ALTERADA EM 28/11/2008 PELA RESOLUÇÃO 52

RESOLUÇÃO Nº 47, DE 03 DE DEZEMBRO DE 2007

Aprova a versão 3.0 dos Critérios e Procedimentos para Credenciamento das

Entidades Integrantes da ICP-Brasil.

O COORDENADOR DO COMITÊ GESTOR DA INFRA-ESTRUTURA DE CHAVES PÚBLICAS

BRASILEIRA - ICP-BRASIL faz saber que aquele Comitê, no uso das atribuições previstas nos incisos I,

III, V e VI do art. 4º da Medida Provisória Nº 2.200-2, de 24 de agosto de 2001.

RESOLVE,

ANEXO

CRITÉRIOS E PROCEDIMENTOS PARA CREDENCIAMENTO DAS ENTIDADES INTEGRANTES DA

ICP-BRASIL - DOC-ICP-03 - Versão 3.0

CONTROLE DE ALTERAÇÔES

aprovou alteração

2.1.2 Alterados os documentos a serem apresentados caso a

3.1.d Alterada a data para apresentação do cronograma anual de

LISTA DE ACRÔNIMOS

AC - Autoridade Certificadora

AC Raiz - Autoridade Certificadora Raiz da ICP-Brasil

AR - Autoridades de Registro

CG - Comitê Gestor

CPF - Cadastro de Pessoas Físicas

DPC - Declaração de Práticas de Certificação

ICP-Brasil - Infra-Estrutura de Chaves Públicas Brasileira

PC - Políticas de Certificado

PS - Política de Segurança

Estrutura de Chaves Públicas Brasileira - ICP-Brasil.

2. CREDENCIAMENTO

2.1. Critérios

Os candidatos ao credenciamento na ICP-Brasil devem atender aos seguintes critérios:

a) ser órgão ou entidade de direito público ou pessoa jurídica de direito privado;

b) estar quite com todas as obrigações tributárias e os encargos sociais instituídos por lei;

c) atender aos requisitos relativos à qualificação econômico-financeira estabelecidos, conforme a

atividade a ser desenvolvida, nos anexos I, II e III; e

d) atender às diretrizes e normas técnicas da ICP-Brasil relativas à qualificação técnica,

constantes dos documentos relacionados no Anexo I, aplicáveis aos serviços a serem prestados.

atividades de PSS;

c) ter sede administrativa localizada no território nacional; e

d) ter instalações operacionais e recursos de segurança física e lógica, inclusive sala-cofre,

compatíveis com a atividade de certificação, localizadas no território nacional, ou contratar PSS que as

possua.

2.1.2. Critérios para credenciamento de AR

Os candidatos ao credenciamento como AR devem ainda:

a) estar operacionalmente vinculados a, pelo menos, uma AC ou candidato a AC, relativamente às

PC indicadas no formulário SOLICITAÇÃO DE CREDENCIAMENTO DE AR [2].

b) ter sede administrativa, instalações operacionais e recursos de segurança física e lógica

sua natureza;

2. alvará de funcionamento, se houver;

3. CNPJ;

ii. no caso de pessoa jurídica da administração direta, indireta, ou órgão público:

1. ato administrativo que autorize a operação naquele endereço;

iii. no caso de serviços notariais e de registro:

1 cópia do ato de outorga da delegação;

2. CNPJ

2.1.3. Critérios para credenciamento de PSS

2.1.3.1. Para efeito dos processos tratados neste documento, considera-se PSS aquele que

2.1.3.2. Os candidatos ao credenciamento como PSS devem:

a) estar operacionalmente vinculados a, pelo menos, uma AC ou candidato a AC, ou uma AR ou

candidato a AR;

b) ter sede administrativa, instalações operacionais e recursos de segurança física e lógica

compatíveis com as atividades a serem desempenhadas.

2.2. Procedimentos

2.2.1. Diretrizes Gerais

2.2.1.1. O processo de credenciamento obedece a procedimentos específicos, relacionados com a

natureza da atividade a ser desenvolvida no âmbito da ICP-Brasil.

pela AC, ou candidato a AC, de nível imediatamente superior ao do interessado. A tramitação prossegue,

chegar à AC Raiz.

