Decreto Legislativo Presidencial n.º 14/26 - Regime Jurídico da Assinatura Electrónica e da Certificação Digital

Decreto Legislativo Presidencial n.º 14/26 - Estabelece o Regime Jurídico da Assinatura Electrónica e regula o seu uso, forma de reconhecimento da sua eficácia jurídica, bem como as regras, os requisitos técnicos e de segurança, e demais componentes técnicos aplicáveis no exercício da actividade de certificação digital em Angola. - Revoga toda a legislação que contrarie o disposto no presente Diploma, nomeadamente a Secção I do Capítulo IV, bem como o artigo 88.º do Regulamento das Tecnologias de Informação e dos Serviços da Sociedade da Informação, aprovado pelo Decreto Presidencial n.º 202/11, de 22 de Julho.

Decreto Legislativo Presidencial n.º 14/26 de 29 de Outubro

Considerando a evolução verificada no domínio das tecnologias de informação e a consequente necessidade de fomentar e promover no País o uso adequado e responsável da assinatura electrónica;

Tendo em conta a importância de regular e dinamizar a actividade de certificação digital, bem como a actuação da Autoridade Credenciadora e das respectivas Entidades Certificadoras em Angola;

Reconhecendo a necessidade de estabelecer uma estrutura nacional de confiança electrónica, que permita às Entidades Certificadoras disponibilizar serviços capazes de garantir transacções electrónicas seguras;

Havendo a necessidade de implementar-se o processo de criação e desenvolvimento das infra-estruturas de chaves públicas, reforçando a segurança da certificação digital, visando garantir a estabilidade social, um bom ambiente de negócios, a diversificação económica e a modernização administrativa;

O Presidente da República decreta, no uso da Autorização Legislativa concedida pela Assembleia Nacional, ao abrigo do artigo 1.º da Lei de Autorização Legislativa n.º 12/26, de 2 de Outubro, e nos termos da alínea i) do artigo 120.º e do n.º 2 do artigo 125.º, ambos da Constituição da República de Angola, o seguinte:

CAPÍTULO I

Disposições Gerais

Artigo 1.º

Objecto

O presente Decreto Legislativo Presidencial estabelece o Regime Jurídico da Assinatura Electrónica e regula o seu uso, forma de reconhecimento da sua eficácia jurídica, bem como as regras, os requisitos técnicos e de segurança, e demais componentes técnicos aplicáveis no exercício da actividade de certificação digital em Angola.

Artigo 2.º

Âmbito de aplicação

O presente Diploma aplica-se a todos os tipos de assinaturas electrónicas, à Autoridade Credenciadora e às Entidades Certificadoras estabelecidas em Angola na emissão de certificados digitais.

Artigo 3.º

Direito subsidiário

Na falta de regulação específica, aplicam-se as normas do direito comum e, subsidiariamente, normas de tratados e convenções internacionais vigentes na ordem jurídica nacional.

Artigo 4.º

Definições

• Para efeitos do presente Diploma, entende-se por:
  1. a) «Assinatura Electrónica» - conjunto de dados sob forma electrónica que seja utilizado para dar a conhecer a autoria de um documento electrónico;
  2. b) «Assinatura Electrónica Avançada» - assinatura electrónica que preenche cumulativamente os seguintes requisitos:
     1. i. Identificação de forma unívoca o titular como autor do documento;
     2. ii. Sujeição da sua aposição no documento à vontade do titular;
     3. iii. Sua criação com meios que o titular pode manter sob seu controlo exclusivo;
     4. iv. A sua conexão com o documento permite detectar toda e qualquer alteração superveniente do conteúdo deste;
  3. c) «Assinatura Electrónica Qualificada» - assinatura digital ou outra modalidade de assinatura electrónica avançada que satisfaça exigências de segurança idênticas às da assinatura digital, baseada num certificado qualificado e criada através de um dispositivo seguro de criação de assinatura, devendo, para o efeito:
     1. i. Ser baseada num sistema criptográfico assimétrico composto de algoritmo ou série de algoritmos, mediante o qual é gerado um par de chaves assimétricas exclusivas e interdependentes, uma privada (dados de criação de assinatura) e outra pública (dados de verificação de assinatura), ou satisfazer exigências idênticas de segurança;
     2. ii. Basear-se num certificado qualificado;
     3. iii. Ser criada através de um dispositivo seguro de criação de assinatura;
  4. d) «Autoridade Credenciadora» - Entidade máxima da Infra-Estrutura de Chave Pública, responsável pelo credenciamento, regulamentação, supervisão e aplicação de sanções às demais entidades da cadeia de certificação;
  5. e) «Certificado» - documento electrónico que liga os dados de verificação de assinatura electrónica ao seu titular e confirma a sua identidade;
  6. f) «Certificado de Assinatura» - documento electrónico autenticado com assinatura electrónica, que certifica a titularidade de uma chave pública e o respectivo prazo de validade;
  7. g) «Certificado Qualificado» - certificado em que se baseia a assinatura electrónica qualificada, que preenche os requisitos do presente Diploma e que seja emitido por Entidade Certificadora legalmente credenciada;
  8. h) «Chave Pública» - elemento do par de chaves assimétricas destinado a ser divulgado, com o qual se verifica a assinatura digital aposta no documento electrónico pelo titular do par de chaves assimétricas ou se cifra um documento electrónico a transmitir ao titular do mesmo par de chaves;
  9. i) «Credenciamento» - acto pelo qual é reconhecida a uma entidade a competência para exercer a actividade de certificação, nos termos do presente Diploma e da regulamentação aplicável;
  10. j) «Dados de Criação de Assinatura» - conjunto único de dados, conhecido apenas pelo titular, utilizado na criação de uma assinatura electrónica e que permite declarar a autoria do documento electrónico e a concordância com o seu conteúdo;
  11. k) «Dados de Verificação de Assinatura» - conjunto de dados utilizados pelo destinatário de um documento electrónico para verificar se a assinatura foi criada com os correspondentes dados de criação de assinatura e se o documento foi alterado após a aposição da assinatura;
  12. l) «Declaração de Práticas de Certificação» - documento que descreve as práticas adoptadas por uma Entidade Certificadora na emissão e gestão de certificados;
  13. m) «Dispositivo de Criação de Assinatura» - suporte lógico ou dispositivo de equipamento informático utilizado para o tratamento dos dados de criação de assinatura;
  14. n) «Dispositivo Seguro de Criação de Assinatura» - dispositivo de criação de assinatura electrónica que assegura, através de meios técnicos e processuais adequados, que:
      1. i. Os dados de criação de assinatura só possam ser utilizados uma única vez e que a sua confidencialidade seja preservada;
      2. ii. Os dados de criação de assinatura não possam, com razoável segurança, ser deduzidos de outros dados, estando a assinatura protegida contra falsificação com as tecnologias disponíveis;
      3. iii. Os dados de criação de assinatura possam ser eficazmente protegidos pelo titular contra utilização ilegítima por terceiros;
      4. iv. Os dados a assinar não sejam modificados e possam ser apresentados ao titular antes do processo de assinatura.
  15. o) «Documento Electrónico» - documento elaborado mediante processamento electrónico de dados e armazenado em suporte electrónico, que ofereça garantias de fidedignidade, inteligibilidade e conservação equivalentes às de um documento em suporte papel;
  16. p) «Endereço Electrónico» - identificação de um equipamento informático apto a receber e arquivar documentos electrónicos;
  17. q) «Entidade Certificadora» - pessoa singular ou colectiva que cria ou fornece meios para a criação e verificação de assinaturas electrónicas, emite certificados, assegura a respectiva publicidade e presta outros serviços relativos a assinaturas electrónicas;
  18. r) «Entidade Certificadora de Raiz» - Entidade pública cuja habilitação para a emissão de certificados digitais não carece de credenciamento, sendo responsável pela emissão, gestão e revogação de certificados digitais dos órgãos e serviços da Administração Pública;
  19. s) «Infra-Estrutura de Chaves Públicas» - conjunto de entidades, normas, procedimentos e tecnologias destinado a viabilizar a emissão de certificados digitais e a implementação de assinaturas electrónicas seguras e com validade jurídica;
  20. t) «Política de Certificado» - conjunto de regras que define a aplicabilidade de um certificado a uma comunidade ou contexto específico.

