Artykuł 31

1. W przypadku niewywiązywania się z obowiązków przez jednostkę certyfikującą lub przez odpowiednią jednostkę certyfikującą w razie stwierdzenia niewywiązywania się z obowiązków przez ITSEF krajowy organ ds. certyfikacji cyberbezpieczeństwa bez zbędnej zwłoki:

a) identyfikuje, przy wsparciu zainteresowanej ITSEF, certyfikaty EUCC, na które może to mieć wpływ;

b) w razie potrzeby zwraca się o przeprowadzenie działań w zakresie oceny przez ITSEF, który przeprowadził ocenę, albo jakąkolwiek inną akredytowaną i, w stosownych przypadkach, posiadającą zezwolenie ITSEF, która może być w lepszej sytuacji technicznej, aby wesprzeć tę identyfikację, w odniesieniu do co najmniej jednego produktu ICT lub profilu zabezpieczeń;

c) analizuje skutki nieprzestrzegania przepisów;

d) powiadamia o nieprzestrzeganiu przepisów posiadacza certyfikatu EUCC, na który ma to wpływ.

2. Na podstawie środków, o których mowa w ust. 1, jednostka certyfikująca przyjmuje jedną z następujących decyzji w odniesieniu do każdego certyfikatu EUCC, na który ma to wpływ:

a) utrzymuje certyfikat EUCC w niezmienionej postaci;

b) cofa certyfikat EUCC zgodnie z art. 14 lub art. 20 i, w stosownych przypadkach, wydaje nowy certyfikat EUCC.

3. Na podstawie środków, o których mowa w ust. 1, krajowy organ ds. certyfikacji cyberbezpieczeństwa:

a) w razie potrzeby zgłasza nieprzestrzeganie przepisów przez jednostkę certyfikującą lub powiązaną z nią ITSEF krajowej jednostce akredytującej;

b) w stosownych przypadkach ocenia potencjalny wpływ na zezwolenie.