Điều 9 có thể quy định về “trách nhiệm khi phát hiện lỗ hổng bảo mật nghiêm trọng”. Điều này đòi hỏi:

Giữ bí mật để có thể khai thác.

Bán thông tin lỗ hổng cho bên thứ ba.

Thông báo kịp thời và có trách nhiệm cho chủ sở hữu hệ thống hoặc cơ quan có thẩm quyền.

Công khai lỗ hổng trên Internet ngay lập tức.