eIDAS 2.0 explicado: carteira europeia, prazos e o que muda para empresas brasileiras

O eIDAS 2.0 é o nome informal do Regulamento (UE) 2024/1183, que altera o regulamento eIDAS de 2014 (910/2014) e cria a carteira europeia de identidade digital. Está em vigor desde 20 de maio de 2024. Cada Estado-Membro da UE precisa oferecer a carteira até 24 de dezembro de 2026, e os serviços privados obrigados a usar autenticação forte, exceto micro e pequenas empresas, devem aceitá-la a pedido do usuário até 24 de dezembro de 2027. Os níveis de assinatura SES, AES e QES não mudam.

O texto foi adotado em 11 de abril de 2024 e publicado no Jornal Oficial da UE em 30 de abril (texto integral no EUR-Lex). Ele não revoga a lei de 2014: o que vale é o Regulamento 910/2014 com as alterações.

Para uma empresa no Brasil, o eIDAS é lei estrangeira: importa quando você assina contratos com empresas europeias ou vende para clientes na UE. Aqui valem a MP 2.200-2 e a Lei 14.063, que comparamos com o eIDAS numa seção própria.

Pelas regras de 2014, notificar um esquema nacional de identificação eletrônica era opcional, e o reconhecimento mútuo valia para serviços online de órgãos públicos (art. 6): nenhuma empresa privada era obrigada a aceitar essa identidade. O Regulamento 2024/1183 acrescenta cinco coisas:

1. 1.
   Uma carteira em cada Estado-Membro (art. 5a).
2. 2.
   O dever de aceitá-la, que alcança serviços públicos online, serviços privados obrigados a usar autenticação forte e plataformas online de muito grande porte (art. 5f).
3. 3.
   Quatro novos serviços de confiança, entre eles o certificado eletrônico de atributos e o livro-razão eletrônico (art. 3(16)).
4. 4.
   A carteira como forma de comprovar sua identidade quando você pede um certificado qualificado (art. 24(1a)).
5. 5.
   Certificados qualificados de sites que os navegadores são obrigados a reconhecer (art. 45(1a)).

Uma coisa fica de fora. O art. 2(3) diz que o regulamento não afeta o direito da União ou nacional sobre a celebração e a validade dos contratos, nem outras exigências de forma. Qual assinatura um contrato exige continua sendo pergunta para a lei que o rege.

A carteira europeia de identidade digital (em inglês, EUDI Wallet) é um aplicativo que guarda seus dados de identidade verificados e documentos como diploma ou habilitação para dirigir. É a peça central da identidade digital europeia. O regulamento exige que esses dados fiquem sob controle exclusivo do usuário e que a divulgação seletiva seja possível: você mostra só o atributo pedido, por exemplo ter mais de 18 anos, e não o documento inteiro.

Não precisa ser um aplicativo do governo: o Estado-Membro pode fornecer a carteira, delegar o fornecimento ou reconhecer uma desenvolvida de forma independente. O código-fonte do aplicativo tem que ser aberto, salvo componentes fora do aparelho do usuário, com justificativa.

Emitir, usar e revogar a carteira é gratuito para pessoas físicas, e o uso é voluntário. Quem preferir não usar não pode ser prejudicado, e os serviços precisam continuar acessíveis por outros meios.

A carteira também assina. Toda carteira precisa permitir que o usuário crie uma assinatura eletrônica qualificada, gratuita por padrão para pessoas físicas, embora os Estados-Membros possam limitar essa gratuidade ao uso não profissional. Para contratos comerciais, a gratuidade depende da regra de cada país.

Segundo a página da Comissão Europeia sobre a implantação (em inglês), quatro projetos-piloto de grande escala começaram em abril de 2023, com mais de 350 organizações de 26 Estados-Membros, Noruega, Islândia e Ucrânia; assinar contratos online é uma das 11 áreas testadas.

