Artikel 15 VO (EU) 2024/482

(1) Ein Schutzprofil wird zumindest anhand folgender Elemente evaluiert:

a)

zutreffende Elemente der in Artikel 3 genannten Normen;

b)

Risiken im Zusammenhang mit der beabsichtigten Verwendung der betreffenden IKT-Produkte gemäß Artikel 52 der Verordnung (EU) 2019/881 und deren Sicherheitsfunktionen hinsichtlich der in Artikel 51 der Verordnung festgelegten Sicherheitsziele;

c)

anwendbare Sachstandsdokumente, die in Anhang I aufgeführt sind. Ein Schutzprofil, das sich auf einen technischen Bereich bezieht, wird anhand der in diesem technischen Bereich geltenden Anforderungen zertifiziert.

(2) In hinreichend begründeten Ausnahmefällen kann eine Konformitätsbewertungsstelle ein Schutzprofil zertifizieren, ohne dabei die einschlägigen Sachstandsdokumente anzuwenden. In solchen Fällen unterrichtet sie die zuständige nationale Behörde für die Cybersicherheitszertifizierung und legt ihr eine Begründung der beabsichtigten Zertifizierung ohne Anwendung der einschlägigen Sachstandsdokumente sowie die vorgeschlagene Bewertungsmethode vor. Die nationale Behörde für die Cybersicherheitszertifizierung prüft die Begründung; falls sie dies für gerechtfertigt hält, genehmigt sie die Nichtanwendung der einschlägigen Sachstandsdokumente und genehmigt oder ändert gegebenenfalls die von der Konformitätsbewertungsstelle anzuwendende Bewertungsmethode. Bis zur Entscheidung der nationalen Behörde für die Cybersicherheitszertifizierung darf die Konformitätsbewertungsstelle kein Zertifikat für das Schutzprofil ausstellen. Die nationale Behörde für die Cybersicherheitszertifizierung teilt die genehmigte Nichtanwendung der einschlägigen Sachstandsdokumente unverzüglich der Europäischen Gruppe für die Cybersicherheitszertifizierung mit, die eine Stellungnahme dazu abgeben kann. Die nationale Behörde für die Cybersicherheitszertifizierung muss der Stellungnahme der Europäischen Gruppe für die Cybersicherheitszertifizierung weitestgehend Rechnung tragen.