Lei n.º 96/2015

1 - A presente lei regula a disponibilização e a utilização das plataformas eletrónicas de contratação pública, abreviadamente designadas por plataformas eletrónicas, previstas no Código dos Contratos Públicos (CCP), aprovado pelo Decreto-Lei n.º 18/2008, de 29 de janeiro, estabelecendo os requisitos e as condições a que as mesmas devem obedecer e a obrigação de interoperabilidade com o Portal dos Contratos Públicos e com outros sistemas de entidades públicas.

2 - A presente lei procede à transposição do artigo 29.º da Diretiva 2014/23/UE, do Parlamento Europeu e do Conselho, de 26 de fevereiro de 2014, do artigo 22.º e do anexo IV da Diretiva 2014/24/UE, do Parlamento Europeu e do Conselho, de 26 de fevereiro de 2014, bem como do artigo 40.º e do anexo V da Diretiva 2014/25/UE, do Parlamento Europeu e do Conselho, de 26 de fevereiro de 2014.

Para efeitos da presente lei entende-se por:

a) «Acesso», a obtenção de direitos para visualizar ou processar informação, com base na identificação digital do utilizador, através de um terminal, a um procedimento ou processo a que se refere a informação e o estado ou fase do mesmo;

b) «Empresa gestora», a pessoa coletiva que se encontra apta a exercer, nos termos da presente lei, a atividade de gestão e exploração de plataformas eletrónicas;

c) «Interessados», todos os que manifestam interesse nos procedimentos através da inscrição nos mesmos;

d) «Interoperabilidade», a capacidade das plataformas eletrónicas para permutar informação preservando o seu significado, ou prestar serviços, diretamente e de forma satisfatória, entre os respetivos sistemas e os seus utilizadores, bem como para operar com eles de forma efetiva;

e) «Plataforma eletrónica», a infraestrutura tecnológica constituída por um conjunto de aplicações, meios e serviços informáticos necessários ao funcionamento dos procedimentos eletrónicos de contratação pública nacional, sobre a qual se desenrolam os referidos procedimentos;

f) «Serviços de certificação eletrónica», a disponibilização de certificados qualificados para efeitos de produção de assinaturas eletrónicas qualificadas e de selos temporais de validação cronológica;

g) «Submissão da proposta», «submissão da candidatura» ou «submissão da solução», o momento em que o concorrente ou candidato efetiva a entrega da proposta, da candidatura ou da solução, após o respetivo carregamento em plataforma eletrónica.

As comunicações, as trocas de dados e de informações processadas através de plataformas eletrónicas nos termos estabelecidos no CCP, bem como o respetivo arquivo, devem obedecer às regras, requisitos e especificações técnicas previstos na presente lei.

A lista atualizada das plataformas eletrónicas licenciadas e das respetivas empresas gestoras é publicitada nos sítios na Internet do Instituto dos Mercados Públicos, do Imobiliário e da Construção, I. P. (IMPIC, I. P.), e do Gabinete Nacional de Segurança (GNS) e no Portal dos Contratos Públicos.

1 - As entidades adjudicantes devem adquirir os serviços de plataformas eletrónicas, de acordo com os procedimentos de formação de contratos estabelecidos no CCP, de entre as plataformas eletrónicas constantes da lista referida no artigo anterior.

2 - Os operadores económicos escolhem livremente a plataforma eletrónica de contratação pública que pretendem utilizar, para efeitos de participação em procedimentos de formação de contratos públicos, de entre as plataformas eletrónicas licenciadas pelo IMPIC, I. P.

de certificação eletrónica

1 - As entidades adjudicantes e os operadores económicos escolhem livremente os prestadores e os serviços de certificação eletrónica que pretendem utilizar no âmbito dos procedimentos de formação de contratos públicos.

2 - As empresas gestoras devem garantir a aplicabilidade do disposto no número anterior.

CAPÍTULO II

Entidade licenciadora, de monitorização e fiscalizadora, entidade credenciadora e auditores de segurança

SECÇÃO I

Entidade licenciadora, de monitorização e fiscalizadora e entidade credenciadora

1 - A entidade licenciadora, de monitorização e fiscalizadora das plataformas eletrónicas é o IMPIC, I. P.

2 - Ao IMPIC, I. P., compete, designadamente:

a) Coadjuvar o membro do Governo da tutela na definição das linhas estratégicas relacionadas com a contratação pública eletrónica, incluindo a emissão de pareceres e a elaboração de projetos de legislação neste domínio;

b) Emitir as licenças necessárias ao exercício da atividade de gestão de plataformas eletrónicas;

c) Assegurar a monitorização e o acompanhamento da atividade das plataformas eletrónicas, nomeadamente através da elaboração de relatórios estatísticos;

d) Assegurar a fiscalização da atividade das plataformas eletrónicas.

1 - A entidade credenciadora das plataformas eletrónicas e dos respetivos auditores de segurança é o GNS.

2 - Ao GNS compete, para além de outras atribuições previstas na presente lei:

a) Credenciar os auditores de segurança das plataformas eletrónicas;

b) Credenciar, na marca nacional e grau confidencial, os membros dos órgãos de administração e fiscalização, os empregados e representantes das empresas gestoras com acesso aos atos e instrumentos de gestão das mesmas, os sócios da sociedade e, tratando-se de sociedade anónima, os acionistas com participação igual ou superior a 10 % do capital da sociedade;

c) Credenciar as plataformas eletrónicas;

d) Elaborar normas técnicas;

e) Identificar as normas internacionais aplicáveis, designadamente as previstas no n.º 3 do artigo 43.º e no n.º 5 do artigo 52.º

3 - Os pedidos de credenciação previstos na alínea c) do número anterior podem ser apresentados diretamente ao GNS ou, em alternativa, ao IMPIC, I. P., conjuntamente com os pedidos de licenciamento previstos no n.º 1 do artigo 14.º, que os reencaminha, de imediato, ao GNS.

SECÇÃO II

Meios humanos e técnicos

1 - A estrutura organizativa da empresa gestora, a comprovar perante o GNS, deve contemplar, pelo menos, os seguintes cargos e funções necessários à operação dos sistemas:

a) Administrador de segurança, com a responsabilidade global de implementar as políticas e práticas de segurança;

b) Administrador de sistemas, autorizado a instalar, configurar e manter os sistemas, mas com acesso limitado às configurações e aspetos relacionadas com a segurança;

c) Operador de sistemas, sendo responsável por operar diariamente os sistemas, autorizado a realizar cópias de segurança e operações de rotina;

d) Auditor de sistemas, autorizado a monitorizar os arquivos de atividade dos sistemas e registo de eventos para auditoria.

2 - Os postos de trabalho ou funções referidos nas alíneas a), b) e d) do número anterior não podem ser assegurados pela mesma pessoa.

3 - Todos aqueles que desempenhem funções relacionadas com os procedimentos das plataformas eletrónicas, em especial, os cargos definidos no número anterior, devem estar livres de conflitos de interesse que possam prejudicar a sua imparcialidade no exercício das funções.

4 - A empresa gestora é responsável por todos os serviços incluídos no âmbito da sua plataforma eletrónica, bem como dos meios humanos pertencentes à sua estrutura organizativa, mesmo quando prestados por terceiros por ela contratados.

5 - A empresa gestora pode contratar a prestação de serviços tecnológicos e o fornecimento dos respetivos componentes e meios humanos assumindo e mantendo a inteira responsabilidade pelo cumprimento de todos os requisitos exigidos na presente lei.

6 - São obrigatoriamente reduzidos a escrito os contratos celebrados entre a empresa gestora e qualquer prestador de serviços, onde se estabelecem as obrigações das partes e se identificam os serviços e funções prestadas pelo contratado.

1 - O auditor de segurança é uma pessoa singular ou coletiva, independente da empresa gestora, de reconhecida idoneidade, experiência e qualificações comprovadas na área de sistemas de informação e de segurança de informação, devidamente credenciado pelo GNS, nos termos da alínea a) do n.º 2 do artigo 8.º

2 - O auditor de segurança deve garantir que os membros da sua equipa não atuam de forma parcial ou discriminatória e está sujeito aos seguintes impedimentos:

a) Não realizar auditorias à mesma plataforma eletrónica em mais do que três anos consecutivos;

b) Não realizar auditorias sempre que se verifique qualquer situação que possa comprometer a sua independência;

c) Não ter prestado serviços de consultoria à empresa gestora nos últimos três anos, nem manter com esta qualquer outro acordo ou vínculo contratual.

3 - O auditor de segurança, antes de celebrar qualquer contrato com a empresa gestora, deve solicitar previamente ao GNS, a respetiva autorização, tendo este 30 dias para se pronunciar.

4 - A autorização a que se refere o número anterior depende, designadamente, da inexistência de qualquer situação de impedimento ou incompatibilidade para o exercício da atividade por parte do auditor.

5 - Se, da aplicação do n.º 2 resultar que não existem auditores de segurança credenciados pelo GNS disponíveis, o GNS garante a realização da auditoria.

SECÇÃO III

Relatórios de segurança

1 - O auditor de segurança, indicado pela empresa gestora, é responsável pela elaboração do relatório inicial de segurança, para efeitos de obtenção da credenciação da plataforma eletrónica.

2 - O relatório inicial de segurança deve ser elaborado de acordo com as Normas ISO/IEC 20000 e 27001 e englobar obrigatoriamente:

a) A identificação dos perfis dos técnicos que operam as plataformas eletrónicas, com descrição das respetivas funções;

b) Uma descrição técnica detalhada da arquitetura e dos sistemas da plataforma eletrónica, contendo uma análise e verificação:

i) Da conformidade dos certificados digitais utilizados e disponibilizados pelas plataformas eletrónicas;

ii) Do desempenho dos processos de autenticação e validação de utilizadores;

iii) Da conformidade dos requisitos de assinatura eletrónica utilizados;

iv) Dos processos de validação cronológica;

v) Dos níveis de segurança verificados nos processos de encriptação e desencriptação;

vi) Dos processos de recuperação de chaves privadas de encriptação;

vii) Dos processos de custódia de chaves privadas;

viii) Dos mecanismos de controlo de acessos às plataformas eletrónicas e do funcionamento dos registos de acesso;

ix) Da operabilidade da plataforma eletrónica em múltiplos sistemas operativos e múltiplos navegadores (browsers);

x) Do formato standard utilizado para os ficheiros carregados nas plataformas eletrónicas;

xi) Dos processos de carregamento de documentos;

xii) Do funcionamento dos mecanismos e meios de segurança, garantia da confidencialidade e integridade das propostas, candidaturas e soluções apresentadas em procedimentos concorrenciais;

xiii) Da sincronização dos serviços das plataformas eletrónicas com o serviço de tempo de rede (NTP) definido a partir do tempo universal coordenado (UTC);

xiv) Das funcionalidades utilizadas para o arquivo e preservação digital, bem como para a interoperabilidade das plataformas eletrónicas, nos termos decorrentes do n.º 3 do artigo 36.º

1 - Para efeitos de manutenção da credenciação da plataforma eletrónica e da sua própria credenciação, o respetivo auditor de segurança deve realizar uma auditoria anual à plataforma eletrónica, de acordo com as Normas ISO/IEC 20000 e 27001, e elaborar o respetivo relatório anual de segurança, que deve ser enviado ao GNS até ao fim do mês de fevereiro de cada ano civil.

2 - O relatório anual de segurança, para além de conter os elementos referidos no n.º 2 do artigo anterior, deve reportar-se a uma análise de procedimentos de formação dos contratos já concluídos e em curso, através de uma amostragem aleatória, considerada suficiente para a elaboração de um relatório rigoroso e com margens de erro mínimas.

3 - Se do relatório referido no número anterior resultarem desconformidades, deve a entidade gestora, no prazo de 30 dias, corrigir essas situações.

4 - Findo o prazo referido no número anterior, o auditor realiza nova auditoria para avaliar a correção das anomalias apontadas.

5 - Se da nova auditoria resultar que as situações identificadas, ou algumas delas, não foram devidamente corrigidas, deve o facto ser comunicado pelo GNS ao IMPIC, I. P., para que este, após a realização da respetiva audiência prévia, promova o cancelamento da licença, sem prejuízo da efetivação da eventual responsabilidade contraordenacional.

6 - Verificando-se o cancelamento da licença, nos termos do número anterior, a entidade gestora deve transferir, no prazo de 30 dias, para cada entidade adjudicante, toda a informação e documentação atinente aos respetivos procedimentos de formação de contratos públicos em curso, que devem prosseguir, posteriormente, noutra plataforma eletrónica licenciada pelo IMPIC, I. P.

CAPÍTULO III

Licenciamento da atividade de gestão e exploração de plataformas eletrónicas

1 - O exercício da atividade de gestão e exploração, em território nacional, de plataformas eletrónicas, depende de licença a conceder pelo IMPIC, I. P.

2 - As licenças emitidas pelo IMPIC, I. P., têm validade de 10 anos, sem prejuízo da verificação anual oficiosa da manutenção dos requisitos gerais de licenciamento e do cancelamento da licença em caso de incumprimento destes requisitos.

1 - Os pedidos de licenciamento da atividade de gestão e exploração das plataformas eletrónicas são submetidos ao IMPIC, I. P., no respetivo sítio na Internet ou no Balcão do Empreendedor, em formulário próprio aprovado pelo conselho diretivo.

2 - Caso os pedidos contenham omissões ou deficiências suscetíveis de suprimento ou de correção, ou quando se verifiquem irregularidades ou insuficiências relativas aos documentos instrutórios e cuja falta não possa ser oficiosamente suprida, os requerentes são notificados, no prazo de 10 dias a contar da apresentação, para efetuarem as correções necessárias ou apresentarem os documentos em falta, dentro de um prazo fixado pelo IMPIC, I. P., que não pode ser inferior a 15 dias nem superior a 30 dias, sob pena de indeferimento do pedido.

3 - Para decidir do pedido, o IMPIC, I. P., dispõe do prazo de 60 dias, a contar da data da receção respetiva ou dos elementos solicitados nos termos do número anterior ou, quando estes não forem entregues, a contar do termo do prazo concedido para a respetiva apresentação.

4 - Quando o pedido de credenciação é submetido diretamente pelo requerente ao IMPIC, I. P., nos termos do n.º 3 do artigo 8.º, o prazo de decisão referido no número anterior inicia-se após a receção efetiva do comprovativo de credenciação da plataforma eletrónica.

5 - O projeto da decisão referida no n.º 3 deve ser remetido ao requerente, para efeitos de audiência prévia, nos termos previstos no Código do Procedimento Administrativo.

6 - A decisão final é notificada ao requerente, no prazo máximo de oito dias, com a guia para o pagamento da taxa devida, caso o pedido seja deferido pelo IMPIC, I. P.

7 - O pagamento da taxa no prazo fixado na respetiva guia, bem como o pagamento das coimas em dívida pelo requerente, são condição de eficácia do licenciamento.

