Lei n.º 96/2015 — Regula a disponibilização e a utilização das plataformas eletrónicas de contratação pública e transpõe o artigo 29.º da…

de 17 de agosto

Regula a disponibilização e a utilização das plataformas eletrónicas de contratação pública e transpõe o artigo 29.º da Diretiva 2014/23/UE, o artigo 22.º e o anexo IV da Diretiva 2014/24/UE e o artigo 40.º e o anexo V da Diretiva 2014/25/CE, do Parlamento Europeu e do Conselho, de 26 de fevereiro de 2014, revogando o Decreto-Lei n.º 143-A/2008, de 25 de julho.

A Assembleia da República decreta, nos termos da alínea c) do artigo 161.º da Constituição, o seguinte:

CAPÍTULO I — Disposições gerais

Artigo 1.º — Objeto

1 - A presente lei regula a disponibilização e a utilização das plataformas eletrónicas de contratação pública, abreviadamente designadas por plataformas eletrónicas, previstas no Código dos Contratos Públicos (CCP), aprovado pelo Decreto-Lei n.º 18/2008, de 29 de janeiro, estabelecendo os requisitos e as condições a que as mesmas devem obedecer e a obrigação de interoperabilidade com o Portal dos Contratos Públicos e com outros sistemas de entidades públicas.

2 - A presente lei procede à transposição do artigo 29.º da Diretiva 2014/23/UE, do Parlamento Europeu e do Conselho, de 26 de fevereiro de 2014, do artigo 22.º e do anexo IV da Diretiva 2014/24/UE, do Parlamento Europeu e do Conselho, de 26 de fevereiro de 2014, bem como do artigo 40.º e do anexo V da Diretiva 2014/25/UE, do Parlamento Europeu e do Conselho, de 26 de fevereiro de 2014.

Artigo 2.º — Definições

Para efeitos da presente lei entende-se por:

Artigo 3.º — Utilização de plataformas eletrónicas

As comunicações, as trocas de dados e de informações processadas através de plataformas eletrónicas nos termos estabelecidos no CCP, bem como o respetivo arquivo, devem obedecer às regras, requisitos e especificações técnicas previstos na presente lei.

Artigo 4.º — Lista das plataformas eletrónicas

A lista atualizada das plataformas eletrónicas licenciadas e das respetivas empresas gestoras é publicitada nos sítios na Internet do Instituto dos Mercados Públicos, do Imobiliário e da Construção, I. P. (IMPIC, I. P.), e do Gabinete Nacional de Segurança (GNS) e no Portal dos Contratos Públicos.

Artigo 5.º — Liberdade de escolha das plataformas eletrónicas

1 - As entidades adjudicantes devem adquirir os serviços de plataformas eletrónicas, de acordo com os procedimentos de formação de contratos estabelecidos no CCP, de entre as plataformas eletrónicas constantes da lista referida no artigo anterior.

2 - Os operadores económicos escolhem livremente a plataforma eletrónica de contratação pública que pretendem utilizar, para efeitos de participação em procedimentos de formação de contratos públicos, de entre as plataformas eletrónicas licenciadas pelo IMPIC, I. P.

Artigo 6.º — Liberdade de escolha dos prestadores e dos serviços

de certificação eletrónica

1 - As entidades adjudicantes e os operadores económicos escolhem livremente os prestadores e os serviços de certificação eletrónica que pretendem utilizar no âmbito dos procedimentos de formação de contratos públicos.

2 - As empresas gestoras devem garantir a aplicabilidade do disposto no número anterior.

CAPÍTULO II — Entidade licenciadora, de monitorização e fiscalizadora, entidade credenciadora e auditores de segurança

SECÇÃO I — Entidade licenciadora, de monitorização e fiscalizadora e entidade credenciadora

Artigo 7.º — Entidade licenciadora, de monitorização e fiscalizadora

1 - A entidade licenciadora, de monitorização e fiscalizadora das plataformas eletrónicas é o IMPIC, I. P.

2 - Ao IMPIC, I. P., compete, designadamente:

Artigo 8.º — Entidade credenciadora

1 - A entidade credenciadora das plataformas eletrónicas e dos respetivos auditores de segurança é o GNS.

2 - Ao GNS compete, para além de outras atribuições previstas na presente lei:

3 - Os pedidos de credenciação previstos na alínea c) do número anterior podem ser apresentados diretamente ao GNS ou, em alternativa, ao IMPIC, I. P., conjuntamente com os pedidos de licenciamento previstos no n.º 1 do artigo 14.º, que os reencaminha, de imediato, ao GNS.

SECÇÃO II — Meios humanos e técnicos

Artigo 9.º — Estrutura organizativa da empresa gestora

1 - A estrutura organizativa da empresa gestora, a comprovar perante o GNS, deve contemplar, pelo menos, os seguintes cargos e funções necessários à operação dos sistemas:

2 - Os postos de trabalho ou funções referidos nas alíneas a), b) e d) do número anterior não podem ser assegurados pela mesma pessoa.

3 - Todos aqueles que desempenhem funções relacionadas com os procedimentos das plataformas eletrónicas, em especial, os cargos definidos no número anterior, devem estar livres de conflitos de interesse que possam prejudicar a sua imparcialidade no exercício das funções.

4 - A empresa gestora é responsável por todos os serviços incluídos no âmbito da sua plataforma eletrónica, bem como dos meios humanos pertencentes à sua estrutura organizativa, mesmo quando prestados por terceiros por ela contratados.

