O Guia em Linguagem Simples do eIDAS 2.0 e da Carteira Europeia de Identidade Digital

O eIDAS 2.0 é o nome informal do Regulamento (UE) 2024/1183, a lei que altera o Regulamento eIDAS original (910/2014) e constrói sobre ele o quadro da Identidade Digital Europeia. Não é uma substituição, é uma emenda. O sistema de assinatura eletrônica em três níveis que você já conhece (SES, AES, QES) permanece exatamente como estava. O que o eIDAS 2.0 acrescenta é uma nova camada: uma carteira de identidade digital apoiada pelo governo que todo cidadão e residente da UE poderá usar, e a obrigação legal de boa parte do setor privado de aceitá-la.

O regulamento foi adotado em 11 de abril de 2024, publicado no Jornal Oficial em 30 de abril de 2024 e entrou em vigor em maio de 2024. (Você vai encontrar algumas fontes citando dias ligeiramente diferentes nesse intervalo; trate o EUR-Lex como a fonte oficial se precisar da data exata para um processo jurídico.)

Se você gere um negócio que assina contratos, verifica a identidade de clientes ou opera em um setor regulado que toque a UE de alguma forma, vale a pena entender o eIDAS 2.0 agora, e não no fim de 2027, quando o prazo de aceitação obrigatória realmente chegar.

O eIDAS 1.0 era, na maior parte, uma história do setor público. Ele permitia que os governos da UE emitissem esquemas de eID e exigia o reconhecimento transfronteiriço entre Estados-Membros, mas nunca obrigou empresas privadas a aceitar a identidade digital de ninguém. O eIDAS 2.0 muda esse escopo de três formas concretas.

Primeiro, ele estende as obrigações de aceitação do setor público para uma lista definida de setores privados: bancos, instituições de pagamento e de moeda eletrônica, telecomunicações, transporte, energia, saúde, educação e plataformas online de grande porte (VLOPs) com mais de 45 milhões de usuários na UE. Segundo, ele padroniza a interoperabilidade transfronteiriça por meio de Atos de Execução e normas técnicas da ETSI, para que uma carteira emitida em Portugal funcione da mesma forma quando apresentada a uma empresa na Alemanha. Terceiro, ele aperta as regras de privacidade e minimização de dados: uma carteira precisa permitir que você compartilhe apenas o atributo específico de que a parte confiante realmente precisa (digamos, "tem mais de 18 anos") em vez de entregar todo o seu registro de identidade.

Nada disso toca nas definições legais de SES, AES ou QES sob o Artigo 25 do regulamento alterado. Uma assinatura eletrônica qualificada continua carregando o mesmo status de "efeito jurídico equivalente ao de uma assinatura manuscrita" que sempre teve. O que é novo é *como* a identidade por trás dessa assinatura é comprovada, cada vez mais por meio de uma credencial da carteira em vez de uma videochamada pontual ou do envio de um documento de identificação.

A Carteira Europeia de Identidade Digital (EUDI Wallet) é um aplicativo gratuito, emitido pelo governo, que armazena a sua identidade verificada e permite que você compartilhe seletivamente partes dela (uma carteira de motorista, um diploma, prova de idade, uma credencial de KYC bancário) com empresas e serviços públicos que precisam checar quem você é.

Pense nela menos como um único documento de identidade e mais como uma pasta segura de credenciais verificáveis que você controla. Você decide o que compartilhar, com quem e por quanto tempo. As carteiras são certificadas em relação aos requisitos técnicos e de segurança definidos nos Atos de Execução, cujos primeiros começaram a surgir em dezembro de 2024, com mais chegando ao longo de 2025 à medida que o trabalho de normas da ETSI amadurece.

Eis a ressalva honesta: em meados de 2026, a implantação da carteira ainda é desigual entre os Estados-Membros. Alguns governos estão conduzindo grandes projetos-piloto (os consórcios de Projetos-Piloto de Grande Escala financiados pela UE vêm testando casos de uso da carteira como registro de SIM, verificação de idade e checagem de diplomas desde 2023), enquanto outros estão mais atrasados na implantação em produção. O regulamento dá a cada Estado-Membro um prazo fixo para ter ao menos uma carteira certificada disponível, e a tabela mais abaixo mapeia exatamente quando esse prazo chega.