2.2.1.3. As AC serão responsáveis por comunicar as decisões do CG da ICP-Brasil ou da AC Raiz

às entidades que lhes estejam operacionalmente vinculadas, respeitando a hierarquia de AC.

2.2.1.4. O deferimento do pedido de credenciamento será publicado no Diário Oficial da União e

importará a autorização para funcionamento no âmbito da ICP-Brasil e, no caso de AC, a emissão do seu

certificado.

2.2.2. Procedimentos para credenciamento de AC

2.2.2.1. Solicitação

2.2.2.1.1. As solicitações dos candidatos ao credenciamento como AC na ICP-Brasil serão

d) documentos relacionados no Anexo II, exceto na hipótese de o candidato a AR ser o próprio

candidato a AC e indicar o mesmo endereço de instalação técnica; e

e) se for o solicitado o credenciamento de PSS:

i. formulário SOLICITAÇÃO DE CREDENCIAMENTO DE PSS [3], devidamente preenchido e

assinado pelos representantes legais dos candidatos a AC e a PSS, bem como, do candidato a AR, se

houver por parte do candidato a PSS intenção de vinculação operacional ao candidato a AR;

ii. documentos relacionados no Anexo III; e

iii. documento indicando as atividades específicas para as quais postula o credenciamento como

PSS, selecionando uma dentre as seguintes opções: (1) disponibilização de infra-estrutura física e

lógica; (2) disponibilização de recursos humanos especializados; ou (3) disponibilização de infra-

Raiz, no prazo máximo de 30 (trinta) dias, o formulário de REQUERIMENTO DE AUDITORIA [4],

devidamente preenchido, declarando estar em conformidade com todos os requisitos exigidos pelas

resoluções do CG da ICP-Brasil relacionados à atividade de autoridade certificadora e pronto para ser

auditado no prazo de 15 (quinze) dias a contar daquele momento.

2.2.2.2.2. Tal requerimento deverá ser preenchido e assinado pelos representantes legais do

candidato a AC.

2.2.2.2.3. Durante as diligências de auditoria a AC Raiz poderá exigir documentação adicional

contendo especificações sobre equipamentos, produtos de hardware e software, procedimentos técnicos

e operacionais adotados pela candidata.

2.2.2.2.4. Caso o relatório de auditoria aponte o não-cumprimento de quaisquer dos critérios para

auditoria complementar, de modo a verificar as medidas adotadas.

2.2.2.2.6. A desistência de solicitação de credenciamento em tramitação poderá ser requerida até

a data em que for recebido na AC Raiz o REQUERIMENTO DE AUDITORIA [4].

2.2.2.2.7. Apresentado o relatório final de auditoria, a AC Raiz manifestar-se-á sobre o deferimento

ou indeferimento da solicitação de credenciamento, no prazo máximo de 30 (trinta) dias.

2.2.2.2.8. Sobre a decisão de indeferimento de solicitação de credenciamento caberá recurso

administrativo da candidata ao Comitê Gestor da ICP-Brasil.

2.2.2.3. Ato de credenciamento

2.2.2.3.2. O deferimento total ou parcial, ou o indeferimento do credenciamento, será

contemplar todas as PC propostas pelo candidato a AC.

2.2.2.3.3. O ato de credenciamento da AC condicionará a emissão do certificado pela AC Raiz ou

pela AC de nível imediatamente superior, conforme o caso:

a) ao pagamento da tarifa estabelecida nas DIRETRIZES DA POLÍTICA TARIFÁRIA DA

AUTORIDADE CERTIFICADORA RAIZ DA ICP-BRASIL [5], no caso de a credenciada ser AC de nível

imediatamente subseqüente à AC Raiz.

b) à apresentação, pela AC credenciada à AC Raiz, no prazo máximo de 10 (dez) dias após o

deferimento do credenciamento, de apólice de contrato de seguro de cobertura de responsabilidade civil

decorrente das atividades de certificação digital e de registro, com cobertura suficiente e compatível com

operação.