5 - A empresa gestora pode contratar a prestação de serviços tecnológicos e o fornecimento dos respetivos componentes e meios humanos assumindo e mantendo a inteira responsabilidade pelo cumprimento de todos os requisitos exigidos na presente lei.

6 - São obrigatoriamente reduzidos a escrito os contratos celebrados entre a empresa gestora e qualquer prestador de serviços, onde se estabelecem as obrigações das partes e se identificam os serviços e funções prestadas pelo contratado.

Artigo 10.º — Auditores de segurança

1 - O auditor de segurança é uma pessoa singular ou coletiva, independente da empresa gestora, de reconhecida idoneidade, experiência e qualificações comprovadas na área de sistemas de informação e de segurança de informação, devidamente credenciado pelo GNS, nos termos da alínea a) do n.º 2 do artigo 8.º

2 - O auditor de segurança deve garantir que os membros da sua equipa não atuam de forma parcial ou discriminatória e está sujeito aos seguintes impedimentos:

3 - O auditor de segurança, antes de celebrar qualquer contrato com a empresa gestora, deve solicitar previamente ao GNS, a respetiva autorização, tendo este 30 dias para se pronunciar.

4 - A autorização a que se refere o número anterior depende, designadamente, da inexistência de qualquer situação de impedimento ou incompatibilidade para o exercício da atividade por parte do auditor.

5 - Se, da aplicação do n.º 2 resultar que não existem auditores de segurança credenciados pelo GNS disponíveis, o GNS garante a realização da auditoria.

SECÇÃO III — Relatórios de segurança

Artigo 11.º — Relatório inicial de segurança

1 - O auditor de segurança, indicado pela empresa gestora, é responsável pela elaboração do relatório inicial de segurança, para efeitos de obtenção da credenciação da plataforma eletrónica.

2 - O relatório inicial de segurança deve ser elaborado de acordo com as Normas ISO/IEC 20000 e 27001 e englobar obrigatoriamente:

ii) Do desempenho dos processos de autenticação e validação de utilizadores;

iii) Da conformidade dos requisitos de assinatura eletrónica utilizados;

iv) Dos processos de validação cronológica;

vi) Dos processos de recuperação de chaves privadas de encriptação;

vii) Dos processos de custódia de chaves privadas;

viii) Dos mecanismos de controlo de acessos às plataformas eletrónicas e do funcionamento dos registos de acesso;

ix) Da operabilidade da plataforma eletrónica em múltiplos sistemas operativos e múltiplos navegadores (browsers);

xi) Dos processos de carregamento de documentos;

xii) Do funcionamento dos mecanismos e meios de segurança, garantia da confidencialidade e integridade das propostas, candidaturas e soluções apresentadas em procedimentos concorrenciais;

xiii) Da sincronização dos serviços das plataformas eletrónicas com o serviço de tempo de rede (NTP) definido a partir do tempo universal coordenado (UTC);

xiv) Das funcionalidades utilizadas para o arquivo e preservação digital, bem como para a interoperabilidade das plataformas eletrónicas, nos termos decorrentes do n.º 3 do artigo 36.º

Artigo 12.º — Relatório anual de segurança

1 - Para efeitos de manutenção da credenciação da plataforma eletrónica e da sua própria credenciação, o respetivo auditor de segurança deve realizar uma auditoria anual à plataforma eletrónica, de acordo com as Normas ISO/IEC 20000 e 27001, e elaborar o respetivo relatório anual de segurança, que deve ser enviado ao GNS até ao fim do mês de fevereiro de cada ano civil.

2 - O relatório anual de segurança, para além de conter os elementos referidos no n.º 2 do artigo anterior, deve reportar-se a uma análise de procedimentos de formação dos contratos já concluídos e em curso, através de uma amostragem aleatória, considerada suficiente para a elaboração de um relatório rigoroso e com margens de erro mínimas.

3 - Se do relatório referido no número anterior resultarem desconformidades, deve a entidade gestora, no prazo de 30 dias, corrigir essas situações.

4 - Findo o prazo referido no número anterior, o auditor realiza nova auditoria para avaliar a correção das anomalias apontadas.

5 - Se da nova auditoria resultar que as situações identificadas, ou algumas delas, não foram devidamente corrigidas, deve o facto ser comunicado pelo GNS ao IMPIC, I. P., para que este, após a realização da respetiva audiência prévia, promova o cancelamento da licença, sem prejuízo da efetivação da eventual responsabilidade contraordenacional.

6 - Verificando-se o cancelamento da licença, nos termos do número anterior, a entidade gestora deve transferir, no prazo de 30 dias, para cada entidade adjudicante, toda a informação e documentação atinente aos respetivos procedimentos de formação de contratos públicos em curso, que devem prosseguir, posteriormente, noutra plataforma eletrónica licenciada pelo IMPIC, I. P.

CAPÍTULO III — Licenciamento da atividade de gestão e exploração de plataformas eletrónicas

Artigo 13.º — Licenciamento para o exercício da atividade

1 - O exercício da atividade de gestão e exploração, em território nacional, de plataformas eletrónicas, depende de licença a conceder pelo IMPIC, I. P.

2 - As licenças emitidas pelo IMPIC, I. P., têm validade de 10 anos, sem prejuízo da verificação anual oficiosa da manutenção dos requisitos gerais de licenciamento e do cancelamento da licença em caso de incumprimento destes requisitos.

Artigo 14.º — Pedidos de licenciamento

1 - Os pedidos de licenciamento da atividade de gestão e exploração das plataformas eletrónicas são submetidos ao IMPIC, I. P., no respetivo sítio na Internet ou no Balcão do Empreendedor, em formulário próprio aprovado pelo conselho diretivo.

