Дослідник має право без згоди власника системи здійснювати пошук та виявлення вразливостей системи без втручання в її роботу (функціонування) та за умови нездійснення експлуатації вразливості.
За результатами виявлення вразливості дослідник невідкладно, але в будь-якому разі не пізніше 24 годин, надсилає повідомлення про вразливість власнику системи, в якій виявлено вразливість, національній команді реагування на кіберінциденти, кібератаки, кіберзагрози CERT-UA або відповідним галузевим/регіональним командам реагування на кіберінциденти, кібератаки, кіберзагрози CSIRT за формою, розміщеною на їх офіційних веб-сайтах. Дослідник має право повідомити про вразливість анонімно або із зазначенням свого псевдоніма.
Національна команда реагування на кіберінциденти, кібератаки, кіберзагрози CERT-UA або галузеві/регіональні команди реагування на кіберінциденти, кібератаки, кіберзагрози CSIRT, власники систем, в яких обробляються державні інформаційні ресурси, розміщують на власних офіційних веб-сайтах форму повідомлення про вразливість.
Національна команда реагування на кіберінциденти, кібератаки, кіберзагрози CERT-UA, як координатор узгодженого розкриття вразливостей, визначає форму повідомлення про вразливість.
Форма повідомлення про вразливість повинна містити необхідний мінімум технічної інформації, достатньої для відтворення та перевірки вразливості без здійснення її експлуатації.