Portaria n.º 597/2009

A presente portaria estabelece os termos a que obedece o registo das entidades certificadoras que emitem certificados qualificados nos termos do Decreto-Lei n.º 290-D/99, de 2 de Agosto.

1 - A obrigação de registo regulada pela presente portaria é aplicável:

a) Às entidades certificadoras que emitam certificados qualificados e que prestem directa ou indirectamente em Portugal serviços de certificação electrónica;

b) Às entidades certificadoras credenciadas em outros Estados membros da União Europeia ou em Estados terceiros que prestem directa ou indirectamente serviços de certificação electrónica em Portugal.

2 - A obrigação de registo regulada pela presente portaria é igualmente aplicável, no caso de a actividade de prestação de serviços de certificação electrónica ser realizada por entidade de direito nacional, por força de subcontratação ou de outro mecanismo de representação legal.

3 - As entidades certificadoras nacionais que estejam sujeitas ao procedimento de credenciação previsto no Decreto-Lei n.º 290-D/99, de 2 de Agosto, para poder exercer a actividade relacionada com a emissão de certificados qualificados, são registadas oficiosamente junto da autoridade credenciadora no âmbito do referido procedimento.

A entidade competente para proceder ao registo é a Autoridade Nacional de Segurança, nos termos do n.º 1 do artigo 8.º do Decreto-Lei n.º 116-A/2007, de 16 de Junho, alterado pelo Decreto-Lei n.º 88/2009, de 9 de Abril, e da alínea j) do n.º 2 do artigo 2.º do Decreto-Lei n.º 170/2007, de 3 de Maio.

1 - O pedido de registo é realizado mediante o preenchimento de um formulário próprio, disponibilizado pela Autoridade Nacional de Segurança no respectivo sítio na Internet, do qual constam os elementos respeitantes à actividade da entidade certificadora.

2 - O pedido de registo é acompanhado dos seguintes documentos:

a) Declaração subscrita pela entidade certificadora de que tem conhecimento de todas as disposições legais e regulamentares aplicáveis às entidades certificadoras que emitem certificados qualificados e que se compromete a cumpri-las;

b) Declaração subscrita pelo auditor de segurança em como a entidade certificadora cumpre os requisitos e as disposições legais e regulamentares aplicáveis às entidades certificadoras que emitem certificados qualificados;

c) Cópia dos estatutos da pessoa colectiva e, tratando-se de sociedade, contrato de sociedade ou, tratando-se de pessoa singular, a respectiva identificação;

d) Tratando-se de sociedade comercial, relação de todos os sócios, com especificação das respectivas participações, bem como dos membros dos órgãos de administração e de fiscalização, e, tratando-se de sociedade anónima, relação de todos os accionistas com participações significativas, directas ou indirectas;

e) Prova do substrato patrimonial e dos meios financeiros disponíveis e, tratando-se de sociedade comercial, da realização integral do capital social;

f) Cópia da apólice do contrato de seguro a que se refere a que se refere a alínea d) do artigo 24.º do Decreto-Lei n.º 290-D/99, de 2 de Agosto, quando o mesmo tenha sido disponibilizado por companhia de seguros;

g) Cópia da política de certificados e da declaração de práticas de certificação;

h) Descrição dos produtos de assinatura electrónica que utiliza;

i) Certificados de conformidade dos dispositivos seguros de criação de assinaturas, emitidos por organismo de certificação acreditado nos termos previstos no artigo 37.º do Decreto-Lei n.º 290-D/99, de 2 de Agosto.