O licenciamento para o exercício da atividade de prestação de serviços de utilização de plataformas eletrónicas depende do preenchimento cumulativo, pelos requerentes, dos seguintes requisitos:

a) A respetiva plataforma eletrónica estar credenciada junto do GNS, nos termos do disposto na alínea c) do n.º 2 do artigo 8.º;

b) Possuir idoneidade comercial, nos termos do artigo seguinte;

c) Possuir capital próprio mínimo, nos termos do artigo 17.º;

d) Ser titular de um seguro de responsabilidade civil, ou de uma garantia financeira ou instrumento equivalente que o substitua, destinado a assegurar a responsabilidade emergente da sua atividade, nos termos do disposto no artigo 18.º;

e) Apresentar relatório, em modelo próprio do IMPIC, I. P., emitido pelos representantes legais da empresa gestora, declarando, sob compromisso de honra, o cumprimento, por parte desta, dos requisitos previstos nas secções I e II do capítulo VI.

1 - Não são consideradas comercialmente idóneas as empresas gestoras e os respetivos representantes legais que tenham sido declarados insolventes, salvo se tiver sido proferida decisão homologatória de plano de insolvência transitada em julgado.

2 - As pessoas singulares e as pessoas coletivas e os seus representantes legais que tenham sido proibidos do exercício do comércio, são também considerados, durante o período em que a proibição vigore, como comercialmente não idóneos.

3 - São ainda considerados como comercialmente não idóneos as pessoas singulares e as pessoas coletivas e os seus representantes legais que tenham sido objeto de três decisões condenatórias definitivas pela prática dolosa de ilícitos de mera ordenação social muito graves, previstos na presente lei.

4 - Para efeitos do número anterior, são consideradas as condenações de pessoa singular, a título individual ou na qualidade de representante legal de pessoa coletiva, e as condenações de pessoa coletiva de que a pessoa singular tenha sido representante legal.

5 - Não são considerados idóneos:

a) As pessoas singulares e os representantes legais de pessoas coletivas que se encontrem em qualquer uma das situações indicadas nos n.os 1, 2 e 3;

b) As pessoas coletivas que se encontrem em qualquer uma das situações indicadas no n.º 3, bem como aquelas cujos representantes legais sejam considerados não idóneos nos termos do presente artigo e não procedam à respetiva substituição no prazo máximo de 30 dias a contar do conhecimento do facto que determinou a perda de idoneidade.

6 - Não são considerados comercialmente idóneos os representantes legais de empresas gestoras que tenham sido condenados em pena de prisão efetiva, ainda que suspensa na sua execução, transitada em julgado, pela prática de qualquer dos seguintes crimes:

a) Burla, burla informática e nas comunicações ou burla relativa a trabalho ou emprego;

b) Insolvência dolosa, insolvência negligente, favorecimento de credores ou perturbação de arrematações;

c) Falsificação ou contrafação de documento, quando praticado no âmbito da atividade de gestão de plataformas eletrónicas;

d) Desobediência, quando praticado no âmbito da atividade de gestão de plataformas eletrónicas;

e) Corrupção ativa;

f) Fraude na obtenção de subsídio ou subvenção, desvio de subvenção, subsídio ou crédito bonificado, fraude na obtenção de crédito e ofensa à reputação económica;

g) Contrafação ou imitação e uso ilegal de marca, quando praticado no âmbito da atividade de gestão de plataformas eletrónicas;

h) Branqueamento de capitais.

7 - As condenações referidas no n.º 3 não relevam após o decurso do prazo de três anos contados do cumprimento integral das obrigações decorrentes da aplicação da última sanção.

8 - A condenação pela prática de um dos crimes previstos no n.º 6 não afeta a idoneidade de todos aqueles cujo registo criminal tenha sido cancelado, a título provisório ou definitivamente, ou relativamente aos quais o IMPIC, I. P., venha a considerar, de forma justificada, que estão reunidas as condições de idoneidade, tendo em conta, nomeadamente, o tempo decorrido desde a prática dos factos.

9 - Sempre que o IMPIC, I. P., considere existir uma situação de inidoneidade, deve justificar de forma fundamentada as circunstâncias de facto e de direito em que baseia esse juízo de inidoneidade.

1 - As empresas gestoras devem estar dotadas de capital próprio, no valor mínimo de (euro) 50 000.

2 - O capital próprio mínimo previsto no número anterior deve estar integralmente realizado à data do pedido de licenciamento e é condição de manutenção da licença.

1 - O montante mínimo do seguro de responsabilidade civil, a que se refere a alínea d) do artigo 15.º, é de (euro) 150 000, por anuidade.

2 - O seguro previsto no número anterior, tal como a garantia financeira ou instrumento equivalente que o substituam, podem ser contratados em qualquer Estado do Espaço Económico Europeu, nos termos dos n.os 2 e 3 do artigo 13.º do Decreto-Lei n.º 92/2010, de 26 de julho, devendo, quando o risco esteja localizado em Portugal, satisfazer as condições mínimas fixadas no anexo I à presente lei, que dela faz parte integrante.

3 - O seguro de responsabilidade civil destina-se ao ressarcimento dos danos patrimoniais causados a terceiros, decorrentes de ações ou omissões das empresas, dos seus representantes e dos seus colaboradores.

4 - Consideram-se terceiros, para efeitos do presente artigo, todos os que, em resultado de um ato ou omissão praticado pela entidade gestora, venham a sofrer danos patrimoniais, ainda que não tenham sido parte no respetivo contrato de utilização da plataforma eletrónica.

1 - A licença para o exercício da atividade de prestação de serviços de utilização de plataformas eletrónicas é cancelada:

a) Sempre que o IMPIC, I. P., comprove que a empresa gestora deixou de cumprir qualquer dos requisitos gerais de licenciamento previstos no artigo 15.º;

b) Quando a empresa gestora cessar a sua atividade em território nacional.

2 - O projeto de decisão de cancelamento da licença pelos motivos constantes da alínea a) do número anterior deve ser comunicado à empresa gestora, para efeitos de audiência prévia.

3 - A decisão de cancelamento da licença deve ser comunicada pelo IMPIC, I. P., à empresa gestora e ao GNS, e é publicitada nos sítios na Internet do IMPIC, I. P., e do GNS e no Portal dos Contratos Públicos.

4 - Verificando-se o cancelamento da licença, nos termos do n.º 1, a empresa gestora deve fornecer ao IMPIC, I. P., no prazo de 15 dias a contar da respetiva ocorrência, cópia eletrónica dos arquivos relativos aos procedimentos de formação de contratos públicos realizados na respetiva plataforma eletrónica, sem prejuízo do disposto no n.º 6 do artigo 12.º

CAPÍTULO IV

Deveres das empresas gestoras

As empresas gestoras estabelecidas em território nacional devem:

a) Manter o cumprimento dos requisitos gerais de licenciamento previstos no artigo 15.º;

b) Cumprir os requisitos funcionais, técnicos e de segurança definidos na presente lei;

c) Implementar um sistema de gestão de sistemas de informação baseado na Norma ISO/IEC 20000, que abranja toda a infraestrutura tecnológica descrita na alínea e) do artigo 2.º, incluindo o serviço de suporte previsto no artigo 22.º;

d) Implementar um sistema de gestão de segurança da informação baseado na Norma ISO/IEC 27001, com a abrangência prevista na alínea anterior;

e) Organizar e conservar em arquivo, pelo período mínimo de 10 anos a contar da respetiva assinatura, cópia de todos os contratos de prestação de serviços celebrados no exercício da atividade;

f) Dispor de um sistema eletrónico de gestão de reclamações que permita a conservação da informação durante um período mínimo de cinco anos.

1 - As empresas gestoras estabelecidas em território nacional são obrigadas a facultar ao IMPIC, I. P., e ao GNS o acesso às respetivas instalações e aos equipamentos e sistemas conexos com a atividade de gestão da plataforma eletrónica, a prestar-lhes todas as informações, documentação e demais elementos relacionados com a sua atividade que o IMPIC, I. P., ou o GNS lhes solicite, bem como a comunicar-lhes, no prazo de 15 dias a contar da respetiva ocorrência:

a) Qualquer alteração verificada nos requisitos gerais de licenciamento previstos no artigo 15.º;

b) A cessação da respetiva atividade em território nacional;

c) A criação de sucursais, agências, estabelecimentos, locais de atendimento e outras formas de representação comercial da empresa relacionadas com a atividade de gestão de plataformas eletrónicas em território nacional.

2 - As empresas gestoras estabelecidas em território nacional são também obrigadas a informar o IMPIC, I. P., e o GNS, no prazo de 30 dias a contar de cada uma das respetivas ocorrências, de todas as alterações que impliquem atualização de dados identificativos da empresa, bem como, quando se tratar de sociedades com sede em território nacional ou constituídas ao abrigo da lei portuguesa, de quaisquer modificações introduzidas no respetivo contrato de sociedade.

3 - As comunicações e informações referidas nos números anteriores são efetuadas pelos meios indicados no n.º 1 do artigo 14.º, sendo a prestação de falsas declarações ou falsas informações punível nos termos da lei.

1 - A empresa gestora está obrigada, desde o início do procedimento de formação dos contratos públicos na plataforma eletrónica até à respetiva conclusão, no que respeita às condições técnicas de utilização pelos seus utilizadores:

a) A intervir e a prestar auxílio, quando necessário ou lhe seja solicitado, no esclarecimento de eventuais dúvidas na utilização da plataforma eletrónica por parte dos representantes da entidade adjudicante ou dos interessados no procedimento de formação do contrato;

b) A garantir um canal de comunicação com vista à resolução dos problemas específicos que se coloquem, no âmbito do procedimento de formação do contrato;

c) A disponibilizar relatórios de anomalias, registos de acessos, submissões ou outra informação relevante, sempre que tecnicamente possível, para efeitos de tomada de decisões que surjam nos procedimentos de formação de um contrato público, quando solicitada pelo respetivo júri;

d) A manter uma linha de apoio aos utilizadores, que permita, no mínimo:

i) Disponibilizar uma linha telefónica de número único «707» para o efeito;

ii) Assegurar atendimento entre as 9 e as 19 horas, em dias úteis;

iii) Garantir um nível de atendimento nos termos do Decreto-Lei n.º 134/2009, de 2 de junho, alterado pelo Decreto-Lei n.º 72-A/2010, de 18 de junho.

2 - Para cumprimento das obrigações previstas no número anterior, a empresa gestora deve disponibilizar na página de entrada da plataforma eletrónica, os seus contactos de suporte e apoio técnico.

3 - A empresa gestora é ainda obrigada a comunicar aos respetivos utilizadores, com a antecedência mínima de 90 dias, a sua intenção de cessar a atividade de prestação de serviços de gestão da plataforma eletrónica, bem como a indicar a entidade a quem toda a documentação deve ser transmitida.

CAPÍTULO V

Tipos de serviços prestados pelas plataformas eletrónicas

1 - As empresas gestoras são remuneradas pelas entidades adjudicantes pelo serviço de disponibilização da plataforma eletrónica, pelo apoio à respetiva utilização e outros serviços avançados, conforme contratado entre as partes, de acordo com os procedimentos estabelecidos no CCP, com pleno respeito pelas regras da concorrência estabelecidas na legislação nacional e europeia.

2 - As empresas gestoras devem proporcionar a qualquer operador económico, pessoa singular ou coletiva, a título gratuito, um mínimo de três acessos, em simultâneo, aos serviços base da respetiva plataforma eletrónica.

3 - As empresas gestoras apenas podem cobrar aos operadores económicos pelos serviços de disponibilização de mais do que três acessos aos serviços base ou pela prestação de serviços avançados.

4 - As empresas gestoras devem manter em local público da plataforma eletrónica a tabela de preços de todos os serviços oferecidos, com indicação expressa da sua entrada em vigor, ou última atualização.

5 - O modelo de remuneração das empresas gestoras, para efeitos de definição das quantias a pagar entre estas, tendo em conta o volume de procedimentos lançados em cada uma das plataformas eletrónicas e o número de operadores económicos que a eles concorrem acedendo através de outras plataformas, é objeto de portaria do membro do Governo que tutela o IMPIC, I. P.

1 - Os serviços base a disponibilizar aos operadores económicos nos termos dos n.os 2 e 3 do artigo anterior, compreendem o acesso a todas as funcionalidades essenciais, mediante contrato de utilização com a plataforma selecionada, que permitam o desenvolvimento total e completo dos procedimentos pré-contratuais públicos, designadamente:

a) O acesso aos procedimentos e às peças do procedimento que tenham sido publicadas;

b) O envio de mensagens através da plataforma eletrónica;

c) O envio de mensagens de correio eletrónico para todos os intervenientes na fase do procedimento de formação de contratos públicos em curso, sempre que, nos termos do CCP, tal comunicação seja obrigatória;

d) Os pedidos de esclarecimentos e listas de erros e omissões;

e) A submissão de candidaturas, de propostas e de soluções;

f) As pronúncias em audiência prévia;

g) As reclamações e as impugnações;

h) A decisão de adjudicação;

i) A entrega de documentos de habilitação;

j) A visualização de todas as mensagens e avisos criados pelas entidades adjudicantes a que, nos termos da lei, deva ter acesso.

2 - O acesso aos serviços base da plataforma eletrónica é concedido aos operadores económicos registados numa plataforma.

3 - Os serviços a prestar pelas empresas gestoras devem satisfazer todas as exigências e condições estabelecidas no CCP e na presente lei, no âmbito de cada uma das fases do procedimento de formação dos contratos públicos.

4 - A empresa gestora é responsável pela disponibilização das funcionalidades necessárias à aplicação das disposições do CCP e da presente lei, no que respeita à contratação eletrónica em boas condições de segurança, de registo, de fiabilidade e de sustentabilidade.

5 - O interface com os utilizadores e todas as comunicações e procedimentos realizados nas plataformas eletrónicas são redigidos em língua portuguesa, podendo ser disponibilizado interface adicional noutras línguas.

Para efeitos do disposto no n.º 3 do artigo 23.º, são serviços avançados todos os que não sendo necessários para o desenvolvimento total e completo dos procedimentos pré-contratuais públicos, nos termos do artigo anterior, são facultativos, podendo ser prestados pelas plataformas eletrónicas aos operadores económicos mediante contrato e pagamento de um preço.

Quando a empresa gestora cesse a prestação de serviços contratada, por decisão sua ou de terceiros, por acordo com as entidades adjudicantes que a tiverem contratado, ou por caducidade dos contratos de prestação de serviços, devem os respetivos responsáveis assegurar, sem quaisquer encargos adicionais, que:

a) A informação constante da mesma, respeitante a procedimentos de contratação pública já concluídos, bem como todos os arquivos de auditoria, transitam, para efeitos de custódia, para as entidades adjudicantes de cada procedimento, devendo ser asseguradas as condições de leitura de todos os documentos;

b) Os procedimentos de formação de contratos públicos em curso seguem a sua tramitação até à conclusão, sem qualquer encargo adicional para a entidade adjudicante e para os operadores económicos interessados, candidatos e concorrentes.

CAPÍTULO VI

Requisitos funcionais, técnicos e de segurança das plataformas eletrónicas

SECÇÃO I

Requisitos funcionais das plataformas eletrónicas

Os serviços a prestar pelas plataformas eletrónicas devem satisfazer integralmente todas as exigências e condições estabelecidas no CCP no âmbito de cada uma das fases dos procedimentos de formação dos contratos.

1 - As plataformas eletrónicas devem estar disponíveis, não podendo constituir um fator de restrição no acesso dos interessados aos procedimentos de formação de contratos públicos.

2 - O acesso às plataformas eletrónicas e aos seus instrumentos deve estar permanentemente disponível a todos os interessados, salvo nos casos em que as limitações de acesso se justifiquem por razões de manutenção ou avaria dos sistemas.