O regulamento conta os prazos principais a partir da entrada em vigor dos atos de execução citados no art. 5a(23) e no art. 5c(6). Os cinco atos correspondentes foram adotados em 28 de novembro de 2024 e entraram em vigor em 24 de dezembro de 2024. A partir desse dia:

• os Estados-Membros têm 24 meses para oferecer a carteira (art. 5a(1)), o que cai em 24 de dezembro de 2026;
• os serviços privados abrangidos têm no máximo 36 meses (art. 5f(2)), o que cai em 24 de dezembro de 2027.

Muda menos do que o nome sugere. O valor jurídico de uma assinatura continua o mesmo:

• uma assinatura eletrônica não pode ter o efeito jurídico negado, nem ser recusada como prova, só por ser eletrônica ou não qualificada (art. 25(1));
• a QES tem efeito jurídico equivalente ao da assinatura manuscrita (art. 25(2));
• a AES continua ligada de forma única ao signatário, permite identificá-lo, é criada com dados sob o controle exclusivo dele e permite detectar qualquer alteração posterior (art. 26).

Para saber quando cada nível compensa, veja os requisitos da assinatura qualificada.

O que muda é o caminho até o certificado qualificado. O prestador qualificado de serviços de confiança (QTSP) agora pode verificar a sua identidade pela carteira EUDI. As normas de referência para essa verificação, no Regulamento de Execução 2025/1566, valem a partir de 19 de agosto de 2027.

A própria carteira também permite assinar com QES, grátis por padrão para pessoas físicas. Para a AES, o novo art. 26(2) mandou a Comissão avaliar, até 21 de maio de 2026, se é preciso adotar normas de referência.

A lista do art. 3(16) agora vai da alínea (a) à (n). Estes quatro serviços são novos, e cada um tem versão qualificada.

Gerenciamento de dispositivos de assinatura remota

Na assinatura remota, a chave fica num dispositivo gerenciado por um prestador, não num token na sua mão. Gerenciar esses dispositivos virou serviço de confiança, e as regras da versão qualificada, no Regulamento de Execução 2025/1567, valem a partir de 19 de agosto de 2027.

Certificados eletrônicos de atributos

É um atestado eletrônico que comprova um atributo de uma pessoa, como um diploma ou uma habilitação profissional. Não pode ter o efeito jurídico negado só por ser eletrônico ou não qualificado, e a versão qualificada tem o mesmo efeito de um atestado em papel emitido legalmente.

Arquivamento eletrônico

O arquivamento qualificado fica com um prestador qualificado e mantém os arquivos duráveis e legíveis além da validade tecnológica, pelo menos durante o prazo legal ou contratual de guarda.

Livro-razão eletrônico

Todo livro-razão eletrônico tem uma proteção mínima: não pode ser recusado só por não ser qualificado. A presunção de que os registros estão íntegros e na ordem cronológica correta vale apenas para o livro-razão qualificado, criado e gerenciado por prestadores qualificados.

Além desses quatro, os navegadores passam a ter que reconhecer os certificados qualificados de autenticação de sites e mostrar ao usuário a identidade certificada.

Para confirmar se um prestador tem mesmo status qualificado, veja como consultar um prestador na lista de confiança da UE. O selo, a versão da assinatura para empresas, está no guia sobre selo eletrônico no eIDAS.

O art. 5f define três grupos. O primeiro é o setor público: quando um Estado-Membro exige identificação eletrônica para acessar um serviço online de um órgão público, a carteira também tem que ser aceita.

O segundo são as partes confiantes privadas (relying parties), e aqui o critério é a autenticação, não o setor. Você está no escopo se uma lei, europeia ou nacional, ou um contrato obriga você a usar autenticação forte do usuário na identificação online: pelo menos dois fatores independentes de categorias diferentes, como algo que você sabe, algo que você tem e algo que você é. Transporte, energia, bancos, serviços financeiros, seguridade social, saúde, água potável, serviços postais, infraestrutura digital, educação e telecomunicações aparecem só como exemplos. Micro e pequenas empresas estão isentas. O prazo é 24 de dezembro de 2027, e a aceitação só é devida quando o próprio usuário pede.

