Art.º 38 · Portaria n.º 701-G/2008 — Conteúdo obrigatório do documento de conformidade e do relatório anual

1 -Os relatórios de segurança referidos nos artigos anteriores devem conter, obrigatoriamente, os seguintes elementos:
1. a)Análise e verificação de conformidade dos certificados digitais utilizados pelos utilizadores ou disponibilizados pelas plataformas electrónicas;
2. b)Análise do desempenho dos processos de autenticação e validação de utilizadores;
3. c)Verificação da conformidade dos requisitos de assinatura electrónica utilizados;
4. d)Analise dos processos de validação cronológica;
5. e)Análise dos níveis de segurança verificados nos processos de encriptação e desencriptação;
6. f)Verificação dos processos de recuperação de chaves privadas de encriptação implementados pelas plataformas electrónicas;
7. g)Análise dos processos de custódia de chaves privadas implementadas pelas plataformas electrónicas;
8. h)Verificação dos mecanismos de controlo de acessos às plataformas e do funcionamento dos registos de acesso;
9. i)Verificação do formato standard utilizado para os ficheiros carregados nas plataformas;
10. j)Verificação dos processos de carregamento de documentos;
11. l)Verificação do funcionamento dos mecanismos e meios de segurança, garantia da confidencialidade e integridade das propostas, candidaturas e soluções;
12. m)Verificação da sincronização dos serviços das plataformas com o serviço de tempo de rede definido a partir do tempo universal coordenado;
13. n)Verificação das funcionalidades utilizadas para o arquivo e preservação digital, bem como para a interoperabilidade das plataformas electrónicas.
2 -O relatório anual de segurança deve conter os elementos referidos nas alíneas anteriores, reportando-se a uma análise de procedimentos de formação dos contratos já concluídos e em curso, através de uma amostragem aleatória de procedimentos considerada suficiente pelo auditor para a elaboração de um relatório rigoroso e com margens de erro mínimas.
3 -Caso o auditor externo emita parecer negativo ou condicionado, deve a entidade gestora das plataformas electrónicas, no prazo de 30 dias, corrigir as situações detectadas.
4 -Após o termo do prazo referido no número anterior, a entidade supervisora manda proceder a uma auditoria no sentido de verificar a sanação das situações detectadas.
5 -A auditoria realizada nos termos do número anterior não pode ser executada pelo auditor de segurança nomeado pela plataforma electrónica e responsável pelo relatório anual de segurança apresentado.
6 -Se da auditoria referida no número anterior não resultar a sanação dos factos identificados, ou de alguns deles, deve este facto ser publicitado no portal único dedicado aos contratos públicos.

Artigo 38.º — Conteúdo obrigatório do documento de conformidade e do relatório anual

Histórico de Alterações