2.2.3. Procedimentos para credenciamento de AR:

2.2.3.1. Solicitação

2.2.3.1.1. As solicitações dos candidatos ao credenciamento como AR na ICP-Brasil serão

encaminhadas à AC ou candidato a AC a que o candidato a AR esteja operacionalmente vinculado, por

intermédio de formulário SOLICITAÇÃO DE CREDENCIAMENTO DE AR [2]. A AC ou candidato a AC

que receber a solicitação deverá manter cópia sob sua guarda e encaminhar para a AC Raiz os

seguintes documentos:

a) o formulário SOLICITAÇÃO DE CREDENCIAMENTO DE AR [2], devidamente preenchido e

assinado pelos representantes legais do candidato a AR e da AC ou do candidato a AC a que esteja

assinado pelos representantes legais dos candidatos a AR e a PSS;

ii. documentos relacionados no Anexo III; e

iii. documento indicando as atividades específicas para as quais postula o credenciamento como

PSS, selecionando uma dentre as seguintes opções: (1) disponibilização de infra-estrutura física e

lógica; (2) disponibilização de recursos humanos especializados; ou (3) disponibilização de infra-

estrutura física e lógica e de recursos humanos especializados.

2.2.3.1.2. A solicitação de credenciamento será protocolada perante o Protocolo-Geral da AC Raiz

e recebida, em até 30 (trinta) dias, por intermédio de despacho fundamentado.

2.2.3.1.3. Caso a solicitação de credenciamento não contenha todos os documentos relacionados

nos anexos II ou III, quando for o caso, a AC Raiz determinará a intimação da candidata para que, sob

máximo de 30 (trinta) dias:

a) solicitar vista do material utilizado na auditoria (documentos, registros históricos e demais

elementos materiais que deram subsídios à elaboração do relatório);

b) exigir documentação adicional contendo especificações sobre equipamentos, produtos de

hardware e software, procedimentos técnicos e operacionais adotados pela candidata; ou

c) realizar auditoria pré-operacional por seu quadro próprio, elaborando relatório que prevalecerá

sobre o apresentado pela candidata.

2.2.3.2.2. Com base no(s) relatório(s) finais de auditoria, a AC Raiz manifestar-se-á sobre o

preliminar já estiverem regularizadas e certificadas pela empresa que realizou o trabalho de auditoria.

administrativo da candidata ao Comitê Gestor da ICP-Brasil.

2.2.3.3. Ato de credenciamento

2.2.3.3.1. O credenciamento do candidato a AR está condicionado ao credenciamento da AC a

que está operacionalmente vinculado.

2.2.3.3.2. O deferimento ou o indeferimento do credenciamento será fundamentado e comunicado

à AC que deu encaminhamento ao requerimento.

2.2.3.3.3. A AR que estiver credenciada para determinada PC fica dispensada de novo

credenciamento para PC de mesmo tipo a ser implementada por outra AC.

2.2.4. Procedimentos para credenciamento de PSS

encaminhar para a AC Raiz os seguintes documentos:

a) o formulário SOLICITAÇÃO DE CREDENCIAMENTO DE PSS [3], devidamente preenchido e

assinado pelos representantes legais da AC ou candidato a AC e da AR ou candidato a AR, se houver,

por parte do candidato a PSS, intenção de vinculação operacional a uma AR;

b) relatório final de auditoria pré-operacional do PSS, realizada observado o disposto no item 2.7

do documento REQUISITOS MÍNIMOS PARA AS DECLARAÇÕES DE PRÁTICAS DE CERTIFICAÇÃO

DAS AUTORIDADES CERTIFICADORAS DA ICP-BRASIL [10];

c) documentos relacionados no Anexo III; e

d) documento indicando as atividades específicas para as quais postula o credenciamento como

PSS, selecionando uma dentre as seguintes opções: (1) disponibilização de infra-estrutura física e

Normalização examinará a documentação apresentada e poderá, caso julgue necessário:

a) solicitar vista do material utilizado na auditoria (documentos, registros históricos e demais

elementos materiais que deram subsídios à elaboração do relatório);

b) exigir documentação adicional contendo especificações sobre equipamentos, produtos de

hardware e software, procedimentos técnicos e operacionais adotados pela candidata; ou

c) realizar auditoria pré-operacional por seu quadro próprio, elaborando relatório que terá

prevalência sobre o apresentado pela candidata.

