1. Výrobci i jiné fyzické nebo právnické osoby mohou jakoukoliv zranitelnost produktu s digitálními prvky a rovněž kybernetické hrozby, které by mohly ovlivnit rizikový profil tohoto produktu, dobrovolně oznámit týmu CSIRT určenému jako koordinátor nebo agentuře ENISA.
2. Výrobci i jiné fyzické nebo právnické osoby mohou týmu CSIRT určenému jako koordinátor nebo agentuře ENISA dobrovolně oznámit každý incident, který má dopad na bezpečnost produktu s digitálními prvky, jakož i významné události, které k takovému incidentu téměř vedly.
3. Tým CSIRT určený jako koordinátor nebo agentura ENISA zpracuje oznámení uvedená v odstavcích 1 a 2 tohoto článku v souladu s postupem stanoveným v článku 16.
Tým CSIRT určený jako koordinátor může před zpracováním dobrovolných oznámení upřednostnit zpracování povinných oznámení.
4. Pokud aktivně zneužívanou zranitelnost nebo závažný incident, který má dopad na bezpečnost produktu s digitálními prvky, oznámí v souladu s odstavcem 1 nebo 2 fyzická nebo právnická osoba jiná než výrobce, informuje o tom tým CSIRT určený jako koordinátor bez zbytečného odkladu výrobce.
5. Tým CSIRT určený jako koordinátor a agentura ENISA zajistí důvěrnost a odpovídající ochranu informací poskytnutých oznamující fyzickou nebo právnickou osobou. Aniž je dotčena prevence, vyšetřování, odhalování a stíhání trestných činů, nesmí vést dobrovolné oznámení vést k tomu, aby oznamující právnické nebo fyzické osobě byly uloženy další povinnosti, které by neměla, pokud by dané oznámení nepodala.