3 - O processo de registo dos operadores económicos nas plataformas eletrónicas, na modalidade gratuita, não pode exceder três dias úteis.

4 - A manutenção dos dados dos operadores económicos e dos utilizadores deve ser feita pelos próprios utilizadores de forma autónoma e gratuita, excluindo a designação dos operadores económicos, o respetivo número de identificação fiscal e o endereço de correio eletrónico de cada utilizador.

5 - As operações de manutenção das plataformas eletrónicas que limitem a disponibilidade de serviço, devem ser realizadas entre as 00h00 e as 8h00, nos dias úteis, ou aos sábados, domingos e feriados nacionais, a qualquer hora, com vista a minorar os constrangimentos causados aos utilizadores.

6 - Salvo em casos de manutenção urgente devidamente justificados, as operações de manutenção referidas no numero anterior devem ser comunicadas aos utilizadores, na página de entrada da respetiva plataforma, com 72 horas de antecedência, e comunicadas ao IMPIC, I. P., no prazo de 24 horas após a sua ocorrência.

1 - Os instrumentos a utilizar nas plataformas eletrónicas e disponibilizados aos operadores económicos, nomeadamente os produtos, as aplicações e os programas informáticos, bem como as respetivas especificações técnicas, devem ser compatíveis com os produtos, de uso corrente no domínio das tecnologias da informação e da comunicação, designadamente com o Regulamento Nacional de Interoperabilidade Digital (RNID), de forma a evitar situações discriminatórias.

2 - As empresas gestoras não podem exigir o cumprimento de requisitos injustificados, não proporcionais ou que de forma alguma consubstanciem um fator de discriminação, designadamente para efeitos de acesso ao sistema de contratação da plataforma eletrónica.

3 - A plataforma eletrónica deve indicar a forma de obter os programas informáticos utilizados, bem como os respetivos comandos e instruções.

4 - As aplicações e os programas informáticos utilizados nas plataformas eletrónicas devem ser de fácil instalação e utilização, com manual de instalação e utilização, permitindo o acesso a um utilizador com conhecimentos médios nos domínios das tecnologias da informação e comunicação.

1 - As plataformas eletrónicas devem garantir, no mínimo, os seguintes requisitos funcionais:

a) Basear-se em normas abertas, de acordo com o RNID, que não envolvam custos específicos de licenciamento por parte dos utilizadores, disponibilizando as aplicações que permitam efetuar o carregamento dos documentos na plataforma eletrónica;

b) Garantir que todas as mensagens entre interessados, candidatos, concorrentes e adjudicatários, relativas a pedidos de esclarecimentos, lista de erros e omissões, pronúncias, incluindo os documentos anexos às mesmas, ficam automaticamente disponíveis para visualização daqueles que tenham acesso à fase do procedimento em curso;

c) Garantir o envio de mensagens de correio eletrónico para todos os intervenientes na fase do procedimento de formação do contrato público em curso, sempre que, nos termos do CCP, tais comunicações sejam obrigatórias;

d) Garantir o registo do envio das mensagens de correio eletrónico;

e) Garantir o registo de qualquer ação efetuada pelos diversos utilizadores registados;

f) Listar, ordenar e exportar para formato XML (Extensible Markup Language) e ou para folha de cálculo em formato ODF (Open Document Format), em todas as fases do procedimento, a informação relevante para a gestão, o reporte e a monitorização, incluindo os metadados;

g) Disponibilizar um relatório para verificação e controlo do fluxo do procedimento de acordo com o artigo seguinte;

h) Permitir a parametrização de procedimentos com diferentes critérios de adjudicação em cada lote;

i) Suportar a realização de todos os procedimentos de formação de contratos públicos, nos termos previstos no CCP;

j) Permitir o descarregamento agregado de todos os documentos anexos a mensagens submetidas pelos operadores económicos;

k) Permitir o descarregamento agregado de todos os documentos, incluindo peças do procedimento, pedidos de esclarecimento sobre as peças, esclarecimentos prestados sobre as peças, listas de erros e omissões, pronúncias sobre erros e omissões, propostas dos concorrentes, pedidos de esclarecimentos sobre as propostas, esclarecimentos prestados sobre as propostas, relatórios do júri e dos serviços competentes da entidade adjudicante, pronúncias em sede de audiência prévia e todas as notificações da entidade adjudicante, por procedimento;

l) Permitir a utilização de mecanismos de autenticação e assinatura eletrónica com certificados qualificados emitidos por entidades que constem na Trusted-Service Status List, nomeadamente, o constante do cartão de cidadão;

m) Facultar o acesso ao registo de atividades realizadas nas diversas etapas do processo de contratação, com possibilidade de definição de notificações automáticas de eventos;

n) Permitir importar mapas de quantidades com múltiplos requisitos (matriz n*m) e múltiplos lotes e exportar para formatos XML e ou para folha de cálculo em formato ODF;

o) Dispor de um «relógio/contador» relativo à hora oficial portuguesa indicativo do prazo restante, contado nos termos do CCP, para cada fase do procedimento, designadamente, para efetuar pedidos de esclarecimentos, para identificar erros e omissões, para apresentação de propostas, para audiência prévia, para entrega dos documentos de habilitação e aceitação da minuta do contrato e para prestação da caução;

p) Suportar a realização de leilões eletrónicos invertidos mono e multivariáveis, com uma ou várias rondas, ocultando a identificação dos concorrentes participantes;

q) Permitir a integração bidirecional com sistemas de informação de gestão das entidades adquirentes, através da plataforma de interoperabilidade da Administração Pública, permitindo o envio de informação para a plataforma de contratação pública e o envio de informação em sentido contrário;

r) Garantir a possibilidade de auditoria em qualquer momento do processo;

s) Garantir processo de verificação das características do certificado qualificado para assinatura eletrónica de documentos;

t) Possibilitar o acesso, por parte da Autoridade da Concorrência, aos dados que permitam a monitorização dos preços apresentados pelos operadores económicos.

2 - As entidades adjudicantes são livres de, nos documentos que suportam os procedimentos de contratação de plataformas eletrónicas, exigirem requisitos adicionais, designadamente:

a) Disponibilizar ambiente de pré-produção para realização de testes e formação inicial;

b) Permitir disponibilização da plataforma eletrónica em subdomínio, no domínio da entidade gestora, definido pela entidade adjudicante;

c) Permitir, através da plataforma de interoperabilidade da Administração Pública, a recolha de informação relativa aos procedimentos de aquisição no âmbito do Sistema Nacional de Compras Públicas para monitorização dos preços apresentados pelos operadores económicos, nos termos a definir pela Entidade de Serviços Partilhados da Administração Pública, I. P. (ESPAP, I. P.).

1 - As plataformas eletrónicas mantêm em vigor um sistema que documenta as várias fases do procedimento conduzido por meios eletrónicos, permitindo, em cada momento, fornecer informação adequada e fidedigna que se revele necessária.

2 - As plataformas eletrónicas devem disponibilizar as funcionalidades necessárias para o cumprimento desta obrigação de forma a permitir manter os documentos no seu formato original, devidamente conservados, bem como um registo de todas as incidências do procedimento apto a servir de prova, em caso de litígio.

3 - O sistema referido no n.º 1 deve permitir identificar, entre outras informações:

a) A entidade e o utilizador que acedeu às peças do procedimento;

b) A data e hora exatas da submissão dos documentos;

c) O documento enviado, bem como a entidade e o utilizador que o enviou; e

d) A duração da comunicação.

4 - O sistema previsto no presente artigo deve manter-se atualizado, incluindo a informação cronológica nas peças do concurso, até ao ato de adjudicação, sem prejuízo do disposto no artigo 74.º

1 - A entidade adjudicante e a empresa gestora apenas respondem pelos impedimentos de ordem técnica no acesso à plataforma eletrónica que lhes sejam imputáveis, que sejam imputáveis ao sistema em que a plataforma opera ou à própria plataforma.

2 - Sempre que ocorram problemas técnicos na rede pública ou na plataforma eletrónica que impossibilitem ou tornem excessivamente demorada a prática de qualquer ato que, nos termos do CCP, deva ser praticado na plataforma eletrónica, deve a entidade adjudicante, por iniciativa própria ou a solicitação dos candidatos e concorrentes, tomar todas as medidas necessárias de forma a que os interessados não sejam prejudicados, podendo, nomeadamente, prorrogar o prazo para a prática desses mesmos atos, o qual aproveita a todos os candidatos e concorrentes.

3 - A entidade gestora deve informar, através de anúncio publicado na página de entrada da plataforma eletrónica, em área de acesso livre a todos os interessados, o período de tempo durante o qual a mesma esteve inoperacional.

As plataformas eletrónicas devem disponibilizar, em local de acesso livre a todos os potenciais interessados, as especificações necessárias exigidas para a realização dos procedimentos de formação dos contratos, designadamente as respeitantes:

a) A anúncios publicados no Diário da República ou no Jornal Oficial da União Europeia, quando existam;

b) Às peças do procedimento;

c) Ao modo de apresentação das candidaturas, soluções e propostas, tal como definido pela entidade adjudicante;

d) Ao modo e requisitos a que a encriptação de dados deve obedecer;

e) A assinaturas eletrónicas exigidas e ao modo de as obter, designadamente através da utilização dos certificados do cartão de cidadão;

f) Aos selos temporais exigidos e ao modo de os obter;

g) Aos requisitos a que os ficheiros que contêm os documentos das propostas, das candidaturas e das soluções devem obedecer.

SECÇÃO II

Requisitos técnicos das plataformas eletrónicas

1 - As plataformas eletrónicas devem cumprir os requisitos de interoperabilidade e compatibilidade previstos no RNID.

2 - As plataformas eletrónicas devem ter a capacidade para permitir o intercâmbio generalizado de dados, nomeadamente entre diferentes formatos e aplicações ou entre níveis diferentes de desempenho, respeitando os requisitos fixados e atualizados, sempre que razões de ordem tecnológica tal justifique, mediante portaria dos membros do Governo que tutelam o IMPIC, I. P., a ESPAP, I. P., e a Agência para a Modernização Administrativa, I. P. (AMA, I. P.), e de que depende o GNS, designadamente:

a) A linguagem de scripting para página web;

b) O nível de acessibilidade para as páginas públicas;

c) O acesso remoto a sistemas de ficheiros (se aplicável);

d) O envio seguro de correio eletrónico;

e) A representação gráfica para a especificação de processos de negócio;

f) O protocolo para a garantia de entrega de mensagens na integração entre dois ou mais sistemas de informação interorganismos da Administração Pública;

g) A segurança de integridade e confidencialidade da comunicação na integração entre dois ou mais sistemas de informação interorganismos da Administração Pública;

h) A segurança de autenticação da comunicação na integração entre dois ou mais sistemas de informação interorganismos da Administração Pública;

i) A possibilidade de utilização de WS-Addressing na troca de informação entre sistemas de informação;

j) A definição do standard universal utilizado para todos os ficheiros carregados nas plataformas eletrónicas;

k) O tipo de assinatura eletrónica que todos os documentos assinados eletronicamente devem utilizar.

1 - Sem prejuízo do disposto no artigo anterior, as plataformas eletrónicas devem garantir, sempre que necessário e tecnicamente possível através da plataforma de interoperabilidade da Administração Pública, a sua interligação:

a) Com o Portal dos Contratos Públicos, quer em termos técnicos quer no que respeita ao cumprimento das regras de sincronismo necessárias à transferência dos dados requeridos entre a plataforma eletrónica e o referido Portal;

b) Com o portal do Diário da República Eletrónico, nomeadamente para efeitos de envio dos anúncios previstos no CCP;

c) Com o Catálogo Nacional de Compras Públicas da ESPAP, I. P., quer em termos técnicos quer no que respeita ao cumprimento das regras de sincronismo necessárias à transferência dos dados requeridos entre a plataforma eletrónica e o referido Catálogo;

d) Com a solução de Gestão de Recursos Financeiros e Orçamentais em modo partilhado (GeRFiP, da ESPAP, I. P.), quer em termos técnicos, quer no que respeita ao cumprimento das regras de sincronismo necessárias à transferência dos dados requeridos entre a plataforma eletrónica e a referida solução;

e) Com a solução que venha a ser implementada pelo Tribunal de Contas ou pelas entidades do Sistema Nacional de Controlo Interno da Administração Financeira do Estado, no âmbito das suas competências na área da auditoria e controlo dos contratos públicos;

f) Com a solução de autenticação do cartão de cidadão e com o mecanismo central de autenticação «Autenticação.Gov.pt», disponibilizadas pela AMA, I. P.;

g) Com o Protocolo para a Normalização da Informação Técnica na Construção (ProNIC), gerido pelo IMPIC, I. P.;

h) Com a plataforma a desenvolver pela Autoridade da Concorrência.

2 - As interligações previstas no número anterior devem ser estabelecidas através de protocolo a celebrar entre as respetivas entidades envolvidas.

3 - Não pode ser cobrado pelas entidades gestoras qualquer montante pelo estabelecimento das interligações previstas nos números anteriores.

1 - As empresas gestoras devem cumprir as condições de interligação e interoperabilidade entre si, necessárias para que os operadores económicos possam escolher livremente a plataforma eletrónica, independentemente da que for utilizada pela entidade pública com que pretendem interagir.

2 - A ESPAP, I. P., é responsável pelo sistema de interligação entre as plataformas eletrónicas, cujo desenvolvimento e manutenção são assegurados pela Imprensa Nacional-Casa da Moeda, S. A. (INCM), e que funciona através da plataforma de interoperabilidade da Administração Pública.

3 - As condições de interligação, interoperabilidade e financiamento são fixadas por portaria dos membros do Governo que tutelam a AMA, I. P., a ESPAP, I. P., e o IMPIC, I. P., de que depende o GNS e responsáveis pela INCM, a publicar no prazo de 90 dias após a publicação da presente lei.

4 - Quando as fases mais avançadas de interoperabilidade forem alcançadas, cessa a obrigação de prestação dos serviços base definidos no artigo 24.º

1 - A informação transmitida pelas plataformas eletrónicas ao Portal dos Contratos Públicos destina-se, designadamente, a arquivo, ao tratamento estatístico e a monitorização da informação, devendo os dados transmitidos estar devidamente codificados e serem suscetíveis de tratamento automático.

2 - A codificação a que se refere o número anterior deve estar perfeitamente sincronizada com o Portal dos Contratos Públicos, com vista a que não se verifique qualquer perturbação na correta identificação das entidades e dos processos a que respeita a informação transmitida.

3 - As condições de interligação das plataformas eletrónicas com o Portal dos Contratos Públicos são fixadas por portaria do membro do Governo que tutela o IMPIC, I. P.

4 - Sem prejuízo do disposto no número anterior, as plataformas eletrónicas devem prever a realização de procedimentos por agrupamento de entidades adjudicantes, disponibilizando para esse efeito campos para indicação dos dados de cada uma das entidades adjudicantes, nomeadamente designação e número de identificação de pessoa coletiva (NIPC), e demais dados necessários à exportação automática das fichas, a definir nos termos do artigo seguinte.

As plataformas eletrónicas devem transmitir ao Portal dos Contratos Públicos dados relativos à formação e à execução dos contratos públicos, nos termos a definir por portaria do membro do Governo que tutela o IMPIC, I. P.