2.2.4.2.2. Com base no(s) relatório(s) de auditoria, a AC Raiz manifestar-se-á sobre o deferimento

ou indeferimento da solicitação de credenciamento, em até 30 (trinta) dias, por meio de despacho

fundamentado.

2.2.4.4. Vedações ao credenciamento

É vedado o credenciamento e a contratação, pelas AR, de PSS para executar as atividades de

identificação e autenticação da identidade dos titulares e responsáveis pelo certificados previstas no item

3 do documento REQUISITOS MÍNIMOS PARA AS DECLARAÇÕES DE PRÁTICAS DE

CERTIFICAÇÃO DAS AUTORIDADES CERTIFICADORAS DA ICP-BRASIL [10].

3. MANUTENÇÃO DO CREDENCIAMENTO

As entidades credenciadas deverão manter atendidos os critérios definidos no item 2.1.

a) comunicar, desde logo, à AC Raiz ou à AC a que está subordinada:

ii. desvinculação de AC, de AR ou de PSS credenciados; ou

iii. violação, de que tenha conhecimento, das diretrizes e normas técnicas da ICP-Brasil, cometida

pelas AC, AR ou pelos PSS que lhe sejam operacionalmente vinculados.

a) solicitar à AC Raiz autorização para alterar sua DPC, suas PC ou sua Política de Segurança -

PS, constantes dos documentos relacionados no Anexo I.

b) manter os titulares dos certificados informados acerca de eventual sucessão de AC ou AR

operacionalmente vinculadas;

c) encaminhar à AC Raiz, até o dia 15 (quinze) de março de cada ano, cronograma das auditorias

a serem realizadas, durante o ano, nas entidades que lhe sejam operacionalmente vinculadas;

ii. desvinculação de PSS credenciado;

iii. violação, de que tenha conhecimento, das diretrizes e normas técnicas da ICP-Brasil, por parte

dos PSS que lhe sejam operacionalmente vinculados;

b) observar a DPC, as PC e a PS da AC a que estiver vinculada;

c) observar os procedimentos seguintes para abertura e extinção de instalações técnicas, postos

provisórios e para celebração de acordos operacionais com outras AR, quando for o caso.

3.2.1 Abertura de nova instalação técnica

3.2.1.1 Considera-se instalação técnica o ambiente físico de uma AR, cujo funcionamento foi

autorizado pelo ITl, por tempo indeterminado, onde serão realizadas as atividades de validação e

verificação da solicitação de certificados.

e) certidão da junta comercial ou alvará de funcionamento referente ao estabelecimento onde se

localizará a instalação técnica e, nos casos de entidades públicas, cópia de publicação do ato que

autoriza a operação naquele endereço; e

f) identificação do local onde será guardada a documentação relativa aos certificados gerados em

cada instalação técnica.

3.2.1.3 Os serviços notariais e de registro, nos termos do art. 236 da Constituição Federal, desde

que formalmente vinculados a uma AR já credenciada, poderão ser autorizados a funcionar como

instalação técnica e os serventuários a atuar como agente de registro.

3.2.1.3.1 A autorização para que os serviços notariais e de registro funcionem como instalação

técnica de uma AR, requer:

validação e verificação da solicitação de certificados;

v. compromisso de respeitar todas as regras da ICP-Brasil;

vi. obrigação de a AR verificar a conformidade dos processos executados na instalação

técnica;

b) apresentação dos documentos previstos no subitem 3.2.1.2

3.2.1.4. Estando a documentação regular, a AC Raiz autorizará, em até 30 (trinta) dias, o

funcionamento das novas instalações técnicas mediante intimação da AC solicitante, que a partir desse

atividades das novas instalações técnicas das AR com as práticas e regras estabelecidas pela ICP-

sanções legais previstas no documento CRITÉRIOS E PROCEDIMENTOS PARA FISCALIZAÇÃO DAS

ENTIDADES INTEGRANTES DA ICP-BRASIL [7].

