ICP-Brasil, certificado digital e assinatura eletrônica

Quando um servidor assina um documento no sistema do órgão ou um contador transmite uma declaração com certificado, duas normas estão por trás: a Medida Provisória 2.200-2/01, que instituiu a Infraestrutura de Chaves Públicas Brasileira (ICP-Brasil), e a Lei 14.063/20, que classifica as assinaturas eletrônicas. Provas de informática e de legislação de TI cobram a estrutura, os papéis e a classificação. Os textos foram consultados no portal do Planalto, e os dispositivos abaixo seguem a redação vigente indicada neles.

O que é a ICP-Brasil

O art. 1º da MP 2.200-2 institui a ICP-Brasil para garantir a autenticidade, a integridade e a validade jurídica de documentos em forma eletrônica, das aplicações de suporte e das aplicações habilitadas que utilizem certificados digitais, bem como a realização de transações eletrônicas seguras. Guarde os três atributos: autenticidade, integridade e validade jurídica. Eles se ligam ao que a criptografia assimétrica e a assinatura digital entregam tecnicamente.

A cadeia de confiança

A ICP-Brasil é composta, segundo o art. 2º, por uma autoridade gestora de políticas e pela cadeia de autoridades certificadoras, formada por:

Integrante	Papel (resumo conforme os arts. 3º a 7º)
Comitê Gestor da ICP-Brasil	autoridade gestora de políticas: estabelece a política, os critérios e as normas técnicas de credenciamento, credencia e fiscaliza; vinculado à Casa Civil, tem cinco representantes da sociedade civil e representantes de órgãos do governo
AC Raiz	primeira autoridade da cadeia: emite, expede, distribui, revoga e gerencia os certificados das AC de nível imediatamente subsequente; fiscaliza e audita AC e AR; é vedado à AC Raiz emitir certificados para o usuário final (parágrafo único do art. 5º)
AC (Autoridade Certificadora)	emite, expede, distribui, revoga e gerencia certificados que vinculam pares de chaves criptográficas ao titular; mantém listas de certificados revogados e registro de suas operações
AR (Autoridade de Registro)	vinculada a uma AC; identifica e cadastra usuários, encaminha as solicitações de certificado às AC e mantém registros

O Instituto Nacional de Tecnologia da Informação (ITI), autarquia federal, é a AC Raiz da ICP-Brasil (art. 13).

Dois pontos que as bancas gostam de explorar:

A chave privada é do titular. O parágrafo único do art. 6º determina que o par de chaves criptográficas será gerado sempre pelo próprio titular e que sua chave privada de assinatura será de seu exclusivo controle, uso e conhecimento. A AC não guarda a chave privada de assinatura.
Nível imediatamente subsequente. É vedado a qualquer AC certificar nível diverso do imediatamente subsequente ao seu, exceto nos acordos de certificação lateral ou cruzada aprovados pelo Comitê Gestor (art. 9º).

Identificação do titular

O art. 7º, na redação da Lei 14.063/20, diz que compete às AR identificar e cadastrar usuários, encaminhar solicitações às AC e manter registros. Seu parágrafo único determina que a identificação será feita presencialmente, mediante comparecimento pessoal do usuário, ou por outra forma que garanta nível de segurança equivalente, observadas as normas técnicas da ICP-Brasil. O texto compilado também exibe a redação anterior do artigo, já revogada; vale a redação vigente.

Efeito jurídico

O art. 10 considera documentos públicos ou particulares, para todos os fins legais, os documentos eletrônicos de que trata a MP. Pelo § 1º, as declarações constantes de documentos eletrônicos produzidos com processo de certificação da ICP-Brasil presumem-se verdadeiras em relação aos signatários. O § 2º é frequentemente cobrado: a MP não obsta o uso de outro meio de comprovação de autoria e integridade, inclusive certificados não emitidos pela ICP-Brasil, desde que admitido pelas partes como válido ou aceito por quem o documento for oposto. Ou seja, o certificado ICP-Brasil dá presunção legal, mas não é o único meio possível.

A Lei 14.063/20: três tipos de assinatura eletrônica

A lei trata do uso de assinaturas eletrônicas em interações com entes públicos, em atos de pessoas jurídicas e em questões de saúde, entre outros temas. O art. 3º dá as definições centrais:

Autenticação: processo eletrônico que permite a identificação eletrônica de uma pessoa natural ou jurídica.
Assinatura eletrônica: dados em formato eletrônico que se ligam ou estão logicamente associados a outros dados eletrônicos e que são usados pelo signatário para assinar.
Certificado digital: atestado eletrônico que associa os dados de validação da assinatura eletrônica a uma pessoa natural ou jurídica.
Certificado digital ICP-Brasil: o emitido por AC credenciada na ICP-Brasil.