SECÇÃO III

Requisitos de segurança das plataformas eletrónicas

1 - No desenvolvimento da sua atividade, as empresas gestoras implementam um sistema de gestão de segurança da informação baseado na Norma ISO/IEC 27001.

2 - Para efeitos do disposto no número anterior, as empresas gestoras fornecem ao GNS documentação comprovativa, nomeadamente:

a) Da realização de uma avaliação exaustiva dos riscos que identifique o âmbito de aplicação do sistema e assinale o impacto na atividade em caso de violação da garantia da informação;

b) Da identificação das ameaças e vulnerabilidades da plataforma eletrónica, e a produção de um documento de análise de riscos onde se enumerem igualmente contramedidas para evitar tais ameaças, e as medidas corretivas a tomar caso a ameaça se concretize, bem como a apresentação de uma lista hierarquizada de melhorias a introduzir;

c) Da identificação dos riscos residuais por escrito.

3 - As empresas gestoras selecionam os controlos de segurança adequados com base na análise de riscos prevista na alínea a) do número anterior, e na norma ISO/IEC 27002, nas seguintes áreas da segurança:

a) Avaliação de risco, adotando-se para o efeito a norma ISO/IEC 27005 ou outra metodologia de avaliação de riscos equivalente;

b) Segurança física e ambiental;

c) Segurança dos recursos humanos;

d) Gestão de comunicações e operações;

e) Medidas normalizadas de controlo do acesso;

f) Aquisição, desenvolvimento e manutenção dos sistemas de informação;

g) Gestão de incidentes no domínio da segurança das informações;

h) Medidas para corrigir e mitigar violações dos sistemas de informação suscetíveis de causar a destruição, a perda acidental, a alteração, ou a divulgação ou acesso não autorizados dos dados pessoais a tratar;

i) Conformidade;

j) Segurança de redes informáticas, recomendando-se para o efeito a norma ISO/IEC 27033.

4 - A aplicação destas normas pode cingir-se apenas às partes da organização que são relevantes para a atividade das plataformas eletrónicas.

1 - A plataforma eletrónica deve suportar perfis com diferentes privilégios, incluindo, no mínimo, os seguintes:

a) Administrador de segurança;

b) Administrador de sistemas;

c) Operador de sistemas;

d) Auditor de sistemas.

2 - A plataforma eletrónica deve ser capaz de associar e atribuir os utilizadores aos perfis definidos no número anterior.

3 - A plataforma eletrónica deve garantir que um utilizador não pode ser associado a múltiplos perfis, de acordo com o seguinte critério:

a) Um utilizador com o perfil de «administrador de segurança» não é autorizado a assumir o perfil de «auditor de sistemas»;

b) Um utilizador com o perfil de «administrador de sistemas» não é autorizado a assumir o perfil de «administrador de segurança» ou de «auditor de sistemas».

1 - A empresa gestora garante que a plataforma eletrónica é fiável, nomeadamente:

a) Os procedimentos de operação e segurança estão definidos;

b) A plataforma eletrónica foi desenhada e desenvolvida de modo a que o risco de falha dos sistemas seja mínimo;

c) A plataforma eletrónica está protegida de vírus e software malicioso de modo a assegurar a integridades dos sistemas e da informação nestes incluídos.

2 - As plataformas eletrónicas devem assegurar a disponibilidade da informação para todos os seus utilizadores, exceto nos períodos de manutenção, de acordo com o disposto nos n.os 5 e 6 do artigo 28.º

3 - As plataformas eletrónicas devem implementar soluções de modo a inibir e minimizar os efeitos de ataques distribuídos de negação de serviços.

4 - A ligação da plataforma eletrónica à rede pública deve ser assegurada, no mínimo, por duas origens fisicamente independentes.

5 - Os vários sistemas que compõem a plataforma eletrónica devem estar atualizados e ser corrigidos (patched), de forma expedita, à medida que são descobertas novas vulnerabilidades.

6 - Todos os serviços das plataformas eletrónicas devem estar sincronizados com o NTP (Network Time Protocol) definido a partir do UTC (Universal Time Coordinated), devendo ser utilizadas duas fontes de tempo diferentes, em que uma delas é obrigatoriamente a hora legal portuguesa.

7 - Em caso de desastre, as plataformas eletrónicas devem disponibilizar meios capazes de continuar as operações usando sistemas alternativos e assegurar o backup para garantir a integridade e a possibilidade de recuperação da informação.

8 - A empresa gestora deve especificar na sua política qual o tempo máximo aceitável, na reposição dos serviços.

1 - A empresa gestora deve garantir que o sistema se encontra devidamente protegido contra vulnerabilidades e ataques, impedindo, designadamente:

a) Falhas de injeção, nomeadamente, interrogações SQL (Structured Query Language), LDAP (Lightweight Directory Access Protocol) ou XPath (XML Path Language), comandos do sistema operativo (SO) e alteração de argumentos de programa;

b) XSS (Cross-Site Scripting).

2 - O sistema deve assegurar a autenticação forte e a gestão das sessões, o que exige, no mínimo, que:

a) As credenciais sejam sempre protegidas quando armazenadas com recurso a técnicas de controlo da integridade dos dados (hashing) ou de cifragem dos dados;

b) As credenciais não possam ser adivinhadas nem alteradas através de funções de gestão da conta pouco sólidas, nomeadamente, através da criação de conta, alteração da senha, recuperação da senha ou identificadores de sessão frágeis;

c) Os identificadores de sessão e os dados da sessão não se encontrem expostos no localizador uniforme de recursos (URL);

d) Os identificadores de sessão não sejam vulneráveis a ataques de fixação de sessão;

e) Os identificadores de sessão tenham um tempo limite de operação, o que assegura que o utilizador sai do sistema;

f) As senhas, os identificadores de sessão e outras credenciais sejam enviados apenas através do protocolo TLS (Transport Layer Security).

3 - O sistema deve possuir uma configuração de segurança adequada, o que exige, no mínimo, que:

a) Todos os elementos de software sejam atualizados, na medida do necessário para mitigar eventuais vulnerabilidades, nomeadamente o SO, o servidor web e o servidor de aplicações, o sistema de gestão de bases de dados (DBMS), as aplicações, e todas as bibliotecas de códigos;

b) Os serviços e processos desnecessários do SO, servidor web e servidor de aplicações, sejam desativados, retirados ou não sejam instalados;

c) As senhas da conta por defeito sejam alteradas ou desativadas.

4 - O sistema deve limitar o acesso ao URL com base nos níveis e autorizações de acesso do utilizador, exigindo-se, no mínimo, que:

a) Se forem utilizados mecanismos de segurança externos, para fins de autenticação e verificação das autorizações de acesso às páginas, os mesmos devem estar devidamente configurados para cada página;

b) Se for utilizada proteção ao nível dos códigos, a mesma deve existir para cada página pretendida.

5 - O sistema deve utilizar o protocolo TLS de modo a garantir uma proteção suficiente, devendo estar criadas todas as medidas que se seguem ou outras de eficácia equivalente:

a) O sistema deve exigir a versão mais atualizada do protocolo HTTPS (Hypertext Transfer Protocol Secure) para aceder a quaisquer recursos sensíveis utilizando certificados que sejam válidos, não caducados, não revogados e compatíveis com todos os domínios utilizados pelo sítio;

b) O sistema deve apor a indicação «seguro» em todos os cookies sensíveis;

c) O servidor deve configurar o fornecedor do TLS de modo a que este apenas aceite algoritmos de cifragem de dados conformes com as melhores práticas;

d) Os utilizadores devem ser informados de que devem ativar a funcionalidade TLS no seu navegador.

6 - O sistema deve impedir reencaminhamentos e reenvios não validados.

1 - As plataformas eletrónicas não devem partilhar hardware e recursos do SO, nem quaisquer dados, nomeadamente, credenciais de acesso e de cifragem, com qualquer outra aplicação ou sistema.

2 - Cada transação com sucesso que envolva modificação do conteúdo da informação da plataforma eletrónica deve fazer passar a base de dados (BD) de um estado de integridade para outro estado de integridade.

3 - Deve ser garantido que todos os dados críticos da plataforma eletrónica são seguros e autênticos, devendo para o efeito ser utilizados algoritmos e chaves fortes, de acordo com as normas internacionais.

4 - Devem ser considerados como dados críticos, no mínimo, todas as configurações de segurança, perfis de utilizador, dados relativos às peças do procedimento e propostas, bem como os respetivos backups.

1 - A ligação da plataforma eletrónica à Internet deve ser protegida por um sistema de proteção de fronteira.

2 - Todo o tráfego destinado à plataforma eletrónica deve ser inspecionado e registado.

3 - As regras do sistema de proteção de fronteira devem rejeitar o tráfego que não é necessário à utilização e à administração segura do sistema.

4 - A plataforma eletrónica deve estar alojada num segmento da rede de produção devidamente protegido, separado de eventuais segmentos utilizados para alojar sistemas que não são de produção, como ambientes de desenvolvimento ou de testes.

5 - A rede local (LAN) deve cumprir, no mínimo, as seguintes medidas de segurança:

a) Lista de acesso Layer 2/ segurança dos portos (port switch);

b) Os portos não utilizados/necessários devem ser desativados;

c) A DMZ (demilitarized zone) deve encontrar-se numa rede local virtual (VLAN) ou LAN própria;

d) Não devem estar ativas interligações (trunking) L2 em portas desnecessárias.

O tratamento de informação, pelas plataformas eletrónicas, que contenha dados pessoais, implica a notificação prévia da Comissão Nacional de Proteção de Dados, nos termos previstos na Lei de Proteção de Dados Pessoais.

Sem prejuízo dos controlos de segurança identificados e implementados, com base nos requisitos da ISO/IEC 27001, os sistemas que compõem a plataforma eletrónica devem estar devidamente protegidos em zona segura, com acesso restrito e controlado por sistemas de controlo de acessos e dentro dessa zona, no mínimo, instalado num bastidor seguro.

1 - A plataforma eletrónica deve garantir a existência de uma conta individual por utilizador e que os dados de autenticação são únicos.

2 - Sempre que o utilizador sai da sua conta (logout), para voltar a entrar a plataforma eletrónica deve requerer novamente a apresentação dos dados de autenticação.

3 - A plataforma eletrónica deve garantir que o utilizador tem capacidade para definir as suas senhas ou códigos de acesso, gerir os seus certificados de autenticação, gerir os seus selos de validação cronológica e autenticar-se de forma segura, designadamente através do cartão do cidadão ou da chave móvel digital.

4 - Nos casos em que os dados de autenticação são criados pela plataforma eletrónica ou por um sistema exterior, a plataforma eletrónica deve garantir que na primeira utilização o utilizador é obrigado a definir novos dados de autenticação, exceto quando aquela seja feita através da interligação com os mecanismos referidos na alínea f) do n.º 1 do artigo 35.º

5 - Se for ultrapassado o número máximo de tentativas de autenticação, a plataforma eletrónica deve bloquear a conta do utilizador, que é notificado, por meio fidedigno, do procedimento estabelecido para o desbloqueio.

6 - A plataforma pode permitir o acesso dos utilizadores por método de autenticação através do nome de utilizador e senha, de acordo com o n.º 3, e deve alertar os utilizadores para o nível de segurança associado a esse método de autenticação.

1 - As plataformas eletrónicas devem garantir a capacidade de controlar e limitar o acesso aos diversos recursos, identificando os utilizadores, associando o perfil às respetivas permissões e restrições.

2 - Para o efeito, as entidades gestoras de plataformas devem garantir a identificação correta e fiável dos utilizadores e do operador económico através de processo de verificação.

3 - O processo de verificação de identidade inicia-se após solicitação do operador económico, devendo a entidade gestora disponibilizar um certificado de autenticação provisório e gratuito em 24 horas, garantindo a sua conclusão com a entrega do certificado de autenticação definitivo no prazo máximo de 30 dias.

4 - O processo de verificação de identidade é dispensado para procedimentos de formação de contratos celebrados ao abrigo de acordo-quadro.

5 - As plataformas devem ter mecanismos para garantir o controlo de perfis e acesso restrito às peças concursais para os procedimentos que exigem um nível de proteção elevado e verificação dos utilizadores que podem ter acesso.

6 - As aplicações devem operar com o menor conjunto de privilégios de que necessitam para esse fim.

1 - Para a cifragem dos dados devem ser utilizados algoritmos correntes fortes e chaves fortes.

2 - A integridade das senhas deve ser controlada com técnicas hash que utilizam um algoritmo corrente forte e com técnicas salt adequadas.

3 - Todas as chaves e senhas devem estar protegidas contra qualquer acesso não autorizado.

4 - Quando as chaves assimétricas sejam emitidas pela plataforma eletrónica e para efeitos de confidencialidade, devem as mesmas ser alvo de mecanismos e procedimentos de retenção da chave privada (key escrow), com controlo multipessoal.

1 - Os registos de acessos devem indicar os dados da máquina de origem, da máquina de destino, do utilizador do sistema, da data e hora do evento e dos ficheiros acedidos, quando aplicável.

2 - A plataforma eletrónica deve:

a) Disponibilizar um interface amigável que permita analisar a informação constante dos registos de auditoria, com capacidade para efetuar pesquisas, pelo menos, baseado na data e hora do evento, no tipo de evento e na identidade do utilizador/processo;

b) Garantir a segurança dos dados de registo, bem como suficiente espaço para guardar esses dados;

c) Garantir que os dados de registo não podem ser automaticamente reescritos;

d) Garantir que é vedada a leitura no registo de acessos a todo e qualquer utilizador, com exceção dos que, possuindo perfil de auditores de sistemas, estejam expressamente autorizados para o efeito;

e) Gerar alarmes, designadamente, por correio eletrónico e por SMS (short message service), sempre que se detete eventual violação de segurança.

3 - No mínimo, sempre que um utilizador com perfil de administrador de segurança ou administrador de sistemas exceda o número máximo de tentativas de autenticação deve ser gerado o referido alarme para os utilizadores com o perfil de administrador de segurança.

4 - O período de retenção dos arquivos de auditoria e registo de acessos deve ser de cinco anos.

5 - As plataformas eletrónicas devem, obrigatoriamente, registar os seguintes eventos:

a) Ligar e desligar os servidores;

b) Tentativas com sucesso ou fracassadas de alteração dos parâmetros de segurança do SO;

c) Tentativas com sucesso ou fracassadas de criar, modificar, apagar contas do sistema;

d) Ligar e desligar as aplicações e sistemas utilizados pela plataforma eletrónica;

e) Tentativas com sucesso ou fracassadas de início e fim de sessão;

f) Tentativas com sucesso ou fracassadas de consulta de dados;

g) Tentativas com sucesso ou fracassadas de alteração de configurações;

h) Tentativas com sucesso ou fracassadas de modificação de dados;

i) Tentativas com sucesso ou fracassadas de criar, modificar ou apagar informação relativa às permissões;

j) Tentativas com sucesso ou fracassadas de acesso às instalações onde estão alojados os sistemas das plataformas eletrónicas;

k) Cópias de segurança, recuperação ou arquivo dos dados;

l) Alterações ou atualizações de software e hardware;

m) Manutenção do sistema.

1 - As plataformas eletrónicas devem garantir que conseguem gerar arquivos em suporte lógico adequado.

2 - As plataformas eletrónicas devem garantir a guarda e o processamento dos arquivos de modo a poderem vir a constituir-se como meio de prova.

3 - Os registos de acesso e toda a documentação relativa aos procedimentos de formação de contratos públicos devem ser arquivados.

