RESOLUÇÃO CG ICP-BRASIL Nº 216, DE 19 DE MARÇO DE 2025
Inclui a obrigatoriedade de apresentação de relatório
de auditoria pré-operacional na submissão do
pedido de credenciamento das entidades AC, ACT,
PSC e PSBio.
O COORDENADOR DO COMITÊ GESTOR DA INFRAESTRUTURA DE CHAVES PÚBLICAS BRASILEIRA, no uso
das atribuições que lhe confere o art. 6º, §1º, inc. IV, do Anexo I da Resolução CG ICP-Brasil nº 190, de 18
de maio de 2021 (Regimento Interno), torna público que o COMITÊ GESTOR DA INFRAESTRUTURA DE
CHAVES PÚBLICAS BRASILEIRA, no exercício das competências previstas no art. 4º da Medida Provisória
nº 2.200-2, de 24 de agosto de 2001, em reunião ordinária, realizada em sessão presencial em 19 de março
de 2025, resolveu:
Art. 1º O anexo da Resolução CG ICP-Brasil nº 178, de 20 de outubro de 2020, (DOC-ICP-03) passa a vigorar
com as seguintes alterações:
“1.2 ...............................................................................................
......................................................................................................
g) Prestador de Serviço de Certificação - PSCert: qualquer entidade credenciada para operar
na ICP-Brasil, como as Autoridades Certificadoras (ACs); as Autoridades de Registro (ARs);
as Autoridades de Carimbo do Tempo (ACTs), os Prestadores de Serviço de Suporte (PSSs),
os Prestadores de Serviço Biométrico (PSBios), os Prestadores de Serviço de Confiança de
Assinatura Digital e/ou Armazenamento de Chaves Criptográficas (PSCs); ou entidade
vinculada e outros que executem ou determinem a execução de itens de certificação
presentes nos regulamentos da ICP-Brasil.” (NR)
“ 2.1 ...............................................................................................
.......................................................................................................
c) atender aos requisitos relativos à qualificação econômico-financeira estabelecidos,
conforme a atividade a ser desenvolvida, nos anexos I, II, III, IV, V e VI;
d) atender às diretrizes e normas técnicas da ICP-Brasil relativas à qualificação técnica ou
contratual, constantes dos documentos relacionados nos Anexos I, II, IV, V e VI, aplicáveis
aos serviços a serem prestados; e
e) apresentar relatório de auditoria pré-operacional com o conceito ADEQUADO, realizada
por empresa de auditoria devidamente credenciada pelo ITI.” (NR)
“2.2.1-A Auditoria pré-operacional
2.2.1-A.1 Ao protocolar a solicitação de credenciamento, o candidato a PSCert deverá estar
em conformidade com todos os requisitos exigidos pelos regulamentos da ICP-Brasil
relacionados à atividade específica que exercerá e o relatório de auditoria pré-operacional
apresentado deve comprovar essa conformidade e atender aos Critérios para Elaboração
de Relatório e Emissão de Parecer de Auditoria na ICP-Brasil, definidos em Instrução
Normativa da AC Raiz.
2.2.1-A.2 A Diretoria de Auditoria, Fiscalização e Normalização examinará a documentação
apresentada e poderá, caso julgue necessário:
a) solicitar vista do material utilizado na auditoria (documentos, registros históricos e
demais elementos materiais que deram subsídios à elaboração do relatório);
b) exigir documentação adicional contendo especificações sobre equipamentos,
produtos de hardware e software, procedimentos técnicos e operacionais adotados pela
candidata;
c) realizar diligências de auditoria por seu quadro próprio; ou
d) arquivar o pedido, caso não seja apresentado o relatório final de auditoria conforme
os Critérios para Elaboração de Relatório e Emissão de Parecer de Auditoria na ICP-Brasil
definidos em Instrução Normativa da AC Raiz.
2.2.1-A.3 Com base no(s) relatório(s) de auditoria e demais documentos apresentados, a
AC Raiz manifestar-se-á sobre o deferimento ou indeferimento da solicitação de
credenciamento.
2.2.1-A.4 Sobre a decisão de indeferimento de solicitação de credenciamento caberá
recurso administrativo da candidata à autoridade competente, observado o disposto na Lei
nº 9.784, de 29 de janeiro de 1999.
