Artykuł 15

1. Profil zabezpieczeń ocenia się co najmniej zgodnie z następującymi zasadami:

a) mającymi zastosowanie elementami norm, o których mowa w art. 3;

b) poziomem ryzyka związanego z przewidzianym stosowaniem danych produktów ICT zgodnie z art. 52 rozporządzenia (UE) 2019/881 oraz ich funkcjami bezpieczeństwa wspierającymi cele bezpieczeństwa określone w art. 51 tego rozporządzenia; oraz

c) mającymi zastosowanie dokumentami odzwierciedlającymi stan wiedzy wymienionymi w załączniku I. Profil zabezpieczeń objęty domeną techniczną certyfikuje się zgodnie z wymogami określonymi w tej domenie technicznej.

2. W wyjątkowych i należycie uzasadnionych przypadkach jednostka oceniająca zgodność może certyfikować profil zabezpieczeń bez zastosowania odpowiednich dokumentów odzwierciedlających stan wiedzy. W takich przypadkach informuje ona o tym właściwy krajowy organ ds. certyfikacji cyberbezpieczeństwa i przedstawia uzasadnienie zamierzonej certyfikacji bez zastosowania odpowiednich dokumentów odzwierciedlających stan wiedzy oraz proponowaną metodykę oceny. Krajowy organ ds. certyfikacji cyberbezpieczeństwa ocenia to uzasadnienie i, w uzasadnionych przypadkach, zatwierdza zrezygnowanie z zastosowania odpowiednich dokumentów odzwierciedlających stan wiedzy oraz zatwierdza lub zmienia, w stosownych przypadkach, metodykę oceny, która ma być stosowana przez jednostkę oceniającą zgodność. Do czasu podjęcia decyzji przez krajowy organ ds. certyfikacji cyberbezpieczeństwa jednostka oceniająca zgodność nie wydaje żadnego certyfikatu w odniesieniu do danego profilu zabezpieczeń. Krajowy organ ds. certyfikacji cyberbezpieczeństwa bez zbędnej zwłoki powiadamia o zatwierdzonym zrezygnowaniu z zastosowania odpowiednich dokumentów odzwierciedlających stan wiedzy Europejską Grupę ds. Certyfikacji Cyberbezpieczeństwa, która może wydać opinię. Krajowy organ ds. certyfikacji cyberbezpieczeństwa w jak największym stopniu uwzględnia opinię Europejskiej Grupy ds. Certyfikacji Cyberbezpieczeństwa.