4 - As plataformas eletrónicas devem garantir a manutenção e o arquivo dos registos de utilização e acesso dos documentos nela carregados.

5 - O registo dos arquivos de auditoria deve ser realizado de preferência em texto com codificação UTF-8 (unicode transformation format) e exportável.

6 - Os arquivos devem ser armazenados e organizados de forma sequencial, diariamente, sendo assinados eletronicamente e com aposição de selo temporal emitido por uma entidade certificadora que preste serviços de validação cronológica.

7 - A plataforma eletrónica deve garantir, do ponto de vista tecnológico, que a destruição de um arquivo só pode ser levado a cabo com a autorização expressa por escrito do administrador de sistema, do administrador de segurança e do auditor de sistemas.

1 - A plataforma eletrónica deve incluir uma função para efetuar cópia de segurança da informação associada aos procedimentos de contratação eletrónica.

2 - Os dados guardados na cópia de segurança devem ser suficientes para recriar o estado do sistema.

3 - Um utilizador que pertença a um perfil com suficientes privilégios deve ser capaz de invocar a função de cópia de segurança.

4 - As cópias de segurança devem estar protegidas contra modificação com recursos a mecanismos de assinatura digital.

5 - As plataformas eletrónicas devem assegurar que a informação relativa a parâmetros críticos de segurança da plataforma eletrónica não está armazenada em claro, devendo ser cifrada com recurso a algoritmos correntes fortes e chaves fortes, conformes às normas internacionais, sendo a gestão de chaves parte integrante do sistema.

6 - A plataforma eletrónica deve incluir uma função para recuperação com capacidade para repor o sistema através da cópia de segurança.

7 - Um utilizador que pertença a um perfil com suficientes privilégios deve ser capaz de invocar a função de recuperação.

8 - Os registos de auditoria são considerados informação sensível, devendo ser preservados de acordo com o definido no artigo 44.º

9 - Qualquer período de tempo em que os arquivos de auditoria possam estar desativados deve ser registado no respetivo arquivo de auditoria, com indicação da data e hora de início e o registo do respetivo fim.

1 - Nas diferentes fases do procedimento, o acesso aos documentos que constituem as candidaturas, as soluções e as propostas só deve ser possível na data fixada nos termos das regras do procedimento.

2 - Os documentos que constituem as candidaturas, as soluções e as propostas carregados nas plataformas eletrónicas devem ser encriptados com recurso a técnicas de criptografia assimétrica.

3 - Para cada procedimento as plataformas eletrónicas devem emitir um certificado próprio e único que permite a encriptação de documentos.

4 - A entidade adjudicante pode disponibilizar um certificado próprio para a encriptação no âmbito do seu procedimento.

5 - A plataforma eletrónica deve garantir que todos os documentos que constituem as candidaturas, as soluções e as propostas são cifrados com recurso ao certificado referido no n.º 3 ou no número anterior.

6 - Nos casos referidos no n.º 3, quando emitidos, os certificados são alvo de procedimentos de retenção da chave privada (key escrow), com controlo multipessoal de duas das três seguintes funções: administrador de sistemas, administrador de segurança e auditor de segurança.

7 - As plataformas eletrónicas devem assegurar a custódia de chaves privadas e atribuir acesso às mesmas aos membros do júri ou, caso este não exista, a um utilizador da entidade adjudicante devidamente autorizado, para efeitos da desencriptação dos documentos.

8 - A plataforma eletrónica deve garantir que o acesso à chave privada referido no número anterior é efetuado de forma automatizada, não podendo ser conhecido o segredo de acesso à chave privada por qualquer pessoa ou entidade, incluindo a entidade gestora, que não os membros do júri ou, caso este não exista, um utilizador da entidade adjudicante devidamente autorizado.

9 - As plataformas eletrónicas devem disponibilizar aos interessados os programas e aplicações que permitem utilizar certificados digitais para cifrar os documentos.

10 - A circunstância de os documentos serem encriptados não dispensa os interessados do requerimento de classificação de documentos a que alude o n.º 1 do artigo 66.º do CCP para efeitos de restrição ou de limitação do acesso aos mesmos para salvaguarda de direitos do interessado.

11 - Nos casos referidos no número anterior, a plataforma eletrónica deve garantir que os documentos cuja classificação tenha sido autorizada pela entidade adjudicante apenas sejam visíveis pelos membros do júri, sem prejuízo do disposto no n.º 4 do artigo 66.º do CCP.

1 - Os documentos submetidos na plataforma eletrónica, pelas entidades adjudicantes e pelos operadores económicos, devem ser assinados com recurso a assinatura eletrónica qualificada, nos termos dos n.os 2 a 6.

2 - Os documentos elaborados ou preenchidos pelas entidades adjudicantes ou pelos operadores económicos devem ser assinados com recurso a certificados qualificados de assinatura eletrónica próprios ou dos seus representantes legais.

3 - Os documentos eletrónicos emitidos por entidades terceiras competentes para a sua emissão, designadamente, certidões, certificados ou atestados, devem ser assinados com recurso a certificados qualificados de assinatura eletrónica das entidades competentes ou dos seus titulares, não carecendo de nova assinatura por parte das entidades adjudicantes ou do operador económico que os submetem.

4 - Os documentos que sejam cópias eletrónicas de documentos físicos originais emitidos por entidades terceiras, podem ser assinados com recurso a certificados qualificados de assinatura eletrónica da entidade adjudicante ou do operador económico que o submete, atestando a sua conformidade com o documento original.

5 - Nos documentos eletrónicos cujo conteúdo não seja suscetível de representação como declaração escrita, incluindo os que exijam processamento informático para serem convertidos em representação como declaração escrita, designadamente, processos de compressão, descompressão, agregação e desagregação, a aposição de uma assinatura eletrónica qualificada deve ocorrer em cada um dos documentos eletrónicos que os constituem, assegurando-lhes dessa forma a força probatória de documento particular assinado, nos termos do artigo 376.º do Código Civil e do n.º 2 do artigo 3.º do Decreto-Lei n.º 290-D/99, de 2 de agosto, alterado e republicado pelo Decreto-Lei n.º 88/2009, de 9 de abril, sob pena de causa de exclusão da proposta nos termos do artigo 146.º do Código dos Contratos Públicos.

6 - No caso de entidades que devam utilizar assinaturas eletrónicas emitidas por entidades certificadoras integradas no Sistema de Certificação Eletrónica do Estado, o nível de segurança exigido é o que consta do Decreto-Lei n.º 116-A/2006, de 16 de junho, alterado e republicado pelo Decreto-Lei n.º 161/2012, de 31 de julho.

7 - Nos casos em que o certificado digital não possa relacionar o assinante com a sua função e poder de assinatura, deve a entidade interessada submeter à plataforma eletrónica um documento eletrónico oficial indicando o poder de representação e a assinatura do assinante.

8 - Sempre que solicitado pelas entidades adjudicantes ou pelos operadores económicos, as plataformas eletrónicas devem garantir, no prazo máximo de cinco dias úteis, a integração de novos fornecedores de certificados digitais qualificados.

9 - As plataformas eletrónicas devem garantir que a validação dos certificados é feita com recurso à cadeia de certificação completa.

1 - Todos os documentos submetidos nas plataformas eletrónicas, bem como todos os atos que, nos termos do CCP, devem ser praticados dentro de um determinado prazo, são sujeitos à aposição de selos temporais emitidos por uma entidade certificadora credenciada para a prestação de serviços de validação cronológica.

2 - Para efeitos do disposto no número anterior, os atos sujeitos à aposição de selos temporais são os seguintes:

a) Os esclarecimentos solicitados pelos interessados, convidados ou candidatos;

b) Os esclarecimentos prestados pela entidade adjudicante;

c) As retificações efetuadas pela entidade adjudicante;

d) A apresentação de lista de erros e omissões;

e) A aceitação ou rejeição dos erros e omissões pela entidade adjudicante;

f) A submissão de candidaturas, propostas e soluções;

g) A notificação para audiência prévia;

h) A pronúncia de candidato ou concorrente em sede de audiência prévia;

i) A decisão de adjudicação;

j) A notificação da minuta do contrato;

k) A aceitação expressa ou reclamação à minuta do contrato;

l) A apresentação dos documentos de habilitação;

m) A apresentação de comprovativo da prestação de caução;

n) A apresentação de reclamações e impugnações;

o) A notificação para audiência de contrainteressados.

3 - As plataformas eletrónicas devem guardar e associar ao procedimento todos os selos temporais originados pelos documentos ou transações.

4 - Sempre que solicitado pelas entidades adjudicantes ou pelos operadores económicos, as plataformas eletrónicas devem garantir, no prazo máximo de cinco dias úteis, a integração de novos prestadores de serviços de validação cronológica.

5 - Decorrido o prazo definido no número anterior, a entidade gestora da plataforma eletrónica deve assegurar todos os custos relacionados com a validação cronológica.

1 - As plataformas eletrónicas devem garantir a compatibilidade com mecanismos para validação da habilitação dos fornecedores de serviços de certificação eletrónica qualificados, requeridos no âmbito da presente lei, nomeadamente, a capacidade de interpretação das Trusted-Status Services List (TSL) de todos os Estados membros e da Comissão Europeia, segundo a norma ETSI TS 119 612, na versão mais recente.

2 - Nos casos em que através da interpretação da TSL resultar alguma não conformidade sobre a habilitação do prestador de serviços de certificação eletrónica, a plataforma deve apenas fornecer tal informação, não podendo ser feita de forma automática a exclusão de qualquer proposta.

1 - A identificação dos utilizadores perante as plataformas eletrónicas efetua-se mediante a utilização de nome de utilizador e da palavra-chave, podendo ainda ser utilizados certificados digitais próprios ou certificados disponibilizados pelas plataformas eletrónicas, bem como o cartão de cidadão ou a chave móvel digital referidos na alínea f) do n.º 1 do artigo 35.º

2 - No caso de entidades que devem utilizar assinaturas eletrónicas emitidas por entidades certificadoras integradas no Sistema de Certificação Eletrónica do Estado, o nível de segurança exigido é o que consta do Decreto-Lei n.º 116-A/2006, de 16 de junho, alterado e republicado pelo Decreto-Lei n.º 161/2012, de 31 de julho.

3 - O mecanismo de validação de certificados dos utilizadores é efetuado tendo por base o certificado e a respetiva cadeia de certificação completa.

4 - As plataformas eletrónicas devem garantir a integração com o Sistema de Certificação de Atributos Profissionais.

As plataformas eletrónicas devem, relativamente aos documentos que estejam sob a sua custódia:

a) Cumprir as normas, standards e procedimentos de arquivo para garantir a preservação digital e a interoperabilidade;

b) Garantir a preservação das assinaturas eletrónicas utilizadas nos diversos procedimentos;

c) Implementar mecanismos tecnológicos para preservação, armazenamento, indexação e recuperação dos arquivos;

d) Garantir que a informação respeitante a cada procedimento pode ser exportada em formatos normalizados para efeitos de preservação;

e) Disponibilizar os registos de acessos por parte dos interessados, concorrentes e adjudicatários, bem como todos os outros utilizadores do sistema;

f) Disponibilizar os seus arquivos de registos de acessos à entidade adjudicante, sempre que esta o solicite, e também para efeito de auditorias externas.

Os documentos que integram os procedimentos de contratação pública devem ser conservados pelas plataformas eletrónicas, nos termos do artigo 107.º do CCP, juntamente com o software e tecnologias que permitam a sua leitura, até ao termo do prazo estabelecido na lei para aquela conservação, sem prejuízo do dever de remessa às entidades adjudicantes de toda a informação e documentação associada aos procedimentos de formação de contrato que lhe digam respeito, em formato digital.

CAPÍTULO VII

Regras gerais de funcionamento das plataformas eletrónicas em procedimentos de formação de contratos públicos

Compete ao representante da entidade adjudicante conduzir o procedimento de formação de contratos públicos, constituindo a plataforma eletrónica apenas a infraestrutura tecnológica na qual aquele procedimento se desenvolve.

1 - Todas as notificações e comunicações entre a entidade adjudicante ou o júri do procedimento e os interessados, os concorrentes ou o adjudicatário, relativas à fase de formação do contrato e que, nos termos do CCP, devem ser praticadas num determinado prazo são feitas através das plataformas eletrónicas por via de envio automático de mensagens eletrónicas, devendo as mesmas ficar disponíveis para consulta na área exclusiva respetiva.

2 - A data e a hora precisas das notificações e comunicações são registadas, de acordo com o artigo 469.º do CCP, devendo os serviços da plataforma eletrónica ser detentores de mecanismos que permitam obter com exatidão a data e a hora fornecidas por uma entidade certificadora que preste serviços de validação cronológica.

1 - No âmbito de cada procedimento de formação de um contrato, a plataforma eletrónica disponibiliza, em área de acesso livre, e de forma completa e gratuita, as peças do procedimento, a partir da data da publicação do anúncio.

2 - O acesso aos restantes documentos do procedimento, designadamente os relativos aos esclarecimentos e às retificações da autoria da entidade adjudicante, às suas decisões de prorrogação do prazo, às listas dos erros e omissões identificados pelos interessados, à lista dos erros e omissões aceites pela entidade adjudicante e às notificações e comunicações na fase prévia à apresentação das propostas, é reservado aos interessados registados e participantes no mesmo.

3 - Após a abertura das propostas pelo júri, ou pelo responsável pelo procedimento caso não exista júri, as plataformas eletrónicas devem garantir o acesso exclusivo, por parte das entidades incluídas na lista dos concorrentes, a todas as propostas apresentadas, aos esclarecimentos sobre a proposta da autoria dos respetivos concorrentes, aos documentos de habilitação apresentados pelo adjudicatário, bem como a todos os demais atos ou formalidades procedimentais relativos à fase posterior à apresentação das propostas que, nos termos do disposto no CCP, devam ser publicitados na plataforma eletrónica utilizada pela entidade adjudicante.

4 - No caso de classificação de determinados documentos que constituem a proposta, nos termos do artigo 66.º do CCP, as plataformas eletrónicas devem estar aptas a disponibilizar para consulta dos restantes concorrentes, nos termos do n.º 2 do artigo 138.º do CCP, apenas os documentos não classificados da mesma.

5 - A disponibilização referida no número anterior ocorre de forma automática, tendo por base a sinalização feita pelo interessado durante o carregamento do documento classificado, sem prejuízo do disposto no n.º 3 do artigo 66.º do CCP.

6 - A plataforma eletrónica deve ainda permitir a disponibilização, a qualquer momento, de documentos sinalizados pelos concorrentes que o órgão competente para a decisão de contratar considere não classificados, nos termos do n.º 3 do artigo 66.º do CCP, ou desclassifique, nos termos do n.º 4 do mesmo artigo.

7 - As listas, previstas no CCP, dos concorrentes e dos candidatos aos procedimentos de formação de contratos públicos devem ser publicitadas junto de todos os interessados.

1 - As plataformas eletrónicas disponibilizam aos interessados a indicação da data e hora do termo do prazo para a apresentação dos pedidos de esclarecimento e das propostas, bem como da data e hora do termo do prazo para a apresentação da lista, prevista no artigo 61.º do CCP, na qual sejam identificados erros e omissões do caderno de encargos.

2 - A informação a disponibilizar é introduzida pela entidade adjudicante, não dependendo de qualquer automatismo da plataforma eletrónica.