O art. 4º classifica as assinaturas em três tipos:

Tipo	Características (art. 4º)
Simples	permite identificar o signatário e anexa ou associa dados a outros dados eletrônicos do signatário
Avançada	usa certificados não emitidos pela ICP-Brasil ou outro meio de comprovação de autoria e integridade, desde que admitido pelas partes ou aceito por quem o documento for oposto; é associada ao signatário de maneira unívoca, usa dados que o signatário pode, com elevado nível de confiança, operar sob seu controle exclusivo, e qualquer modificação posterior é detectável
Qualificada	usa certificado digital nos termos do § 1º do art. 10 da MP 2.200-2, isto é, certificado ICP-Brasil

O § 1º esclarece que os três tipos caracterizam o nível de confiança sobre a identidade e a manifestação de vontade do titular, e a qualificada é a de nível mais elevado. O § 2º manda assegurar formas de revogação ou cancelamento definitivo do meio usado nas assinaturas, sobretudo em casos de comprometimento de segurança ou vazamento de dados.

Qual assinatura em qual situação

O art. 5º diz que ato do titular do Poder ou órgão de cada ente federativo estabelecerá o nível mínimo exigido, observado que:

a assinatura simples pode ser admitida em interações de menor impacto e que não envolvam informações protegidas por grau de sigilo;
a avançada pode ser admitida nas hipóteses da simples e, também, por exemplo, no registro de atos perante as juntas comerciais;
a qualificada é admitida em qualquer interação eletrônica com ente público, independentemente de cadastramento prévio.

O § 2º torna obrigatória a assinatura qualificada em hipóteses como os atos assinados por chefes de Poder, Ministros de Estado ou titulares de Poder ou órgão constitucionalmente autônomo de ente federativo, nas emissões de notas fiscais eletrônicas (com exceção de emitentes pessoas físicas e MEIs, para quem é facultativa) e nos atos de transferência e registro de bens imóveis, ressalvada a hipótese de registro de atos nas juntas comerciais, além das demais hipóteses previstas em lei. O § 5º manda prevalecer a qualificada em caso de conflito entre normas. Alguns incisos desse artigo foram vetados: confira o texto vigente antes de responder questão literal.

O art. 2º, parágrafo único, afasta a aplicação do capítulo, entre outras hipóteses, aos processos judiciais, à interação entre pessoas naturais ou entre pessoas jurídicas de direito privado, às interações em que o anonimato é permitido e aos sistemas de ouvidoria.

Assinatura digital x assinatura eletrônica

Cuidado com os termos, uma pegadinha frequente:

Assinatura eletrônica é o gênero: qualquer dado eletrônico usado para assinar, em três níveis legais (simples, avançada, qualificada).
Assinatura digital é uma técnica criptográfica: calcula-se o hash do documento e o cifra com a chave privada do signatário; qualquer um com a chave pública confere a autoria e a integridade, e o signatário não pode negar a autoria (não repúdio).
Uma assinatura digital feita com certificado ICP-Brasil é, na lei, uma assinatura eletrônica qualificada. Uma foto de assinatura colada em um PDF, ou um “li e aceito” com login e senha, é, no máximo, simples.

Quanto aos tipos de certificado, as normas da própria ICP-Brasil os organizam em categorias (como A1 e A3, que diferem principalmente no modo de armazenar a chave: em arquivo ou em dispositivo como cartão ou token). Prazos de validade e demais regras são normas técnicas que mudam: confira no edital e nas normas vigentes.

Passo a passo para a prova

Identifique a pergunta: estrutura da ICP-Brasil, papel de cada autoridade ou classificação de assinatura.
Para papéis, lembre: Comitê Gestor (políticas), AC Raiz (emite para as AC, não para o usuário final), AC (emite para o titular), AR (identifica e cadastra).
Para assinaturas, ordene por nível de confiança: simples, avançada, qualificada.
Qualificada = certificado ICP-Brasil.
Lembre que o uso de outros meios é admitido se as partes aceitarem (MP 2.200-2, art. 10, § 2º).

Erros comuns

Dizer que a AC Raiz emite certificado para o usuário final.
Dizer que a AC gera a chave privada do titular.
Confundir AR (identifica e cadastra) com AC (emite).
Afirmar que só certificado ICP-Brasil tem validade jurídica.
Achar que assinatura eletrônica e assinatura digital são sinônimos exatos.
Esquecer que a avançada não usa certificado ICP-Brasil nos termos da definição legal, mas exige características rigorosas.

Fontes e atualização

Textos consultados no portal do Planalto: Medida Provisória 2.200-2/01 e Lei 14.063/20. A organização do Comitê Gestor e das normas técnicas pode mudar por atos posteriores, e vários artigos foram alterados ou vetados: confira sempre o texto vigente e o edital.

Próximos passos

Revise a base técnica em criptografia: chave simétrica, assimétrica e assinatura digital.
Veja o contexto de dados pessoais em LGPD no dia a dia do servidor.
Estude a segurança em segurança da informação: ameaças, malware e golpes digitais.