2.2.1-A.5 Em até 180 (cento e oitenta) dias após o deferimento do credenciamento, a AC
Raiz poderá realizar auditoria no PSCert para avaliar a conformidade dos critérios
registrados no item 2.1.
2.2.1-A.5.1 Caso seja constatada qualquer não conformidade em relação aos requisitos dos
regulamentos da ICP-Brasil, o ato de credenciamento poderá ser revogado mediante
despacho fundamentado, garantido o direito de ampla defesa e contraditório.” (NR)
“2.2.2.1.1 ...................................................................................
....................................................................................................
e) comprovante do pagamento da tarifa estabelecida nas DIRETRIZES DA POLÍTICA
TARIFÁRIA DA AUTORIDADE CERTIFICADORA RAIZ DA ICP-BRASIL [5], no caso de a
credenciada ser AC de nível imediatamente subsequente à AC Raiz;
f) relatório final de auditoria pré-operacional da AC; e
g) se for solicitado o credenciamento de PSS:
i. ............................................................................” (NR)
“2.2.4.1.1 ...................................................................................
....................................................................................................
d) relatório final de auditoria pré-operacional da ACT; e
e) se for solicitado o credenciamento de PSS:
i. ............................................................................” (NR)
“2.2.6.1.1 ...................................................................................
....................................................................................................
c) identificação do local onde o PSBio realizará as suas operações e manterá seus
equipamentos, documentação e materiais utilizados;
d) identificação do serviço de diretório ou página web onde se obtêm o arquivo com a
publicação da Política de Segurança - PS e a relação das autoridades certificadoras
credenciadas na ICP Brasil atendidas pelos serviços biométricos os quais estão credenciados
junto à ICP Brasil; e
e) relatório final de auditoria pré-operacional do PSBio.” (NR)
“2.2.7.1.1 ...................................................................................
....................................................................................................
d) identificação do serviço de diretório ou página web onde se obtêm o arquivo com a
publicação da Política de Segurança – PS; e
e) relatório final de auditoria pré-operacional do PSC.” (NR)
“3.1 ...................................................................................
...........................................................................................
a)........................................................................................
...........................................................................................
iv. indício ou fraude comprovada na emissão de certificado por requerente que
apresente documento ou informação falsa, no dia útil imediatamente subsequente à
confirmação do ato, na forma estabelecida em Instrução Normativa da AC Raiz que define
os Procedimentos para Identificação do Requerente e Comunicação de Irregularidade no
Processo de Emissão de Certificado Digital.
b) ...........................................................................................
...............................................................................................” (NR)
Art. 2º O anexo da Resolução CG ICP-Brasil nº 185, de 18 de maio de 2021, (DOC-ICP-08) passa a vigorar
com as seguintes alterações:
“3.1 ....................................................................................
ENTIDADE
EXECUTOR DA AUDITORIA
Pré-operacional
Operacional
AC Raiz
Comitê Gestor da ICP-Brasil ou
seus prepostos, formalmente
designados
Comitê Gestor da ICP-
Brasil ou
seus prepostos, formalmente
designados
AC de 1º Nível e seus
PSS
Empresa de Auditoria
Independente credenciada junto
ao ITI
Empresa de Auditoria
Independente credenciada junto
ao ITI
AC subsequente e
seus PSS
Empresa de Auditoria
Independente credenciada junto
ao ITI
Empresa de Auditoria
Independente credenciada junto
ao ITI
ACT
Empresa de
Auditoria
Independente credenciada junto
ao ITI
Empresa de Auditoria
Independente credenciada junto
ao ITI
AR
AC ou PSS credenciados junto
ao ITI
Empresa de Auditoria
Independente credenciada junto
ao ITI
Auditoria Interna da respectiva
AR credenciada junto ao ITI
AC ou PSS credenciados junto
ao ITI
Empresa de Auditoria
Independente credenciada junto
ao ITI
AR no Exterior
ITI/DAFN/CGAFI ou, a seu
critério, AC ou PSS
credenciados junto ao ITI
AC credenciada junto ao ITI
Auditoria
Interna da respectiva
AR credenciada junto ao ITI
Empresa de Auditoria
Independente credenciada junto
ao ITI
PSBio
Empresa de Auditoria
Independente credenciada junto
ao ITI
Empresa de Auditoria
Independente credenciada junto
ao ITI
PSC de Assinatura
Digital e
Armazenamento de
Chaves
Criptográficas
Empresa de Auditoria
Independente credenciada junto
ao ITI
Empresa de Auditoria
Independente, credenciada
junto ao ITI
3.1.1 ....................................................................................