1 - Sem prejuízo do cumprimento dos requisitos de interoperabilidade e compatibilidade previstos no RNID, a entidade adjudicante pode fazer exigências quanto a características dos ficheiros que contêm os documentos que constituem as propostas apresentadas pelos concorrentes nas plataformas eletrónicas, devendo, para o efeito, incluir no programa do procedimento ou no convite as respetivas especificações.

2 - Sem prejuízo do disposto no número anterior, sempre que, por razões de excessivo volume ou complexidade dos dados a submeter, relativos a elementos da proposta solicitados pela entidade adjudicante, não seja tecnicamente possível aos concorrentes ou candidatos submeter documentos ou ficheiros através de plataforma eletrónica, deve a entidade adjudicante permitir a entrega dos documentos através de suportes físicos de informação, a definir no programa do procedimento ou, no caso do ajuste direto, no convite.

3 - Para efeitos do disposto no n.º 1, a entidade adjudicante pode, designadamente, estabelecer especificações relativas:

a) À organização dos ficheiros, através de uma padronização da estrutura em árvore respetiva;

b) Ao número de ficheiros, documento a documento ou no seu conjunto;

c) À dimensão dos ficheiros, individualmente, por documento ou globalmente;

d) Ao título dos ficheiros, que pode incluir secção predefinida relativa ao documento a que respeita, bem como o número de ordem do interessado, ou o número de identificação fiscal respetivo, o código da proposta, nos termos definidos no anexo II à presente lei, que dela faz parte integrante, e ainda os códigos do procedimento ou de outros aspetos a definir;

e) À apresentação de informação, constando de um índice ou de uma descrição e explicação da estrutura e do conteúdo dos ficheiros que constituem a proposta;

f) Ao formato dos documentos;

g) Ao universo das aplicações informáticas de base cujo uso é aceitável.

4 - Além da informação referida no número anterior, as propostas podem ainda incluir os seguintes elementos complementares, a inscrever em formulário próprio:

a) Declaração remetendo para um conjunto de ficheiros de outra proposta do mesmo interessado, tal como descrito no n.º 12 do artigo 68.º, se o programa do procedimento admitir a apresentação de propostas variantes e se o interessado assim o decidir;

b) Nota explicativa, tal como descrita na alínea e) do número anterior, se o programa do procedimento for omisso quanto às exigências referidas no número anterior mas o concorrente apresentar uma estrutura e conteúdo de ficheiros próprios.

5 - Os requisitos a incluir no programa do procedimento podem contemplar uma ou várias das características referidas nos números anteriores, bem como outras que a entidade adjudicante entenda relevante solicitar.

6 - As disposições a que se referem os números anteriores são válidas para as eventuais folhas constituintes de cada ficheiro, quando, com as devidas adaptações, forem aplicáveis.

7 - A entidade adjudicante pode solicitar que cada documento ou parcela de documento contido em cada ficheiro de uma proposta permita uma leitura sequencial, independentemente da natureza das componentes que o constituem.

8 - A entidade adjudicante pode solicitar a apresentação de ficheiros consistindo em folhas de cálculo, que repitam informação prestada noutros ficheiros e que contenham fórmulas de cálculo que permitam verificar a formação dos resultados, ou solicitar outros tipos de repetição de informação associada a formatos diversos.

9 - As solicitações a que se referem os números anteriores devem constar do programa de procedimento.

1 - A data e hora limite para entrega das candidaturas, das soluções e das propostas, devem ser fixadas pela entidade adjudicante nas peças do procedimento.

2 - Para efeitos de determinação da data e hora referidas no número anterior, deve ter-se em consideração o momento em que o concorrente procede à submissão da totalidade dos documentos que as integram, nos termos do disposto no artigo 70.º

3 - A plataforma eletrónica deve operacionalizar um sistema de aviso de receção eletrónico que comprove o sucesso do envio dos documentos que constituem as candidaturas, as soluções e as propostas, bem como a data e hora da submissão.

4 - A plataforma eletrónica deve assegurar a determinação precisa da data e hora da transmissão dos dados referidos no número anterior, devendo aqueles dados ser inscritos na proposta no momento da sua receção.

5 - O aviso de receção referido no n.º 3 é enviado, de imediato, para o interessado.

6 - Caso o envio completo não seja bem-sucedido, considera-se não ter existido qualquer apresentação de candidaturas, soluções e propostas, devendo o interessado ser, de imediato, notificado desse facto.

1 - Para efeitos do carregamento de uma proposta, no âmbito de um procedimento de formação de um contrato público, a plataforma eletrónica deve incluir obrigatoriamente:

a) As áreas específicas para carregamento dos ficheiros correspondentes aos documentos que constituem a proposta, de acordo com o definido pela entidade adjudicante;

b) O formulário específico para preenchimento, doravante designado por formulário principal, conforme modelo aprovado pela portaria referida no artigo 38.º, a enviar posteriormente ao Portal dos Contratos Públicos;

c) Os campos para recolha de informação dos preços propostos pelos operadores económicos, sempre que definido pela ESPAP, I. P., nos termos previstos na alínea c) do n.º 2 do artigo 30.º

2 - O programa do procedimento pode prever a disponibilização, por parte da plataforma eletrónica, de formulários para preenchimento pelos concorrentes que substituam algum ou alguns dos ficheiros a que se refere a alínea a) do número anterior.

3 - A discriminação do valor da proposta que caiba a cada um dos membros do agrupamento concorrente, incluída no formulário principal, não substitui nem tem o mesmo âmbito que a informação requerida nos termos do n.º 5 do artigo 60.º do CCP.

4 - Para além dos documentos e do formulário referidos no n.º 1, as propostas podem ainda incluir os elementos complementares previstos no n.º 4 do artigo 64.º, bem como quaisquer outros documentos que os concorrentes considerem indispensáveis nos termos previstos no n.º 3 do artigo 57.º do CCP.

5 - A plataforma eletrónica deve disponibilizar um recibo eletrónico, que é anexado à proposta.

1 - Os dados do formulário principal referido na alínea b) do n.º 1 do artigo anterior, devem ser objeto de codificação quando não se trate de dados numéricos.

2 - De acordo com o número anterior, cabe ao concorrente codificar as propostas que apresenta, bem como apresentar a sua identificação ou a de cada membro do agrupamento concorrente, no âmbito do preenchimento do formulário principal.

3 - A codificação de cada proposta é exigível desde o início do respetivo carregamento e é feita de acordo com as regras que constam do anexo II.

4 - A identificação dos concorrentes referida no n.º 2 apenas deve ter lugar uma vez, através de introdução direta ou por seleção em lista disponibilizada pela plataforma eletrónica, aquando da apresentação da primeira proposta pelo concorrente ou aquando da prévia candidatura, caso exista.

5 - O sistema de identificação que a plataforma eletrónica disponibiliza aos concorrentes deve respeitar os requisitos previstos no Portal dos Contratos Públicos para efeitos da transmissão da informação relativa a essa identificação da plataforma eletrónica para o Portal.

1 - As plataformas eletrónicas devem permitir o carregamento progressivo, pelo interessado, da proposta ou propostas, até à data e hora prevista para a submissão das mesmas.

2 - O carregamento mencionado no número anterior é feito na área reservada em exclusivo ao interessado em causa e relativa ao procedimento em curso.

3 - A plataforma eletrónica deve disponibilizar ao interessado as aplicações informáticas que permitam automaticamente, no ato de carregamento, encriptar e apor uma assinatura eletrónica nos ficheiros de uma proposta, localmente, no seu próprio computador.

4 - Sem prejuízo do disposto no número seguinte, quando o interessado realizar o carregamento, na plataforma eletrónica, de um ficheiro de uma proposta, este deve estar já encriptado e assinado, com recurso a assinatura eletrónica qualificada.

5 - As plataformas eletrónicas podem conceder aos interessados a possibilidade de os ficheiros das propostas serem carregados de forma progressiva na plataforma eletrónica, desde que encriptados, permitindo a permanente alteração dos documentos até ao momento da submissão.

6 - O formulário principal e outros formulários a preencher no âmbito do procedimento devem ser disponibilizados ao interessado, por descarga de XML, para alojamento local, no respetivo computador, sendo aplicável, neste caso, o disposto nos n.os 3 e 4.

7 - A plataforma eletrónica só pode permitir o carregamento dos ficheiros que compõem uma proposta após a introdução do respetivo código por parte do interessado, segundo a codificação descrita no anexo II.

8 - As plataformas eletrónicas devem assegurar que o código referido no número anterior está sempre visível para o utilizador, quando este procede ao carregamento dos ficheiros que compõem a proposta.

9 - Quando se verifique um erro de identificação, deve ser possível ao interessado corrigir, até à data e à hora fixadas para a submissão das propostas, o código da proposta que está em fase de carregamento ou que foi já submetida.

10 - As plataformas eletrónicas devem disponibilizar, em permanência, a cada interessado, a lista de códigos das suas propostas que estejam em fase de carregamento e já submetidas.

11 - As plataformas eletrónicas devem impossibilitar que um interessado inicie o carregamento de uma proposta cujo código coincida com o código de outra proposta sua no âmbito do mesmo procedimento, quer esteja em fase de carregamento ou a proposta tenha já sido submetida.

12 - Sempre que seja permitida a apresentação de propostas variantes, pode o concorrente deixar de apresentar ficheiros constituintes de uma determinada proposta que sejam iguais aos de outra proposta sua, apresentada no âmbito do mesmo procedimento, substituindo-os por informação aposta no formulário a aprovar pela portaria referida no artigo 38.º, contendo uma declaração que identifique qual a proposta e quais os ficheiros da mesma que são considerados ali reproduzidos.

13 - Para efeitos do número anterior, na construção de determinada proposta admite-se a remissão para ficheiros de uma única outra proposta, identificada através do código descrito no anexo II.

14 - O formulário principal não é passível de remissões, devendo, em todo o caso, a plataforma eletrónica garantir que não há introdução de dados de identificação já antes introduzidos.

15 - Durante o processo de carregamento, as plataformas eletrónicas devem assegurar aos interessados a possibilidade de substituírem ficheiros já carregados por outros novos, no âmbito do processo de construção de cada proposta.

16 - As plataformas eletrónicas devem disponibilizar aos interessados um sistema que lhes permita sinalizar, durante o carregamento das suas propostas, os ficheiros objeto de classificação, os quais não são disponibilizados aos concorrentes nos termos do n.º 3 do artigo 62.º

1 - Os documentos que constituem a proposta, a candidatura ou a solução são encriptados, sendo-lhes aposta assinaturas eletrónicas qualificadas.

2 - A circunstância de os documentos serem encriptados não dispensa os interessados do requerimento de classificação de documentos a que alude o n.º 1 do artigo 66.º do CCP para efeitos de restrição ou de limitação do acesso aos mesmos para salvaguarda de direitos do interessado.

3 - Nos casos referidos no número anterior, a plataforma eletrónica deve garantir que os documentos cuja classificação tenha sido autorizada pela entidade adjudicante apenas sejam visíveis pelos membros do júri, ou pelo responsável pelo procedimento caso não exista júri, sem prejuízo do disposto no n.º 4 do artigo 66.º do CCP.

1 - Sem prejuízo do disposto no n.º 6 do artigo 65.º, a proposta considera-se apresentada, para efeitos do CCP, quando o concorrente finaliza o processo de submissão.

2 - Nos casos referidos no n.º 5 do artigo 68.º, o momento da submissão desencadeia o processo de encriptação de todos os ficheiros que compõem a proposta.

3 - A submissão de uma proposta só deve ter lugar após o completo preenchimento do formulário principal, incluindo, nos casos em que exista, o anexo referido na alínea c) do n.º 1 do artigo 66.º, que é parte integrante da mesma.

4 - No caso de um concorrente apresentar propostas variantes, o disposto no artigo 137.º do CCP aplica-se a cada uma das propostas e não ao seu conjunto, podendo o concorrente retirar uma proposta em concreto, identificada através do código descrito no anexo II, sem com isso alterar a situação das suas propostas restantes.

5 - A plataforma eletrónica obriga-se a disponibilizar ao júri do procedimento, ou ao responsável pelo procedimento caso não exista júri, todas as propostas que até à data e à hora fixadas, pela entidade adjudicante, para a sua disponibilização e abertura tenham sido submetidas, independentemente da eventual existência de motivos de exclusão das propostas.

1 - Após a submissão, o concorrente deve receber, para efeitos do disposto no n.º 1 do artigo anterior, um recibo eletrónico, com registo da identificação da entidade adjudicante, do procedimento, do lote, se for o caso, do concorrente, da proposta, bem como da data e hora da respetiva submissão.

2 - O recibo deve ser disponibilizado na área de acesso exclusivo do concorrente e ser enviada cópia do mesmo por correio eletrónico.

3 - A plataforma eletrónica agrega à proposta submetida o recibo eletrónico referido nos números anteriores, que passa a constituir um anexo indissociável da mesma, e que, enquanto tal, é entregue ao júri do procedimento, nos termos do n.º 2 do artigo 74.º

4 - As plataformas eletrónicas asseguram que os concorrentes podem consultar as propostas submetidas no âmbito do procedimento de formação do contrato, em qualquer momento a partir da respetiva desencriptação por parte do júri do procedimento, ou pelo responsável pelo procedimento caso não exista júri, e até seis meses após a conclusão do procedimento.

1 - Após a submissão das propostas, nos termos do disposto no artigo 70.º, a plataforma eletrónica atribui de forma automática e sequencial um número de ordem preliminar aos concorrentes, tomando por base o momento de submissão da proposta por cada concorrente ou, no caso de serem apresentadas propostas variantes, da primeira das suas propostas.

2 - As plataformas eletrónicas devem garantir o registo e a ordenação sequencial de todos os interessados e concorrentes que se registem na mesma, informação que deve ser prestada às entidades adjudicantes no âmbito de cada procedimento.

3 - O processo de disponibilização da versão prévia da lista dos concorrentes ao júri do procedimento, ou ao responsável pelo procedimento caso não exista júri, e, posteriormente, da versão validada para publicitação geral consta dos artigos 75.º e 76.º

4 - O elenco de dados da lista dos concorrentes consta da portaria referida no artigo 38.º

5 - Para efeitos da disponibilização aos intervenientes, o formato de visualização dos dados a que se refere o número anterior é adotado livremente por cada plataforma eletrónica.

1 - Os meios eletrónicos utilizados pelas plataformas eletrónicas devem assegurar que as entidades adjudicantes e os restantes concorrentes só tomam conhecimento do conteúdo das candidaturas, das soluções e das propostas, depois de serem abertas pelo júri do procedimento, ou pelo responsável pelo procedimento caso não exista júri.

2 - A entidade adjudicante comunica à empresa gestora o momento em que devem ser publicitadas na plataforma eletrónica a data limite para a apresentação de candidaturas, de soluções e de propostas, bem como a data e hora de abertura das mesmas.

3 - As comunicações previstas no número anterior devem sempre ter lugar quando, por motivos de suspensão ou interrupção do prazo para apresentação de candidaturas, de soluções e de propostas, ocorra uma alteração da respetiva data e hora ou da data e hora para abertura das mesmas.

1 - As propostas não podem ser disponibilizadas ao júri, ou ao responsável pelo procedimento caso não exista júri, antes do termo do prazo para a respetiva apresentação.

