1. Evropska certifikacijska shema za kibernetsko varnost lahko določa eno ali več naslednjih ravni zanesljivosti za proizvode IKT, storitve IKT in postopke IKT: „osnovno“, „znatno“ ali „visoko“. Raven zanesljivosti ustreza stopnji tveganja, povezani s predvideno uporabo proizvoda IKT, storitve IKT ali postopka IKT v smislu verjetnosti in vpliva incidenta.
2. Evropski certifikati kibernetske varnosti in izjave EU o skladnosti se nanašajo na katero koli raven zanesljivosti, določeno v evropski certifikacijski shemi za kibernetsko varnost, v okviru katere se evropski certifikat kibernetske varnosti ali izjava EU o skladnosti izda.
3. Varnostne zahteve, ki ustrezajo vsaki ravni zanesljivosti, so določene v ustrezni evropski certifikacijski shemi za kibernetsko varnost, vključno z ustreznimi varnostnimi funkcionalnostmi in ustrezno strogostjo in obsegom ocenjevanja, ki se izvede za proizvod IKT, storitev IKT ali postopek IKT.
4. Certifikat ali izjava EU o skladnosti se nanaša na zadevne tehnične specifikacije, standarde in postopke, vključno s tehničnim nadzorom, katerih namen je zmanjšati tveganje za incidente, povezane s kibernetsko varnostjo, ali jih preprečiti.
5. Evropski certifikat kibernetske varnosti ali izjava EU o skladnosti, ki se nanaša na „osnovno“ raven zanesljivosti, zagotavlja, da proizvodi IKT, storitve IKT in postopki IKT, za katere se izda ta certifikat ali ta izjava EU o skladnosti, izpolnjujejo ustrezne varnostne zahteve, vključno z varnostnimi funkcionalnostmi, in da so bili ocenjeni na ravni za kar najbolj zmanjšana znana osnovna tveganja incidentov in kibernetskih napadov. Ocenjevalne dejavnosti, ki se izvedejo, vključujejo vsaj pregled tehnične dokumentacije. Kadar tak pregled ni primeren, se izvedejo nadomestne ocenjevalne dejavnosti z enakovrednim učinkom.
6. Evropski certifikat kibernetske varnosti, ki se nanaša na „znatno“ raven zanesljivosti, zagotavlja, da proizvodi IKT, storitve IKT in postopki IKT, za katere se izda ta certifikat, izpolnjujejo ustrezne varnostne zahteve, vključno z varnostnimi funkcionalnostmi, in da so bili ocenjeni na ravni za kar najbolj zmanjšana znana kibernetska tveganja ter tveganja incidentov in kibernetskih napadov, ki jih izvajajo akterji z omejenim znanjem in viri. Ocenjevalne dejavnosti, ki se izvedejo, vključujejo najmanj naslednje: pregled za dokazovanje, da se javno znane šibke točke ne pojavljajo, in testiranje za dokazovanje, da se pri proizvodih IKT, storitvah IKT ali postopkih IKT pravilno izvajajo potrebne varnostne funkcionalnosti. Kadar katera izmed takih ocenjevalnih dejavnost ni primerna, se izvedejo nadomestne ocenjevalne dejavnosti z enakovrednim učinkom.
7. Evropski certifikat kibernetske varnosti, ki se nanaša na „visoko“ raven zanesljivosti, zagotavlja, da proizvodi IKT, storitve IKT in postopki IKT, za katere se izda ta certifikat, izpolnjujejo ustrezne varnostne zahteve, vključno z varnostnimi funkcionalnostmi, in da so bili ocenjeni na ravni za kar najbolj zmanjšano tveganje naprednih kibernetskih napadov, ki jih izvajajo akterji z obsežnim znanjem in viri. Ocenjevalne dejavnosti, ki se izvedejo, vključujejo najmanj naslednje: pregled za dokazovanje, da se javno znane šibke točke ne pojavljajo, ter testiranje za dokazovanje, da se pri proizvodih IKT, storitvah IKT ali postopkih IKT pravilno izvajajo potrebne najsodobnejše varnostne funkcionalnosti, in ocenjevanje njihove odpornosti proti izurjenim napadalcem z uporabo penetracijskega testiranja. Kadar katera izmed takih ocenjevalnih dejavnosti ni primerna, se izvedejo nadomestne dejavnosti z enakovrednim učinkom.
8. V evropski certifikacijski shemi za kibernetsko varnost se lahko določi več stopenj ocenjevanja, odvisno od strogosti in obsega metodologije za ocenjevanje, ki se uporabi. Vsaka od stopenj ocenjevanja ustreza eni od ravni zanesljivosti in je opredeljena z ustrezno kombinacijo elementov zanesljivosti.