1. Na temelju zahtjeva Komisije u skladu s člankom 48. ENISA izrađuje prijedlog programa certifikacije koji je u skladu sa zahtjevima iz Članaka 51., 52. i 54.
2. Na temelju zahtjeva ECCG-a u skladu s člankom 48. stavkom 2., ENISA može izraditi prijedlog programa certifikacije koji ispunjava zahtjeve iz Članaka 51., 52. i 54. Ako ENISA odbije takav zahtjev, dužna je dati obrazloženje. Svaku odluku o odbijanju takva zahtjeva donosi Upravljački odbor.
3. Pri izradi prijedloga programa certifikacije ENISA se savjetuje sa svim relevantnim dionicima putem formalnih, otvorenih, transparentnih i uključivih postupaka savjetovanja.
4. Za svaki prijedlog programa certifikacije ENISA uspostavlja ad hoc radnu skupinu u skladu s člankom 20. stavkom 4. radi pružanja posebnih savjeta i stručnog znanja ENISA-i.
5. ENISA blisko surađuje s ECCG-om. ECCG pruža ENISA-i pomoć i stručne savjete u vezi s izradom prijedloga programa certifikacije i donosi mišljenje o prijedlogu programa certifikacije.
6. ENISA u najvećoj mogućoj mjeri uzima u obzir mišljenje ECCG-a prije nego što Komisiji podnese prijedlog programa izrađen u skladu sa stavcima 3., 4. i 5. Mišljenje ECCG-a nije obvezujuće za ENISA-u niti njegov izostanak sprečava ENISA-u da proslijedi prijedlog programa certifikacije Komisiji.
7. Komisija, na temelju prijedloga programa certifikacije koji je izradila ENISA, može donositi provedbene akte kojima se predviđaju europski programi kibersigurnosne certifikacije za IKT proizvode, IKT usluge i IKT procese koji ispunjavaju zahtjeve određene u člancima 51., 52. i 54. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 66. stavka 2.
8. ENISA najmanje svakih pet godina evaluira svaki doneseni europski program kibersigurnosne certifikacije, uzimajući u obzir povratne informacije primljene od zainteresiranih strana. Prema potrebi, Komisija ili ECCG mogu od ENISA-e zatražiti da pokrene postupak izrade revidiranog prijedloga programa certifikacije u skladu s člankom 48. i ovim člankom.