Portaria

Portaria n.º 394-A/2026/2

Define e regula os requisitos para a emissão do Certificado de Conformidade dos sistemas de informação escolares.

Objeto

A presente portaria define e regula os requisitos para a emissão do Certificado de Conformidade dos sistemas de informação escolares, abrangendo:

a)Os requisitos técnicos dos sistemas de informação escolares;
b)As especificações e modelo do certificado de conformidade;
c)O procedimento administrativo e técnico de certificação.

Artigo 2.º

Entidade Certificadora

1 -A competência para a certificação dos sistemas de informação escolares, prevista no artigo 4.º do Decreto-Lei n.º 138/2026, de 10 de julho, é exercida pela Agência para a Gestão do Sistema Educativo, I. P. (AGSE, I. P.), adiante designada por Entidade Certificadora.
2 -A marca «Certificado de conformidade do Sistema de Informação Escolar» é um logótipo de certificação, propriedade exclusiva da AGSE, I. P., constituindo um sinal distintivo, que atesta que o fornecedor apresentou a totalidade das provas exigidas, e que estas cumprem o referencial constante do Programa de Certificação de Sistemas de Informação Escolares.
3 -O Programa de Certificação de Sistemas de Informação Escolares densifica as especificações e regras de utilização da marca referida no número anterior, bem como os direitos e obrigações decorrentes da respetiva atribuição, e pode ser consultado no sítio institucional da AGSE, I. P., e no Portal da Educação.

Artigo 3.º

Princípios de interoperabilidade e comunicação de dados

1 -Os sistemas de informação escolares abrangidos pela presente portaria devem assegurar interoperabilidade, através dos mecanismos, serviços e interfaces de integração definidos ou indicados pela AGSE, I. P., pelos serviços competentes do Ministério da Educação, Ciência e Inovação.
2 -A comunicação e a troca de dados entre sistemas devem observar os princípios da segurança, integridade, autenticidade, proporcionalidade, minimização de dados, «uma só vez» e utilização de normas abertas de interoperabilidade.
3 -Os requisitos técnicos e funcionais aplicáveis ao cumprimento do disposto nos números anteriores constam no Programa de Certificação de Sistemas de Informação Escolares, definido pela AGSE, I. P.

Artigo 4.º

Princípios de segurança, rastreabilidade e auditoria

1 -Os sistemas de informação escolares abrangidos pela presente portaria devem assegurar mecanismos adequados de segurança, controlo de acessos, rastreabilidade e auditoria, garantindo a identificação inequívoca dos utilizadores, das operações realizadas e das alterações efetuadas aos dados.
2 -Os sistemas de informação escolares devem manter registos de auditoria íntegros, exportáveis e auditáveis, aptos a permitir a reconstituição das operações realizadas e a identificação dos respetivos intervenientes.
3 -O acesso a funcionalidades críticas ou a informação classificada como sensível deve observar mecanismos de autenticação reforçada e de segregação de funções, nos termos definidos pelo Programa de Certificação de Sistemas de Informação Escolares.
4 -As alterações aos dados devem ser realizadas através de mecanismos que assegurem a identificação do utilizador, data e hora, conteúdo da alteração e, quando aplicável, valor anterior e fundamento da alteração, não podendo existir mecanismos que permitam modificar dados relevantes sem registo auditável.
5 -Os pedidos de esclarecimento relativos à interpretação e aplicação dos requisitos técnicos previstos no Programa de Certificação de Sistemas de Informação Escolares devem ser solicitados através do balcão eletrónico disponibilizado pela AGSE, I. P., ou no Portal da Educação.

