Art. 14. Usuwanie niezgodności

1. W przypadku stwierdzenia przez jednostkę oceniającą zgodność, że produkt ICT, usługa ICT, proces ICT, usługa zarządzana w zakresie bezpieczeństwa lub system zarządzania cyberbezpieczeństwem, dla których wydany został krajowy certyfikat, przestały spełniać wymogi określone w danym krajowym schemacie certyfikacji cyberbezpieczeństwa, jednostka oceniająca zgodność informuje posiadacza krajowego certyfikatu o stwierdzonej niezgodności i zwraca się do niego o przedstawienie propozycji działań zaradczych. Posiadacz krajowego certyfikatu przedstawia jednostce oceniającej zgodność propozycję działań zaradczych w terminie 14 dni od dnia otrzymania informacji o stwierdzonej niezgodności.

2. W przypadku akceptacji propozycji działań zaradczych przez jednostkę oceniającą zgodność posiadacz krajowego certyfikatu usuwa niezgodność zgodnie z zaproponowanymi działaniami zaradczymi w terminie 2 miesięcy od akceptacji tych propozycji przez jednostkę oceniającą zgodność.

3. Jednostka oceniająca zgodność weryfikuje, czy wykonane działania zaradcze doprowadziły do usunięcia niezgodności, o której mowa w ust. 1.

4. W przypadku gdy posiadacz krajowego certyfikatu nie przedstawi propozycji działań zaradczych, nie usunie niezgodności, o której mowa w ust. 1, w terminie, o którym mowa w ust. 2, lub uniemożliwia weryfikację, o której mowa w ust. 3, jednostka oceniająca zgodność cofa wydany krajowy certyfikat.

5. Jednostka oceniająca zgodność powiadamia ministra właściwego do spraw informatyzacji o cofnięciu krajowego certyfikatu.

Komentarz do Art. 14.

Przepis określa tryb postępowania w razie stwierdzenia, że produkt ICT, usługa ICT, proces ICT, usługa zarządzana w zakresie bezpieczeństwa albo system zarządzania cyberbezpieczeństwem, objęte krajowym certyfikatem, przestały spełniać wymagania właściwego krajowego schematu certyfikacji cyberbezpieczeństwa.

W pierwszej kolejności jednostka oceniająca zgodność informuje posiadacza certyfikatu o stwierdzonej niezgodności i zwraca się o przedstawienie propozycji działań zaradczych. Posiadacz ma na to 14 dni od otrzymania informacji. Jeżeli jednostka zaakceptuje propozycję, posiadacz powinien usunąć niezgodność zgodnie z tymi działaniami w terminie 2 miesięcy od ich akceptacji. Następnie jednostka oceniająca zgodność weryfikuje, czy podjęte działania rzeczywiście doprowadziły do usunięcia niezgodności.

Cofnięcie certyfikatu następuje, gdy posiadacz nie przedstawi propozycji działań zaradczych, nie usunie niezgodności w wymaganym terminie albo uniemożliwi przeprowadzenie weryfikacji. Przepis nie przewiduje w tych przypadkach dalszego etapu naprawczego, lecz nakłada na jednostkę obowiązek cofnięcia wydanego krajowego certyfikatu. O tym cofnięciu jednostka powiadamia ministra właściwego do spraw informatyzacji.

Znaczenie praktyczne regulacji polega na powiązaniu utrzymania certyfikatu z bieżącym spełnianiem wymagań schematu oraz z aktywnym udziałem jego posiadacza w usuwaniu stwierdzonych niezgodności. Certyfikat może zostać utrzymany, jeżeli zaproponowane i wykonane działania zaradcze usuną problem, natomiast brak współpracy, przekroczenie terminu lub brak możliwości sprawdzenia rezultatów prowadzi do jego cofnięcia.

Komentarz ma charakter informacyjny i nie stanowi porady prawnej.

Tekst przepisu: akt uchwalony przez Sejm Rzeczypospolitej Polskiej, Dziennik Ustaw z 2025 r. poz. 1017.Indeks rzeczowy, tytuł redakcyjny i interpretacja przepisu: Kancelarium.

Art. 13.Art. 15.