3.2.2. Extinção de Instalação Técnica

3.2.2.1. A extinção de uma instalação técnica de AR poderá se dar por determinação da AC Raiz

ou por iniciativa da AC ou da AR vinculada.

3.2.2.2. Em qualquer dos casos, a AC à qual a AR esteja vinculada deverá realizar os seguintes

procedimentos e manter os registros de sua execução para futuras auditorias de conformidade:

a) enviar ofício à AC Raiz informando a extinção da instalação técnica, a data de encerramento de

suas atividades e a identificação da instalação técnica da AR que guardará a documentação relativa aos

e) transferir, de forma segura, a documentação dos certificados gerados na instalação técnica

extinta para a instalação identificada na alínea a);

f) publicar, na página web da AC, informações sobre a extinção da instalação técnica da AR

vinculada; e

g) enviar à AC Raiz, no prazo máximo de 60 (sessenta) dias da data de extinção informada na

alínea a), relatório descrevendo todos os procedimentos adotados.

3.2.2.4. Importante observar, que no caso de a AR possuir um único endereço de instalação

técnica, a extinção deste, sem a abertura concomitante de um novo endereço de instalação técnica,

implicará, automaticamente, o descredenciamento da AR, devendo ser observados os procedimentos

definidos para tal caso.

c) indicação da pessoa responsável pelo posto provisório;

d) relação dos agentes de registro que trabalharão no posto provisório; e

e) identificação da instalação técnica da AR que guardará a documentação relativa aos

certificados gerados pelo posto provisório, após o encerramento de suas atividades.

3.2.3.2. Estando a documentação regular, a AC Raiz autorizará o funcionamento do posto

provisório mediante intimação da solicitante.

3.2.4. Encerramento de Posto Provisório

Após o encerramento das atividades do posto provisório, deve ser enviado à AC Raiz relatório

contendo:

a) quantidade de certificados emitidos pelo posto provisório e respectivos subtotais, categorizados

também credenciada na ICP-Brasil, para que esta última execute, em nome da primeira, as seguintes

atividades:

a) Confirmação da identidade do titular ou do responsável pelo certificado – processo realizado

mediante a presença física do interessado, com base em documentos de identificação legalmente

aceitos;

b) Validação da solicitação de certificado - conferência dos dados da solicitação de certificado com

os constantes dos documentos necessários para autenticação da identidade de um indivíduo ou de uma

organização;

3.2.5.2. Para tanto, as AR convenentes devem encaminhar solicitação à AC Raiz, acompanhada

a) cópia do acordo, contendo, pelo menos, as cláusulas definidas no documento

CARACTERÍSTICAS MÍNIMAS DE SEGURANÇA PARA AS AR DA ICP-BRASIL [9] e a assinatura dos

representantes legais das AR e da(s) AC a que se vinculam; e

b) indicação dos procedimentos que serão adotados quanto aos aspectos de segurança e

operacionais.

3.2.5.3. Estando a documentação regular, a AC Raiz autorizará a celebração do acordo mediante

intimação da(s) AC solicitantes, que a partir desse momento disponibilizará(ão) na sua página web as

informações sobre a celebração do acordo e, se for o caso, os endereços de instalações técnicas que

poderão ser utilizados pelos titulares de certificados das AR convenentes.

a) Comunicar à AC a que estiver operacionalmente vinculada, diretamente ou por intermédio de

AR, qualquer alteração em seus atos constitutivos, estatuto, contrato social ou administradores;

b) Observar a DPC, as PC e a PS da AC a que estiver vinculada, diretamente ou por intermédio de

AR.

