Resolução nº 130/2017

1 – Existe a obrigatoriedade de comprovação da posse ou propriedade de equipamentos das ARs nas auditorias anuais?

Sim. Trata-se de requisito mínimo em segurança da informação aplicado a todas as Instalações Técnicas de ARs (IT, ITS e Posto Provisório), previsto no item 6.1 do DOC-ICP-03.01.

2 – É admissível o estabelecimento de uma relação de Sociedade em Conta de Participação – SCP para a configuração e operação de uma IT ou ITS, pela qual o sócio ostensivo seja a AR e o(s) sócio(s) ocultos ceda(m) o local e/ou opere(m) como Agente de Registro? É permitido fazer publicidade deste tipo operação?

Não se admite tal configuração, visto que a atividade de identificação e validação presencial do solicitante de certificado digital é uma atividade exclusiva da AR, conforme estabelecido na MP nº 2.200-2, de 24 de agosto de 2001. Pela irregularidade da configuração, não se admite publicidade desse tipo de operação.

3 – Publicidade, anúncios e divulgações tais como “Seja uma Instalação Técnica Secundária” ou “Torne-se uma filial nossa e emita certificados digitais”, que têm por objetivo buscar “parceiros” para abertura de Instalação Técnica Secundária dentro de determinado estabelecimento, são permitidas para as ARs e ACs?

Pela irregularidade da configuração, conforme descrito na resposta acima, não se admite publicidade desse tipo de operação.

4 – É permitida a comercialização de certificados digitais por empresas ou indivíduos que não pertençam à estrutura da ICP-Brasil? Caso seja negativa a resposta, qual a norma em que se baseia a proibição? É permitida a publicidade dessa comercialização?

Quando a etapa de comercialização envolve identificação, cadastro ou qualquer atividade do processo de solicitação de certificados digitais à AC, ela é restrita às ARs credenciadas à ICP-Brasil, conforme Art. 7º da MP 2.200-2, de 24 de agosto de 2001 e item 8A.3 do DOC-ICP-03.01, esse último regulamentado pela Resolução nº 130, de 19 de setembro de 2017.

Não há restrição para a etapa de comercialização anterior à execução da identificação, cadastro ou qualquer atividade do processo de solicitação de certificados digitais à AC.

A publicidade dessa comercialização é vedada pelo item 8A.5 do DOC-ICP-03.01, regulamentado pela Resolução nº 130, de 19 de setembro de 2017.

5 – De acordo com a Instrução Normativa nº16/2016, um Agente de Registro com perfil “validador” e “verificador” deverá, única e exclusivamente, trabalhar em uma instalação técnica de uma AR. Caso o Agente de Registro tenha apenas o perfil “validador”, é possível que ele trabalhe em duas ARs, ITs ou ITSs, inclusive durante o processo de credenciamento de uma nova AR?

Devido à criticidade da atividade do Agente de Registro, e para assegurar o cumprimento dos requisitos de segurança de pessoas estabelecidos na Política de Segurança da ICP-Brasil, recomenda-se que tal prática não seja adotada.

A atuação de um Agente de Registro em entidades distintas da ICP-Brasil não permite evidenciar o asseguramento da manutenção do grau de sigilo das informações sensíveis a que ele tem acesso em cada entidade.

6 – Caso a validação externa de um certificado e-CNPJ demande a assinatura de dois sócios em conjunto, sendo que um dos representantes se enquadre nas exceções elencadas entre os incisos I a V do item 3.1.1.2.1 do DOC-ICP-05 e o outro representante não, essa situação seria enquadrada como exceção ou nos 15% da AR?

A situação exposta se enquadra nos 15% (quinze por cento) da AR.

7 – Há necessidade de utilização de equipamento exclusivo para validação externa, uma vez que existe conflito entre disposições da Resolução nº 130 (Art. 14, ‘f’ do item 3.1.1.2.5 e 4.1.6., do Art. 7)?

Para validação externa admite-se equipamentos portáteis da AR exclusivos para validação externa ou equipamentos portáteis utilizados em ITS.

8 – Quais são os requisitos de ambiente físico, lógico e de pessoal necessários para uma Instalação Técnica Secundária em ambiente compartilhado com outra pessoa jurídica?

Não há previsão normativa para ambiente compartilhado de AR (ITS) entre pessoas jurídicas distintas. A previsão para ambiente compartilhado prevista no DOC-ICP-03.01 diz respeito a ambiente compartilhado com outras atividades da organização, ou seja, a pessoa jurídica é única e compartilha a atividade de AR no mesmo ambiente com outras atividades da mesma organização, atendendo aos requisitos adicionais descritos nos itens do DOC-ICP-03.01.

9 – Uma empresa que tenha matriz no exterior pode credenciar uma AR fora do Brasil sem ser titular de um CNPJ?

Não. A situação descrita não atende ao requisito relativo à regularidade fiscal, onde se exige a prova de inscrição no Cadastro Nacional de Pessoas Jurídicas – CNPJ, dentre outros requisitos.

10 – Para o credenciamento de uma AR/IT ou ITS no exterior, quais são os documentos que devem ser apresentados? Caso o Agente de Registro seja estrangeiro, que documentos devem conter em seu dossiê?

A norma da ICP-Brasil não proibe IT ou ITS de AR no exterior, porém, todas as exigências do conjunto de documentos a serem apresentados no momento do credenciamento ou autorização da IT/ITS devem ser observadas, conforme estabelecido no DOC-ICP-03.

11 – Para efeito de simplificação de processos, a conversão de uma Instalação Técnica para Instalação Técnica Secundária se dá apenas pela comunicação ao ITI?

Não. Trata-se de um descredenciamento de IT, cujos procedimentos estão definidos no item 3.2.2 do DOC-ICP-03, e uma solicitação de autorização de funcionamento de ITS, por meio de peticionamento eletrônico, com procedimentos distintos que devem ser observados.

*FAQ adaptado pela ASCOM/ITI para o portal