Regulamento para Reconhecimento das Entidades Certificadoras do Sistema Técnico de Jogo
O Regime Jurídico dos Jogos e Apostas online (RJO), aprovado pelo Decreto-Lei 66/2015, de 29 de abril, determina, no artigo 35.º, que a homologação do sistema técnico de jogo depende de prévia certificação, a efetuar por entidade constante de lista a divulgar pelo Serviço de Regulação e Inspeção de Jogos no seu sítio na Internet.
Em cumprimento do disposto no artigo 48.º do Decreto-Lei 66/2015 de 29 de abril, a entidade de controlo, inspeção e regulação publicitou o início do procedimento no seu sítio na Internet, com indicação do objeto e da forma como podiam ser apresentados contributos para a elaboração do regulamento.
No âmbito do respetivo procedimento de consulta regulamentar foram recebidos contributos dos vários interessados que se pronunciaram.
As regras que se aprovam têm em consideração os contributos que foram apresentados no âmbito da referida consulta.
Assim, ao abrigo das disposições conjugadas do artigo 35.º e do artigo 48.º do RJO com a alínea b) do n.º 3 do artigo 7.º do Decreto-Lei 129/2012, de 22 de junho, na redação dada pelo Decreto-Lei 66/2015, de 29 de abril, a Comissão de Jogos, na reunião de 15 de julho de 2015, deliberou:
1.º Aprovar sob a forma de regulamento o procedimento para o reconhecimento pela Comissão de Jogos do Turismo de Portugal, I. P. das entidades habilitadas a certificar o sistema técnico de jogo, bem como as regras a que as mesmas ficam vinculadas no exercício da atividade de certificação de sistemas técnicos de jogos.
2.º O presente Regulamento entra em vigor no dia seguinte ao da sua publicação no Diário da República, 2.ª série.
Regulamento para Reconhecimento das Entidades Certificadoras
Artigo 1.º
Objeto
1 - O presente regulamento tem por objeto definir o procedimento para o reconhecimento pela Comissão de Jogos do Turismo de Portugal, I. P. (Comissão de Jogos) das entidades habilitadas a certificar o sistema técnico de jogo (entidades certificadoras) das pessoas coletivas privadas que pretendam obter uma licença para a exploração de jogos e apostas online, nos termos definidos no Regime Jurídico dos Jogos e Apostas Online (RJO), aprovado pelo Decreto-Lei 66/2015, de 29 de abril.
2 - O presente regulamento tem ainda por objeto definir as regras a que as entidades certificadoras ficam vinculadas no exercício da atividade de certificação de sistemas técnicos de jogos.
Artigo 2.º
Requerimento
1 - A pessoa coletiva que pretenda ser reconhecida como entidade certificadora deve solicitá-lo ao Serviço de Regulação e Inspeção de Jogos (SRIJ) mediante requerimento dirigido por correio eletrónico, para o endereço sugestoes.srij@turismodeportugal.pt, ou por correio registado para o seguinte endereço: Rua Ivone Silva, lote 6, 1050-124 Lisboa.
2 - O requerimento, bem como os documentos que o acompanham, devem ser redigidos em língua portuguesa.
3 - Quando, pela sua própria natureza ou origem, os documentos apresentados estiverem redigidos numa língua estrangeira, devem os mesmos ser acompanhados de tradução para a língua portuguesa, devidamente legalizada.
4 - O SRIJ pode, a pedido da requerente, autorizar que alguns dos documentos não sejam acompanhados de tradução devidamente legalizada.
Artigo 3.º
Requisitos gerais
1 - A entidade que pretenda ser reconhecida como entidade certificadora deve comprovar que detém a necessária capacidade técnica e jurídica para efetuar certificações aos sistemas técnicos de jogos, bem como assumir as inerentes responsabilidades.
2 - A entidade deve, ainda, demonstrar possuir independência e imparcialidade relativamente às pessoas coletivas privadas cujos sistemas técnicos de jogo são objeto de certificação.
Artigo 4.º
Capacidade técnica
Para efeitos de verificação da capacidade técnica, a entidade deve instruir o requerimento com os seguintes elementos:
a) Documento comprovativo de que detém certificação ISO 17020 ou ISO 17025, ou equivalente;
b) Identificação do pessoal técnico afeto ao processo de avaliação e certificação que possua, pelo menos, uma das seguintes certificações, ou equivalente, devendo ser junto o respetivo certificado:
i) Certified Information System Auditor (CISA);
ii) Certified Information Security Manager (CISM);
iii) Systems Security Certified Practitioner (SSCP);
iv) Certified Information Systems Security Professional (CISSP).
v) Auditor principal (Lead Auditor) ISO 27001;
vi) Payment Card Industry (PCI) Qualified Security Assessor (QSA).
