1. Na žiadosť Komisie podľa článku 48 vypracuje agentúra ENISA kandidátsky systém, ktorý spĺňa požiadavky stanovené v článkoch 51, 52 a 54.
2. Na žiadosť ECCG podľa článku 48 ods. 2 môže agentúra ENISA vypracovať kandidátsky systém, ktorý spĺňa požiadavky stanovené v článkoch 51, 52 a 54. Ak agentúra ENISA takúto žiadosť zamietne, musí toto zamietnutie odôvodniť. Rozhodnutie o zamietnutí takejto žiadosti prijíma správna rada.
3. Keď agentúra ENISA vypracúva kandidátsky systém, vedie so všetkými príslušnými zainteresovanými stranami formálne, otvorené, transparentné a inkluzívne konzultácie.
4. Pre každý kandidátsky systém agentúra ENISA zriadi ad hoc pracovnú skupinu v súlade s článkom 20 ods. 4, ktorej účelom je poskytovať agentúre ENISA špecifické poradenstvo a odborné znalosti.
5. Agentúra ENISA úzko spolupracuje s ECCG. ECCG poskytuje agentúre ENISA pri vypracúvaní kandidátskeho systému pomoc a odborné poradenstvo a prijíma stanovisko ku kandidátskemu systému.
6. Pred tým, než agentúra ENISA zašle kandidátsky systém vypracovaný podľa odsekov 3, 4 a 5 Komisii, v čo najväčšej miere zohľadní stanovisko ECCG. Stanovisko ECCG nie je pre agentúru ENISA záväzné a ani skutočnosť, že nebolo vydané, nebráni agentúre ENISA v zaslaní kandidátskeho systému Komisii.
7. Komisia môže na základe kandidátskeho systému pripraveného agentúrou ENISA prijať vykonávacie akty, v ktorých sa stanoví európsky systém certifikácie kybernetickej bezpečnosti produktov IKT, služieb IKT a procesov IKT, ktoré spĺňa požiadavky stanovené v článkoch 51, 52 a 54. Uvedené vykonávacie akty sa prijmú v súlade s postupom preskúmania uvedeným v článku 66 ods. 2.
8. Agentúra ENISA aspoň každých päť rokov preskúma každý prijatý európsky systém certifikácie kybernetickej bezpečnosti, pričom berie do úvahy spätnú väzbu zainteresovaných strán. Ak je to potrebné, Komisia alebo ECCG môžu požiadať agentúru ENISA, aby začala proces vypracovania revidovaného kandidátskeho systému v súlade s článkom 48 a týmto článkom.