Le commanditaire de l'évaluation choisit un ou plusieurs centres d'évaluation, agréés dans les conditions prévues au chapitre II, pour procéder à celle-ci. Avant le début des travaux, il détermine avec chacun de ces centres :

a) Le produit ou le système à évaluer ainsi que les objectifs de sécurité ;

b) Les conditions de protection de la confidentialité des informations qui seront traitées dans le cadre de l'évaluation ;

c) Le coût et les modalités de paiement de l'évaluation ;

d) Le programme de travail et les délais prévus pour l'évaluation.

Le commanditaire est tenu d'assurer la mise à la disposition des centres d'évaluation qu'il a choisis et de l'Agence nationale de la sécurité des systèmes d'information, si elle en fait la demande, de tous les éléments nécessaires au bon accomplissement de leurs travaux, le cas échéant après accord des fabricants concernés.