Artigo 5.º

Identificação remota

As entidades públicas e privadas abrangidas pelo âmbito de aplicação do presente Diploma devem criar condições para permitir a verificação de identidade por meios electrónicos, com equivalência legal ao presencial.

CAPÍTULO II

Infra-Estrutura de Chaves Públicas

Artigo 6.º

Estrutura

• A estrutura da Infra-Estrutura de Chaves Públicas de Angola (ICP-AO) é composta pelas seguintes entidades:
  1. a) Autoridade Credenciadora;
  2. b) Entidade Certificadora de Raiz;
  3. c) Entidades Certificadoras.

Artigo 7.º

Autoridade Credenciadora

• É designada como Autoridade Credenciadora a pessoa colectiva pública responsável pelo fomento da sociedade da informação, à qual, para além do definido no seu estatuto orgânico, compete:
  1. a) Estabelecer normas técnicas e operacionais da Infra-Estrutura de Chaves Públicas de Angola (ICP-AO);
  2. b) Credenciar e revogar o credenciamento das Entidades Certificadoras;
  3. c) Supervisionar e auditar as operações das Entidades Certificadoras;
  4. d) Garantir o cumprimento das normas de segurança;
  5. e) Instruir processos contra-ordenacionais e aplicar as respectivas sanções.

Artigo 8.º

Entidade Certificadora de Raiz

1. 1. É designada como Entidade Certificadora de Raiz a pessoa colectiva pública cuja qualidade de Entidade Certificadora lhe é atribuída nos termos do respectivo Estatuto Orgânico, competindo-lhe:
   1. a) Emitir, gerir e revogar certificados digitais dos órgãos e serviços da Administração Pública;
   2. b) Assegurar a confiança e a interoperabilidade no âmbito da certificação digital da Administração Pública.
2. 2. A Entidade Certificadora de Raiz está isenta de credenciamento, mas sujeita-se a registo junto da Entidade Credenciadora, nos termos do presente Diploma.

Artigo 9.º

Entidades Certificadoras

1. 1. São designadas como Entidades Certificadoras as pessoas colectivas públicas ou privadas, credenciadas nos termos do presente Diploma, competindo-lhes a emissão, revogação e gestão de certificados digitais.
2. 2. Os Correios e Serviços de Notariado e Registos podem igualmente ser designadas Entidades Certificadoras, desde que sejam credenciadas nos termos do presente Diploma.
3. 3. As Entidades Certificadoras podem fornecer selos electrónicos, carimbos cronológicos, certificados de atributos e identidade digital, desde que aprovados pela Autoridade Credenciadora.

Artigo 10.º

Certificados para dispositivos e sistemas automatizados

A Autoridade Credenciadora, no âmbito do seu poder regulamentar, deve, por acto normativo próprio, elaborar normas específicas para chaves e algoritmos em contextos de Internet das Coisas e sistemas críticos.

CAPÍTULO III

Assinaturas Electrónicas

Artigo 11.º

Princípio geral

1. 1. Quando o diploma requeira a assinatura de uma pessoa para a validade, eficácia ou prova de um acto jurídico ou simplesmente atribua consequências a ausência de assinatura, considerar-se-á satisfeito este requisito por uma mensagem electrónica em que se utilize uma assinatura electrónica suficientemente fiável, à luz de todas as circunstâncias do caso, inclusive de qualquer acordo entre as partes e dos fins para os quais a mensagem foi gerada ou comunicada.
2. 2. Para efeitos do disposto no número anterior, considera-se fiável a assinatura electrónica:
   1. a) Se o dispositivo de assinatura, no contexto em que for utilizado, corresponder exclusivamente ao signatário e estiver, no momento da assinatura, sob o seu controlo exclusivo;
   2. b) Se a assinatura permitir a identificação do seu signatário;
   3. c) Se for possível detectar qualquer alteração da assinatura electrónica feita depois do momento da sua aposição;
   4. d) Se for possível detectar qualquer alteração da informação ocorrida após o momento da assinatura nos casos em que o requisito legal da assinatura tenha por objectivo assegurar a integridade da informação à qual a assinatura corresponda.

Artigo 12.º

Assinatura electrónica avançada

1. 1. Para que possa ser reconhecido como avançado para efeitos do presente Diploma, um dispositivo de criação de assinatura deve garantir, por meios e procedimentos técnicos apropriados, que:
   1. a) Os dados de criação da assinatura electrónica não possam ser encontrados mais de uma vez e que sua a confidencialidade esteja razoavelmente assegurada;
   2. b) Exista garantia suficiente de que os dados de criação da assinatura electrónica não possam ser obtidos por dedução e que a assinatura seja protegida contra falsificação pelos meios técnicos actualmente disponíveis;
   3. c) Os dados de criação da assinatura electrónica possam ser protegidos de maneira fiável pelo signatário legítimo contra uso indevido por outrem.
2. 2. A assinatura electrónica avançada goza, até prova em contrário, da presunção de fiabilidade e substitui, para todos os efeitos legais, a aposição de selos, carimbos, marcas ou outros sinais identificadores do seu titular.

Artigo 13.º

Assinatura electrónica qualificada

1. 1. A assinatura electrónica qualificada aposta em um documento electrónico equivale à assinatura em suporte papel, sem prejuízo do disposto no presente Diploma.
2. 2. Para efeitos do presente Diploma, a assinatura electrónica qualificada deve:
   1. a) Referir-se a uma só pessoa, singular ou colectiva, e ao documento ao qual é aposta;
   2. b) Constar de certificado qualificado válido e em vigor na data da aposição e respeitar as condições deles constantes, sob pena de se considerar que o documento não está assinado.

Artigo 14.º

Efeitos da assinatura electrónica qualificada

1. 1. A aposição de assinatura electrónica qualificada num documento electrónico equivale à assinatura autógrafa dos documentos com forma escrita sobre suporte de papel e cria a presunção de que:
   1. a) A pessoa que apôs a assinatura electrónica qualificada é o titular desta ou é representante, com poderes bastantes, da pessoa colectiva titular da assinatura electrónica qualificada;
   2. b) A assinatura electrónica qualificada foi aposta pelo seu titular ou representante com a intenção de assinar o documento electrónico;
   3. c) O documento electrónico não sofreu alteração desde que lhe foi aposta a assinatura electrónica qualificada.
2. 2. A assinatura electrónica qualificada deve referir-se a uma só pessoa, singular ou colectiva, e ao documento ao qual é aposta.
3. 3. A aposição de assinatura electrónica qualificada substitui, para todos os efeitos legais, a aposição de selos, carimbos, marcas ou outros sinais identificadores do seu titular.
4. 4. A aposição de assinatura electrónica qualificada que conste de certificado revogado, caduco ou suspenso na data da referida aposição ou não respeite as condições dele constantes equivale à falta de assinatura.

Artigo 15.º

Assinatura não qualificada

A assinatura electrónica não qualificada aposta num documento electrónico considera-se verdadeira e entende-se que o referido documento não foi alterado desde a aposição da assinatura, contanto que esta tenha sido utilizada ao abrigo de válida convenção de prova celebrada pelas partes ou seja aceite pela pessoa quem for aposto o documento.

