ICP-Brasil atualizou os padrões criptográficos: o que sua empresa precisa fazer agora

Uma mudança técnica importante entrou em vigor na ICP-Brasil em 2026 e merece atenção de empresas que assinam documentos digitais: a Instrução Normativa ITI nº 35, de 30 de janeiro de 2026, atualizou os padrões criptográficos da infraestrutura e passou a contemplar novos algoritmos, além de certificados digitais dos tipos Selo Eletrônico e Aplicações Específicas.

Para a maioria das pequenas empresas, departamentos de RH, escritórios e autônomos, isso não significa trocar imediatamente todos os certificados ou abandonar a plataforma de assinatura utilizada. O efeito mais relevante, agora, é outro: revisar compatibilidade, governança e escolha do nível de assinatura usado em cada documento.

O que a IN nº 35/2026 mudou

A norma alterou o documento técnico de padrões e algoritmos criptográficos da ICP-Brasil e aprovou uma nova versão do DOC-ICP-01.01. Entre as inclusões estão algoritmos como Ed25519, Ed448, E-521, ML-DSA e ML-KEM, além da atualização dos manuais técnicos de homologação.

Também foram incluídas referências a certificados de Selo Eletrônico e de Aplicações Específicas. Em termos práticos, a ICP-Brasil passou a prever uma arquitetura mais ampla para identificar organizações, sistemas e aplicações, e não apenas pessoas físicas ou jurídicas que assinam manualmente um documento.

Essa evolução é principalmente técnica e regulatória. A instrução normativa não transformou toda assinatura eletrônica em assinatura qualificada, não criou uma obrigação geral de usar certificado digital em contratos privados e não eliminou as assinaturas simples ou avançadas.

O que continua valendo para a assinatura de contratos

A Lei nº 14.063/2020 continua distinguindo três níveis:

• Assinatura eletrônica simples: permite identificar o signatário e associá-lo aos dados eletrônicos, normalmente por mecanismos como login, código, e-mail ou outros fatores de identificação.
• Assinatura eletrônica avançada: utiliza certificado não necessariamente emitido pela ICP-Brasil ou outro meio capaz de comprovar autoria e integridade, desde que haja associação unívoca ao signatário, controle do meio de assinatura e detecção de alterações posteriores.
• Assinatura eletrônica qualificada: utiliza certificado digital emitido no âmbito da ICP-Brasil e apresenta o nível mais elevado de confiabilidade previsto na classificação legal.

Em contratos empresariais privados, a escolha não deve ser feita apenas pelo rótulo da tecnologia. É necessário considerar o risco do negócio, o valor envolvido, a possibilidade de contestação, a exigência regulatória e a capacidade de produzir prova sobre quem assinou, quando assinou e se o arquivo permaneceu íntegro.

O impacto para PME, jurídico e RH

1. Não compre certificado novo sem verificar compatibilidade

Antes de renovar ou substituir certificados, confirme com o fornecedor do certificado, do sistema de assinatura e do software de validação quais padrões são suportados. A atualização técnica da ICP-Brasil pode exigir ajustes em bibliotecas criptográficas, validadores, sistemas de gestão documental e integrações com ERP ou plataformas de RH.

O ponto de atenção é especialmente relevante para empresas que assinam em lote, usam certificados de máquina, mantêm integrações próprias ou precisam validar documentos por muitos anos. Um documento válido hoje também precisa continuar verificável no futuro.

2. Separe assinatura de pessoa de identificação da empresa

Uma pessoa física assinar em nome da empresa não é exatamente a mesma coisa que a empresa aplicar um selo eletrônico. Em contratos, procurações e atos negociais, é importante verificar a representação: quem assinou, em qual qualidade, com quais poderes e em nome de qual parte.

Para o RH, isso significa manter trilhas claras para admissões, políticas internas, termos de confidencialidade, recibos e documentos trabalhistas. Para o jurídico, significa não tratar o certificado, sozinho, como prova completa de poderes de representação.

3. Preserve o pacote de evidências

Guardar apenas o PDF final pode ser insuficiente em uma disputa. A organização deve preservar, conforme sua política de retenção, o documento original, o relatório ou comprovante de assinatura, os registros de autenticação, a data e hora, os eventos de envio e conclusão, além das informações necessárias para validar a integridade.

Esse cuidado é compatível com a finalidade de demonstrar autoria e integridade e também ajuda a responder auditorias, fiscalizações e pedidos internos de informação.

Assinatura eletrônica e LGPD: o erro é coletar mais do que precisa

Processos de assinatura podem envolver nome, CPF, telefone, e-mail, endereço IP, geolocalização, imagem, documento de identificação e biometria. Nem todo fluxo precisa coletar todos esses dados.

O controlador deve definir a finalidade, limitar a coleta ao necessário, controlar acessos e estabelecer prazo de retenção coerente com obrigações legais, contratuais e de defesa de direitos. A página oficial do governo sobre o serviço de assinatura digital, por exemplo, informa a finalidade do tratamento, os dados utilizados e a base legal indicada para aquele serviço específico. Isso reforça uma regra prática: a justificativa depende do contexto; não existe uma autorização genérica para armazenar qualquer dado de assinatura indefinidamente.

Checklist para aplicar agora

1. Liste os tipos de documentos assinados pela empresa e o risco de cada operação.
2. Defina quando a assinatura simples, avançada ou qualificada é adequada.
3. Verifique se a plataforma aceita e valida os padrões atuais da ICP-Brasil.
4. Confirme como são registrados autoria, integridade, data, hora e eventos do processo.
5. Revise procurações, perfis de aprovação e poderes de representação.
6. Mapeie os dados pessoais coletados e elimine campos desnecessários.
7. Teste a validação dos documentos em ambiente separado antes de alterar o fluxo de produção.

Em resumo, a IN nº 35/2026 é um sinal de modernização técnica da ICP-Brasil, não uma obrigação automática para que toda empresa use certificado qualificado em qualquer contrato. A decisão correta continua sendo combinar o nível de confiança exigido pelo documento com uma trilha de evidências verificável, controles de acesso e tratamento responsável dos dados pessoais.