Art. 32. Zawiadomienie o podejrzeniu niezgodności

Minister właściwy do spraw informatyzacji w przypadku uzasadnionego podejrzenia, że produkt ICT, usługa ICT, proces ICT, usługa zarządzana w zakresie bezpieczeństwa, dla których wydano europejski certyfikat albo krajowy certyfikat, nie spełniają wymogów określonych w danym europejskim programie certyfikacji cyberbezpieczeństwa albo danym krajowym schemacie certyfikacji cyberbezpieczeństwa, a w przypadku systemu zarządzania cyberbezpieczeństwem lub osób fizycznych – nie spełniają wymogów określonych w danym krajowym schemacie certyfikacji cyberbezpieczeństwa, informuje o tym podejrzeniu jednostkę oceniającą zgodność, która wydała europejski certyfikat albo krajowy certyfikat.

Komentarz do Art. 32.

Przepis określa obowiązek ministra właściwego do spraw informatyzacji w sytuacji, gdy pojawi się uzasadnione podejrzenie, że certyfikowany przedmiot lub podmiot nie spełnia wymagań właściwych dla jego certyfikacji. Dotyczy to produktów ICT, usług ICT, procesów ICT oraz usług zarządzanych w zakresie bezpieczeństwa, jeżeli wydano dla nich europejski certyfikat albo krajowy certyfikat. W ich przypadku podejrzenie może odnosić się do niespełniania wymogów określonych w odpowiednim europejskim programie certyfikacji cyberbezpieczeństwa albo krajowym schemacie certyfikacji cyberbezpieczeństwa. Przepis obejmuje także systemy zarządzania cyberbezpieczeństwem i osoby fizyczne, ale w odniesieniu do nich wskazuje wyłącznie wymagania określone w krajowym schemacie certyfikacji cyberbezpieczeństwa.

Kluczowe znaczenie ma to, że sama informacja o możliwym niespełnianiu wymagań nie wystarcza. Podejrzenie musi być uzasadnione, a więc przepis wiąże obowiązek ministra z określoną podstawą faktyczną, nie zaś z dowolną wątpliwością. Po powzięciu takiego podejrzenia minister informuje o nim jednostkę oceniającą zgodność, która wydała dany europejski certyfikat albo krajowy certyfikat. Przepis wskazuje zatem zarówno organ zobowiązany do działania, jak i konkretny podmiot będący adresatem informacji. W praktyce ustanawia formalny mechanizm przekazywania informacji o możliwej niezgodności certyfikowanego produktu, usługi, procesu, usługi zarządzanej, systemu lub osoby fizycznej z wymaganiami właściwego programu albo schematu certyfikacji. Regulacja nie określa w tym przepisie dalszych działań po przekazaniu informacji.

Komentarz ma charakter informacyjny i nie stanowi porady prawnej.

Tekst przepisu: akt uchwalony przez Sejm Rzeczypospolitej Polskiej, Dziennik Ustaw z 2025 r. poz. 1017.Indeks rzeczowy, tytuł redakcyjny i interpretacja przepisu: Kancelarium.

Art. 31.Art. 33.