Суб’єкти національної системи реагування на кіберінциденти, кібератаки та кіберзагрози, власники або розрядники систем на постійній основі здійснюють збір, аналіз та поширення інформації про вразливості в системах.
Збір інформації про потенційні вразливості може здійснюватися з будь-яких доступних джерел, зокрема на підставі договорів та інших угод з юридичними або фізичними особами (резидентами або нерезидентами України) або міжнародних договорів, в рамках державно-приватної взаємодії, організаційно-технічних заходів, передбачених цим Порядком, а також інших джерел, не заборонених законодавством.