Resolução nº 211 da ICP-Brasil: prazos de transição, novos certificados e impactos para ERPs

Introdução

A Resolução CG ICP-Brasil nº 211, de 31 de outubro de 2024, reorganizou os tipos de certificados digitais emitidos no âmbito da ICP-Brasil e iniciou uma transição relevante para empresas, autoridades certificadoras, fornecedores de software e sistemas que dependem de certificado digital para autenticação, emissão fiscal, assinatura, integração ou identificação digital.

O tema ganhou força no mercado de tecnologia porque o certificado digital é uma infraestrutura crítica para muitas operações empresariais. Ele aparece em ERPs, emissores de documentos fiscais eletrônicos, plataformas de mensageria fiscal, portais públicos, sistemas de assinatura eletrônica, integrações bancárias, APIs e rotinas automatizadas.

Para o Tribium, o ponto central é operacional: a Resolução nº 211 reorganiza os tipos de certificado na ICP-Brasil, mas a aplicação concreta em rotinas fiscais depende também das regras, ambientes, manuais e sistemas dos órgãos e integrações envolvidos. Por isso, empresas e fornecedores de ERP devem acompanhar a transição sem tratar a norma como autorização automática para substituir certificados em qualquer processo fiscal.

O que é a Resolução nº 211 da ICP-Brasil?

A Resolução CG ICP-Brasil nº 211 dispõe sobre os tipos de certificados digitais emitidos no âmbito da Infraestrutura de Chaves Públicas Brasileira.

Ela cria novos tipos de certificados digitais:

• certificado digital de selo eletrônico em software, SE-S;
• certificado digital de selo eletrônico em hardware, SE-H;
• certificado digital de aplicações específicas em software, AE-S;
• certificado digital de aplicações específicas em hardware, AE-H.

A Resolução também extingue, no novo desenho normativo, os certificados de assinatura dos tipos A1 e A2 e os certificados de sigilo dos tipos S1, S2, S3 e S4. Essa extinção não deve ser lida como eliminação imediata dos certificados já existentes ou atualmente suportados pelos sistemas. Há regra de transição, com prazo relevante até 02/03/2029 para uso dos tipos hoje existentes, conforme o FAQ oficial do ITI.

Fonte oficial: Resolução CG ICP-Brasil nº 211/2024.

O que muda no modelo de certificados?

A Resolução reorganiza o rol de certificados para usuários finais da ICP-Brasil. No novo modelo, os tipos listados incluem:

A mudança mais sensível para empresas e ERPs está na separação entre:

• certificado de assinatura de pessoa física;
• certificado de selo eletrônico de pessoa jurídica;
• certificado para aplicações específicas;
• certificado de equipamento;
• certificados fiscais específicos, quando aplicável.

Essa separação reduz a lógica genérica de “certificado da empresa” e exige uma classificação mais cuidadosa por finalidade de uso.

O que é o Selo Eletrônico?

O Selo Eletrônico é um certificado voltado à pessoa jurídica. Segundo o FAQ oficial do ITI, o certificado do tipo Selo Eletrônico substitui, no propósito indicado pelo ITI, o certificado de pessoa jurídica A1 ou A3 para garantir a integridade e a origem de documentos eletrônicos emitidos pela pessoa jurídica.

Esse ponto precisa ser lido com cuidado. O Selo Eletrônico não deve ser tratado como assinatura da pessoa jurídica para manifestação de vontade. A própria Resolução veda o uso de certificado de selo eletrônico com propósito de assinatura como manifestação de vontade de pessoa jurídica.

Em termos práticos, o Selo Eletrônico funciona como uma prova de origem e integridade do documento emitido pela pessoa jurídica. Ele pode ser comparado a um carimbo institucional eletrônico, mas não deve ser confundido com assinatura de vontade para firmar contratos, acordos ou atos que dependam de manifestação de vontade.

Fonte oficial: FAQ do ITI sobre a Resolução nº 211.

Prazos de transição

A transição tem dois pontos que devem ser separados: a vigência formal da Resolução e as informações operacionais divulgadas pelo ITI em FAQ.

Fonte oficial: FAQ do ITI sobre a transição e página de Instruções Normativas do ITI.

A Resolução acaba imediatamente com o certificado A1?

Não.