Artigo 16.º

Valor probatório dos documentos com assinatura electrónica

1. 1. O documento electrónico cuja autoria seja reconhecida nos termos do presente Diploma e tenha aposta assinatura electrónica qualificada certificada por uma Entidade Certificadora:
   1. a) Tem força probatória de documento particular assinado, nos termos gerais do direito, se tiver um conteúdo que seja susceptível de representação como declaração escrita;
   2. b) Tem força probatória prevista no Código Civil e nos demais termos do direito, se tiver um conteúdo que não seja susceptível de representação como declaração escrita.
2. 2. O valor probatório do documento electrónico cuja autoria seja reconhecida nos termos do presente Diploma e que tenha aposta outra modalidade de assinatura electrónica que não a assinatura electrónica qualificada certificada por uma Entidade Certificadora é apreciado nos termos gerais do direito.
3. 3. As cópias de documentos electrónicos, sobre idêntico ou diferente tipo de suporte, são válidas e eficazes nos termos gerais do direito e têm a força probatória atribuída às cópias fotográficas pelo disposto no Código Civil, se forem observados os requisitos aí previstos.

Artigo 17.º

Obtenção dos dados de assinatura

A pessoa singular ou colectiva que pretenda utilizar uma assinatura electrónica, qualificada ou avançada, deve solicitar a uma Entidade Certificadora a emissão dos dados de criação e de verificação de assinatura ou colocação à sua disposição dos meios técnicos para que aquela os crie, bem como solicitar o respectivo certificado.

CAPÍTULO IV

Certificação Digital

SECÇÃO I

Credenciamento

Artigo 18.º

Acesso à actividade de certificação

1. 1. É livre o acesso à actividade de certificação, desde que sejam observados os requisitos e as condições estabelecidos no presente Diploma.
2. 2. Sem prejuízo do disposto no número anterior, o exercício da actividade de certificação está sujeito ao credenciamento, que é publicada em Diário da República ou no portal da Entidade Credenciadora.
3. 3. O credenciamento está sujeito ao pagamento de taxas e emolumentos aprovadas por acto dos Departamentos Ministeriais responsáveis pelas Finanças Públicas e pelas Telecomunicações e Tecnologias de Informação.

Artigo 19.º

Requisitos gerais

1. 1. São requisitos gerais para o credenciamento das Entidades Certificadoras os seguintes:
   1. a) Ser pessoa colectiva pública ou privada, nos termos da legislação angolana;
   2. b) Possuir sede em território nacional;
   3. c) Comprovar capacidade técnica, organizativa e financeira;
   4. d) Manter um capital social mínimo estabelecido nos termos do presente Diploma;
   5. e) Garantir a idoneidade dos seus administradores e técnicos.
2. 2. O disposto nas alíneas d) e e), bem como na alínea c) quanto à capacidade financeira, todas do número anterior, não é aplicável aos correios e serviços de notariado e registos detidos pelo Estado.

Artigo 20.º

Capital social mínimo

1. 1. Para efeitos do presente Diploma, é fixado o montante de Kz: 150 000 000,00 (cento e cinquenta milhões de Kwanzas), para o capital social mínimo das Entidades Certificadoras.
2. 2. O montante do capital social mínimo previsto no número anterior está sujeito à actualização periódica por acto dos Departamentos Ministeriais responsáveis pelas Finanças Públicas e pelas Telecomunicações e Tecnologias de Informação, no âmbito da delegação de poderes conferida pelo Titular do Poder Executivo.
3. 3. O disposto no número anterior obriga às Entidades Certificadoras existentes a aumentarem o respectivo capital social no prazo de 180 dias, a contar da data da publicação da actualização do montante mínimo do capital social.

Artigo 21.º

Pedido de credenciamento

• O pedido de credenciamento para o exercício da actividade de certificação digital é submetido por via da plataforma electrónica da Entidade Credenciadora e deve ser acompanhado dos seguintes documentos:
  1. a) Documentos de identificação dos requerentes e seus representantes estatutários;
  2. b) Comprovativo do pagamento das taxas, emolumentos e outras despesas inerentes aos actos previstos no presente Diploma.

Artigo 22.º

Vistoria

1. 1. A emissão da credencial para o exercício da actividade de certificação digital é precedida de vistoria que consiste na verificação do seguinte:
   1. a) Existência de capital social mínimo e de meios financeiros;
   2. b) Garantias de absoluta integridade e independência no exercício da actividade de certificação digital;
   3. c) Disponibilidade de recursos técnicos e humanos que satisfaçam os padrões de segurança e de eficácia;
   4. d) Existência de um contrato de seguro válido para cobertura adequada da responsabilidade civil emergente da actividade de certificação digital.
2. 2. A vistoria deve realizar-se num prazo máximo de 30 dias úteis a contar da data do pedido, findo o qual o requerente pode dar início à sua actividade.
3. 3. Se o pedido de credenciamento estiver deficientemente instruído, a Autoridade Credenciadora notifica o requerente, dando-lhe prazo de até 30 dias para suprir a deficiência.

Artigo 23.º

Duração do credenciamento

O credenciamento é válido por um período de 10 anos, renovável mediante solicitação acompanhada do comprovativo do pagamento da taxa e realização de vistoria.

Artigo 24.º

Caducidade do credenciamento

1. 1. O credenciamento caduca nos seguintes casos:
   1. a) Quando a actividade de certificação digital não seja iniciada no prazo de seis meses após a recepção da notificação do credenciamento, salvo impedimento devidamente fundamentado;
   2. b) Quando, tratando-se de pessoa colectiva privada, esta seja dissolvida, sem prejuízo dos actos necessários à respectiva liquidação;
   3. c) Quando se verifique uma situação de inibição por ter sido decretada falência;
   4. d) Suspensão ou cessação da actividade por um período igual ou superior a 90 dias, salvo impedimento devidamente fundamentado;
   5. e) Quando, findo o prazo de validade, o credenciamento não tenha sido objecto de renovação.
2. 2. A caducidade do credenciamento deve ser registada e publicada em Diário da República ou no portal da Autoridade Credenciadora.

Artigo 25.º

Suspensão preventiva da actividade

1. 1. Sempre que se verifique risco grave e iminente para a segurança das chaves criptográficas, para a protecção de dados pessoais ou para a confiança do sistema de certificação digital, a Autoridade Credenciadora pode, de forma cautelar, suspender parcial ou totalmente a actividade da Entidade Certificadora por um período até 90 dias.
2. 2. A suspensão preventiva é imediatamente comunicada ao público através de edital e do portal oficial, sem prejuízo do direito de defesa do visado.

Artigo 26.º

Cessação da actividade de certificação

1. 1. No caso de pretender cessar voluntariamente a sua actividade, a Entidade Certificadora deve comunicar, no prazo de seis meses, essa intenção à Autoridade Credenciadora e às pessoas a quem tenha emitido certificados ainda em vigor, indicando, igualmente, qual a Entidade Certificadora a quem transmite a sua documentação ou a revogação dos certificados no termo daquele prazo, devendo, neste último caso, colocar a sua documentação à guarda da Autoridade Credenciadora.
2. 2. A Entidade Certificadora que se encontre em risco de decretação de falência, de processo de recuperação de empresa ou de cessação da actividade por qualquer outro motivo alheio à sua vontade, deve informar imediatamente à Autoridade Credenciadora.
3. 3. No caso previsto no número anterior, se a Entidade Certificadora vier a cessar a sua actividade, a Autoridade Credenciadora promove a transmissão da documentação daquela para outra Entidade Certificadora ou, se tal transmissão for impossível, a revogação dos certificados emitidos e a conservação dos elementos de tais certificados pelo prazo em que deveria fazê-lo à Entidade certificadora.
4. 4. A cessação da actividade de certificação digital é objecto de registo e publicação em Diário da República ou no portal da Autoridade Credenciadora.