2 - Caso os pedidos contenham omissões ou deficiências suscetíveis de suprimento ou de correção, ou quando se verifiquem irregularidades ou insuficiências relativas aos documentos instrutórios e cuja falta não possa ser oficiosamente suprida, os requerentes são notificados, no prazo de 10 dias a contar da apresentação, para efetuarem as correções necessárias ou apresentarem os documentos em falta, dentro de um prazo fixado pelo IMPIC, I. P., que não pode ser inferior a 15 dias nem superior a 30 dias, sob pena de indeferimento do pedido.

3 - Para decidir do pedido, o IMPIC, I. P., dispõe do prazo de 60 dias, a contar da data da receção respetiva ou dos elementos solicitados nos termos do número anterior ou, quando estes não forem entregues, a contar do termo do prazo concedido para a respetiva apresentação.

4 - Quando o pedido de credenciação é submetido diretamente pelo requerente ao IMPIC, I. P., nos termos do n.º 3 do artigo 8.º, o prazo de decisão referido no número anterior inicia-se após a receção efetiva do comprovativo de credenciação da plataforma eletrónica.

5 - O projeto da decisão referida no n.º 3 deve ser remetido ao requerente, para efeitos de audiência prévia, nos termos previstos no Código do Procedimento Administrativo.

6 - A decisão final é notificada ao requerente, no prazo máximo de oito dias, com a guia para o pagamento da taxa devida, caso o pedido seja deferido pelo IMPIC, I. P.

7 - O pagamento da taxa no prazo fixado na respetiva guia, bem como o pagamento das coimas em dívida pelo requerente, são condição de eficácia do licenciamento.

Artigo 15.º — Requisitos gerais de licenciamento

O licenciamento para o exercício da atividade de prestação de serviços de utilização de plataformas eletrónicas depende do preenchimento cumulativo, pelos requerentes, dos seguintes requisitos:

Artigo 16.º — Idoneidade comercial

1 - Não são consideradas comercialmente idóneas as empresas gestoras e os respetivos representantes legais que tenham sido declarados insolventes, salvo se tiver sido proferida decisão homologatória de plano de insolvência transitada em julgado.

2 - As pessoas singulares e as pessoas coletivas e os seus representantes legais que tenham sido proibidos do exercício do comércio, são também considerados, durante o período em que a proibição vigore, como comercialmente não idóneos.

3 - São ainda considerados como comercialmente não idóneos as pessoas singulares e as pessoas coletivas e os seus representantes legais que tenham sido objeto de três decisões condenatórias definitivas pela prática dolosa de ilícitos de mera ordenação social muito graves, previstos na presente lei.

4 - Para efeitos do número anterior, são consideradas as condenações de pessoa singular, a título individual ou na qualidade de representante legal de pessoa coletiva, e as condenações de pessoa coletiva de que a pessoa singular tenha sido representante legal.

5 - Não são considerados idóneos:

6 - Não são considerados comercialmente idóneos os representantes legais de empresas gestoras que tenham sido condenados em pena de prisão efetiva, ainda que suspensa na sua execução, transitada em julgado, pela prática de qualquer dos seguintes crimes:

7 - As condenações referidas no n.º 3 não relevam após o decurso do prazo de três anos contados do cumprimento integral das obrigações decorrentes da aplicação da última sanção.

8 - A condenação pela prática de um dos crimes previstos no n.º 6 não afeta a idoneidade de todos aqueles cujo registo criminal tenha sido cancelado, a título provisório ou definitivamente, ou relativamente aos quais o IMPIC, I. P., venha a considerar, de forma justificada, que estão reunidas as condições de idoneidade, tendo em conta, nomeadamente, o tempo decorrido desde a prática dos factos.

9 - Sempre que o IMPIC, I. P., considere existir uma situação de inidoneidade, deve justificar de forma fundamentada as circunstâncias de facto e de direito em que baseia esse juízo de inidoneidade.

Artigo 17.º — Capital próprio

1 - As empresas gestoras devem estar dotadas de capital próprio, no valor mínimo de (euro) 50 000.

2 - O capital próprio mínimo previsto no número anterior deve estar integralmente realizado à data do pedido de licenciamento e é condição de manutenção da licença.

Artigo 18.º — Seguro de responsabilidade civil

1 - O montante mínimo do seguro de responsabilidade civil, a que se refere a alínea d) do artigo 15.º, é de (euro) 150 000, por anuidade.

2 - O seguro previsto no número anterior, tal como a garantia financeira ou instrumento equivalente que o substituam, podem ser contratados em qualquer Estado do Espaço Económico Europeu, nos termos dos n.os 2 e 3 do artigo 13.º do Decreto-Lei n.º 92/2010, de 26 de julho, devendo, quando o risco esteja localizado em Portugal, satisfazer as condições mínimas fixadas no anexo I à presente lei, que dela faz parte integrante.

3 - O seguro de responsabilidade civil destina-se ao ressarcimento dos danos patrimoniais causados a terceiros, decorrentes de ações ou omissões das empresas, dos seus representantes e dos seus colaboradores.

4 - Consideram-se terceiros, para efeitos do presente artigo, todos os que, em resultado de um ato ou omissão praticado pela entidade gestora, venham a sofrer danos patrimoniais, ainda que não tenham sido parte no respetivo contrato de utilização da plataforma eletrónica.

Artigo 19.º — Cancelamento da licença

1 - A licença para o exercício da atividade de prestação de serviços de utilização de plataformas eletrónicas é cancelada:

2 - O projeto de decisão de cancelamento da licença pelos motivos constantes da alínea a) do número anterior deve ser comunicado à empresa gestora, para efeitos de audiência prévia.