c) Identificação do pessoal técnico afeto à realização de testes de segurança que possua, pelo menos, uma das seguintes certificações ou equivalente, devendo ser junto o respetivo certificado:
i) International Council of E-Commerce (EC-Council) Certified Ethical Hacker (CEH);
ii) International Council of E-Commerce (EC-Council) Licensed Penetration Tester (LPT);
iii) Information Assurance Certification Review Board (IACRB) Certified Penetration Tester (CPT);
iv) Global Information Assurance Certification (GIAC) Certified Penetration Tester (GPEN);
v) CESG CHECK Team Leader;
vi) CESG CHECK Team Member;
vii) CREST Infrastructure Certification;
viii) CREST Registered Tester;
ix) Tiger Scheme Senior Security Tester;
x) Tiger Scheme Qualified Security Tester;
xi) OSCP - Offensive Security Certified Professional.
d) Identificação do pessoal afeto à certificação do gerador de números aleatórios, que possua as qualificações académicas necessárias nas áreas relevantes para o efeito, devidamente comprovadas;
e) Declaração subscrita pelo legal representante atestando que, nos últimos dois anos, não foi objeto de qualquer sanção aplicada no âmbito de processos de certificação de sistemas e ou plataformas técnicas de jogo.
Artigo 5.º
Capacidade jurídica
Para efeitos de verificação da capacidade jurídica, a entidade deve instruir o seu requerimento com certidão do registo comercial ou documento equivalente quando se trate de sociedades sedeadas no estrangeiro.
Artigo 6.º
Independência, imparcialidade e confidencialidade
Para efeitos da demonstração da que a entidade goza de independência e imparcialidade, o requerimento deve ainda ser instruído com declaração, subscrita pelo representante legal, a atestar a inexistência de qualquer conflito de interesses relativamente a pessoas coletivas privadas que desenvolvam qualquer atividade conexa com a exploração do jogo ou apostas que possa comprometer o seu trabalho de avaliação e certificação.
Artigo 7.º
Análise do requerimento
1 - O requerimento é analisado pelo SRIJ, no prazo máximo de um mês, contado a partir da data da sua receção.
2 - O SRIJ pode solicitar toda a informação que se revele necessária para completar ou aclarar o respetivo pedido, devendo a entidade requerente, no prazo que, para o efeito, lhe for fixado, apresentar os elementos solicitados.
3 - O prazo previsto no n.º 1 suspende-se durante o período que decorre entre o pedido de elementos a que se refere o número anterior e a apresentação dos mesmos.
4 - Se, no prazo para o efeito fixado, os elementos solicitados não forem apresentados ao SRIJ, considera-se extinto o procedimento, por desistência.
Artigo 8.º
Decisão
1 - O reconhecimento da qualidade de entidade certificadora compete à Comissão de Jogos.
2 - Obtido o reconhecimento, a entidade certificadora passa a constar da lista publicitada no sítio da Internet do SRIJ.
3 - A inscrição na lista é válida por três anos a contar da data da notificação.
4 - A qualidade de entidade certificadora é pessoal e intransmissível.
Artigo 9.º
Renovação da inscrição das entidades certificadoras
1 - Decorrido o prazo referido no n.º 3 do artigo anterior, a inscrição na lista pode ser renovada por igual período, a pedido da entidade.
2 - A instrução do pedido de renovação segue a mesma tramitação do pedido inicial.
Artigo 10.º
Exclusão da lista de entidades certificadoras
1 - O reconhecimento como entidade certificadora pode cessar nos casos em que esta:
a) Cesse a sua atividade como certificadora;
b) Deixe de reunir qualquer um dos requisitos previstos no presente regulamento;
c) Tenha sido objeto de aplicação de sanções, administrativas ou outras, por parte de entidades reguladoras do jogo online ou de entidades judiciais competentes, por factos praticados no âmbito da atividade de certificação de sistemas e ou plataformas de jogo online.
2 - A entidade certificadora está obrigada a comunicar ao SRIJ a verificação de uma das situações previstas no número anterior, se necessário com exposição explicativa, para efeitos de avaliação da sua manutenção na lista de entidades certificadoras.
Artigo 11.º
Regras de certificação
1 - A certificação constitui um mecanismo de avaliação e verificação da conformidade do sistema técnico de jogo com as especificações técnicas aplicáveis.
2 - A certificação do sistema técnico de jogo constitui requisito essencial para a subsequente homologação do mesmo pelo SRIJ e posterior emissão da licença para a exploração de jogos e apostas online.
3 - A certificação ao sistema técnico de jogo é ainda exigida sempre que as entidades exploradoras pretendam explorar tipos de jogos de fortuna ou azar, já abrangidos pela licença emitida, mas que não tenham sido objeto da certificação inicial ou ainda quando pretendam explorar novos tipos de jogos não abrangidos por aquela licença.
