse confirme que la vulnérabilité peut être exploitée, le titulaire du certificat devrait envoyer un rapport d’évaluation à l’organisme de certification qui, à son tour, devrait en informer l’autorité nationale de certification de cybersécurité. Ce rapport devrait indiquer l’incidence de la vulnérabilité, les changements nécessaires ou les mesures correctives requises, ainsi que les éventuelles implications plus larges de la vulnérabilité et les solutions correctives pour d’autres produits. Le cas échéant, la norme EN ISO/CEI 29147 devrait compléter la procédure de divulgation de la vulnérabilité.