3 - A decisão de cancelamento da licença deve ser comunicada pelo IMPIC, I. P., à empresa gestora e ao GNS, e é publicitada nos sítios na Internet do IMPIC, I. P., e do GNS e no Portal dos Contratos Públicos.

4 - Verificando-se o cancelamento da licença, nos termos do n.º 1, a empresa gestora deve fornecer ao IMPIC, I. P., no prazo de 15 dias a contar da respetiva ocorrência, cópia eletrónica dos arquivos relativos aos procedimentos de formação de contratos públicos realizados na respetiva plataforma eletrónica, sem prejuízo do disposto no n.º 6 do artigo 12.º

CAPÍTULO IV — Deveres das empresas gestoras

Artigo 20.º — Deveres gerais

As empresas gestoras estabelecidas em território nacional devem:

Artigo 21.º — Deveres perante o Instituto dos Mercados Públicos, do Imobiliário e da Construção, I. P., e o Gabinete Nacional de Segurança

1 - As empresas gestoras estabelecidas em território nacional são obrigadas a facultar ao IMPIC, I. P., e ao GNS o acesso às respetivas instalações e aos equipamentos e sistemas conexos com a atividade de gestão da plataforma eletrónica, a prestar-lhes todas as informações, documentação e demais elementos relacionados com a sua atividade que o IMPIC, I. P., ou o GNS lhes solicite, bem como a comunicar-lhes, no prazo de 15 dias a contar da respetiva ocorrência:

2 - As empresas gestoras estabelecidas em território nacional são também obrigadas a informar o IMPIC, I. P., e o GNS, no prazo de 30 dias a contar de cada uma das respetivas ocorrências, de todas as alterações que impliquem atualização de dados identificativos da empresa, bem como, quando se tratar de sociedades com sede em território nacional ou constituídas ao abrigo da lei portuguesa, de quaisquer modificações introduzidas no respetivo contrato de sociedade.

3 - As comunicações e informações referidas nos números anteriores são efetuadas pelos meios indicados no n.º 1 do artigo 14.º, sendo a prestação de falsas declarações ou falsas informações punível nos termos da lei.

Artigo 22.º — Deveres perante os utilizadores

1 - A empresa gestora está obrigada, desde o início do procedimento de formação dos contratos públicos na plataforma eletrónica até à respetiva conclusão, no que respeita às condições técnicas de utilização pelos seus utilizadores:

ii) Assegurar atendimento entre as 9 e as 19 horas, em dias úteis;

iii) Garantir um nível de atendimento nos termos do Decreto-Lei n.º 134/2009, de 2 de junho, alterado pelo Decreto-Lei n.º 72-A/2010, de 18 de junho.

2 - Para cumprimento das obrigações previstas no número anterior, a empresa gestora deve disponibilizar na página de entrada da plataforma eletrónica, os seus contactos de suporte e apoio técnico.

3 - A empresa gestora é ainda obrigada a comunicar aos respetivos utilizadores, com a antecedência mínima de 90 dias, a sua intenção de cessar a atividade de prestação de serviços de gestão da plataforma eletrónica, bem como a indicar a entidade a quem toda a documentação deve ser transmitida.

CAPÍTULO V — Tipos de serviços prestados pelas plataformas eletrónicas

Artigo 23.º — Remuneração pelos serviços prestados

1 - As empresas gestoras são remuneradas pelas entidades adjudicantes pelo serviço de disponibilização da plataforma eletrónica, pelo apoio à respetiva utilização e outros serviços avançados, conforme contratado entre as partes, de acordo com os procedimentos estabelecidos no CCP, com pleno respeito pelas regras da concorrência estabelecidas na legislação nacional e europeia.

2 - As empresas gestoras devem proporcionar a qualquer operador económico, pessoa singular ou coletiva, a título gratuito, um mínimo de três acessos, em simultâneo, aos serviços base da respetiva plataforma eletrónica.

3 - As empresas gestoras apenas podem cobrar aos operadores económicos pelos serviços de disponibilização de mais do que três acessos aos serviços base ou pela prestação de serviços avançados.

4 - As empresas gestoras devem manter em local público da plataforma eletrónica a tabela de preços de todos os serviços oferecidos, com indicação expressa da sua entrada em vigor, ou última atualização.

5 - O modelo de remuneração das empresas gestoras, para efeitos de definição das quantias a pagar entre estas, tendo em conta o volume de procedimentos lançados em cada uma das plataformas eletrónicas e o número de operadores económicos que a eles concorrem acedendo através de outras plataformas, é objeto de portaria do membro do Governo que tutela o IMPIC, I. P.

Artigo 24.º — Serviços base prestados aos operadores económicos

1 - Os serviços base a disponibilizar aos operadores económicos nos termos dos n.os 2 e 3 do artigo anterior, compreendem o acesso a todas as funcionalidades essenciais, mediante contrato de utilização com a plataforma selecionada, que permitam o desenvolvimento total e completo dos procedimentos pré-contratuais públicos, designadamente:

2 - O acesso aos serviços base da plataforma eletrónica é concedido aos operadores económicos registados numa plataforma.

3 - Os serviços a prestar pelas empresas gestoras devem satisfazer todas as exigências e condições estabelecidas no CCP e na presente lei, no âmbito de cada uma das fases do procedimento de formação dos contratos públicos.

4 - A empresa gestora é responsável pela disponibilização das funcionalidades necessárias à aplicação das disposições do CCP e da presente lei, no que respeita à contratação eletrónica em boas condições de segurança, de registo, de fiabilidade e de sustentabilidade.