2 - A disponibilização e a abertura das propostas pelo júri do procedimento deve ocorrer na sequência da ordem dada pelo mesmo nesse sentido, mediante autenticação de, pelo menos, três dos respetivos membros, salvo quando não exista júri mas apenas um responsável pelo procedimento.

3 - A disponibilização referida no n.º 1 contempla a totalidade das propostas submetidas na plataforma eletrónica no âmbito do procedimento em causa e inclui a respetiva ficha prévia de abertura de propostas descrita no artigo seguinte.

4 - A data e hora da disponibilização e abertura das propostas pelo júri, ou pelo responsável pelo procedimento caso não exista júri, é previamente publicitada na plataforma eletrónica.

1 - As plataformas eletrónicas asseguram a construção automática, para cada procedimento, de uma ficha prévia de abertura de propostas, nos termos a definir na portaria referida no artigo 38.º, que se destina a ser disponibilizada exclusivamente ao júri do procedimento, ou ao responsável pelo procedimento, caso não exista júri.

2 - A construção automática a que se refere o número anterior implica uma agregação dos dados introduzidos pelos concorrentes no formulário principal, relativo a cada proposta.

3 - As plataformas eletrónicas são livres de estabelecer o formato de visualização da ficha prévia de abertura de propostas a disponibilizar ao júri do procedimento.

4 - A lista prévia dos concorrentes constitui uma parcela da ficha prévia de abertura de propostas no que respeita aos dados que a integram.

1 - Após ter procedido à abertura das propostas, o júri do procedimento, ou o responsável pelo procedimento caso não exista júri, deve verificar se a ficha prévia de abertura das propostas se mantém válida ou se, pelo contrário, devem ser feitas alterações.

2 - Caso seja necessária a realização de alterações, a ficha de abertura das propostas é completada sobre a plataforma eletrónica pelo júri do procedimento, ou pelo responsável pelo procedimento caso não exista júri, através de um interface que salvaguarde a natureza codificada dos dados, necessária para o envio de informação a que se refere o n.º 4.

3 - Após a eventual alteração da ficha de abertura das propostas, a lista dos concorrentes é publicitada no dia imediato ao termo do prazo fixado para a apresentação daquelas.

4 - No prazo de 10 dias úteis após a disponibilização e abertura das propostas, a plataforma eletrónica deve transmitir para o Portal dos Contratos Públicos a informação contida na ficha de abertura das propostas.

1 - O disposto na presente lei é aplicável, com as devidas adaptações, à negociação por via eletrónica e aos leilões eletrónicos, sem prejuízo do disposto no número seguinte.

2 - Durante a fase de leilão eletrónico não é exigível a utilização de assinaturas eletrónicas para a apresentação das propostas.

3 - A plataforma eletrónica deve registar as propostas introduzidas incorretamente, ainda que as mesmas não devam ser consideradas para efeitos do leilão eletrónico.

CAPÍTULO VIII

Fiscalização e sanções

1 - O IMPIC, I. P., e o GNS, no âmbito das suas competências, fiscalizam a atividade de gestão das plataformas eletrónicas, podendo solicitar a quaisquer serviços públicos ou autoridades a colaboração ou auxílio que sejam necessários.

2 - Todas as entidades e seus agentes utilizadores das plataformas devem participar ao IMPIC, I. P., e ao GNS quaisquer indícios de infração à presente lei de que tenham conhecimento.

1 - O IMPIC, I. P., e o GNS podem, a todo o tempo e sem aviso prévio, proceder ou mandar proceder a auditorias às plataformas eletrónicas, devendo elaborar relatórios fundamentados, cuja cópia é enviada à empresa gestora.

2 - As auditorias referidas no número anterior não podem ser realizadas pelos auditores de sistemas das próprias empresas gestoras da plataforma eletrónica auditada.

3 - Se das auditorias previstas no n.º 1 resultar a deteção de incumprimento de qualquer disposição da presente lei, o IMPIC, I. P., ou o GNS, consoante os casos, ordenam à empresa gestora que proceda, no prazo máximo de 30 dias, à correção das situações detetadas, findo o qual manda proceder a nova auditoria, para avaliação das correções efetuadas.

4 - Se da nova auditoria resultar que as situações identificadas, ou algumas delas, não foram devidamente corrigidas, decorrido o prazo legal de audiência prévia, deve o facto ser publicitado no Portal dos Contratos Públicos, sem prejuízo da efetivação da responsabilidade contraordenacional a que houver lugar e, nomeadamente, do cancelamento imediato da licença.

5 - As entidades referidas no n.º 1, por sua iniciativa ou a pedido das entidades gestoras de plataformas, devem ainda, sempre que necessário, fazer recomendações, prestar esclarecimentos e emitir deliberações de orientação, por forma a clarificar dúvidas sobre o alcance de requisitos funcionais e outras obrigações legais previstas na presente lei.

1 - Quando o pessoal do IMPIC, I. P., ou do GNS identificar, no exercício das suas competências, por denúncia ou constatação própria, a prática de uma contraordenação, levanta ou manda levantar auto de notícia, que deve mencionar os factos que constituem a infração, bem como o dia, a hora, o local e as circunstâncias em que a mesma foi cometida e tudo o que tenha averiguado acerca da identificação dos infratores e a indicação, quando possível, de, pelo menos, uma testemunha que possa depor sobre os factos.

2 - O auto de notícia previsto no número anterior deve ser redigido num prazo máximo de 30 dias, sendo assinado pelo agente que o levantou e pelas testemunhas, quando as houver.

3 - O auto de notícia levantado nos termos dos números anteriores faz fé, até prova em contrário, sobre os factos presenciados pelo autuante.

As infrações ao disposto na presente lei constituem contraordenações, nos termos dos artigos seguintes.

Constituem infrações muito graves:

a) O exercício da atividade de gestão e exploração de plataformas eletrónicas por empresa que não disponha de licença emitida pelo IMPIC, I. P., nos termos do n.º 1 do artigo 13.º;

b) A violação da regra de segurança prevista no n.º 3 do artigo 69.º que impede que os documentos classificados sejam visíveis por outras pessoas além dos membros do júri do procedimento;

c) A violação da regra de segurança prevista no n.º 1 do artigo 73.º que impede que as entidades adjudicantes e os restantes concorrentes tomem conhecimento do conteúdo das propostas, candidaturas e soluções antes de expirado o prazo previsto para a sua apresentação;

d) A violação da regra de segurança prevista no n.º 1 do artigo 74.º que impede que as propostas sejam disponibilizadas ao júri antes do termo do prazo para a respetiva apresentação.

Constituem infrações graves:

a) A violação da obrigação prevista no n.º 1 do artigo 6.º que determina que a plataforma eletrónica garanta tecnologicamente a possibilidade de livre escolha dos prestadores e dos serviços de certificação eletrónica, por parte das entidades adjudicantes e por parte dos operadores económicos no âmbito dos procedimentos de formação de contratos públicos;

b) O incumprimento da obrigação prevista no n.º 5 do artigo 12.º que determina a correção, pela empresa gestora da plataforma, das situações anómalas detetadas em nova auditoria efetuada pelo auditor de segurança;

c) O incumprimento da obrigação prevista no n.º 6 do artigo 12.º que determina que, verificando-se o cancelamento da licença, nos termos do n.º 5 do mesmo artigo, a entidade gestora da plataforma deve transferir, no prazo de 30 dias, para cada entidade adjudicante, toda a informação e documentação atinente aos respetivos procedimentos de formação de contratos públicos em curso, que devem prosseguir, posteriormente, noutra plataforma eletrónica licenciada pelo IMPIC, I. P.;

d) O incumprimento da obrigação de entrega ao IMPIC, I. P., de cópia eletrónica dos arquivos relativos aos procedimentos de contratação pública conduzidos na respetiva plataforma eletrónica em caso de cancelamento da licença, no prazo de 15 dias da respetiva ocorrência, prevista no n.º 4 do artigo 19.º;

e) O incumprimento da obrigação de manter, a todo o tempo, o cumprimento dos requisitos gerais de licenciamento enumerados no artigo 15.º, prevista na alínea a) do artigo 20.º;

f) O incumprimento da obrigação de implementar um sistema de gestão de sistemas de informação baseado na Norma ISO/IEC 20000 prevista na alínea c) do artigo 20.º;

g) O incumprimento da obrigação de implementar um sistema de gestão de segurança da informação baseado na Norma ISO/IEC 27001 prevista na alínea d) do artigo 20.º;

h) O incumprimento da obrigação de dispor e manter um arquivo organizado dos contratos de prestação de serviços celebrados no exercício da atividade, há menos de 10 anos contados desde a respetiva assinatura, prevista na alínea e) do artigo 20.º;

i) O incumprimento da obrigação de dispor de um sistema eletrónico de gestão de reclamações, prevista na alínea f) do artigo 20.º;

j) A violação da obrigação de facultar ao IMPIC, I. P., e ao GNS o acesso às instalações, ao equipamento e aos sistemas conexos com a atividade de gestão da plataforma eletrónica, bem como às informações, documentação e demais elementos relacionados com a mesma que lhes sejam solicitados por aquelas entidades, prevista no n.º 1 do artigo 21.º;

k) O incumprimento da obrigação de comunicar ao IMPIC, I. P., e ao GNS qualquer alteração verificada nos requisitos gerais de licenciamento previstos no artigo 15.º a contar da respetiva ocorrência, prevista na alínea a) do n.º 1 do artigo 21.º;

l) O incumprimento da obrigação de comunicar ao IMPIC, I. P., a cessação da respetiva atividade em território nacional, prevista na alínea b) do n.º 1 do artigo 21.º;

m) O incumprimento da obrigação de comunicar aos utilizadores a intenção de cessar a atividade de prestação de serviços de gestão da plataforma eletrónica indicando a entidade a quem a documentação será transmitida com a antecedência mínima de 90 dias, prevista no n.º 3 do artigo 22.º;

n) O incumprimento da obrigação de disponibilizar a qualquer operador económico, a título gratuito, até três acessos, em simultâneo, aos serviços base da plataforma eletrónica, prevista no n.º 2 do artigo 23.º;

o) O incumprimento da obrigação de disponibilizar o acesso, a título gratuito, às funcionalidades essenciais referidas nas alíneas a) a j) do n.º 1 do artigo 24.º;

p) O incumprimento da obrigação de conceder o acesso aos serviços base da plataforma eletrónica aos operadores económicos registados numa plataforma, prevista no n.º 2 do artigo 24.º;

q) O incumprimento da obrigação de garantir que, em caso de cessação da atividade, a informação constante da plataforma eletrónica, respeitante a procedimentos de contratação pública já concluídos, bem como todos os arquivos de auditoria transitam, para efeitos de custódia, para as entidades adjudicantes de cada procedimento e que são asseguradas as condições de leitura de todos os documentos, prevista na alínea a) do artigo 26.º;

r) O incumprimento da obrigação de garantir que os procedimentos de contratação pública em curso seguem a sua tramitação até à conclusão, sem qualquer encargo adicional para a entidade adjudicante e para os operadores económicos interessados, candidatos e concorrentes em caso de cessação da atividade contratada, prevista na alínea b) do artigo 26.º;

s) A violação da obrigação de manter as plataformas eletrónicas disponíveis, sem constituir um fator de restrição no acesso dos potenciais interessados aos procedimentos de formação de contratos públicos, prevista no n.º 1 do artigo 28.º;

t) O incumprimento da obrigação de manutenção do acesso às plataformas eletrónicas e aos seus instrumentos permanentemente disponível a todos os interessados, salvo nos casos em que as limitações de acesso se justifiquem por razões de manutenção ou avaria dos sistemas, prevista no n.º 2 do artigo 28.º;

u) O incumprimento da obrigação de utilizar e disponibilizar aos operadores económicos interessados, candidatos ou concorrentes, instrumentos, produtos, aplicações e programas informáticos, bem como as respetivas especificações técnicas, compatíveis com os produtos de uso corrente no domínio das tecnologias da informação e da comunicação, de forma a evitar situações discriminatórias, prevista no n.º 1 do artigo 29.º;

v) A violação da obrigação de não exigir, para efeitos de acesso ao sistema de contratação da plataforma eletrónica, o cumprimento de requisitos injustificados, não proporcionais ou que de forma alguma consubstanciem um fator de discriminação, prevista no n.º 2 do artigo 29.º;

w) O incumprimento dos requisitos funcionais estabelecidos nos artigos 27.º, 30.º, 31.º e 33.º;

x) O incumprimento dos requisitos técnicos estabelecidos nos artigos 34.º e 35.º, no n.º 1 do artigo 36.º, nos n.os 1 e 2 do artigo 37.º e no artigo 38.º;

y) O incumprimento dos requisitos de segurança estabelecidos nos artigos 39.º a 53.º, nos n.os 8 e 9 do artigo 54.º, nos n.os 3, 4 e 5 do artigo 55.º e nos artigos 56.º a 59.º;

z) O incumprimento da obrigação de operacionalização de um sistema de aviso de receção eletrónico que comprove o sucesso do envio dos documentos que constituem a proposta, a candidatura ou as soluções, bem como a data e hora da submissão, prevista no n.º 3 do artigo 65.º;

aa) O incumprimento da obrigação de garantir a possibilidade de determinação precisa da data e hora da transmissão da proposta, da candidatura ou das soluções e a inscrição daqueles dados na proposta no momento da sua receção, prevista no n.º 4 do artigo 65.º;

bb) O incumprimento da obrigação de envio do aviso de receção eletrónico para o interessado, prevista no n.º 5 do artigo 65.º;

cc) O incumprimento da obrigação de disponibilizar recibo eletrónico, o qual é anexado à proposta, prevista no n.º 5 do artigo 66.º;

dd) O incumprimento da obrigação de disponibilizar um sistema de identificação que respeite os requisitos previstos no Portal dos Contratos Públicos para efeitos da transmissão da informação relativa a essa identificação da plataforma eletrónica para o Portal, prevista no n.º 5 do artigo 67.º;

ee) O incumprimento da obrigação de carregamento das propostas nas condições previstas nos n.os 1 a 16 do artigo 68.º;

ff) O incumprimento da obrigação de submissão das propostas nas condições previstas nos n.os 1 a 5 do artigo 70.º;

gg) O incumprimento da obrigação de garantir que os concorrentes recebem um recibo eletrónico comprovativo da submissão da proposta nas condições previstas nos n.os 1 a 3 do artigo 71.º;

hh) O incumprimento da obrigação de garantir que os concorrentes podem consultar as propostas submetidas nos termos estabelecidos no n.º 4 do artigo 71.º;

ii) O incumprimento da obrigação de transmitir para o Portal dos Contratos Públicos, no prazo de 10 dias úteis após a disponibilização e abertura das propostas, a informação contida na ficha de abertura das mesmas, prevista no n.º 4 do artigo 76.º;

jj) O incumprimento da obrigação prevista no n.º 3 do artigo 79.º que determina a correção, pela empresa gestora da plataforma, das situações anómalas detetadas em auditoria realizada pelo IMPIC, I. P., ou pelo GNS.

