Evidência que pode rever. Controlos que pode verificar.

Acessos e MFA, registos de auditoria, monitorização, cópias de segurança e proteção dos ramos têm evidência datada. O SGSI mapeia 16 riscos e 93 controlos do Anexo A. Faltam aprovações específicas ISO, auditoria interna executada, revisão pela gestão e certificação independente.

O AIMS, inventário de IA, tratamento de impactos e riscos, mapeamento de controlos, evidência operacional, auditoria interna e revisão pela gestão estão concluídos no âmbito definido. Falta a certificação independente acreditada.

A análise de impacto, estratégias de continuidade, exercícios de recuperação, dependências de fornecedores, revisão pela gestão e processo de ações corretivas estão implementados no âmbito definido. Falta a certificação independente acreditada.

O desenho dos controlos, os responsáveis e o processo de evidência estão implementados no âmbito definido. Continuam pendentes o exame por auditor independente e o relatório Type II.

O dossier interno cobre 12 áreas de revisão e 42 fontes de evidência. Permanecem dez ações de fecho, incluindo evidência operacional atual, aprovações da gestão, aplicabilidade legal e avaliação independente. Não alegamos certificação NIS2.

O pacote de evidência para clientes abrange segurança, incidentes, testes de resiliência, continuidade, subcontratantes, cooperação em auditoria e apoio à saída. A DORA não emite um certificado de fornecedor; a validação jurídica específica de cada cliente é separada.

Estão implementados controlos de desenvolvimento seguro, tratamento de vulnerabilidades, dependências, evidência de release e suporte. A classificação do produto e a via legal de conformidade aplicável dependem de determinação formal.

A CSA publicou a autoavaliação CAIQ v4.1 Level 1 da Kotav Labs no registo STAR em 14 de setembro de 2026. É uma autoavaliação do fornecedor, não uma auditoria independente.

A CSA publicou a autoavaliação AI-CAIQ v1.1.0 do Argus no registo STAR em 14 de setembro de 2026. É uma autoavaliação do fornecedor, não uma certificação ou auditoria independente.

A Kotav Labs aderiu aos nove princípios de IA da CREST em 5 de setembro de 2026. A publicação no registo e o respetivo selo ainda estão pendentes.

A política pública de divulgação e o índice de boletins de segurança estão publicados; os contactos operacionais principal e suplente estão identificados. Faltam a submissão autenticada e a aceitação pelo programa CVE.

Os perfis da situação atual e dos objetivos, com âmbito definido, orientam o nosso programa interno de melhoria e a revisão da respetiva evidência.

As práticas de avaliação e desenvolvimento referenciam requisitos OWASP selecionados e preservam evidência de revisão.

Autorização, âmbito, descoberta, validação controlada, tratamento de evidência, relatório, remediação e revalidação seguem um método documentado e repetível. O NIST e o PTES não emitem certificado por esta adoção.

A CSA atribuiu à Kotav Labs o selo oficial Trustworthy AI Pledge 2026. Continua pendente a confirmação da listagem no diretório público.

A Kotav Labs submeteu o compromisso e a iniciativa de formação para revisão pela plataforma em 21 de setembro de 2026. O compromisso prevê formação gratuita para pelo menos 25 profissionais de desenvolvimento e segurança na UE até 30 de setembro de 2027; a aceitação e a publicação continuam pendentes.

O registo e a ativação por email foram concluídos em 19 de setembro de 2026. A linha de base das emissões é a próxima tarefa operacional; ainda não foi registada evidência de um perfil público.