Article considérant 8

(8) Afin de pouvoir jouer leur rôle dans le processus TIC soutenant le développement et la fourniture d’un produit TIC certifié, les profils de protection eux-mêmes devraient pouvoir être certifiés indépendamment de la certification du produit TIC spécifique qui relève du profil de protection en question. Il est donc essentiel d’appliquer au moins le même niveau de contrôle aux profils de protection qu’aux cibles de sécurité afin de garantir un niveau élevé de cybersécurité. Les profils de protection devraient être évalués et certifiés indépendamment du produit TIC correspondant et uniquement en appliquant la classe d’assurance des critères communs et de la méthode d’évaluation commune pour les profils de protection (APE) et, le cas échéant, pour les configurations de profils de protection (ACE). En raison de leur rôle important et sensible en tant que référence dans la certification des produits TIC, ils ne devraient être certifiés que par des organismes publics ou par un organisme de certification qui a reçu de l’autorité nationale de certification de cybersécurité l’approbation préalable pour le profil de protection concerné. Eu égard à leur rôle fondamental pour la certification au niveau d’assurance «élevé», notamment en dehors des domaines techniques, les profils de protection devraient être élaborés sous la forme de documents de référence à approuver par le groupe européen de certification de cybersécurité.