Во-первых, необходимо разработать и внедрить документацию по поддержке жизненного цикла, оценки знания по безопасности и тестированию. Отчетность по оценке соответствия тоже шире, чем по анализу уязвимостей, и если по анализу уязвимости достаточно было одного отчета об оценке, то при оценке соответствия необходимо еще выдать подтверждение соответствия, по-моему, называется документ по оценке знаний по безопасности, и провести выборочное функциональное тестирование. Я думаю, чем функциональное тестирование от тестирования уязвимости отличается пояснять не надо. То есть объем работ, мы оценивали отдельные проекты – вырастает примерно в три раза по сравнению с анализом уязвимостей. В то же время те, кто уже провели анализ уязвимостей, могут использовать его результаты при проведении оценки соответствия. Если у вас достаточно компетентно проведен анализ, то результаты скорее всего будут зачтены исполнителю, даже если это другой. Там и документы заявителя, и результаты самого анализа могут быть использованы, разумеется, при проведении оценки соответствия.