SECÇÃO II

Obrigações da Entidade Certificadora

Artigo 27.º

Competências da Entidade Certificadora

1. 1. Sem prejuízo das demais competências, à Entidade Certificadora compete assegurar os níveis de segurança do sistema indispensáveis para a criação da confiança relativamente às assinaturas electrónicas.
2. 2. A Entidade Certificadora deve oferecer garantias de absoluta integridade e independência no exercício da actividade de certificação, bem como demonstrar a fiabilidade necessária.

Artigo 28.º

Governação interna

Cada Entidade Certificadora deve instituir um Conselho de Conformidade e Segurança, responsável por supervisionar riscos, compliance e incidentes, com actas e relatórios anuais enviados à Autoridade Credenciadora.

Artigo 29.º

Infra-Estruturas e sistemas

As Entidades Certificadoras devem dispor de infra-estruturas técnicas seguras, em conformidade com normas internacionais reconhecidas, nomeadamente ISO/IEC 27001, ETSIEN 319 401, ou equivalentes.

Artigo 30.º

Normas técnicas

1. 1. As Entidades Certificadoras devem cumprir as normas técnicas definidas pela Autoridade Credenciadora.
2. 2. A actualização periódica de algoritmos, protocolos de segurança e padrões criptográficos é obrigatória.

Artigo 31.º

Validação cronológica

1. 1. A Entidade Certificadora deve estar dotada de um sistema de validação cronológica de documentos electrónicos, podendo o mesmo ser utilizado para a prestação de serviços ao público.
2. 2. O sistema de validação cronológica é aprovado pela Autoridade Credenciadora, a qual deve verificar, em particular, a segurança, fiabilidade e idoneidade do método de aferição da data e hora.
3. 3. A data e hora constantes de declaração de validação cronológica emitida por entidade credenciada são oponíveis entre as partes e perante terceiros.

Artigo 32.º

Interoperabilidade e certificação cruzada

As Entidades Certificadoras podem estabelecer acordos de certificação cruzada (cross-certification) com infra-estruturas de chaves públicas estrangeiras, sujeitos à aprovação prévia da Autoridade Credenciadora.

Artigo 33.º

Plano de gestão de riscos

As Entidades Certificadoras devem implementar metodologia formal de identificação, avaliação e mitigação de riscos operacionais e cibernéticos, alinhada com a ISO 31000 ou equivalente.

Artigo 34.º

Protecção de dados

1. 1. A Entidade Certificadora só pode coligir dados pessoais necessários ao exercício da sua actividade e obtê-los directamente das pessoas interessadas na titularidade de pares de chaves e respectivos certificados, ou de terceiros junto dos quais aquelas pessoas autorizem a sua colecta.
2. 2. Os dados pessoais coligidos pela Entidade Certificadora não podem ser utilizados para outra finalidade que não seja a de certificação, salvo se outro uso for consentido expressamente por lei ou pela pessoa interessada.
3. 3. A Entidade Certificadora e a Autoridade Credenciadora devem respeitar as normas sobre a protecção, tratamento e circulação dos dados pessoais e sobre a protecção da privacidade.

Artigo 35.º

Declaração de práticas de certificação

1. 1. Nenhuma Entidade Certificadora pode iniciar a actividade de emissão de certificados qualificados sem antes assegurar adequada publicidade à declaração de práticas de certificação, designadamente por meios informáticos.
2. 2. A declaração de práticas de certificação deve obedecer a padrões internacionalmente reconhecidos, sem prejuízo da sua conformidade com as disposições do presente Diploma e demais legislação aplicável.
3. 3. A declaração de práticas de certificação e as respectivas alterações devem ser submetidas à aprovação da Autoridade Credenciadora.

SECÇÃO III

Certificação por Terceiros

Artigo 36.º

Subcontratação de serviços de certificação digital

1. 1. Os serviços de certificação digital podem ser prestados e administrados total ou parcialmente por terceiros.
2. 2. Para efeitos do disposto no número anterior, a Entidade Certificadora deve demonstrar o seu vínculo contratual com a entidade que possua a tecnologia.

Artigo 37.º

Requisitos

1. 1. A Autoridade Credenciadora determina as condições sob as quais a Entidade Certificadora presta os seus serviços por intermédio de um terceiro.
2. 2. O terceiro subcontratado para a prestação de serviços de certificação digital deve observar o seguinte:
   1. a) Cumprimento integral dos requisitos previstos no presente Diploma para efeito de credenciação;
   2. b) Autorização da Autoridade Credenciadora.

Artigo 38.º

Responsabilidade

No caso de prestação de serviços de certificação digital por terceiros, a Entidade Certificadora mantém responsabilidade solidária perante os titulares.

SECÇÃO IV

Certificado Digital

Artigo 39.º

Escolha de Entidade Certificadora

Sem prejuízo do disposto ao presente Diploma quanto à Entidade Certificadora de Raiz, a escolha de Entidade Certificadora é livre, sendo proibido sujeitar uma oferta ou celebração de qualquer negócio jurídico à escolha de uma Entidade Certificadora determinada.

Artigo 40.º

Requerimento de certificado por pessoa singular

• O requerimento de certificado digital para pessoa singular deve conter, nomeadamente, os seguintes elementos:
  1. a) Nome completo;
  2. b) Indicação de eventual pseudónimo a constar como titular;
  3. c) Número do bilhete de identidade, data e entidade emitente ou qualquer outro elemento que permita a identificação inequívoca;
  4. d) Endereço e outras formas de contacto;
  5. e) Eventual indicação de uma qualidade específica em função da utilização a que este se destinar;
  6. f) Indicação quanto ao uso do certificado ser ou não restrito a determinados tipos de utilização, bem como eventuais limites do valor das transacções para as quais o certificado é válido;
  7. g) Outras informações relativas a poderes de representação, à qualificação profissional ou a outros atributos.

Artigo 41.º

Requerimento de certificado por pessoa colectiva

• O requerimento de certificado digital por pessoa colectiva deve ser subscrito pelos seus representantes legais e conter, entre outros elementos, os seguintes:
  1. a) Denominação social;
  2. b) Número de matrícula na conservatória do registo comercial ou equivalente;
  3. c) Sede, objecto social, nome dos titulares dos corpos sociais e de outras pessoas com poderes para a obrigarem;
  4. d) Nome completo, número do bilhete de identidade ou qualquer outro elemento que permita a identificação inequívoca das pessoas singulares que a representem, nos termos dos respectivos estatutos ou da lei;
  5. e) Endereço e outras formas de contacto;
  6. f) Indicação quanto ao uso do certificado ser ou não restrito a determinados tipos de utilização, bem como eventuais limites do valor das transacções para as quais o certificado é válido;
  7. g) Eventual referência a uma qualidade específica, em função da utilização a que o certificado estiver destinado;
  8. h) Outras informações relativas a poderes de representação, à qualificação profissional ou a outros atributos.

Artigo 42.º

Requerimento por pessoa diferente do titular do certificado

1. 1. No caso de formulação do pedido por pessoa diferente da que deve constar como titular do certificado digital, aos elementos exigidos para o requerimento feito por este, deve-se acrescentar os que dizem ao requerente, nomeadamente:
   1. a) Nome ou denominação social;
   2. b) Número do bilhete de identidade, data e entidade emitente, ou qualquer outro elemento que permita a identificação inequívoca, ou número de pessoa colectiva;
   3. c) Residência ou sede;
   4. d) Objecto social, nome dos titulares dos corpos sociais e de outras pessoas com poderes para a obrigarem e o número de matrícula na conservatória do registo comercial ou equivalente;
   5. e) Endereço e outras formas de contacto.
2. 2. Na situação prevista no presente artigo, o requerimento é igualmente acompanhado da declaração da pessoa a constar como titular do certificado de que se obriga ao cumprimento das obrigações nessa qualidade.