Constituem infrações leves:

a) O incumprimento da obrigação de comunicar ao IMPIC, I. P., a criação de sucursais, agências, estabelecimentos, locais de atendimento e outras formas de representação comercial da empresa relacionadas com a atividade de gestão de plataformas eletrónicas em território nacional, prevista na alínea c) do n.º 1 do artigo 21.º;

b) O incumprimento da obrigação, prevista no n.º 2 do artigo 21.º, de informar o IMPIC, I. P., e o GNS, no prazo de 30 dias a contar da respetiva ocorrência, de todas as alterações que impliquem atualização de dados identificativos da empresa pelas empresas gestoras estabelecidas em território nacional e pelas sociedades com sede em território nacional ou constituídas ao abrigo da lei portuguesa;

c) O incumprimento da obrigação, prevista no n.º 2 do artigo 21.º, de informar o IMPIC, I. P., e o GNS, no prazo de 30 dias a contar da respetiva ocorrência, de quaisquer modificações introduzidas no respetivo contrato de sociedade, pelas sociedades com sede em território nacional ou constituídas ao abrigo da lei portuguesa;

d) O incumprimento da obrigação de intervir e de prestar auxílio, quando necessário ou seja solicitado pelos clientes, no esclarecimento de eventuais dúvidas na utilização da plataforma eletrónica por parte dos representantes da entidade adjudicante ou dos interessados no procedimento contratual, prevista na alínea a) do n.º 1 do artigo 22.º;

e) O incumprimento da obrigação de garantir um canal de comunicação entre os vários intervenientes, prevista na alínea b) do n.º 1 do artigo 22.º;

f) O incumprimento da obrigação de disponibilizar relatórios de anomalias, registos de acesso, submissões ou outra informação relevante para efeitos de tomada de decisões que surjam nos procedimentos de formação de um contrato público, quando solicitada pelo respetivo júri, prevista na alínea c) do n.º 1 do artigo 22.º;

g) O incumprimento da obrigação de disponibilizar uma linha de apoio aos utilizadores, nas condições previstas nas subalíneas i) a iii) da alínea d) do n.º 1 do artigo 22.º;

h) O incumprimento da obrigação de disponibilizar na plataforma eletrónica dos contactos de suporte e de apoio técnico prevista no n.º 2 do artigo 22.º;

i) O incumprimento da obrigação de publicitar em local público da plataforma eletrónica a tabela de preços de todos os serviços oferecidos, com indicação expressa da data da sua entrada em vigor, prevista no n.º 4 do artigo 23.º;

j) O incumprimento da obrigação de garantir que o processo de registo nas plataformas eletrónicas, na modalidade gratuita, não excede três dias úteis, prevista no n.º 3 do artigo 28.º;

k) O incumprimento da obrigação de garantir que a manutenção dos dados dos operadores económicos e dos utilizadores é feita pelos próprios utilizadores de forma autónoma e gratuita, prevista no n.º 4 do artigo 28.º;

l) O incumprimento da obrigação de garantir que as operações de manutenção das plataformas eletrónicas que limitem a disponibilidade de serviço são realizadas entre as 00h00 e as 8h00, nos dias úteis, ou aos sábados, domingos e feriados, com vista a minorar os constrangimentos causados aos utilizadores, prevista no n.º 5 do artigo 28.º;

m) O incumprimento da obrigação de garantir que as operações de manutenção são comunicadas aos utilizadores com 72 horas de antecedência e ao IMPIC, I. P., no prazo de 24 horas após a sua ocorrência, prevista no n.º 6 do artigo 28.º;

n) O incumprimento da obrigação de indicar a forma de obter os programas informáticos utilizados, bem como os respetivos comandos e instruções, prevista no n.º 3 do artigo 29.º;

o) O incumprimento da obrigação de utilizar aplicações e programas informáticos com manual de instalação e utilização, permitindo o acesso a um utilizador com habilitações adequadas nos domínios das tecnologias da informação e comunicação, prevista no n.º 4 do artigo 29.º;

p) O incumprimento da obrigação prevista no n.º 1 do artigo 61.º, que consiste em garantir que as notificações sujeitas a determinado prazo nos termos do CCP são feitas através das plataformas eletrónicas por via do envio automático de mensagens eletrónicas, disponíveis para consulta na área exclusiva respetiva;

q) O incumprimento da obrigação prevista no n.º 2 do artigo 61.º que impõe o registo das datas precisas das notificações e comunicações, de acordo com o artigo 469.º do CCP;

r) O incumprimento da obrigação de disponibilização dos documentos nas condições estabelecidas nos n.os 1 a 6 do artigo 62.º;

s) O incumprimento da obrigação de disponibilizar aos interessados a indicação da data e hora de termo do prazo para a apresentação dos pedidos de esclarecimento e das propostas, bem como da data e hora de termo do prazo para a apresentação da lista, prevista no artigo 61.º do CCP, na qual sejam identificados erros e omissões do caderno de encargos, prevista no n.º 1 do artigo 63.º;

t) O incumprimento da obrigação de incluir as funcionalidades previstas nas alíneas a) a c) do n.º 1 do artigo 66.º para efeitos do carregamento de uma proposta, no âmbito de um procedimento de formação de um contrato público;

u) O incumprimento da obrigação de dispor das funcionalidades previstas nos n.os 1 a 5 do artigo 72.º relativas à ordenação dos interessados e dos concorrentes;

v) O incumprimento da obrigação de garantir, para cada procedimento, a construção automática da ficha prévia de abertura de propostas, prevista no n.º 1 do artigo 75.º

Às infrações previstas na presente lei são aplicáveis as seguintes coimas:

a) Entre (euro) 75 000 e (euro) 100 000, para as infrações muito graves referidas no artigo 82.º;

b) Entre (euro) 10 000 e (euro) 50 000, para as infrações graves referidas no artigo 83.º;

c) Entre (euro) 2 500 e (euro) 20 000, para as infrações leves referidas no artigo 84.º

1 - A negligência é punível, sendo os limites mínimos e máximos das coimas reduzidos a metade.

2 - A tentativa é punível com a coima aplicável à contraordenação consumada especialmente atenuada.

1 - Quando a contraordenação for qualificada como leve e a infração consistir em irregularidade sanável e não haja indício de que a sua prática tenha causado prejuízos a terceiros, pode o IMPIC, I. P., antes da instauração do processo de contraordenação, notificar o infrator para sanar a irregularidade.

2 - Da notificação deve constar a descrição da infração, as medidas necessárias para a sua regularização, o prazo para o cumprimento das mesmas, a forma de comprovação, junto do IMPIC, I. P., desse cumprimento e a advertência de que o incumprimento, no prazo determinado, dá lugar à instauração de processo de contraordenação.

3 - O disposto nos números anteriores não se aplica ao infrator que tiver sido admoestado ou sancionado pela prática de infração da mesma natureza, no decurso dos últimos dois anos.

1 - Nos casos em que sejam aplicadas às empresas gestoras as sanções previstas nas alíneas a) a d) do artigo 82.º, pode ser aplicada a sanção acessória de interdição temporária do exercício da atividade prevista na presente lei.

2 - A sanção referida no número anterior tem a duração máxima de dois anos a contar da decisão condenatória definitiva.

1 - Compete ao IMPIC, I. P., instruir os processos de contraordenação e ao respetivo conselho diretivo a aplicação das coimas e da sanção acessória.

2 - A aplicação da sanção acessória é publicitada no Portal dos Contratos Públicos.

As coimas aplicadas em processo de contraordenação por decisão tornada definitiva, quando não pagas, são objeto de cobrança coerciva através de processo de execução fiscal, nos termos do Código de Procedimento e de Processo Tributário.

O produto das coimas reverte em:

a) 60 % para os cofres do Estado;

b) 30 % para o IMPIC, I. P.;

c) 10 % para o GNS.

CAPÍTULO IX

Disposições complementares, transitórias e finais

1 - As empresas gestoras de plataformas eletrónicas licenciadas pelo IMPIC, I. P., estão sujeitas ao pagamento de taxas destinadas a cobrir os encargos com a gestão do sistema de licenciamento, bem como com a monitorização e a fiscalização da respetiva atividade em território nacional.

2 - As taxas referidas no número anterior constituem receita do IMPIC, I. P., e são objeto de regulamentação por portaria dos membros do Governo responsáveis pelas áreas das finanças e da economia.

3 - As taxas relativas aos serviços prestados pelo GNS enquanto entidade credenciadora constituem receita deste serviço e são objeto de regulamentação por portaria dos membros do Governo responsáveis pelas áreas das finanças e da tutela do GNS.

1 - O GNS dispõe de:

a) 60 dias após a entrada em vigor da presente lei para publicação da norma técnica;

b) 60 dias após o pedido por parte das entidades gestoras das plataformas para concluir o processo de credenciação das respetivas equipas de segurança.

2 - As empresas gestoras das plataformas eletrónicas dispõem de:

a) 120 dias após a publicação da norma técnica do GNS para solicitar a auditoria anual de segurança ao auditor de segurança credenciado pelo GNS;

b) 30 dias após a publicação da norma técnica do GNS para solicitar a credenciação das respetivas equipas de segurança;

c) 30 dias após entrega do relatório anual de segurança conforme o disposto do n.º 3 do artigo 12.º, para assegurar o pedido de licenciamento da respetiva plataforma eletrónica, nos termos do artigo 14.º;

d) 60 dias após a entrada em vigor da presente lei para assegurar o cumprimento das obrigações resultantes da aplicação do artigo 6.º;

e) 10 dias para aceitar a verificação da identidade de utilizadores e operadores económicos, nos termos do n.º 3 do artigo 48.º

3 - As entidades gestoras podem, no prazo máximo de 180 dias a partir da entrada em vigor da presente lei, denunciar os contratos celebrados com as entidades adjudicantes, desde que da aplicação da presente lei resulte, fundamentadamente, um sobrecusto que não seja passível de ser suportado pelas entidades gestoras ao abrigo do contrato objeto de denúncia.

4 - A denúncia prevista no número anterior apenas produz efeitos 90 dias após a notificação da entidade gestora à entidade adjudicante.

São revogados:

a) O Decreto-Lei n.º 143-A/2008, de 25 de julho;

b) A Portaria n.º 701-G/2008, de 29 de julho.

A presente lei entra em vigor 60 dias após a sua publicação.

Aprovada em 3 de julho de 2015.

A Presidente da Assembleia da República, Maria da Assunção A. Esteves.

Promulgada em 10 de agosto de 2015.

Publique-se.

O Presidente da República, Aníbal Cavaco Silva.

Referendada em 11 de agosto de 2015.

O Primeiro-Ministro, Pedro Passos Coelho.

ANEXO I

Condições mínimas do seguro de responsabilidade civil

(a que se refere o n.º 2 do artigo 18.º)

1 - As empresas gestoras estabelecidas em território nacional devem possuir um seguro destinado a garantir a responsabilidade civil por danos patrimoniais causados no exercício da atividade.

2 - O contrato de seguro assegura, no mínimo, o pagamento de indemnizações para ressarcimento dos danos patrimoniais, causados a terceiros, decorrentes de ações ou omissões das empresas gestoras ou dos seus representantes legais e colaboradores, ou do incumprimento de outras obrigações resultantes do exercício da atividade, ainda que, sem prejuízo do disposto no número seguinte, se verifique:

a) A cessação da atividade de gestão de plataformas eletrónicas;

b) A caducidade do certificado para o exercício da atividade de gestão de plataformas eletrónicas, em virtude da sua não revalidação;

c) A resolução do contrato de seguro de responsabilidade civil.

3 - Da apólice de seguro deve constar expressamente que, nos casos previstos nas alíneas do número anterior e independentemente da respetiva causa, o seguro responde pelos danos ocorridos no decurso da vigência do contrato e reclamados até um ano após a data da cessação da atividade, da caducidade ou do cancelamento da licença ou da resolução do contrato de seguro.

4 - Em caso de suspensão da licença, o contrato de seguro caduca às 24 horas do próprio dia da sua verificação.

5 - Verificada a caducidade do contrato de seguro nos termos do número anterior, procede-se ao estorno do prémio, em montante proporcional ao período de tempo que decorreria até à data do seu vencimento.

6 - O tomador do seguro deve comunicar ao segurador, no prazo de 48 horas, a suspensão da licença.

7 - Nos casos previstos nas alíneas a) e b) do n.º 2 do presente anexo, o contrato de seguro caduca às 24 horas do próprio dia da sua verificação, devendo o tomador do seguro comunicar tal ocorrência ao segurador no prazo de 24 horas.

8 - É obrigação do Instituto dos Mercados Públicos, do Imobiliário e da Construção, I. P., dar conhecimento ao segurador do cancelamento do certificado da empresa gestora.

9 - O contrato de seguro pode excluir:

a) A responsabilidade por danos decorrentes da falta de capacidade e legitimidade para contratar das pessoas que intervêm em negócios com empresas gestoras, quando estes factos lhes sejam dolosamente ocultados por aquelas;

b) A responsabilidade pelos danos decorrentes da impossibilidade de cumprimento de deveres contratuais ou quaisquer obrigações legais por facto de força maior não imputável à empresa gestora;

c) A responsabilidade pelo pagamento de danos decorrentes de reclamações resultantes ou baseadas, direta ou indiretamente, na aplicação de quaisquer fianças, taxas, multas ou coimas, impostas por autoridades competentes, bem como de outras penalidades de natureza sancionatória ou fiscal e por indemnizações fixadas a título punitivo, de danos exemplares ou outras reclamações de natureza semelhante.

10 - O contrato de seguro pode prever o direito de regresso do segurador nos seguintes casos:

a) Responsabilidade por danos decorrentes da atuação dolosa do segurado ou quando o ato por este praticado seja qualificado como crime ou contraordenação;

b) Quando a responsabilidade do segurado decorrer de perda ou extravio de dinheiro ou quaisquer outros valores ou documentos colocados à sua guarda;

c) Quando a responsabilidade decorrer de factos praticados pela empresa gestora para obtenção de benefícios e ou redução de custos de natureza fiscal, causando danos a todos os interessados que não conheciam os factos em questão;

d) Quando a responsabilidade decorrer de atos ou omissões praticados pelo segurado ou por pessoa por quem este seja civilmente responsável sob a influência de embriaguez, uso de estupefacientes ou demência;

e) Quando o contrato de prestação de serviços de gestão de plataformas eletrónicas for nulo por vício de forma.

11 - O contrato de seguro pode prever uma franquia a cargo do segurado, não oponível ao terceiro lesado.

ANEXO II

Regras para a codificação das candidaturas, das propostas e das soluções

(a que se referem a alínea d) do n.º 3 do artigo 64.º, o n.º 3 do artigo 67.º, os n.os 7 e 13 do artigo 68.º e o n.º 4 do artigo 70.º)

Regras a utilizar na codificação das propostas apresentadas:

a) O código identificador das propostas resulta da agregação de dois subcódigos, separados por um ponto, respeitantes ao lote do procedimento e à proposta propriamente dita, mesmo que não haja divisão do procedimento em lotes;

b) O primeiro subcódigo assume o valor 0 quando não existam lotes e números de ordem a partir de 1 para identificar cada lote, quando existam;

c) O segundo subcódigo assume o valor 0 para uma proposta base e números de ordem a partir de 1 para identificar cada proposta variante.

Como forma de assegurar um maior esclarecimento apresentam-se quatro exemplos de códigos de propostas:

0.0 - Não há divisão do procedimento em lotes; proposta base;

0.2 - Não há divisão do procedimento em lotes; segunda proposta variante;

3.0 - Terceiro lote de um procedimento; proposta base respetiva;

2.3 - Segundo lote de um procedimento; terceira proposta variante respetiva.