O FAQ do ITI informa que os certificados A1 serão admitidos e utilizados até 02 de março de 2029. Isso significa que empresas, autoridades certificadoras, autoridades de registro, fornecedores de software e sistemas que hoje admitem esses certificados possuem um período de adaptação.

O ponto de atenção é que “não acabar imediatamente” não significa “ignorar a transição”. Para ERPs e sistemas fiscais, quatro anos podem parecer um prazo longo, mas a migração depende de:

• atualização de bibliotecas;
• alteração de cadastros;
• testes com certificados novos;
• validação de integrações;
• homologação com fornecedores;
• confirmação de aceite por órgãos e ambientes oficiais;
• revisão de documentação;
• suporte a clientes;
• governança de armazenamento e uso da chave privada.

Impacto para empresas

Empresas que utilizam certificado digital devem revisar onde e como esses certificados são usados.

Os principais pontos de uso costumam envolver:

• emissão de documentos fiscais eletrônicos;
• autenticação em portais públicos;
• assinatura de documentos internos;
• assinatura de contratos;
• integração entre sistemas;
• comunicação com APIs;
• armazenamento de XML;
• consultas fiscais;
• eventos de documentos fiscais;
• processos de faturamento e expedição.

A Resolução nº 211 reforça a necessidade de separar o uso do certificado por finalidade. Uma empresa pode precisar de soluções diferentes para assinatura de pessoa física, selo eletrônico da pessoa jurídica, autenticação de aplicação, equipamento fiscal ou integração específica.

Impactos para ERP

Cadastros

Muitos ERPs ainda tratam certificados digitais de forma simplificada, com campos como:

• arquivo do certificado;
• senha;
• CNPJ;
• data de validade;
• ambiente;
• série;
• módulo vinculado.

Com a Resolução nº 211, esse modelo pode ser insuficiente. O cadastro de certificados deve permitir identificar:

• tipo do certificado;
• finalidade de uso;
• titularidade;
• pessoa física ou pessoa jurídica;
• cadeia de certificação;
• forma de armazenamento;
• compatibilidade com módulos fiscais;
• certificado legado em transição;
• data de expiração;
• ambiente em que o certificado é usado;
• responsáveis pelo uso e manutenção.

Parametrizações

As parametrizações devem separar usos diferentes do certificado.

Um mesmo ERP pode ter certificados vinculados a rotinas distintas:

Emissão de documentos fiscais

A Resolução nº 211 não é uma Nota Técnica de NF-e, CT-e, MDF-e, NFC-e ou NFS-e. Ela trata dos tipos de certificados digitais emitidos no âmbito da ICP-Brasil.

Por isso, qualquer afirmação sobre uso do Selo Eletrônico em emissão fiscal precisa ser feita com cautela. A aceitação operacional em documentos fiscais eletrônicos depende do ecossistema de cada documento, incluindo Portal NF-e, ENCAT, SEFAZ autorizadora, prefeituras, manuais técnicos, ambientes de homologação, fornecedores de mensageria e componentes de assinatura.

Na prática, o ERP deve tratar a substituição do certificado em emissão fiscal como ponto de validação técnica, não como troca automática.

Antes de orientar clientes a migrar em produção, o fornecedor de ERP deve verificar:

• se o ambiente oficial do documento fiscal aceita o certificado;
• se há orientação do órgão responsável;
• se o manual técnico do documento fiscal foi atualizado;
• se o webservice ou autorizador reconhece a cadeia;
• se o componente de assinatura suporta o novo tipo;
• se o certificado é adequado ao ato praticado;
• se o ambiente de homologação permite testes;
• se a mensageria fiscal ou biblioteca de terceiros está compatível.

XML e assinatura

Pelo escopo da Resolução nº 211, a norma não altera diretamente o layout do XML da NF-e. Ela reorganiza tipos de certificados na ICP-Brasil.

Ainda assim, para publicação técnica, essa afirmação deve ser tratada como conclusão de escopo da norma, e não como validação de todos os documentos fiscais. Quando o assunto for NF-e, CT-e, MDF-e, NFC-e ou NFS-e, o ideal é acompanhar também o Portal NF-e, ENCAT, SEFAZ, prefeituras e Notas Técnicas específicas.