Artigo 43.º

Verificação do pedido de emissão de certificados

1. 1. A Entidade Certificadora assegura que o pedido de emissão de certificado digital é efectuado por documento electrónico ao qual é aposta uma assinatura electrónica qualificada, ou por documento escrito sobre suporte de papel, com assinatura autografada.
2. 2. A Entidade Certificadora verifica a identidade do requerente, por meio legalmente reconhecido, averiguando, no caso de o pedido ser subscrito para outrem, a existência dos poderes bastantes do requerente para a referida subscrição.

Artigo 44.º

Condições de atribuição de certificados

1. 1. Na atribuição de certificados digital, a Entidade Certificadora deve utilizar sistemas seguros que permitam a sua conservação e disponibilização para efeitos de verificação.
2. 2. Para efeitos do disposto no número anterior, a Entidade Certificadora deve assegurar o seguinte:
   1. a) O certificado é disponibilizado, integralmente, ao titular a favor de quem foi emitido;
   2. b) O certificado é publicamente disponibilizado, apenas, com o consentimento do titular;
   3. c) São transmitidas ao destinatário as condições a que este se obriga, designadamente a de verificar em cada comunicação ou transacção a validade, suspensão ou revogação do certificado e se o mesmo é utilizado de acordo com as condições emitidas pela Entidade Certificadora.

Artigo 45.º

Emissão dos certificados

1. 1. A Entidade Certificadora emite, a pedido de uma pessoa singular ou colectiva interessada e a favor desta, os dados de criação e de verificação de assinatura ou, se tal for solicitado, coloca à disposição os meios técnicos necessários para que esta os crie, devendo sempre verificar, por meio legalmente idóneo e seguro, a identidade e, quando existam, os poderes de representação da requerente.
2. 2. A Entidade Certificadora emite, a pedido do titular, uma ou mais vias do certificado digital e do certificado complementar.
3. 3. A Entidade Certificadora deve tomar medidas adequadas para impedir a falsificação ou alteração dos dados constantes dos certificados e assegurar o cumprimento das normas aplicáveis.
4. 4. A Entidade Certificadora fornece aos titulares dos certificados as informações necessárias para a utilização correcta e segura das assinaturas electrónicas, nomeadamente as respeitantes:
   1. a) Às obrigações do titular do certificado digital e da Entidade Certificadora;
   2. b) Ao procedimento de aposição e verificação de assinatura electrónica;
   3. c) À conveniência de os documentos aos quais foi aposta uma assinatura electrónica serem novamente assinados quando ocorrerem circunstâncias técnicas que o justifiquem.

Artigo 46.º

Conteúdo do certificado

1. 1. O certificado digital deve conter, dentre outras, as seguintes informações:
   1. a) Nome ou denominação do titular da assinatura electrónica e outros elementos necessários para uma identificação inequívoca e, quando existam poderes de representação, o nome do seu representante ou representantes habilitados, ou um pseudónimo do titular, claramente identificado como tal;
   2. b) Nome e assinatura electrónica qualificada da Entidade Certificadora, bem como a indicação do país onde se encontra estabelecida;
   3. c) Dados de verificação de assinatura correspondentes aos dados de criação de assinatura electrónica detidos pelo titular;
   4. d) Número de série do certificado digital;
   5. e) Início e termo de validade do certificado digital.
2. 2. A pedido do respectivo titular, podem ser incluídas no certificado digital ou em certificado complementar informações relativas a poderes de representação conferidos ao titular por terceiro, à sua qualificação profissional ou a outros atributos, mediante fornecimento da respectiva prova, ou com a menção de se tratar de informações não confirmadas.
3. 3. No caso de existir um certificado complementar, é assegurada a sua ligação ao certificado com o qual se relaciona, constando, obrigatoriamente, do certificado as seguintes informações:
   1. a) Indicação de que se trata de um certificado complementar;
   2. b) Referência ao certificado no qual se baseia;
   3. c) Designação dos algoritmos utilizados na verificação da assinatura da Entidade Certificadora;
   4. d) Número de série do certificado complementar;
   5. e) Identificação da Entidade Certificadora e país onde se encontra estabelecida;
   6. f) Outras informações relativas a poderes de representação, à qualificação profissional ou a outros atributos, com a menção de se tratar de informações não confirmadas, se for o caso;
   7. g) Assinatura electrónica avançada da Entidade Certificadora.
4. 4. O formato dos certificados obedece às especificações técnicas emitidas pela Entidade Certificadora ou outras equivalentes reconhecidas nos termos do presente Diploma.

Artigo 47.º

Obrigações do titular de certificado

1. 1. O titular do certificado deve tomar todas as medidas técnicas e organizativas que sejam necessárias para evitar danos a terceiros e preservar a confidencialidade da informação transmitida.
2. 2. Em caso de dúvida quanto à perda de confidencialidade dos dados de criação de assinatura electrónica, o titular deve solicitar a suspensão do certificado e, confirmando-se a perda, a sua revogação.
3. 3. A partir da suspensão ou revogação de um certificado ou do termo do seu prazo de validade, é proibida ao titular a utilização dos respectivos dados de criação de assinatura para gerar uma assinatura electrónica.
4. 4. Sempre que se verifiquem motivos que justifiquem a revogação ou suspensão do certificado, deve o respectivo titular efectuar, no prazo de 24 horas, o correspondente pedido de suspensão ou revogação à Entidade Certificadora.
5. 5. As obrigações previstas no presente artigo aplicam-se, com as necessárias adaptações, a quem no certificado conste como representado.

Artigo 48.º

Duração do certificado

1. 1. O certificado é emitido para um período de validade de 10 anos.
2. 2. Decorrido o período de validade do certificado, o seu titular ou representante deve requerer a sua renovação.

Artigo 49.º

Renovação e actualização de certificado

1. 1. Em caso de renovação ou actualização do certificado, a Entidade Certificadora deve:
   1. a) Verificar se toda a informação utilizada para comprovar a identidade e atributos do titular ainda se mantém válida;
   2. b) Comunicar antecipadamente ao titular todas as alterações dos termos e condições de emissão do certificado;
   3. c) Assegurar que as chaves de assinatura serão actualizadas antes do fim do seu período de validade e que as chaves públicas com elas relacionadas garantam, pelo menos, o mesmo nível de segurança que ofereciam no certificado inicial;
   4. d) Garantir que a emissão de um novo certificado, que faça uso da chave pública previamente certificada, só é efectuada se for garantida a segurança criptográfica dessa chave durante o prazo de validade do novo certificado.
2. 2. A actualização do certificado ocorre em caso de mudança de atributos do titular.

Artigo 50.º

Certificado de curta duração

A Autoridade Credenciadora pode, por acto normativo próprio, regulamentar a emissão de certificado com validade inferior a 30 dias para transacções de alto volume.

Artigo 51.º

Transferência de certificados

As Entidades Certificadoras podem efectuar a migração de certificados entre dispositivos seguros, devendo, para o efeito, manter a integridade e auditabilidade dos sistemas.