..............................................................................................” (NR)
Art. 3º O anexo da Resolução CG ICP-Brasil nº 177, de 20 de outubro de 2020, (DOC-ICP-05) passa a vigorar
com as seguintes alterações:
“8.4.2 Neste item da DPC, a AC responsável deve informar que recebeu auditoria prévia
para fins de credenciamento na ICP-Brasil e que é auditada anualmente, para fins de
manutenção do credenciamento, com base no disposto no documento CRITÉRIOS E
PROCEDIMENTOS PARA REALIZAÇÃO DE AUDITORIAS NAS ENTIDADES INTEGRANTES DA
ICP-BRASIL [3]. Esse documento trata do objetivo, frequência e abrangência das auditorias,
da identidade e qualificação do auditor e demais temas correlacionados.” (NR)
Art. 4º O anexo da Resolução CG ICP-Brasil nº 172, de 17 de agosto de 2020, (DOC-ICP-12) passa a vigorar
com as seguintes alterações:
“8.4.2 Neste item da DPCT, a ACT responsável deve informar que recebeu auditoria prévia
para fins de credenciamento na ICP-Brasil e que é auditada anualmente, para fins de
manutenção do credenciamento, com base no disposto no documento CRITÉRIOS E
PROCEDIMENTOS PARA REALIZAÇÃO DE AUDITORIAS NAS ENTIDADES INTEGRANTES DA
ICP-BRASIL [6]. Esse documento trata do objetivo, frequência e abrangência das auditorias,
da identidade e qualificação do auditor e demais temas correlacionados.
8.4.3 Neste item da DPCT, a ACT responsável deve informar que recebeu auditoria prévia
quanto aos aspectos de autenticação e sincronismo, sendo regularmente auditada, para
fins de continuidade de operação, com base no disposto no documento PROCEDIMENTOS
PARA AUDITORIA DO TEMPO NA ICP-BRASIL [3]” (NR)
Art. 5º O anexo da Resolução CG ICP-Brasil nº 180, de 20 de outubro de 2020, (DOC-ICP-17) passa a vigorar
com as seguintes alterações:
“8.1.4 Neste item da DPPSC, o PSC responsável deve informar que recebeu auditoria prévia
para fins de credenciamento na ICP-Brasil e que é auditada anualmente, para fins de
manutenção do credenciamento, com base no disposto no documento CRITÉRIOS E
PROCEDIMENTOS PARA REALIZAÇÃO DE AUDITORIAS NAS ENTIDADES INTEGRANTES DA
ICP-BRASIL [6]. Esse documento trata do objetivo, frequência e abrangência das auditorias,
da identidade e qualificação do auditor e demais temas correlacionados.
8.1.5 Neste item da DPPSC, o PSC responsável deve informar que recebeu auditoria prévia
quanto aos aspectos de autenticação e sincronismo, sendo regularmente auditada, para
fins de continuidade de operação, com base no disposto no documento PROCEDIMENTOS
PARA REALIZAÇÃO DE AUDITORIAS DO TEMPO NA ICP-BRASIL [3].” (NR)
Art. 6º Ficam revogados os seguintes itens do anexo da Resolução CG ICP-Brasil nº 178, de 20 de outubro
de 2020, (DOC-ICP-03):
I – 2.2.2.2 a 2.2.2.2.6;
II – 2.2.3.2 a 2.2.3.2.3;
III – 2.2.4.2 a 2.2.4.2.6;
IV – 2.2.5.2 a 2.2.5.2.3;
V – 2.2.6.2 a 2.2.6.2.6; e
VI – 2.2.7.2. a 2.2.7.2.6.
Art. 7º As entidades com solicitação de credenciamento protocolada no ITI até a data de publicação desta
Resolução poderão ajustar seu pedido às novas regras dispostas neste Regulamento.
Art. 8º Esta Resolução entra em vigor na data de sua publicação.
ENYLSON FLAVIO MARTINEZ CAMOLESI