O impacto mais provável no ERP está em:

• assinatura digital;
• cadeia de certificados;
• validação criptográfica;
• autenticação em webservices;
• armazenamento do certificado;
• permissão de uso;
• controle de logs;
• compatibilidade de bibliotecas;
• regras de parametrização.

Integrações

Integrações são uma das áreas mais sensíveis.

A Resolução define certificados AE-S e AE-H para aplicações específicas, equipamentos, servidores, aplicações e dispositivos IoT, em ambientes de autenticações mútuas e participantes conhecidos. Isso pode ser relevante para ecossistemas fechados ou integrações técnicas, mas não significa que qualquer API fiscal, bancária ou governamental passará automaticamente a exigir AE-S ou AE-H.

Cada integração deve ser avaliada individualmente.

Exemplos de pontos a validar:

• APIs governamentais;
• portais públicos;
• mensagerias fiscais;
• webservices de documentos fiscais;
• sistemas bancários;
• gateways;
• integrações B2B;
• serviços de assinatura;
• plataformas de armazenamento de XML;
• aplicações internas em nuvem.

Escrituração

A escrituração fiscal não é o primeiro ponto de impacto da Resolução nº 211, mas pode ser afetada indiretamente.

Se a emissão de documentos fiscais falhar por incompatibilidade de certificado, a empresa pode enfrentar:

• notas não autorizadas;
• faturamento parado;
• atrasos de expedição;
• eventos fiscais não transmitidos;
• XML ausente ou pendente;
• divergências operacionais;
• retrabalho fiscal;
• reflexos posteriores em SPED ou apurações.

O risco, portanto, não está apenas no certificado em si. Está na interrupção da cadeia operacional que depende dele.

Relatórios e controles

ERPs devem reforçar relatórios de controle de certificados.

Boas validações incluem:

• certificado próximo do vencimento;
• certificado legado em uso;
• finalidade incompatível;
• certificado usado fora do ambiente previsto;
• certificado A1 armazenado localmente sem controle adequado;
• uso por múltiplos serviços sem rastreabilidade;
• ausência de responsável definido;
• ausência de plano de substituição;
• falha de validação de cadeia;
• indisponibilidade de logs de uso.

Armazenamento, nuvem e governança

O FAQ do ITI informa que certificados de Selo Eletrônico podem ser gerados e armazenados em software ou hardware. Também menciona armazenamento em nuvem por meio de Prestadores de Serviço de Confiança, tokens, cartões criptográficos e HSM.

Esse ponto deve ser tratado com governança. O fato de um certificado poder ser usado por sistemas distribuídos não significa que a empresa deva ampliar o uso sem controle.

A política interna deve definir:

• quem pode usar o certificado;
• em quais sistemas ele pode ser usado;
• quais ambientes podem acessar a chave privada;
• como registrar logs;
• como revogar acessos;
• como auditar uso indevido;
• como proteger senhas e chaves;
• como lidar com contingência;
• como separar produção e homologação;
• como agir em caso de suspeita de comprometimento.

Para ERPs cloud, o tema envolve também arquitetura de segurança, segregação de clientes, guarda de chaves, criptografia, trilha de auditoria e responsabilidade contratual.

O que fornecedores de ERP devem revisar

Fornecedores de ERP devem iniciar uma revisão técnica estruturada.

Checklist recomendado:

• Mapear todos os pontos do ERP que utilizam certificado digital.
• Identificar rotinas que dependem de A1, A3 ou certificado de pessoa jurídica.
• Separar uso de assinatura, selo eletrônico, autenticação, aplicação específica e equipamento.
• Revisar cadastro de certificados.
• Revisar validação de cadeia e bibliotecas criptográficas.
• Verificar suporte aos novos tipos SE-S, SE-H, AE-S e AE-H.
• Avaliar impactos em emissão fiscal apenas com base em aceite oficial do ecossistema correspondente.
• Testar em ambiente de homologação antes de orientar migração em produção.
• Revisar integrações de mensageria fiscal e assinatura.
• Criar alertas para certificados legados.
• Atualizar documentação técnica e manuais de cliente.
• Definir plano de transição até 2029.

O que empresas usuárias de ERP devem fazer agora

Empresas que dependem de certificado digital não precisam substituir todos os certificados imediatamente. O primeiro passo é diagnóstico.