3 - As entidades certificadoras estrangeiras que se enquadrem nos termos previstos nos n.os 1, 2 e 3 do artigo 38.º do Decreto-Lei n.º 290-D/99, de 2 de Agosto, fazem acompanhar o pedido de registo com os seguintes documentos:

a) Declaração subscrita pela autoridade credenciadora do país onde a entidade certificadora esteja estabelecida, atestando a situação em que esta se encontra, nomeadamente, credenciada ou sujeita a sistema de fiscalização;

b) Cópia do certificado de credenciação, se aplicável;

c) Cópia do relatório de credenciação, se aplicável;

4 - As entidades que se enquadrem nos termos previstos no n.º 6 do artigo 38.º do Decreto-Lei n.º 290-D/99, de 2 de Agosto, fazem acompanhar o pedido de registo com os seguintes documentos:

a) Declaração subscrita pela entidade de que tem conhecimento de todas as disposições legais e regulamentares aplicáveis às entidades certificadoras que emitem certificados qualificados e que se compromete a cumpri-las, no âmbito dos serviços por si prestados;

b) Cópia dos estatutos da pessoa colectiva e, tratando-se de sociedade, contrato de sociedade ou, tratando-se de pessoa singular, a respectiva identificação;

c) Tratando-se de sociedade comercial, relação de todos os sócios, com especificação das respectivas participações, bem como dos membros dos órgãos de administração e de fiscalização, e, tratando-se de sociedade anónima, relação de todos os accionistas com participações significativas, directas ou indirectas;

d) Cópia do contrato celebrado com a entidade certificadora, no qual conste os termos, condições e responsabilidades na prestação do respectivo serviço.

5 - O pedido de inscrição no registo pode ser apresentado na Autoridade Nacional de Segurança, em papel, directamente ou remetido pelo correio sob registo, ou por via electrónica desde que ao mesmo lhe seja aposta uma assinatura electrónica qualificada e os documentos que acompanham o pedido sejam remetidos à Autoridade Nacional de Segurança no prazo de três dias subsequentes.

6 - Sem prejuízo do disposto no presente artigo, a Autoridade Nacional de Segurança pode solicitar, com carácter supletivo, a informação ou a documentação adicional que se revele necessária ao exercício da sua actividade de fiscalização.

1 - O registo é recusado sempre que:

a) O pedido não esteja instruído com todas as informações e documentos necessários;

b) O pedido seja inexacto ou contenha declarações falsas.

2 - Se o pedido estiver deficientemente instruído, a Autoridade Nacional de Segurança, antes de recusar a inscrição no registo, notifica o requerente, concedendo-lhe prazo razoável para suprir a deficiência ou as omissões verificadas.

1 - O registo é revogado sempre que se verifique que a entidade certificadora não cumpre os requisitos e disposições legais e regulamentares aplicáveis às entidades certificadoras que emitem certificados qualificados.

2 - A Autoridade Nacional de Segurança, antes de revogar a inscrição no registo, notifica a entidade certificadora, concedendo-lhe prazo razoável para suprir a deficiência ou as omissões verificadas.

As alterações aos elementos e documentos referidos na presente portaria devem ser comunicadas à Autoridade Nacional de Segurança no prazo máximo de 30 dias.

A cessação da actividade da entidade certificadora que emite certificados qualificados é obrigatoriamente inscrita no registo com indicação da identificação da entidade a quem foi transmitida a sua documentação.

São oficiosamente inscritas no registo das entidades certificadoras, pela Autoridade Nacional de Segurança, as seguintes informações relativas às entidades certificadoras credenciadas:

a) As decisões proferidas pela Autoridade Nacional de Segurança relativas à atribuição da credenciação, sua renovação e revogação, com indicação das datas em que as mesmas foram proferidas e publicadas na 2.ª série do Diário da República;

b) Indicação de que a credenciação se encontra caducada, respectiva data e referência à publicação na 2.ª série do Diário da República;

c) Identificação dos organismos de certificação que emitiram certificados de conformidade e número dos respectivos certificados.

A Autoridade Nacional de Segurança organiza e mantém um registo no respectivo sítio na Internet que garanta a publicidade das informações relativas às entidades certificadoras que exercem a actividade relacionada com a emissão de certificados qualificados.

É revogada a Portaria n.º 1350/2004, de 23 de Outubro.

A presente portaria entra em vigor no dia seguinte ao da sua publicação.

O Secretário de Estado da Presidência do Conselho de Ministros, Jorge Lacão Costa, em 1 de Junho de 2009.