4. DESCREDENCIAMENTO

4.1. Descredenciamento de AC

4.1.1. Requisitos Gerais para o descredenciamento de AC

4.1.1.1. O descredenciamento de uma AC pode ocorrer em relação a todas as PC para qual tenha

sido credenciada ou em relação a PC específicas.

nas DPC e PC da AC, de modo a inviabilizar a continuidade de operação da AC, sem que haja a

solicitação de credenciamento de novo PSS e sem que a AC passe a desempenhar, ela própria, as

atividades antes executadas pelo PSS;

e) A pedido da própria AC, mediante requerimento, em relação às suas atividades;

f) Por determinação da AC Raiz, em razão de descumprimento de qualquer dos critérios e

procedimentos exigidos para o seu funcionamento, após o decurso do prazo para regularização, sem

que a entidade tenha sanado a irregularidade e mediante processo administrativo.

4.1.3. Procedimentos para descredenciamento de AC

4.1.3.1. Descredenciamento solicitado pela própria AC

Na hipótese de o descredenciamento ser solicitado pela própria AC, deverão ser obedecidos os

sua página web, a decisão de encerrar suas atividades no âmbito da ICP-Brasil ou de não mais emitir

certificados sob as PC especificadas.

14.1.3.2. Descredenciamento por determinação da AC Raiz

Na hipótese de descredenciamento da AC por determinação da AC Raiz, deverão ser obedecidos

os seguintes procedimentos:

procedimentos:

União e em sua página web;

b) As AC subseqüentes, AR e PSS operacionalmente vinculados deverão cessar, em relação às

PC objeto do descredenciamento, suas atividades de emissão de certificados no âmbito da ICP-Brasil,

imediatamente após a comunicação de que trata a alínea anterior

c) Em caso de descredenciamento total de uma AC:

i. As chaves públicas dos certificados por ela emitidos deverão ser armazenadas por outra AC,

após aprovação da AC Raiz;

ii. Quando houver mais de uma AC interessada, assumirá a responsabilidade do armazenamento

das chaves públicas aquela indicada pela AC que encerra as suas atividades;

operacionalmente vinculado e implicará a paralisação automática das operações de todas as suas

instalações técnicas.

4.2.1. Hipóteses para o descredenciamento de AR

São as seguintes as hipóteses para descredenciamento de AR:

a) Quando do descredenciamento da AC a que esteja operacionalmente vinculada;

b) Quando da extinção do endereço de instalação técnica único da AR, sem que haja a solicitação

de abertura de um novo endereço de instalação técnica;

c) Quando do descredenciamento de PSS único vinculado operacionalmente à AR, que

desempenhe atividades descritas nas DPC e PC da AC à qual a AR esteja operacionalmente vinculada,

de modo a inviabilizar a continuidade de operação da AR, sem que haja a solicitação de credenciamento

a) O motivo do descredenciamento;

b) A data de encerramento das atividades da AR; e

c) A identificação da AC ou AR que guardará a documentação relativa aos certificados gerados por

aquela extinta.

4.2.2.1.2. Caso necessário realizar a guarda da documentação relativa aos certificados emitidos

em local ou entidade que não pertença à ICP-Brasil, deverá ser solicitada autorização ao Comitê Gestor

da ICP-Brasil.

4.2.2.2 Descredenciamento por determinação da AC Raiz

Na hipótese de descredenciamento da AR por determinação da AC Raiz, deverão ser obedecidos

os seguintes procedimentos:

contados da data da publicação de que trata a alínea 4.2.2.3.a.

4.2.2.3 Descredenciamento por qualquer das hipóteses previstas

Em qualquer das hipóteses de descredenciamento de AR deverão ser obedecidos os seguintes

procedimentos:

a) a AC Raiz divulgará o fato, logo após a consumação da respectiva hipótese, no Diário Oficial da

União e em sua página web;

b) imediatamente após a publicação referida na alínea anterior, a AC à qual a AR descredenciada

estava operacionalmente vinculada deverá adotar os seguintes procedimentos, mantendo a guarda de