Artigo 12.º
Âmbito da certificação
1 - As entidades certificadoras, mediante solicitação das pessoas coletivas privadas que pretendam obter uma licença para a exploração de jogos e apostas online, procedem à avaliação e verificação dos sistemas técnicos de jogo destas, nestes estando incluído o conjunto de hardware e software, o sítio na Internet, a infraestrutura de entrada e registo e a plataforma de jogo, bem como os mecanismos destinados a garantir a integridade, a disponibilidade, a confidencialidade e os demais atributos de segurança das comunicações e de toda a informação ali processada e armazenada.
2 - A avaliação da conformidade do sistema técnico de jogo engloba, ainda, a verificação do cumprimento das obrigações decorrentes do RJO impostas às entidades exploradoras de jogos e apostas online, bem como das que resultam de regulamentos, instruções ou orientações da Comissão de Jogos ou do SRIJ, nos termos dos artigos 32.º e 33.º daquele regime jurídico.
Artigo 13.º
Referenciais de certificação
1 - No processo de certificação, a entidade certificadora deve identificar, entre outros que considerem relevantes, os requisitos críticos e não críticos do sistema técnico de jogo.
2 - Qualquer alteração ao sistema técnico de jogo que, nos termos do presente regulamento, tenha impacto nos respetivos requisitos técnicos deve ser objeto de nova certificação.
Artigo 14.º
Relatório de certificação
1 - Concluída a certificação do sistema técnico de jogo, a entidade certificadora deve produzir um relatório, do qual devem constar as desconformidades identificadas e qual o grau de criticidade das mesmas.
2 - O relatório referido no número anterior deve ser redigido em língua portuguesa ou, se estiver redigido em língua estrangeira, deve o mesmo ser acompanhado de tradução para a língua portuguesa e enviado ao SRIJ e à entidade que requereu a certificação.
3 - O relatório deve concluir pela certificação, sem reservas ou com reservas, ou pela não certificação.
4 - A certificação é feita sem reservas quando não existam quaisquer desconformidades.
5 - A certificação é feita com reservas quando apenas existam desconformidades consideradas não críticas.
6 - O relatório deve concluir pela não certificação quando existam desconformidades consideradas críticas.
Artigo 15.º
Lista de anomalias
1 - Após a receção do relatório de certificação e caso se verifique a existência de desconformidades, a entidade que requereu a certificação elabora uma lista de anomalias que remete ao SRIJ e à entidade certificadora, para conhecimento.
2 - A lista de anomalias integra todas as desconformidades identificadas no relatório, bem como, se for o caso, as medidas corretivas a adotar e o calendário de execução das mesmas.
3 - Após a correção das desconformidades detetadas no relatório, a entidade exploradora deverá obter novo relatório da entidade certificadora.
4 - A entidade exploradora pode relativamente às desconformidades não críticas detetadas suprir as mesmas ou não proceder à correção de todas ou de algumas, comunicando ao SRIJ, com conhecimento à entidade certificadora, os fundamentos da sua decisão.
5 - Caso o SRIJ considere que as razões invocadas pela entidade exploradora para a não correção das desconformidades não críticas detetadas são insuficientes, pode não homologar o respetivo sistema técnico de jogo se essas desconformidades não forem corrigidas no prazo para o efeito fixado.
Artigo 16.º
Poderes de controlo da entidade de controlo, inspeção e regulação do jogo
O SRIJ pode solicitar, a qualquer momento, que as entidades certificadoras comprovem que mantêm em vigor os requisitos exigidos para a sua inscrição, designadamente, para efeitos do disposto na alínea b) do n.º 1 do artigo 10.º
Artigo 17.º
Sanções
1 - A prestação de falsas declarações ou o incumprimento das obrigações decorrentes do presente regulamento dão lugar à aplicação de uma das seguintes sanções administrativas:
a) Suspensão da inscrição pelo período máximo de 6 meses;
b) Remoção da lista de entidades certificadoras.
2 - A decisão de aplicar uma sanção cabe à Comissão de Jogos, sob proposta do SRIJ, devendo ser notificada por qualquer meio que permita determinar a data da receção da comunicação.
3 - A sanção prevista na alínea a) do n.º 2 é registada na lista de entidades certificadoras.
4 - Previamente à aplicação de uma das sanções previstas no n.º 1, o SRIJ notifica a entidade certificadora do projeto de decisão, convidando-a a, querendo, apresentar por escrito a sua pronúncia.
Artigo 18.º
Disposição transitória
As entidades referidas no artigo 7.º do Decreto-Lei 66/2015, de 29 de abril, estão sujeitas ao procedimento de certificação do seu sistema técnico de jogo, nos termos previstos no referido decreto-lei e no presente regulamento.
16 de julho de 2015. - A Vice-Presidente do Conselho Diretivo, Maria Teresa Rodrigues Monteiro.
208801999