O eIDAS 2.0 não chegou com uma única data de "virada de chave". Ele está sendo implementado em etapas, e as duas datas que mais importam para uma empresa ficam na parte de baixo da tabela abaixo. Perca a primeira e você não está em conformidade com uma obrigação de oferta; perca a segunda e você não está em conformidade com uma obrigação de aceitação.

De acordo com a página da Comissão Europeia sobre o regulamento EUDI, cerca de 20 Estados-Membros da UE já haviam aderido a projetos-piloto de carteira em grande escala antes mesmo de o relógio da implantação obrigatória começar a correr, um sinal de que isso não é uma partida do zero para a maior parte do bloco. Quatro consórcios (cobrindo casos de uso como pagamentos, viagens, credenciais educacionais e carteiras de motorista digitais) vêm conduzindo testes transfronteiriços desde 2023, exatamente o tipo de base que deve tornar o prazo do fim de 2026 realista em vez de meramente aspiracional.

Eis a pergunta que a maioria das pessoas realmente tem: o eIDAS 2.0 muda o funcionamento das assinaturas eletrônicas? Resposta curta: não, não a mecânica legal. Resposta mais longa: ele muda a forma como você comprova a identidade por trás da assinatura, e essa é, sem dúvida, a parte mais útil.

Os três níveis permanecem inalterados. A Assinatura Eletrônica Simples (SES) continua sendo um clicar-para-assinar básico. A Assinatura Eletrônica Avançada (AES) continua vinculada de forma exclusiva ao signatário e capaz de detectar adulterações. A Assinatura Eletrônica Qualificada (QES) continua exigindo um certificado qualificado de um Prestador de Serviços de Confiança credenciado, e continua carregando o mesmo peso legal de uma assinatura manuscrita sob o Artigo 25(2). Isso não mudou nem um milímetro.

O que está surgindo, moldado pelos Atos de Execução e pelas normas da ETSI que avançam ao longo de 2025–2026, é a QES vinculada à carteira: a comprovação de identidade para um certificado qualificado passa a depender cada vez mais de uma credencial da EUDI Wallet em vez de uma sessão pontual de videoidentificação ou da digitalização de um documento físico. Na prática, isso pode significar que um signatário se autentica uma vez pela sua carteira e reutiliza essa identidade verificada em várias sessões de assinatura com fornecedores diferentes, em vez de comprovar quem é a cada nova vez. É uma melhoria genuína em relação ao fluxo antigo, embora ainda esteja amadurecendo. Encare-a como uma prática emergente possibilitada pelo eIDAS 2.0, ainda não como uma substituição universal e imediata dos métodos existentes de comprovação de identidade para a QES.

Até o fim de 2027, a aceitação da carteira deixa de ser opcional para uma lista específica e nomeada de setores: bancos e outras instituições financeiras, provedores de pagamento e de moeda eletrônica, seguradoras, prestadores de saúde e plataformas online de grande porte com mais de 45 milhões de usuários mensais na UE. Esse limiar de 45 milhões equivale a cerca de 10% da população total da UE usando um único serviço antes de a aceitação da carteira se tornar obrigatória para ele, uma barra alta, mas não impossivelmente alta para um punhado de grandes empresas de tecnologia. Se o seu negócio se enquadra em uma dessas categorias, a carteira não é uma integração bacana-de-ter que você pode adiar indefinidamente. É uma obrigação legal de aceitação com uma data real associada.

Todos os outros (varejistas, agências, a maioria das empresas de SaaS, firmas de serviços profissionais) não estão atualmente nomeados na lista de aceitação obrigatória. Isso não quer dizer para ignorar o assunto. Vale planejar para duas coisas de qualquer forma: seus clientes ou parceiros podem começar a apresentar credenciais da carteira voluntariamente bem antes de qualquer prazo forçar a questão, e os contratos B2B pedem cada vez mais que os fornecedores confirmem estar prontos para o eIDAS 2.0 como parte da diligência de contratação, do mesmo jeito que a conformidade com o GDPR virou item padrão nos questionários a fornecedores alguns anos atrás.

Você não precisa de um projeto de conformidade de seis dígitos para se antecipar a isso. Cinco passos práticos cobrem a maior parte do terreno.