Artigo 52.º

Certificado emitidos no exterior

1. 1. O certificado emitido por Entidade Certificadora sediada no exterior é equiparado ao certificado qualificado emitido por Entidade Certificadora estabelecida em Angola, desde que se verifiquem uma das seguintes circunstâncias:
   1. a) O certificado preencha os requisitos previstos para o certificado emitido nos termos do presente Diploma e seja registado por Entidade Certificadora credenciada em Angola;
   2. b) O certificado ou a Entidade Certificadora seja reconhecido em Angola em virtude de instrumento de direito internacional ou de acordo regional.
2. 2. Nos casos da alínea a) do número anterior, a Entidade Certificadora angolana é responsável pelo certificado emitido no exterior nos mesmos termos em que é pelo certificado que emite em Angola.
3. 3. A Autoridade Credenciadora deve divulgar, pelos meios que considerar adequados, as informações de que dispuser acerca dos certificados emitidos por Entidades Certificadoras sediadas no exterior que sejam reconhecidos em Angola.

Artigo 53.º

Suspensão de certificados

1. 1. A Entidade Certificadora suspende o certificado nos seguintes casos:
   1. a) A pedido do titular, devidamente identificado para o efeito;
   2. b) Quando existam fundadas razões para crer que o certificado foi emitido com base em informações erróneas ou falsas, que as informações nele contidas deixaram de ser conformes com a realidade ou que a confidencialidade dos dados de criação de assinatura não está assegurada.
2. 2. A suspensão derivada das causas previstas na alínea b) do número anterior deve ser sempre fundamentada e comunicada no prazo máximo de 24 horas ao titular, bem como inscrita imediatamente no registo do certificado, podendo ser levantada quando se verifique que tal fundamento não corresponde à realidade.

Artigo 54.º

Revogação de certificados

1. 1. A Entidade Certificadora revoga o certificado nos seguintes casos:
   1. a) A pedido do titular, devidamente identificado para o efeito;
   2. b) Quando, após suspensão, se confirme que foi emitido com base em informações erróneas ou falsas, ou que a confidencialidade dos dados de criação de assinatura não está assegurada;
   3. c) Quando a Entidade Certificadora cesse as suas actividades sem ter transmitido a sua documentação à outra Entidade Certificadora;
   4. d) Quando a Autoridade Credenciadora ordene a revogação do certificado por motivo legalmente fundado;
   5. e) Quando tomar conhecimento do falecimento, interdição ou inabilitação da pessoa singular ou da extinção da pessoa colectiva.
2. 2. A decisão de revogação do certificado deve ser fundamentada e comunicada ao titular, bem como imediatamente registada.
3. 3. A revogação do certificado não tem efeitos retroactivos.

Artigo 55.º

Registo dos certificados

Os certificados, incluindo a sua renovação, actualização, suspensão e revogação, devem ser registados numa base de dados protegida.

Artigo 56.º

Preservação de longo prazo

A Entidade Certificadora deve manter os registos por prazo mínimo de 15 anos.

CAPÍTULO V

Relações Jurídicas de Certificação Digital

Artigo 57.º

Relações contratuais

1. 1. A emissão de certificados é regulada por contrato entre a Entidade Certificadora e o respectivo titular.
2. 2. Sob pena de nulidade, o contrato previsto no número anterior não pode violar as normas imperativas do presente Diploma e demais legislações aplicáveis.

Artigo 58.º

Direitos do titular

O titular do certificado digital tem direito à validade jurídica da sua assinatura electrónica e à protecção dos seus dados.

Artigo 59.º

Direito de portabilidade de certificados

O titular do certificado digital pode transferir certificados entre Entidades Certificadoras credenciadas, desde que se respeite as normas de segurança.

Artigo 60.º

Obrigações do titular

O titular do certificado digital deve utilizar o certificado de forma legítima e proteger os seus dispositivos de assinatura electrónica.

Artigo 61.º

Obrigações do requerente

O requerente do certificado digital deve fornecer informações verídicas.

Artigo 62.º

Obrigações da Entidade Certificadora

• Sem prejuízo das outras decorrentes do presente Diploma, a Entidade Certificadora tem as seguintes obrigações no âmbito das relações de certificação digital:
  1. a) Emitir certificados válidos e fiéis;
  2. b) Garantir disponibilidade contínua do serviço de certificação digital;
  3. c) Publicar listas de certificados revogados.

Artigo 63.º

Obrigação de informação

A Entidade Certificadora deve manter actualizada a página electrónica com informação pública sobre os seus serviços, certificados emitidos e listas de revogação, sem prejuízo da confidencialidade prevista na legislação sobre a protecção de dados.

Artigo 64.º

Dever de notificação prévia

A Entidade Certificadora deve notificar os titulares de certificados digitais sobre alterações de políticas ou práticas com 30 dias de antecedência.

Artigo 65.º

Protecção reforçada de dados sensíveis

A Entidade Certificadora pode dispor de regras específicas para tratamento de dados biométricos ou de saúde, quando utilizados na autenticação.

Artigo 66.º

Mediação e arbitragem

O contrato celebrado entre a Entidade Certificadora e os titulares de certificado digital deve prever cláusulas de resolução extrajudicial de litígios, sem prejuízo do recurso aos tribunais.

CAPÍTULO VI

Arquivos

Artigo 67.º

Arquivo de informação

Todos os registos produzidos no âmbito da certificação digital devem ser arquivados em formato seguro e acessível durante o prazo legal mínimo de 20 anos.

Artigo 68.º

Cessação da actividade

Em caso de cessação voluntária da actividade de certificação digital comunicada com antecedência prevista no presente Diploma, a Entidade Certificadora pode, mediante acordo, transferir os registos e responsabilidades à outra Entidade Certificadora.

Artigo 69.º

Plano de sucessão e transferência de chaves

Cada Entidade Certificadora deve manter o plano validado pela Autoridade Credenciadora para garantir a transferência segura de chaves e registos em caso de cessação da actividade.

Artigo 70.º

Custódia pública de certificados expirados

A Autoridade Credenciadora define, mediante diploma próprio, as condições para arquivo nacional de certificados expirados, garantindo a sua utilização como meio de prova.

CAPÍTULO VII

Segurança e Contingência

Artigo 71.º

Implementação da segurança

A Entidade Certificadora deve adoptar medidas técnicas e organizativas adequadas à protecção contra riscos de perda, alteração ou acesso não autorizado.

Artigo 72.º

Plano de segurança

Cada Entidade Certificadora deve elaborar um plano de segurança interno, actualizado anualmente.

Artigo 73.º

Política de pessoal

Os colaboradores da Entidade Certificadora e da Autoridade Credenciadora devem assinar compromissos de confidencialidade e ser submetidos à formação periódica.

Artigo 74.º

Plano de contingência

A Entidade Certificadora deve elaborar um Plano de contingência de modo a assegurar a continuidade do serviço em caso de falha grave ou desastre.

Artigo 75.º

Gestão de vulnerabilidades e patching

Os processos de certificação electrónica devem ser documentados para aplicação de correcções de segurança e mitigação de vulnerabilidades.

Artigo 76.º

Resposta a incidentes cibernéticos

A Autoridade Credenciadora, no âmbito do seu poder regulamentar, deve definir fluxos de comunicação, tempo máximo de resposta em coordenação com as entidades responsáveis pela cibersegurança e protecção de dados.

Artigo 77.º

Resiliência e redundância geográfica

1. 1. As Entidades Certificadoras devem dispor de infra-estruturas duplicadas em centros de dados geograficamente dispersos mediante prévia comunicação à Autoridade Credenciadora para efeitos de realização de vistoria nos termos do presente Diploma.
2. 2. A comunicação referida no número anterior pode ser feita por canais digitais, devendo a vistoria ser realizada num período de até 15 dias a partir da data da comunicação.

