Оцінка стану захищеності систем з метою пошуку потенційних вразливостей здійснюється відповідно до порядку оцінювання стану кіберзахисту інформаційних, електронних комунікаційних та інформаційно-комунікаційних систем, в яких обробляються державні інформаційні ресурси або службова інформація та інформація, що становить державну таємницю, об’єктів критичної інфраструктури, об’єктів критичної інформаційної інфраструктури, передбаченого частиною третьою статті 5 Закону України “Про основні засади забезпечення кібербезпеки України”.
За результатами оцінки стану захищеності систем суб’єкти оцінювання стану кіберзахисту, які здійснювали оцінку стану захищеності систем відповідно до зазначеного порядку повідомляють власнику або розпоряднику систем, а також національній команді реагування на кіберінциденти, кібератаки та кіберзагрози CERT-UA або відповідним галузевим/регіональним командам реагування на кіберінциденти, кібератаки та кіберзагрози CSIRT про виявлені вразливості.