Artigo 5.º

Certificado de conformidade

1 -O certificado de conformidade consiste num documento eletrónico emitido pela AGSE, I. P., como comprovativo da certificação durante os três anos de validade da mesma, ao qual é associado um selo digital de conformidade (logótipo), cujas condições são definidas pela AGSE, I. P., e fazem parte do Programa de Certificação de Sistemas de Informação Escolares.
2 -O selo de conformidade deve estar obrigatoriamente visível na página de autenticação do sistema de informação escolar certificado e na respetiva política de privacidade, podendo o fornecedor introduzir o selo noutras zonas do seu sistema.
3 -A lista de sistemas de informação escolares certificados encontra-se divulgada no sítio institucional da AGSE, I. P., e no Portal da Educação, indicando o nome do fornecedor, o nome e versão do sistema, o número de certificado, a data de emissão e o estado do certificado.
4 -O modelo canónico, taxonomia e os códigos de referência nacionais detalhados constam no sítio institucional da AGSE, I. P., e no Portal da Educação, sendo indicado, para cada momento, a versão em vigor e a respetiva data de produção de efeitos, bem como, mantido o histórico de versões.
5 -Sempre que exista uma alteração ou evolução do Programa de Certificação de Sistemas de Informação Escolares, todos os fornecedores certificados serão notificados, através do endereço de email facultado no formulário de candidatura à certificação, incluindo o período previsto para adaptação à nova versão.
6 -Alterações estruturais aos sistemas, ou seja, as que impliquem alterações no schema de base dados, nos mecanismos de autenticação, nas políticas de backups ou resultem no desenvolvimento de novos componentes de integração, obrigam a que seja solicitado um novo pedido de certificação, ainda que o sistema de informação escolar detenha um certificado dentro do prazo de validade.

Artigo 6.º

Procedimento de certificação

1 -O pedido de certificação é submetido por via eletrónica através do balcão eletrónico disponibilizado pela AGSE, I. P., ou através do Portal da Educação, acompanhado de:
1. a)Preenchimento do formulário digital de candidatura, nos termos estabelecidos pela AGSE, I. P.;
2. b)Relatório de avaliação de impacto sobre a proteção de dados (AIPD);
3. c)Documentação técnica comprovativa da execução de testes, cuja realização bem-sucedida evidencie o cumprimento das regras constantes no Programa de Certificação de Sistemas Escolares;
4. d)Documento com a descrição de Políticas de cibersegurança, encriptação de dados, continuidade de negócio e backups dos dados;
5. e)Declaração de conformidade com o Regulamento Geral de Proteção de Dados (RGPD) e com a Lei n.º 58/2019, de 8 de agosto;
6. f)Demonstração do cumprimento das proibições e dos deveres de transparência que já vinculam os fornecedores, de acordo com o «AI Act», sempre que um sistema de informação escolar faça uso de soluções assentes em Inteligência Artificial (IA).
2 -Na submissão do pedido de certificação será atribuído um número de pedido.
3 -A certificação prévia consiste na verificação, pela Entidade Certificadora, das provas documentais apresentadas, sendo dessa forma aferido o cumprimento dos requisitos técnicos por parte do fornecedor.
4 -O ónus da prova cabe ao fornecedor, competindo-lhe demonstrar, por evidência documental estruturada segundo o referencial publicado, que o sistema, no seu todo, cumpre os requisitos aplicáveis e as leis e regulamentos em vigor em cada momento.
5 -A prestação de falsas declarações ou de evidências inexatas integrantes da documentação entregue no pedido de certificação é causa de revogação da certificação.
6 -A Entidade Certificadora pode realizar ou solicitar a realização de auditorias, sempre que o considere necessário, em função do risco, na sequência de incidente ou denúncia, ou por amostragem.
7 -A Entidade Certificadora pode solicitar, uma única vez, que o requerente adote medidas corretivas, e/ou documentação adicional, para o cumprimento do disposto nos artigos 4.º e 5.º do Decreto-Lei n.º 138/2026, de 10 de julho, sob cominação da extinção do pedido de certificação, devendo as mesmas ser introduzidas e/ou enviadas num prazo máximo de 3 dias úteis.
8 -A AGSE, I. P., num prazo máximo de 10 dias úteis, notifica o fornecedor do resultado da verificação do cumprimento dos requisitos técnicos, nos seguintes termos:
1. a)Em caso de deferimento, com o envio do comprovativo de certificação;
2. b)Em caso de deteção de desconformidades, fixando-se um prazo máximo de 10 dias úteis para a adoção de medidas corretivas e/ou envio de documentação adicional, suspendendo-se, durante esse período, o prazo de análise pela AGSE, I. P.
9 -Em caso de incumprimento, o fornecer recebe um documento eletrónico com a descrição das regras não conformes e respetivo motivo.
10 -O incumprimento tem consequência efetiva, através da revogação do certificado, exclusão da lista pública e comunicação às entidades adjudicantes sobre o impedimento de manter a utilização do sistema de informação escolar em causa.
11 -Findo o prazo de validade de três anos, os fornecedores deverão submeter, com a devida antecedência, um novo pedido de certificação, não existindo a figura de renovação em sentido estrito.
12 -Todas as comunicações da AGSE, I. P., serão enviadas por email, para o endereço facultado pelo fornecedor no formulário de pedido de certificação.