CAPÍTULO VIII

Auditoria

Artigo 78.º

Objecto da auditoria

1. 1. A auditoria tem por objecto a verificação da conformidade organização e funcionamento das Entidades Certificadoras com o seguinte:
   1. a) Disposições normativas aplicáveis à certificação digital e à assinatura electrónica;
   2. b) Normas técnicas e de segurança definidas pela Autoridade Credenciadora;
   3. c) Suas próprias políticas e declarações de práticas de certificação;
   4. d) Correcta gestão dos certificados, chaves criptográficas, dispositivos seguros e dados dos titulares.
2. 2. A auditoria pode abranger também a verificação da organização e funcionamento de sub-contratados, centros de dados, sistemas e infra-estruturas de segurança associadas a Entidades Certificadoras.

Artigo 79.º

Competência e legitimidade

1. 1. A Autoridade Credenciadora é a entidade competente para realizar auditorias, directamente ou por intermédio de auditores independentes por si credenciados.
2. 2. As Entidades Certificadoras devem permitir o pleno acesso às instalações, sistemas, registos e pessoal, sempre que solicitado pela Autoridade Credenciadora ou pelos auditores por ela designados.
3. 3. O procedimento de auditoria pode ser ordinário ou extraordinário, sempre que haver suspeita de irregularidade, incidentes ou denúncia fundamentada.

Artigo 80.º

Periodicidade

1. 1. As Entidades Certificadoras estão sujeitas a auditorias regulares, realizadas anualmente.
2. 2. A Autoridade Credenciadora pode determinar auditorias extraordinárias a qualquer momento, sempre que detectar indícios de:
   1. a) Não-conformidades graves ou recorrentes;
   2. b) Incidentes de cibersegurança;
   3. c) Reclamações fundamentadas de titulares ou entidades usuárias;
   4. d) Mudanças significativas na estrutura, práticas ou infra-estrutura da Entidade Certificadora.

Artigo 81.º

Notificação e preparação

1. 1. A Autoridade Credenciadora deve notificar a Entidade Certificadora, com antecedência mínima de 10 dias úteis, sobre a realização de auditorias ordinárias, indicando:
   1. a) O objectivo e âmbito da auditoria;
   2. b) A identidade da equipa auditora;
   3. c) A documentação preliminar a ser disponibilizada.
2. 2. Em caso de auditoria extraordinária, a notificação poderá ser feita com antecedência inferior ou até de forma imediata, conforme a urgência do caso.

Artigo 82.º

Dever de cooperação e acesso à informação

1. 1. As Entidades Certificadoras têm o dever de cooperar integralmente com a Autoridade Certificadora ou auditores designados, facultando o acesso:
   1. a) Aos sistemas informáticos e dispositivos de segurança;
   2. b) Aos registos, bases de dados e documentos operacionais;
   3. c) À equipa técnica e administrativa;
   4. d) Às instalações físicas relevantes.
2. 2. O acesso deve ser garantido de forma segura e sob supervisão da Entidade Certificadora, salvaguardando a confidencialidade dos dados dos titulares e terceiros.

Artigo 83.º

Relatórios e medidas correctivas

1. 1. A Autoridade Credenciadora ou o auditor designado elabora o relatório final da auditoria no prazo de 15 dias após a sua conclusão, com a identificação de conformidades, não-conformidades, recomendações e, se aplicável, medidas correctivas obrigatórias.
2. 2. A Entidade Certificadora notificada de não-conformidades deve apresentar plano de acção correctiva no prazo de 10 dias, ou outro fixado pela Autoridade Credenciadora, conforme a gravidade dos factos.
3. 3. A inércia ou incumprimento injustificado das medidas correctivas implica aplicação de sanções pela Autoridade Credenciadora, nos termos do regime sancionatório previsto neste Diploma.

Artigo 84.º

Confidencialidade da auditoria

1. 1. Toda a informação obtida durante o processo de auditoria está sujeita a sigilo profissional e não pode ser divulgada, salvo por decisão judicial ou para efeitos de responsabilização administrativa.
2. 2. A publicação de resultados agregados ou estatísticos poderá ser feita pela Autoridade Credenciadora, desde que não identifique individualmente nenhuma Entidade Certificadora.

Artigo 85.º

Custos e encargos

1. 1. As auditorias regulares fazem parte das obrigações decorrentes do credenciamento, sem custos adicionais para a Entidade Certificadora.
2. 2. As auditorias extraordinárias motivadas por não-conformidades ou incidentes estão sujeitas ao pagamento de taxas à Entidade Certificadora, nos termos definidos por acto dos Departamentos Ministeriais responsáveis pelas Finanças Públicas e pelas Telecomunicações e Tecnologias de Informação, no âmbito da delegação de poderes conferida pelo Titular do Poder Executivo.

Artigo 86.º

Auditorias de terceiros e internacionais

1. 1. A Autoridade Credenciadora pode reconhecer auditorias realizadas por entidades internacionais ou de outros países com os quais existam acordos de interoperabilidade ou reciprocidade.
2. 2. A Autoridade Credenciadora poderá, ainda, exigir auditorias complementares às Entidades Certificadoras vinculadas por acordos de certificação cruzada.

CAPÍTULO IX

Regime Sancionatório

Artigo 87.º

Contra-Ordenações

1. 1. Sem prejuízo do disposto no Regime Geral das Contra-Ordenações, constitui contra-ordenação a violação do disposto no presente Diploma.
2. 2. Sem prejuízo do disposto do número anterior, constitui contra-ordenação leve:
   1. a) Não observância das normas técnicas;
   2. b) Falta de revisão periódica das normas de práticas de certificação, pelo menos uma vez por ano;
   3. c) Não adopção dos procedimentos de gestão e emissão das chaves públicas da Entidade Certificadora;
   4. d) Emissão de certificados a pessoas singulares e colectivas que não reúnem os requisitos estabelecidos na legislação aplicável;
   5. e) Falta de cumprimento dos requisitos do formato dos certificados;
   6. f) Falta de divulgação por parte da Entidade Certificadora no âmbito do exercício da sua actividade as informações;
   7. g) Incumprimento dos requisitos exigidos para celebração de contrato entre a Entidade Certificadora e o requerente;
   8. h) Não realização de auditorias conforme os procedimentos exigidos;
   9. i) Incumprimento das formalidades exigidas para a emissão de certificados qualificados.
3. 3. Constitui contra-ordenação grave:
   1. a) Não observância das normas técnicas e do presente Diploma, referentes à segurança e à contingência;
   2. b) Violação do dever de realizar avaliação da conformidade dos produtos de assinatura electrónica qualificada;
   3. c) A não observância dos requisitos para a subcontratação;
   4. d) Não adopção de normas de práticas de certificação e procedimentos utilizados para cumprimento dos requisitos identificados nas políticas de certificação;
   5. e) Não observância dos requisitos exigidos para geração dos pares de chaves utilizados pela Entidade Certificadora na prestação de serviços de certificação;
   6. f) Incumprimento ou não asseguramento dos dispositivos seguros de criação de assinaturas sejam preparados, armazenados, distribuídos de forma segura e certificado;
   7. g) Falta de adopção de procedimentos de validação cronológica;
   8. h) Não observância dos requisitos exigidos para o registo e emissão de certificados;
   9. i) Falta de cumprimento dos requisitos do conteúdo dos certificados;
   10. j) Não adopção dos procedimentos exigidos para renovação, actualização, revogação ou suspensão do certificado;
   11. k) Não adopção das normas de segurança, plano de segurança e planos de contingências aplicáveis ao exercício da sua actividade;
   12. l) Incumprimento dos requisitos e formalidades exigidas para a política de pessoal;
   13. m) Não realização de auditorias;
   14. n) Não acatar as recomendações dos auditores;
   15. o) Incumprimento das formalidades exigidas para efeito de cessação da actividade e arquivo de informação;
   16. p) Exercício da actividade sem autorização da Autoridade Credenciadora;
   17. q) Incumprimento dos requisitos exigidas para a emissão de certificados qualificados.

