1. Si un organisme de certification, ou l’organisme de certification concerné en cas de non-conformité d’un CESTI, ne respecte pas ses obligations, l’autorité nationale de certification de cybersécurité procède aux actions suivantes, dans les meilleurs délais:
a) identifier, avec l’aide du CESTI concerné, les certificats EUCC potentiellement concernés;
b) demander, le cas échéant, que des opérations d’évaluation soient effectuées sur un ou plusieurs produits TIC ou profils de protection, soit par le CESTI qui a procédé à l’évaluation, soit par tout autre CESTI accrédité et, le cas échéant, autorisé qui pourrait être le mieux placé techniquement pour aider à cette identification;
c) analyser les conséquences de cette non-conformité;
d) notifier le titulaire du certificat EUCC concerné par cette non-conformité.
2. Sur la base des mesures visées au paragraphe 1, l’organisme de certification adopte l’une ou l’autre des décisions suivantes pour chaque certificat EUCC concerné:
a) maintenir le certificat EUCC en l’état;
b) retirer le certificat EUCC conformément à l’article 14 ou 20 et, le cas échéant, délivrer un nouveau certificat EUCC.
3. Sur la base des mesures visées au paragraphe 1, l’autorité nationale de certification de cybersécurité:
a) signale, le cas échéant, à l’organisme national d’accréditation la non-conformité de l’organisme de certification ou du CESTI correspondant;
b) évalue, le cas échéant, l’incidence potentielle sur l’autorisation.