Art. 12. Obowiązki posiadacza certyfikatu

1. Posiadacz krajowego certyfikatu przekazuje informacje istotne z punktu widzenia spełniania szczegółowych wymogów określonych w danym krajowym schemacie certyfikacji cyberbezpieczeństwa do jednostki oceniającej zgodność, która wydała ten certyfikat, w szczególności informuje jednostkę oceniającą zgodność o wykryciu podatności w produkcie ICT, usłudze ICT, procesie ICT lub usłudze zarządzanej w zakresie bezpieczeństwa, dla których został wydany krajowy certyfikat.

2. Jednostka oceniająca zgodność może żądać od posiadacza krajowego certyfikatu informacji i dokumentów potwierdzających, że produkt ICT, usługa ICT, proces ICT, usługa zarządzana w zakresie bezpieczeństwa, system zarządzania cyberbezpieczeństwem lub osoba fizyczna nadal spełniają szczegółowe wymogi określone w krajowym schemacie certyfikacji cyberbezpieczeństwa, w ramach którego został wydany krajowy certyfikat.

Komentarz do Art. 12.

Przepis określa obowiązki posiadacza krajowego certyfikatu oraz uprawnienie jednostki oceniającej zgodność, która wydała ten certyfikat. Jego celem jest zapewnienie, aby jednostka dysponowała informacjami pozwalającymi ocenić, czy nadal są spełniane szczegółowe wymogi właściwego krajowego schematu certyfikacji cyberbezpieczeństwa.

Posiadacz certyfikatu ma przekazywać jednostce informacje istotne z punktu widzenia spełniania tych wymogów. Obowiązek ten dotyczy certyfikowanych produktów ICT, usług ICT, procesów ICT, usług zarządzanych w zakresie bezpieczeństwa, systemów zarządzania cyberbezpieczeństwem oraz osób fizycznych, w zakresie, w jakim odnosi się do nich krajowy certyfikat. Przepis wskazuje szczególny przypadek takiej informacji, czyli wykrycie podatności w produkcie ICT, usłudze ICT, procesie ICT lub usłudze zarządzanej w zakresie bezpieczeństwa, dla których wydano certyfikat.

Jednostka oceniająca zgodność może z kolei żądać od posiadacza certyfikatu informacji i dokumentów. Mają one potwierdzać, że objęty certyfikatem produkt, usługa, proces, usługa zarządzana w zakresie bezpieczeństwa, system zarządzania cyberbezpieczeństwem lub osoba fizyczna nadal spełniają szczegółowe wymogi określone w odpowiednim schemacie.

W praktyce przepis tworzy mechanizm bieżącej wymiany informacji i dokumentów między posiadaczem certyfikatu a jednostką, która go wydała. Posiadacz powinien przekazywać istotne informacje, a jednostka może żądać dodatkowego potwierdzenia dalszego spełniania wymogów.

Komentarz ma charakter informacyjny i nie stanowi porady prawnej.

Tekst przepisu: akt uchwalony przez Sejm Rzeczypospolitej Polskiej, Dziennik Ustaw z 2025 r. poz. 1017.Indeks rzeczowy, tytuł redakcyjny i interpretacja przepisu: Kancelarium.

Art. 11.Art. 13.