1. Lorsque l’organisme de certification constate que:
a) le titulaire du certificat EUCC ou le candidat à la certification ne respecte pas ses engagements et obligations définis à l’article 9, paragraphe 2, à l’article 17, paragraphe 2, et aux articles 27 et 41; ou
b) le titulaire du certificat EUCC ne respecte pas l’article 56, paragraphe 8, du règlement (UE) 2019/881 ou le chapitre VI du présent règlement;
il fixe un délai ne dépassant pas 30 jours dans lequel le titulaire du certificat EUCC prend des mesures correctives.
2. Si le titulaire du certificat EUCC ne propose pas de mesure corrective appropriée au cours du délai prévu au paragraphe 1, le certificat est suspendu conformément à l’article 30 ou retiré conformément à l’article 14 ou à l’article 20.
3. Le non-respect continu ou récurrent par le titulaire du certificat EUCC des obligations visées au paragraphe 1 déclenche le retrait du certificat EUCC conformément à l’article 14 ou 20.
4. L’organisme de certification informe l’autorité nationale de certification de cybersécurité des constatations visées au paragraphe 1. Lorsque le cas de non-conformité affecte la conformité avec d’autres législations pertinentes de l’Union, l’autorité nationale de certification de cybersécurité informe immédiatement du cas de non-conformité constaté l’autorité de surveillance du marché responsable de ces autres législations pertinentes de l’Union.