Art. 31. Skutki niespełniania wymogów

1. Jeżeli badanie, o którym mowa w art. 29 ust. 1, wykaże, że produkt ICT, usługa ICT, proces ICT lub usługa zarządzana w zakresie bezpieczeństwa nie spełniają wymogów określonych w danym europejskim programie certyfikacji cyberbezpieczeństwa albo danym krajowym schemacie certyfikacji cyberbezpieczeństwa, minister właściwy do spraw informatyzacji podaje do publicznej wiadomości na swojej stronie podmiotowej w Biuletynie Informacji Publicznej informację o niespełnianiu przez produkt ICT, usługę ICT, proces ICT lub usługę zarządzaną w zakresie bezpieczeństwa wymogów określonych w danym europejskim programie certyfikacji cyberbezpieczeństwa albo danym krajowym schemacie certyfikacji cyberbezpieczeństwa.

2. W przypadku europejskiego certyfikatu, o którym mowa w art. 22 ust. 1, minister właściwy do spraw informatyzacji:

1) cofa certyfikat, jeżeli wykryte nieprawidłowości:

a) mają znaczący wpływ na dostępność, autentyczność, integralność lub poufność danych, sieci i systemów informatycznych danego podmiotu wykorzystującego system zarządzania cyberbezpieczeństwem lub

b) mają znaczący wpływ na użytkownika produktu ICT, usługi ICT, procesu ICT lub usługi zarządzanej w zakresie bezpieczeństwa, lub

c) są nieodwracalne;

2) zawiesza certyfikat, jeżeli wykryte nieprawidłowości nie mają znaczącego wpływu, o którym mowa w pkt 1 lit. a i b, oraz są odwracalne.

3. Decyzję o zawieszeniu europejskiego certyfikatu, o którym mowa w art. 22 ust. 1, wydaje się na okres nie dłuższy niż 6 miesięcy.

4. W przypadku przywrócenia zgodności z wymogami określonymi w danym europejskim programie certyfikacji cyberbezpieczeństwa minister właściwy do spraw informatyzacji cofa decyzję o zawieszeniu europejskiego certyfikatu, o którym mowa w art. 22 ust. 1.

5. Cofnięcie albo zawieszenie europejskiego certyfikatu, o którym mowa w art. 22 ust. 1, następuje w drodze decyzji ministra właściwego do spraw informatyzacji.

Komentarz do Art. 31.

Przepis określa sposób postępowania w razie stwierdzenia, że produkt ICT, usługa ICT, proces ICT albo usługa zarządzana w zakresie bezpieczeństwa nie spełniają wymogów właściwego europejskiego programu certyfikacji cyberbezpieczeństwa lub krajowego schematu certyfikacji cyberbezpieczeństwa. Podstawą działania jest badanie, o którym mowa w art. 29 ust. 1. Jeżeli wykaże ono niezgodność, minister właściwy do spraw informatyzacji publikuje informację o tym fakcie na swojej stronie podmiotowej w Biuletynie Informacji Publicznej. Dzięki temu informacja o niespełnianiu wymogów staje się publicznie dostępna.

Szczególne zasady dotyczą europejskiego certyfikatu, o którym mowa w art. 22 ust. 1. Minister cofa certyfikat, gdy wykryte nieprawidłowości mają znaczący wpływ na dostępność, autentyczność, integralność lub poufność danych, sieci i systemów informatycznych podmiotu wykorzystującego system zarządzania cyberbezpieczeństwem, albo na użytkownika produktu, usługi, procesu lub usługi zarządzanej w zakresie bezpieczeństwa. Cofnięcie następuje również wtedy, gdy nieprawidłowości są nieodwracalne.

Jeżeli nieprawidłowości nie mają takiego znaczącego wpływu i są odwracalne, certyfikat zostaje zawieszony. Zawieszenie może trwać nie dłużej niż 6 miesięcy. Jeżeli w tym czasie zostanie przywrócona zgodność z wymaganiami właściwego europejskiego programu certyfikacji cyberbezpieczeństwa, minister cofa decyzję o zawieszeniu. Zarówno cofnięcie, jak i zawieszenie europejskiego certyfikatu następuje w drodze decyzji ministra właściwego do spraw informatyzacji.

Komentarz ma charakter informacyjny i nie stanowi porady prawnej.

Tekst przepisu: akt uchwalony przez Sejm Rzeczypospolitej Polskiej, Dziennik Ustaw z 2025 r. poz. 1017.Indeks rzeczowy, tytuł redakcyjny i interpretacja przepisu: Kancelarium.

Art. 30.Art. 32.