1. Lorsqu’un produit TIC ou un profil de protection certifié n’est pas conforme aux exigences énoncées dans le présent règlement et dans le règlement (UE) 2019/881, l’organisme de certification informe le titulaire du certificat EUCC de la non-conformité constatée et lui demande de prendre des mesures correctives.
2. Lorsqu’un cas de non-conformité avec les dispositions du présent règlement pourrait affecter la conformité avec une autre législation pertinente de l’Union prévoyant la possibilité de démontrer la présomption de conformité avec les exigences de l’acte juridique en question au moyen du certificat EUCC, l’organisme de certification en informe l’autorité nationale de certification de cybersécurité dans les meilleurs délais. L’autorité nationale de certification de cybersécurité notifie immédiatement le cas de non-conformité détecté à l’autorité de surveillance du marché responsable de l’autre acte législatif pertinent de l’Union.
3. Dès réception des informations visées au paragraphe 1, le titulaire du certificat EUCC propose à l’organisme de certification, dans le délai fixé par ce dernier, qui ne peut dépasser 30 jours, les mesures correctives nécessaires pour remédier à la non-conformité.
4. L’organisme de certification peut suspendre, sans retard injustifié, le certificat EUCC conformément à l’article 30 en cas d’urgence ou si le titulaire du certificat EUCC ne coopère pas dûment avec l’organisme de certification.
5. L’organisme de certification procède à un réexamen conformément aux articles 13 et 19, afin d’évaluer si la mesure corrective permet de remédier à la non-conformité.
6. Si le titulaire du certificat EUCC ne propose pas de mesure corrective appropriée au cours de la période visée au paragraphe 3, le certificat est suspendu conformément à l’article 30 ou retiré conformément aux articles 14 ou 20.
7. Le présent article ne s’applique pas aux cas de vulnérabilités concernant un produit TIC certifié, traités au chapitre VI.