Artigo 88.º

Advertência e coima

• As contra-ordenações previstas no presente Diploma são punidas da seguinte forma:
  1. a) Advertência, em caso de contra-ordenação com impacto reduzido;
  2. b) Coima, dependendo da gravidade do impacto e da condição económica do agente.

Artigo 89.º

Montante das coimas

1. 1. O valor da coima para as contra-ordenações leves é fixado da seguinte forma:
   1. a) Para pessoas singulares, o montante mínimo é de 1 (um) salário mínimo nacional e o máximo de 100 salários mínimos nacionais;
   2. b) Para pessoas colectivas, o montante mínimo é de 10 salários mínimos nacionais e o máximo de 1.000 salários mínimos nacionais.
2. 2. O valor da coima para as contra-ordenações graves é fixado da seguinte forma:
   1. a) Para pessoas singulares, o montante mínimo é de 10 salários mínimos nacionais e o máximo de 1.000 salários mínimos nacionais;
   2. b) Para pessoas colectivas, o montante mínimo é de 40 salários mínimos nacionais e o máximo de 10.000 salários mínimos nacionais.
3. 3. As coimas aplicáveis por contra-ordenações, no presente Diploma, devem ser pagas em moeda nacional, no prazo máximo de 30 dias, contados a partir da data de notificação da decisão que as aplicou.

Artigo 90.º

Critérios de graduação da coima

1. 1. A determinação do valor da coima é feita em função da ilicitude concreta do facto, da culpa do agente e dos benefícios obtidos com a prática da contravenção e das exigências de prevenção.
2. 2. Na determinação da ilicitude concreta do facto e da culpa, deve atender-se, entre outras, às seguintes circunstâncias:
   1. a) Perigo ou dano causados;
   2. b) Carácter ocasional ou reiterado da infracção;
   3. c) Existência de actos de ocultação tendentes a dificultar a descoberta da infracção;
   4. d) Existência de actos do agente destinados por sua livre iniciativa, a reparar os danos ou evitar os perigos causados pela infracção;
   5. e) Intenção do agente de obter, para si ou para outrem, um benefício ilegítimo ou de causar danos.
3. 3. Na determinação da coima aplicável são ainda ponderadas a situação económica do infractor e o volume de negócios consolidado no ano civil anterior.
4. 4. Em caso de negligência, os limites mínimo e máximo das coimas aplicáveis são reduzidos à metade.

Artigo 91.º

Reincidência e agravamento

1. 1. Considera-se reincidência quando o agente comete nova contra-ordenação, da mesma natureza, no prazo de cinco anos após a decisão definitiva relativa à contra-ordenação anterior.
2. 2. Em caso de reincidência, os limites mínimo e máximo da coima são elevados em um terço e pode ser aplicada cumulativamente sanção acessória.

Artigo 92.º

Sanções acessórias

1. 1. Para além das coimas previstas no presente Diploma, podem ser aplicadas as seguintes sanções acessórias:
   1. a) Revogação do credenciamento;
   2. b) Suspensão temporária da actividade da Entidade Certificadora por um período até 12 meses;
   3. c) Interdição do exercício de funções de administração, gerência ou de direcção por parte dos responsáveis, até 5 anos;
   4. d) Publicação da decisão condenatória, a expensas do infractor, em dois jornais de circulação nacional e no portal da Autoridade Credenciadora.
2. 2. As sanções acessórias são determinadas em função da gravidade da infracção, da reincidência e do prejuízo causado ao interesse público ou a terceiros.

Artigo 93.º

Responsabilidade dos dirigentes e técnicos

1. 1. Os administradores, gerentes, directores ou técnicos responsáveis das Entidades Certificadoras respondem solidariamente pelas infracções que resultem de sua acção ou omissão dolosa ou com negligência grave.
2. 2. A responsabilidade prevista no número anterior é independente da eventual responsabilidade civil ou penal que ao caso couber.

Artigo 94.º

Revogação do credenciamento

1. 1. Sem prejuízo de outras sanções aplicáveis nos termos do presente Diploma, o credenciamento é revogado nas seguintes situações:
   1. a) Se tiver sido obtida por meio de falsas declarações ou expedientes ilícitos;
   2. b) Se a Entidade Certificadora cessar a actividade por período superior a 12 meses, sem autorização da Autoridade Credenciadora ou a existência de uma razão fundada;
   3. c) Se ocorrerem irregularidades na administração, organização ou fiscalização interna;
   4. d) Se forem praticados actos ilícitos que lesem a confiança pública na certificação;
   5. e) Se ocorrer modificação estatutária não comunicada à Autoridade Credenciadora com 60 dias de antecedência.
2. 2. A revogação do credenciamento compete à Autoridade Credenciadora, em decisão fundamentada, notificada no prazo de 8 (oito) dias úteis.
3. 3. Antes da tomada de decisão de revogação do credenciamento, deve ser garantida à Entidade Certificadora o direito ao contraditório, nos termos do Regime Geral das Contra-Ordenações.
4. 4. A decisão de revogação do credenciamento é registada e publicada no Diário da República ou no portal da Autoridade Credenciadora.

Artigo 95.º

Competência instrutiva

A instrução dos processos relativos às contra-ordenações previstas no presente Diploma, bem como a aplicação das respectivas coimas, compete à Autoridade Credenciadora.

Artigo 96.º

Responsabilidade civil e obrigação de reparação

1. 1. A aplicação de sanções administrativas não isenta o infractor da obrigação de reparar os danos patrimoniais e não patrimoniais causados a terceiros, incluindo utilizadores de certificados digitais, titulares de dados pessoais e o próprio Estado.
2. 2. A Autoridade Credenciadora pode, oficiosamente ou a pedido dos lesados, fixar um prazo para que o infractor apresente plano de reparação e comprove a efectiva reposição da situação anterior ou indemnização devida.

CAPÍTULO X

Disposições Finais e Transitórias

Artigo 97.º

Repartição das receitas

• As receitas resultantes de taxas e da aplicação das coimas são arrecadadas por via da Referência Única de Pagamento ao Estado e revertem-se para:
  1. a) Tesouro Nacional - 40%;
  2. b) Autoridade Credenciadora - 60%.

Artigo 98.º

Regularização das entidades em actividade

As entidades que, à data da entrada em vigor do presente Diploma, exerçam actividades de certificação digital devem requerer credenciação no prazo de 180 dias.

Artigo 99.º

Regulamentação

As matérias sobre o Regime Jurídico da Assinatura Electrónica e da Certificação Digital que não se encontram reguladas no presente Diploma são objecto de tratamento em sede de regulamentos.

Artigo 100.º

Avaliação periódica

O presente Diploma deve ser objecto de avaliação e eventual revisão a cada cinco anos, ou sempre que alterações tecnológicas relevantes o justifiquem.

Artigo 101.º

Dúvidas e omissões

As dúvidas e omissões resultantes da interpretação e aplicação do presente Diploma são resolvidas pelo Presidente da República.

Artigo 102.º

Norma revogatória

É revogada toda a legislação que contrarie o disposto no presente Diploma, nomeadamente a Secção I do Capítulo IV, bem como o artigo 88.º, todos do Regulamento das Tecnologias de Informação e dos Serviços da Sociedade da Informação, aprovado pelo Decreto Presidencial n.º 202/11, de 22 de Julho.

Artigo 103.º

Entrada em vigor

O presente Decreto Legislativo Presidencial entra em vigor na data da sua publicação.

Apreciado em Conselho de Ministros, em Luanda, aos 29 de Maio de 2026.

Publique-se.

Luanda, aos 21 de Outubro de 2026.

O Presidente da República, JOÃO MANUEL GONÇALVES LOURENÇO.