1. Un profil de protection est évalué, au minimum, par rapport aux éléments ci-dessous:
a) les éléments applicables des normes visées à l’article 3;
b) le niveau de risque associé à l’utilisation prévue des produits TIC concernés conformément à l’article 52 du règlement (UE) 2019/881 et leurs fonctions de sécurité qui soutiennent les objectifs de sécurité énoncés à l’article 51 de ce même règlement; et
c) les documents de référence applicables énumérés à l’annexe I. Un profil de protection couvert par un domaine technique est certifié par rapport aux exigences définies dans ce domaine technique.
2. Dans des cas exceptionnels et dûment justifiés, un organisme d’évaluation de la conformité peut certifier un profil de protection sans appliquer les documents de référence pertinents. Dans ce cas, il en informe l’autorité nationale de certification de cybersécurité compétente en fournissant une justification pour la certification sans application des documents de référence pertinents envisagée et en proposant une méthode d’évaluation. L’autorité nationale de certification de cybersécurité évalue cette justification et, lorsque celle-ci est fondée, approuve la non-application des documents de référence pertinents, et approuve ou modifie, le cas échéant, la méthode d’évaluation à appliquer par l’organisme d’évaluation de la conformité. Dans l’attente de la décision de l’autorité nationale de certification de cybersécurité, l’organisme d’évaluation de la conformité ne délivre aucun certificat pour le profil de protection. L’autorité nationale de certification de cybersécurité notifie, sans retard injustifié, l’autorisation de ne pas appliquer les documents de référence pertinents au groupe européen de certification de cybersécurité, qui peut émettre un avis. L’autorité nationale de certification de cybersécurité tient le plus grand compte de l’avis du groupe européen de certification de cybersécurité.