1. Lorsque le présent règlement fait référence à la suspension d’un certificat EUCC, l’organisme de certification suspend le certificat EUCC concerné pendant une période adaptée aux circonstances ayant déclenché la suspension, qui ne dépasse pas 42 jours. La période de suspension commence le jour suivant celui de la décision de l’organisme de certification. La suspension n’affecte pas la validité du certificat.
2. L’organisme de certification notifie la suspension au titulaire du certificat et à l’autorité nationale de certification de cybersécurité dans les meilleurs délais, en indiquant les motifs de la suspension, les mesures demandées et la période de suspension.
3. Les titulaires de la certification notifient aux acheteurs des produits TIC concernés la suspension et les raisons invoquées par l’organisme de certification pour justifier la suspension, à l’exception de celles dont la divulgation constituerait un risque pour la sécurité ou qui contiennent des informations sensibles. Ces informations sont également mises à la disposition du public par le titulaire du certificat.
4. Lorsqu’une autre législation pertinente de l’Union prévoit une présomption de conformité fondée sur des certificats délivrés en vertu des dispositions du présent règlement, l’autorité nationale de certification de cybersécurité informe l’autorité de surveillance du marché responsable de cette autre législation pertinente de l’Union de la suspension.
5. La suspension d’un certificat est notifiée à l’ENISA conformément à l’article 42, paragraphe 3.
6. Dans des cas dûment justifiés, l’autorité nationale de certification de cybersécurité peut autoriser une prolongation de la période de suspension d’un certificat EUCC. La période totale de suspension ne peut dépasser un an.