Le directeur général de l'Agence nationale de la sécurité des systèmes d'information délivre la qualification du produit pour l'un des niveaux fixés par le référentiel, attestant ainsi de sa conformité aux exigences fixées par ce dernier.
Cette attestation est assortie, le cas échéant, de conditions et de réserves et précise sa durée de validité. Elle mentionne les objectifs de sécurité que le produit satisfait et, le cas échéant, le degré de qualification obtenu.
Tout changement des circonstances dans lesquelles la qualification a été délivrée peut conduire le directeur général de l'Agence nationale de la sécurité des systèmes d'information à suspendre ou à retirer la qualification, après que le commanditaire a pu faire valoir ses observations.