5 - O interface com os utilizadores e todas as comunicações e procedimentos realizados nas plataformas eletrónicas são redigidos em língua portuguesa, podendo ser disponibilizado interface adicional noutras línguas.

Artigo 25.º — Serviços avançados prestados aos operadores económicos

Para efeitos do disposto no n.º 3 do artigo 23.º, são serviços avançados todos os que não sendo necessários para o desenvolvimento total e completo dos procedimentos pré-contratuais públicos, nos termos do artigo anterior, são facultativos, podendo ser prestados pelas plataformas eletrónicas aos operadores económicos mediante contrato e pagamento de um preço.

Artigo 26.º — Cessação da prestação de serviços de gestão e exploração

Quando a empresa gestora cesse a prestação de serviços contratada, por decisão sua ou de terceiros, por acordo com as entidades adjudicantes que a tiverem contratado, ou por caducidade dos contratos de prestação de serviços, devem os respetivos responsáveis assegurar, sem quaisquer encargos adicionais, que:

CAPÍTULO VI — Requisitos funcionais, técnicos e de segurança das plataformas eletrónicas

SECÇÃO I — Requisitos funcionais das plataformas eletrónicas

Artigo 27.º — Requisitos das plataformas eletrónicas

Os serviços a prestar pelas plataformas eletrónicas devem satisfazer integralmente todas as exigências e condições estabelecidas no CCP no âmbito de cada uma das fases dos procedimentos de formação dos contratos.

Artigo 28.º — Disponibilização e livre acesso

1 - As plataformas eletrónicas devem estar disponíveis, não podendo constituir um fator de restrição no acesso dos interessados aos procedimentos de formação de contratos públicos.

2 - O acesso às plataformas eletrónicas e aos seus instrumentos deve estar permanentemente disponível a todos os interessados, salvo nos casos em que as limitações de acesso se justifiquem por razões de manutenção ou avaria dos sistemas.

3 - O processo de registo dos operadores económicos nas plataformas eletrónicas, na modalidade gratuita, não pode exceder três dias úteis.

4 - A manutenção dos dados dos operadores económicos e dos utilizadores deve ser feita pelos próprios utilizadores de forma autónoma e gratuita, excluindo a designação dos operadores económicos, o respetivo número de identificação fiscal e o endereço de correio eletrónico de cada utilizador.

5 - As operações de manutenção das plataformas eletrónicas que limitem a disponibilidade de serviço, devem ser realizadas entre as 00h00 e as 8h00, nos dias úteis, ou aos sábados, domingos e feriados nacionais, a qualquer hora, com vista a minorar os constrangimentos causados aos utilizadores.

6 - Salvo em casos de manutenção urgente devidamente justificados, as operações de manutenção referidas no numero anterior devem ser comunicadas aos utilizadores, na página de entrada da respetiva plataforma, com 72 horas de antecedência, e comunicadas ao IMPIC, I. P., no prazo de 24 horas após a sua ocorrência.

Artigo 29.º — Não discriminação

1 - Os instrumentos a utilizar nas plataformas eletrónicas e disponibilizados aos operadores económicos, nomeadamente os produtos, as aplicações e os programas informáticos, bem como as respetivas especificações técnicas, devem ser compatíveis com os produtos, de uso corrente no domínio das tecnologias da informação e da comunicação, designadamente com o Regulamento Nacional de Interoperabilidade Digital (RNID), de forma a evitar situações discriminatórias.

2 - As empresas gestoras não podem exigir o cumprimento de requisitos injustificados, não proporcionais ou que de forma alguma consubstanciem um fator de discriminação, designadamente para efeitos de acesso ao sistema de contratação da plataforma eletrónica.

3 - A plataforma eletrónica deve indicar a forma de obter os programas informáticos utilizados, bem como os respetivos comandos e instruções.

4 - As aplicações e os programas informáticos utilizados nas plataformas eletrónicas devem ser de fácil instalação e utilização, com manual de instalação e utilização, permitindo o acesso a um utilizador com conhecimentos médios nos domínios das tecnologias da informação e comunicação.

Artigo 30.º — Requisitos funcionais

1 - As plataformas eletrónicas devem garantir, no mínimo, os seguintes requisitos funcionais:

2 - As entidades adjudicantes são livres de, nos documentos que suportam os procedimentos de contratação de plataformas eletrónicas, exigirem requisitos adicionais, designadamente:

Artigo 31.º — Fluxo do procedimento

1 - As plataformas eletrónicas mantêm em vigor um sistema que documenta as várias fases do procedimento conduzido por meios eletrónicos, permitindo, em cada momento, fornecer informação adequada e fidedigna que se revele necessária.

2 - As plataformas eletrónicas devem disponibilizar as funcionalidades necessárias para o cumprimento desta obrigação de forma a permitir manter os documentos no seu formato original, devidamente conservados, bem como um registo de todas as incidências do procedimento apto a servir de prova, em caso de litígio.

3 - O sistema referido no n.º 1 deve permitir identificar, entre outras informações:

4 - O sistema previsto no presente artigo deve manter-se atualizado, incluindo a informação cronológica nas peças do concurso, até ao ato de adjudicação, sem prejuízo do disposto no artigo 74.º

Artigo 32.º — Impedimentos de acesso à plataforma eletrónica

1 - A entidade adjudicante e a empresa gestora apenas respondem pelos impedimentos de ordem técnica no acesso à plataforma eletrónica que lhes sejam imputáveis, que sejam imputáveis ao sistema em que a plataforma opera ou à própria plataforma.