1. 1
   Avalie o seu escopo com honestidade. Você está em um setor regulado, ou se aproximando do limiar de usuários de VLOP? Se não, a pressão do prazo é menor, mas não é zero. Veja o ponto acima sobre apresentação voluntária da carteira e questionários de contratação.
2. 2
   Faça um inventário dos seus pontos de contato com a identidade. Onde você faz hoje a comprovação de identidade, o KYC, a autenticação forte do cliente ou a verificação de assinaturas, e quais desses fluxos realmente precisam de alta garantia versus quais são de baixo risco?
3. 3
   Acompanhe o roteiro técnico de 2026–2027. As EUDI Wallets provavelmente vão autenticar por meio de fluxos parecidos com OIDC, e os Prestadores de Serviços de Confiança Qualificados vão expor APIs para a emissão de AES/QES vinculada a credenciais da carteira. Você não precisa construir isso sozinho, mas precisa de um fornecedor de assinatura cujo roteiro já cubra isso.
4. 4
   Atualização documental: os termos de serviço, os avisos de privacidade e os modelos de contrato devem reconhecer uma credencial de identidade baseada na carteira e uma QES ao lado dos seus métodos de assinatura existentes, não como um cenário futuro hipotético.
5. 5
   Faça um piloto antes de ser obrigado. Teste a aceitação da carteira em um ambiente que não seja de produção bem antes de qualquer prazo, do mesmo jeito que os times mais espertos testaram fluxos de pedidos de titulares de dados do GDPR em 2017 em vez de correr atrás em maio de 2018.

Nada disso exige arrancar a sua stack de assinatura atual. Exige escolher um fornecedor que já esteja acompanhando os Atos de Execução, para que o trabalho de aceitação da carteira caia no roteiro dele, e não no seu.

O Chaindoc é, antes de tudo, uma plataforma de documentos: crie um contrato, faça-o ser assinado, receba o pagamento, tudo sem trocar de ferramenta. A conformidade é a camada de confiança por baixo desse fluxo de trabalho, não um produto separado acoplado por cima.

Hoje, o fluxo de assinatura do Chaindoc já suporta assinaturas em nível SES e AES com verificação de identidade antes do acesso ao documento, um hash criptográfico do documento gerado no momento da assinatura e uma trilha de auditoria à prova de adulteração e ancorada em blockchain, a mesma mecânica de não repúdio que o nosso guia de conformidade da assinatura digital aborda lado a lado para eIDAS, GDPR e NIST. Cada documento assinado pode ser verificado na hora pela verificação gratuita de PDF online, para que um parceiro nunca precise confiar apenas na sua palavra de que um contrato não foi alterado depois de assinado.

À medida que os Atos de Execução finalizam as normas de credenciais da carteira ao longo de 2026, essa mesma arquitetura de trilha de auditoria é exatamente o que uma QES vinculada à carteira precisa por baixo: identidade verificada, um hash imutável e uma cadeia de custódia com carimbo de tempo. Você não precisa reconstruir o seu processo de assinatura do zero quando o mandato da carteira chegar. Você precisa de um fornecedor que já trate a validade jurídica como um recurso de primeira classe, e não como algo pensado depois. O plano Gratuito do Chaindoc custa 0 €/mês, permanentemente, sem necessidade de cartão de crédito, para que testar um fluxo de trabalho pronto para o eIDAS antes de 2027 não precise de um ciclo de contratação próprio. Compare os planos pagos na página de preços do Chaindoc quando estiver pronto para crescer além do plano gratuito.

O eIDAS 2.0 não é uma nova lei de assinaturas. É uma nova lei de identidade que fica ao lado das regras de assinatura que você já segue. SES, AES e QES significam exatamente o que significavam sob o eIDAS 1.0. O que está mudando é quem precisa aceitar uma carteira digital emitida pelo governo, e até quando: cada Estado-Membro oferece uma até o fim de 2026, e os setores regulados nomeados mais as plataformas de grande porte precisam aceitá-la até o fim de 2027.

Se você não está em um setor regulado, tem tempo, mas "tempo" não é o mesmo que "ignorar o assunto". Comece pela lista de preparação acima, fique de olho nos Atos de Execução conforme eles são finalizados ao longo de 2026, e escolha um fornecedor de assinatura cujo roteiro de conformidade já assuma que as credenciais vinculadas à carteira estão a caminho. É um esforço menor do que a maioria dos times espera, e muito menor do que seria correr contra o tempo no fim de 2027.

Para o panorama de conformidade mais completo entre eIDAS, GDPR e NIST juntos, o nosso guia de conformidade da assinatura digital é a leitura natural a seguir.