Ações recomendadas:

• levantar todos os certificados em uso;
• identificar onde cada certificado está instalado;
• mapear quais processos dependem de cada certificado;
• verificar validade e tipo;
• diferenciar emissão fiscal, assinatura documental, integração e autenticação;
• confirmar com o fornecedor do ERP o plano de adequação;
• validar mensagerias e sistemas terceiros;
• evitar migração em produção sem teste;
• planejar substituição com antecedência;
• acompanhar comunicados oficiais do ITI, ICP-Brasil e órgãos fiscais envolvidos.

Erros comuns

Perguntas frequentes

A Resolução nº 211 acaba com o certificado A1 imediatamente?

Não. O FAQ do ITI informa que os certificados A1 serão admitidos e utilizados até 02/03/2029. A partir de 03/03/2029, segundo o FAQ, não será mais possível utilizar A1, A2, S1, S2, S3 e S4.

O Selo Eletrônico substitui o certificado PJ A1 ou A3?

Segundo o FAQ do ITI, o Selo Eletrônico substitui o certificado de pessoa jurídica A1 ou A3 no propósito de garantir a integridade e a origem de documentos eletrônicos emitidos pela pessoa jurídica. Isso não deve ser lido como substituição universal para todos os usos fiscais, contratuais ou sistêmicos.

O Selo Eletrônico pode ser usado para assinar contratos?

A Resolução veda o uso do certificado de selo eletrônico com propósito de assinatura como manifestação de vontade de pessoa jurídica. Para contratos e atos de vontade, é necessário avaliar o tipo de assinatura e certificado adequado ao caso.

A mudança já permite trocar o certificado usado na NF-e?

Não como regra automática. A Resolução trata dos tipos de certificados da ICP-Brasil. O uso em NF-e, CT-e, MDF-e, NFC-e ou NFS-e depende de aceite operacional e regras do ecossistema correspondente, como Portal NF-e, ENCAT, SEFAZ, prefeitura, manuais, webservices e fornecedores de tecnologia.

O ERP precisa ser atualizado?

Provavelmente sim, ao menos para revisar cadastros, parametrizações, bibliotecas e validações. O grau de atualização depende de como o ERP utiliza certificados digitais hoje.

A Resolução altera o XML da NF-e?

Pelo escopo da Resolução nº 211, a norma não altera diretamente o layout do XML da NF-e. Ainda assim, afirmações específicas sobre documentos fiscais devem ser validadas contra fontes oficiais do ecossistema de DF-e, como Portal NF-e, ENCAT, SEFAZ e Notas Técnicas.

Posso usar um único certificado em vários sistemas?

O FAQ do ITI menciona a possibilidade de uso de certificados em sistemas ou equipamentos distribuídos, especialmente em cenários com HSM, nuvem ou Prestadores de Serviço de Confiança. Na prática, isso exige governança: controle de acesso, rastreabilidade, segregação, logs, política de uso e proteção da chave privada.

Base legal e fontes oficiais

• Resolução CG ICP-Brasil nº 211, de 31 de outubro de 2024
• FAQ do ITI sobre a Resolução nº 211 e a transição dos certificados ICP-Brasil
• Página de Instruções Normativas do ITI

Conteúdos relacionados

• Certificado digital no ERP
• NF-e
• XML
• Emissão fiscal
• Assinatura digital
• Selo eletrônico
• Integrações fiscais
• Documentos fiscais eletrônicos
• Segurança de certificados digitais

Conclusão

A Resolução nº 211 da ICP-Brasil não deve ser vista apenas como uma mudança no mercado de certificação digital. Ela afeta a forma como empresas e sistemas classificam, armazenam, validam e utilizam certificados digitais em processos operacionais.

Para ERPs, o impacto principal está em cadastros, parametrizações, bibliotecas criptográficas, integrações, governança de chaves e rotinas que dependem de certificado digital. No caso de emissão fiscal, a cautela é ainda maior: a Resolução reorganiza os tipos de certificado na ICP-Brasil, mas a aceitação em documentos fiscais eletrônicos depende dos órgãos, ambientes e manuais técnicos correspondentes.

A transição até 2029 dá tempo para adaptação, mas não elimina o risco. Empresas e fornecedores de ERP devem usar esse período para mapear dependências, testar compatibilidade, acompanhar fontes oficiais e evitar migrações em produção sem validação.