2 - Sempre que ocorram problemas técnicos na rede pública ou na plataforma eletrónica que impossibilitem ou tornem excessivamente demorada a prática de qualquer ato que, nos termos do CCP, deva ser praticado na plataforma eletrónica, deve a entidade adjudicante, por iniciativa própria ou a solicitação dos candidatos e concorrentes, tomar todas as medidas necessárias de forma a que os interessados não sejam prejudicados, podendo, nomeadamente, prorrogar o prazo para a prática desses mesmos atos, o qual aproveita a todos os candidatos e concorrentes.

3 - A entidade gestora deve informar, através de anúncio publicado na página de entrada da plataforma eletrónica, em área de acesso livre a todos os interessados, o período de tempo durante o qual a mesma esteve inoperacional.

Artigo 33.º — Informação aos interessados

As plataformas eletrónicas devem disponibilizar, em local de acesso livre a todos os potenciais interessados, as especificações necessárias exigidas para a realização dos procedimentos de formação dos contratos, designadamente as respeitantes:

SECÇÃO II — Requisitos técnicos das plataformas eletrónicas

Artigo 34.º — Interoperabilidade e compatibilidade

1 - As plataformas eletrónicas devem cumprir os requisitos de interoperabilidade e compatibilidade previstos no RNID.

2 - As plataformas eletrónicas devem ter a capacidade para permitir o intercâmbio generalizado de dados, nomeadamente entre diferentes formatos e aplicações ou entre níveis diferentes de desempenho, respeitando os requisitos fixados e atualizados, sempre que razões de ordem tecnológica tal justifique, mediante portaria dos membros do Governo que tutelam o IMPIC, I. P., a ESPAP, I. P., e a Agência para a Modernização Administrativa, I. P. (AMA, I. P.), e de que depende o GNS, designadamente:

Artigo 35.º — Interligação com plataformas públicas

1 - Sem prejuízo do disposto no artigo anterior, as plataformas eletrónicas devem garantir, sempre que necessário e tecnicamente possível através da plataforma de interoperabilidade da Administração Pública, a sua interligação:

2 - As interligações previstas no número anterior devem ser estabelecidas através de protocolo a celebrar entre as respetivas entidades envolvidas.

3 - Não pode ser cobrado pelas entidades gestoras qualquer montante pelo estabelecimento das interligações previstas nos números anteriores.

Artigo 36.º — Interligação entre plataformas eletrónicas

1 - As empresas gestoras devem cumprir as condições de interligação e interoperabilidade entre si, necessárias para que os operadores económicos possam escolher livremente a plataforma eletrónica, independentemente da que for utilizada pela entidade pública com que pretendem interagir.

2 - A ESPAP, I. P., é responsável pelo sistema de interligação entre as plataformas eletrónicas, cujo desenvolvimento e manutenção são assegurados pela Imprensa Nacional-Casa da Moeda, S. A. (INCM), e que funciona através da plataforma de interoperabilidade da Administração Pública.

3 - As condições de interligação, interoperabilidade e financiamento são fixadas por portaria dos membros do Governo que tutelam a AMA, I. P., a ESPAP, I. P., e o IMPIC, I. P., de que depende o GNS e responsáveis pela INCM, a publicar no prazo de 90 dias após a publicação da presente lei.

4 - Quando as fases mais avançadas de interoperabilidade forem alcançadas, cessa a obrigação de prestação dos serviços base definidos no artigo 24.º

Artigo 37.º — Troca de dados entre as plataformas eletrónicas e o Portal dos Contratos Públicos

1 - A informação transmitida pelas plataformas eletrónicas ao Portal dos Contratos Públicos destina-se, designadamente, a arquivo, ao tratamento estatístico e a monitorização da informação, devendo os dados transmitidos estar devidamente codificados e serem suscetíveis de tratamento automático.

2 - A codificação a que se refere o número anterior deve estar perfeitamente sincronizada com o Portal dos Contratos Públicos, com vista a que não se verifique qualquer perturbação na correta identificação das entidades e dos processos a que respeita a informação transmitida.

3 - As condições de interligação das plataformas eletrónicas com o Portal dos Contratos Públicos são fixadas por portaria do membro do Governo que tutela o IMPIC, I. P.

4 - Sem prejuízo do disposto no número anterior, as plataformas eletrónicas devem prever a realização de procedimentos por agrupamento de entidades adjudicantes, disponibilizando para esse efeito campos para indicação dos dados de cada uma das entidades adjudicantes, nomeadamente designação e número de identificação de pessoa coletiva (NIPC), e demais dados necessários à exportação automática das fichas, a definir nos termos do artigo seguinte.

Artigo 38.º — Dados a transmitir ao Portal dos Contratos Públicos

As plataformas eletrónicas devem transmitir ao Portal dos Contratos Públicos dados relativos à formação e à execução dos contratos públicos, nos termos a definir por portaria do membro do Governo que tutela o IMPIC, I. P.

SECÇÃO III — Requisitos de segurança das plataformas eletrónicas

Artigo 39.º — Implementação e gestão da segurança

1 - No desenvolvimento da sua atividade, as empresas gestoras implementam um sistema de gestão de segurança da informação baseado na Norma ISO/IEC 27001.

2 - Para efeitos do disposto no número anterior, as empresas gestoras fornecem ao GNS documentação comprovativa, nomeadamente:

3 - As empresas gestoras selecionam os controlos de segurança adequados com base na análise de riscos prevista na alínea a) do número anterior, e na norma ISO/IEC 27002, nas seguintes áreas da segurança:

4 - A aplicação destas normas pode cingir-se apenas às partes da organização que são relevantes para a atividade das plataformas eletrónicas.

