Artículo 15 — Aplicación y observancia

1. Los Estados miembros velarán por que las autoridades competentes dispongan de las competencias y los medios necesarios para evaluar el cumplimiento por los operadores de servicios esenciales de las obligaciones que les impone el artículo 14 y los efectos que tengan sobre la seguridad de las redes y sistemas de información.
2. Los Estados miembros velarán por que la autoridad competente disponga de las competencias y los medios para exigir a los operadores de servicios esenciales que proporcionen:
   1. la información necesaria para evaluar la seguridad de sus redes y sistemas de información, incluida la documentación sobre las políticas de seguridad;
   2. pruebas de la aplicación efectiva de las políticas de seguridad, como el resultado de las auditorías de seguridad realizadas por la autoridad competente o por un auditor cualificado y, en este último caso, que pongan a disposición de la autoridad competente el resultado de dicha auditoría y, en particular, las pruebas subyacentes.

   Al exigir dicha información o pruebas, las autoridades competentes indicarán la finalidad de su petición y especificarán la información exigida.

3. Tras la evaluación de la información o del resultado de las auditorías de seguridad a que se refiere el apartado 2, la autoridad competente podrá impartir instrucciones vinculantes a los operadores de servicios esenciales para subsanar las deficiencias detectadas.
4. La autoridad competente cooperará estrechamente con las autoridades responsables de la protección de datos a la hora de hacer frente a incidentes que den lugar a violaciones de datos personales.