El Programa de divulgación responsable de vulnerabilidades de Cyberzaintza se guía por una política de revelación orientada a fomentar una sociedad más protegida frente a las ciberamenazas. Su proceso comienza tras confirmar una incidencia, momento en el cual se notifica de manera inmediata a las entidades afectadas a través de canales seguros para que puedan adoptar las medidas pertinentes.
A partir de esa notificación inicial, se establece por norma general un periodo de 45 días para corregir el fallo, el cual puede ampliarse con un plazo de gracia adicional de 14 días u otro estimado si el impacto es crítico. Finalmente, una vez solucionado el problema, se lleva a cabo una divulgación conjunta de la información, reservándose la opción de alertar públicamente a los potenciales afectados en caso de que la entidad muestre desinterés u omisión.