Artigo 40.º — Gestão de utilizadores, perfil de acesso e privilégios

1 - A plataforma eletrónica deve suportar perfis com diferentes privilégios, incluindo, no mínimo, os seguintes:

2 - A plataforma eletrónica deve ser capaz de associar e atribuir os utilizadores aos perfis definidos no número anterior.

3 - A plataforma eletrónica deve garantir que um utilizador não pode ser associado a múltiplos perfis, de acordo com o seguinte critério:

Artigo 41.º — Sistemas e operações

1 - A empresa gestora garante que a plataforma eletrónica é fiável, nomeadamente:

2 - As plataformas eletrónicas devem assegurar a disponibilidade da informação para todos os seus utilizadores, exceto nos períodos de manutenção, de acordo com o disposto nos n.os 5 e 6 do artigo 28.º

3 - As plataformas eletrónicas devem implementar soluções de modo a inibir e minimizar os efeitos de ataques distribuídos de negação de serviços.

4 - A ligação da plataforma eletrónica à rede pública deve ser assegurada, no mínimo, por duas origens fisicamente independentes.

5 - Os vários sistemas que compõem a plataforma eletrónica devem estar atualizados e ser corrigidos (patched), de forma expedita, à medida que são descobertas novas vulnerabilidades.

6 - Todos os serviços das plataformas eletrónicas devem estar sincronizados com o NTP (Network Time Protocol) definido a partir do UTC (Universal Time Coordinated), devendo ser utilizadas duas fontes de tempo diferentes, em que uma delas é obrigatoriamente a hora legal portuguesa.

7 - Em caso de desastre, as plataformas eletrónicas devem disponibilizar meios capazes de continuar as operações usando sistemas alternativos e assegurar o backup para garantir a integridade e a possibilidade de recuperação da informação.

8 - A empresa gestora deve especificar na sua política qual o tempo máximo aceitável, na reposição dos serviços.

Artigo 42.º — Segurança aplicacional

1 - A empresa gestora deve garantir que o sistema se encontra devidamente protegido contra vulnerabilidades e ataques, impedindo, designadamente:

2 - O sistema deve assegurar a autenticação forte e a gestão das sessões, o que exige, no mínimo, que:

3 - O sistema deve possuir uma configuração de segurança adequada, o que exige, no mínimo, que:

4 - O sistema deve limitar o acesso ao URL com base nos níveis e autorizações de acesso do utilizador, exigindo-se, no mínimo, que:

5 - O sistema deve utilizar o protocolo TLS de modo a garantir uma proteção suficiente, devendo estar criadas todas as medidas que se seguem ou outras de eficácia equivalente:

6 - O sistema deve impedir reencaminhamentos e reenvios não validados.

Artigo 43.º — Integridade dos dados

1 - As plataformas eletrónicas não devem partilhar hardware e recursos do SO, nem quaisquer dados, nomeadamente, credenciais de acesso e de cifragem, com qualquer outra aplicação ou sistema.

2 - Cada transação com sucesso que envolva modificação do conteúdo da informação da plataforma eletrónica deve fazer passar a base de dados (BD) de um estado de integridade para outro estado de integridade.

3 - Deve ser garantido que todos os dados críticos da plataforma eletrónica são seguros e autênticos, devendo para o efeito ser utilizados algoritmos e chaves fortes, de acordo com as normas internacionais.

4 - Devem ser considerados como dados críticos, no mínimo, todas as configurações de segurança, perfis de utilizador, dados relativos às peças do procedimento e propostas, bem como os respetivos backups.

Artigo 44.º — Segurança de rede

1 - A ligação da plataforma eletrónica à Internet deve ser protegida por um sistema de proteção de fronteira.

2 - Todo o tráfego destinado à plataforma eletrónica deve ser inspecionado e registado.

3 - As regras do sistema de proteção de fronteira devem rejeitar o tráfego que não é necessário à utilização e à administração segura do sistema.

4 - A plataforma eletrónica deve estar alojada num segmento da rede de produção devidamente protegido, separado de eventuais segmentos utilizados para alojar sistemas que não são de produção, como ambientes de desenvolvimento ou de testes.

5 - A rede local (LAN) deve cumprir, no mínimo, as seguintes medidas de segurança:

Artigo 45.º — Tratamento dos dados pessoais e livre circulação

O tratamento de informação, pelas plataformas eletrónicas, que contenha dados pessoais, implica a notificação prévia da Comissão Nacional de Proteção de Dados, nos termos previstos na Lei de Proteção de Dados Pessoais.

Artigo 46.º — Segurança física

Sem prejuízo dos controlos de segurança identificados e implementados, com base nos requisitos da ISO/IEC 27001, os sistemas que compõem a plataforma eletrónica devem estar devidamente protegidos em zona segura, com acesso restrito e controlado por sistemas de controlo de acessos e dentro dessa zona, no mínimo, instalado num bastidor seguro.

Artigo 47.º — Identificação e autenticação

1 - A plataforma eletrónica deve garantir a existência de uma conta individual por utilizador e que os dados de autenticação são únicos.

2 - Sempre que o utilizador sai da sua conta (logout), para voltar a entrar a plataforma eletrónica deve requerer novamente a apresentação dos dados de autenticação.

3 - A plataforma eletrónica deve garantir que o utilizador tem capacidade para definir as suas senhas ou códigos de acesso, gerir os seus certificados de autenticação, gerir os seus selos de validação cronológica e autenticar-se de forma segura, designadamente através do cartão do cidadão ou da chave móvel digital.