Artigo 7.º

Entrada em vigor

A presente portaria entra em vigor no primeiro dia do mês seguinte ao da sua publicação.

11 de setembro de 2026. - O Ministro de Estado e dos Negócios Estrangeiros, Paulo Artur dos Santos de Castro de Campos Rangel. - 10 de setembro de 2026. - O Ministro Adjunto e da Reforma do Estado, Gonçalo Nuno da Cruz Saraiva Matias. - 9 de setembro de 2026. - O Ministro da Educação, Ciência e Inovação, Fernando Alexandre.

320042428

Artigo 6.º

Procedimento de certificação

1 -O pedido de certificação é submetido por via eletrónica através do balcão eletrónico disponibilizado pela AGSE, I. P., ou através do Portal da Educação, acompanhado de:
1. a)Preenchimento do formulário digital de candidatura, nos termos estabelecidos pela AGSE, I. P.;
2. b)Relatório de avaliação de impacto sobre a proteção de dados (AIPD);
3. c)Documentação técnica comprovativa da execução de testes, cuja realização bem-sucedida evidencie o cumprimento das regras constantes no Programa de Certificação de Sistemas Escolares;
4. d)Documento com a descrição de Políticas de cibersegurança, encriptação de dados, continuidade de negócio e backups dos dados;
5. e)Declaração de conformidade com o Regulamento Geral de Proteção de Dados (RGPD) e com a Lei n.º 58/2019, de 8 de agosto;
6. f)Demonstração do cumprimento das proibições e dos deveres de transparência que já vinculam os fornecedores, de acordo com o «AI Act», sempre que um sistema de informação escolar faça uso de soluções assentes em Inteligência Artificial (IA).
2 -Na submissão do pedido de certificação será atribuído um número de pedido.
3 -A certificação prévia consiste na verificação, pela Entidade Certificadora, das provas documentais apresentadas, sendo dessa forma aferido o cumprimento dos requisitos técnicos por parte do fornecedor.
4 -O ónus da prova cabe ao fornecedor, competindo-lhe demonstrar, por evidência documental estruturada segundo o referencial publicado, que o sistema, no seu todo, cumpre os requisitos aplicáveis e as leis e regulamentos em vigor em cada momento.
5 -A prestação de falsas declarações ou de evidências inexatas integrantes da documentação entregue no pedido de certificação é causa de revogação da certificação.
6 -A Entidade Certificadora pode realizar ou solicitar a realização de auditorias, sempre que o considere necessário, em função do risco, na sequência de incidente ou denúncia, ou por amostragem.
7 -A Entidade Certificadora pode solicitar, uma única vez, que o requerente adote medidas corretivas, e/ou documentação adicional, para o cumprimento do disposto nos artigos 4.º e 5.º do Decreto-Lei n.º 138/2026, de 10 de julho, sob cominação da extinção do pedido de certificação, devendo as mesmas ser introduzidas e/ou enviadas num prazo máximo de 3 dias úteis.
8 -A AGSE, I. P., num prazo máximo de 10 dias úteis, notifica o fornecedor do resultado da verificação do cumprimento dos requisitos técnicos, nos seguintes termos:
1. a)Em caso de deferimento, com o envio do comprovativo de certificação;
2. b)Em caso de deteção de desconformidades, fixando-se um prazo máximo de 10 dias úteis para a adoção de medidas corretivas e/ou envio de documentação adicional, suspendendo-se, durante esse período, o prazo de análise pela AGSE, I. P.
9 -Em caso de incumprimento, o fornecer recebe um documento eletrónico com a descrição das regras não conformes e respetivo motivo.
10 -O incumprimento tem consequência efetiva, através da revogação do certificado, exclusão da lista pública e comunicação às entidades adjudicantes sobre o impedimento de manter a utilização do sistema de informação escolar em causa.
11 -Findo o prazo de validade de três anos, os fornecedores deverão submeter, com a devida antecedência, um novo pedido de certificação, não existindo a figura de renovação em sentido estrito.
12 -Todas as comunicações da AGSE, I. P., serão enviadas por email, para o endereço facultado pelo fornecedor no formulário de pedido de certificação.