1. Europskim programom kibersigurnosne certifikacije može se za IKT proizvode, IKT usluge i IKT procese utvrditi jedna od sljedećih jamstvenih razina ili više njih: osnovna, znatna ili visoka. Jamstvena razina razmjerna je razini rizika povezanog s predviđenom uporabom IKT proizvoda, IKT usluge ili IKT procesa, u smislu vjerojatnosti i učinka incidenta.
2. U europskim kibersigurnosnim certifikatima i EU izjavama o sukladnosti navodi se jamstvena razina određena u europskom programu kibersigurnosne certifikacije u okviru kojeg je izdan Europski kibersigurnosni certifikat lii EU izjava o sukladnosti.
3. Sigurnosni zahtjevi koji odgovaraju svakoj jamstvenoj razini moraju biti predviđeni u relevantnom europskom programu kibersigurnosne certifikacije uključujući odgovarajuće sigurnosne funkcionalnosti i odgovarajuću razinu strogoće i opsežnosti evaluacije kojoj IKT proizvod, IKT usluga ili IKT proces mora biti podvrgnut.
4. Certifikat ili EU izjava o sukladnosti mora upućivati na odgovarajuće, s njime povezane, tehničke specifikacije, norme i procedure, uključujući tehničke kontrole, čija je svrha smanjiti rizik od kibersigurnosnih incidenata ili ih spriječiti.
5. Europskim kibersigurnosnim certifikatom ili EU izjavom o sukladnosti koji se odnosi na osnovnu jamstvenu razinu pruža se jamstvo da IKT proizvodi, IKT usluge i IKT procesi za koje su taj certifikat ili ta EU izjava o sukladnosti izdani, ispunjavaju odgovarajuće sigurnosne zahtjeve, uključujući sigurnosne funkcionalnosti, te da su bili podvrgnuti evaluaciji na razini čija je svrha svođenje na najmanju moguću mjeru poznatih osnovnih rizika za incidente i kibernapade. Aktivnosti evaluacije koje treba poduzeti obuhvaćaju barem preispitivanje tehničke dokumentacije. Ako takvo preispitivanje nije odgovarajuće, poduzimaju se zamjenske aktivnosti evaluacije s istovjetnim učinkom.
6. Europskim kibersigurnosnim certifikatom koji se odnosi na znatnu jamstvenu razinu pruža se jamstvo da IKT proizvodi, IKT usluge i IKT procesi za koje su taj certifikat ili ta EU izjava o sukladnosti izdani, ispunjavaju odgovarajuće sigurnosne zahtjeve, uključujući sigurnosne funkcionalnosti, te da su bili podvrgnuti evaluaciji na razini čija je svrha svođenje na najmanju moguću mjeru poznatih kibersigurnosnih rizika te rizika od incidenata i kibernapada koje provode subjekti ograničenih vještina i resursa. Aktivnosti evaluacije koje treba poduzeti obuhvaćaju barem sljedeće: preispitivanje radi dokazivanja nepostojanja javno poznatih ranjivosti i testiranje radi dokazivanja da IKT proizvodi, IKT usluge ili IKT procesi na ispravan način primjenjuju potrebne sigurnosne funkcionalnosti. Ako bilo koja od tih aktivnosti evaluacije nije odgovarajuća, poduzimaju se zamjenske aktivnosti evaluacije s istovjetnim učinkom.
7. Europskim kibersigurnosnim certifikatom koji se odnosi na visoku jamstvenu razinu pruža se jamstvo da IKT proizvodi, IKT usluge i IKT procesi za koje su taj certifikat ili ta EU izjava o sukladnosti izdani, ispunjavaju odgovarajuće sigurnosne zahtjeve, uključujući sigurnosne funkcionalnosti, te da su bili podvrgnuti evaluaciji na razini čija je svrha svođenje na najmanju moguću mjeru rizika od najsuvremenijih kibernapada koje provode subjekti znatnih vještina i resursa. Aktivnosti evaluacije koje treba poduzeti obuhvaća barem sljedeće: preispitivanje radi dokazivanja nepostojanja javno poznatih ranjivosti; testiranje radi dokazivanja da IKT proizvodi, IKT usluge ili IKT procesi na ispravan način i na najsuvremenijoj razini primjenjuju potrebne sigurnosne funkcionalnosti; procjenu njihove otpornosti na napad vještih napadača, koristeći se penetracijskim testiranjem. Ako bilo koja od tih aktivnosti evaluacije nije odgovarajuća, poduzimaju se zamjenske aktivnosti s istovjetnim učinkom.
8. U okviru europskog programa kibersigurnosne certifikacije može se utvrditi nekoliko razina evaluacije ovisno o strogoći i opsežnosti upotrijebljene metodologije evaluacije. Svaka od razina evaluacije odgovara jednoj od jamstvenih razina i definira se odgovarajućom kombinacijom sastavnica jamstva.