4 - Nos casos em que os dados de autenticação são criados pela plataforma eletrónica ou por um sistema exterior, a plataforma eletrónica deve garantir que na primeira utilização o utilizador é obrigado a definir novos dados de autenticação, exceto quando aquela seja feita através da interligação com os mecanismos referidos na alínea f) do n.º 1 do artigo 35.º

5 - Se for ultrapassado o número máximo de tentativas de autenticação, a plataforma eletrónica deve bloquear a conta do utilizador, que é notificado, por meio fidedigno, do procedimento estabelecido para o desbloqueio.

6 - A plataforma pode permitir o acesso dos utilizadores por método de autenticação através do nome de utilizador e senha, de acordo com o n.º 3, e deve alertar os utilizadores para o nível de segurança associado a esse método de autenticação.

Artigo 48.º — Controlo de acessos

1 - As plataformas eletrónicas devem garantir a capacidade de controlar e limitar o acesso aos diversos recursos, identificando os utilizadores, associando o perfil às respetivas permissões e restrições.

2 - Para o efeito, as entidades gestoras de plataformas devem garantir a identificação correta e fiável dos utilizadores e do operador económico através de processo de verificação.

3 - O processo de verificação de identidade inicia-se após solicitação do operador económico, devendo a entidade gestora disponibilizar um certificado de autenticação provisório e gratuito em 24 horas, garantindo a sua conclusão com a entrega do certificado de autenticação definitivo no prazo máximo de 30 dias.

4 - O processo de verificação de identidade é dispensado para procedimentos de formação de contratos celebrados ao abrigo de acordo-quadro.

5 - As plataformas devem ter mecanismos para garantir o controlo de perfis e acesso restrito às peças concursais para os procedimentos que exigem um nível de proteção elevado e verificação dos utilizadores que podem ter acesso.

6 - As aplicações devem operar com o menor conjunto de privilégios de que necessitam para esse fim.

Artigo 49.º — Gestão das chaves criptográficas

1 - Para a cifragem dos dados devem ser utilizados algoritmos correntes fortes e chaves fortes.

2 - A integridade das senhas deve ser controlada com técnicas hash que utilizam um algoritmo corrente forte e com técnicas salt adequadas.

3 - Todas as chaves e senhas devem estar protegidas contra qualquer acesso não autorizado.

4 - Quando as chaves assimétricas sejam emitidas pela plataforma eletrónica e para efeitos de confidencialidade, devem as mesmas ser alvo de mecanismos e procedimentos de retenção da chave privada (key escrow), com controlo multipessoal.

Artigo 50.º — Registos de acesso

1 - Os registos de acessos devem indicar os dados da máquina de origem, da máquina de destino, do utilizador do sistema, da data e hora do evento e dos ficheiros acedidos, quando aplicável.

2 - A plataforma eletrónica deve:

3 - No mínimo, sempre que um utilizador com perfil de administrador de segurança ou administrador de sistemas exceda o número máximo de tentativas de autenticação deve ser gerado o referido alarme para os utilizadores com o perfil de administrador de segurança.

4 - O período de retenção dos arquivos de auditoria e registo de acessos deve ser de cinco anos.

5 - As plataformas eletrónicas devem, obrigatoriamente, registar os seguintes eventos:

Artigo 51.º — Arquivo

1 - As plataformas eletrónicas devem garantir que conseguem gerar arquivos em suporte lógico adequado.

2 - As plataformas eletrónicas devem garantir a guarda e o processamento dos arquivos de modo a poderem vir a constituir-se como meio de prova.

3 - Os registos de acesso e toda a documentação relativa aos procedimentos de formação de contratos públicos devem ser arquivados.

4 - As plataformas eletrónicas devem garantir a manutenção e o arquivo dos registos de utilização e acesso dos documentos nela carregados.

5 - O registo dos arquivos de auditoria deve ser realizado de preferência em texto com codificação UTF-8 (unicode transformation format) e exportável.

6 - Os arquivos devem ser armazenados e organizados de forma sequencial, diariamente, sendo assinados eletronicamente e com aposição de selo temporal emitido por uma entidade certificadora que preste serviços de validação cronológica.

7 - A plataforma eletrónica deve garantir, do ponto de vista tecnológico, que a destruição de um arquivo só pode ser levado a cabo com a autorização expressa por escrito do administrador de sistema, do administrador de segurança e do auditor de sistemas.

Artigo 52.º — Cópias de segurança e recuperação

1 - A plataforma eletrónica deve incluir uma função para efetuar cópia de segurança da informação associada aos procedimentos de contratação eletrónica.

2 - Os dados guardados na cópia de segurança devem ser suficientes para recriar o estado do sistema.

3 - Um utilizador que pertença a um perfil com suficientes privilégios deve ser capaz de invocar a função de cópia de segurança.

4 - As cópias de segurança devem estar protegidas contra modificação com recursos a mecanismos de assinatura digital.

5 - As plataformas eletrónicas devem assegurar que a informação relativa a parâmetros críticos de segurança da plataforma eletrónica não está armazenada em claro, devendo ser cifrada com recurso a algoritmos correntes fortes e chaves fortes, conformes às normas internacionais, sendo a gestão de chaves parte integrante do sistema.

6 - A plataforma eletrónica deve incluir uma função para recuperação com capacidade para repor o sistema através da cópia de segurança.

7 - Um utilizador que pertença a um perfil com suficientes privilégios deve ser capaz de invocar a função de recuperação.

8 - Os registos de auditoria são considerados informação sensível, devendo ser preservados de acordo com o definido no artigo 44.º