O terceiro grupo são as plataformas online de muito grande porte designadas nos termos do art. 33 do Regulamento dos Serviços Digitais (DSA), com média mensal de pelo menos 45 milhões de destinatários ativos na UE, número que o próprio DSA equipara a 10% da população da União. Se exigem login, aceitam a carteira quando o usuário pedir, só para os dados mínimos necessários, e sem prazo próprio no texto.

Para aceitar a carteira, a parte confiante se registra no Estado-Membro onde está estabelecida (art. 5b). Pelo Regulamento de Execução 2025/848, só quem está registrado recebe os certificados de acesso que a carteira verifica.

O eIDAS 2.0 não alcança empresas brasileiras diretamente: ele se aplica a esquemas de identificação eletrônica e carteiras dos Estados-Membros e a prestadores de serviços de confiança estabelecidos na UE (art. 2(1)). Quem vende para a Europa ou fecha contratos por lá esbarra nele mesmo assim.

Comece pela lei brasileira. A MP 2.200-2/2001 criou a ICP-Brasil, com o ITI como autoridade certificadora raiz. Pelo art. 10, § 1º, as declarações em documentos eletrônicos com certificação ICP-Brasil se presumem verdadeiras em relação aos signatários. O § 2º aceita outros meios de prova, inclusive certificados de fora da ICP-Brasil, se as partes os admitirem como válidos ou se a pessoa contra quem o documento é usado os aceitar. A Lei 14.063/2020 divide as assinaturas em simples, avançada e qualificada, esta com certificado ICP-Brasil. Os requisitos da avançada lembram muito os do art. 26 do eIDAS, mas o capítulo que diz quando usar cada nível trata de interações com entes públicos e exclui a interação entre particulares (art. 2º).

Daí saem duas consequências práticas. A QES de um parceiro em Lisboa ou Berlim não usa certificado ICP-Brasil, então no Brasil ela entra pelo § 2º, e vale o contrato dizer quais formas de assinatura as partes aceitam. No sentido inverso, um certificado ICP-Brasil não vira qualificado na UE sozinho: pelo art. 14(1), serviço de confiança de país terceiro só equivale ao qualificado europeu por ato de execução ou por acordo entre a UE e esse país (art. 218 do TFUE). Confira antes de presumir.

Para aceitar a carteira EUDI, a parte confiante se registra no Estado-Membro onde está estabelecida, e o texto não diz como isso funciona sem estabelecimento na UE. Fale com um advogado antes de construir um login com a carteira. Já uma QES emitida em qualquer Estado-Membro é reconhecida em todos os outros (art. 24a(1)), e você mesmo pode verificar o status qualificado na lista de confiança.

Os requisitos do eIDAS 2.0 para uma empresa privada cabem em cinco verificações.

1. 1.
   Teste a sua empresa contra o art. 5f(2). Uma lei ou um contrato exige autenticação forte na identificação online? A empresa é micro ou pequena pela definição da Recomendação 2003/361/CE? Se a primeira resposta for não, ou a segunda for sim, aceitar a carteira é escolha sua.
2. 2.
   Se estiver no escopo, planeje para 24 de dezembro de 2027 e reserve tempo para o registro como parte confiante no Estado-Membro de estabelecimento.
3. 3.
   Descubra onde a lei pede um tipo específico de assinatura. O eIDAS 2.0 não mexe em regras de forma, então a resposta está na lei de cada contrato. No Brasil, nas interações com entes públicos, a Lei 14.063 exige a qualificada em casos como transferência e registro de imóveis e emissão de nota fiscal eletrônica, com exceção para pessoas físicas e MEIs (art. 5º, § 2º).
4. 4.
   Quando um documento precisar mesmo de QES europeia, procure o prestador na lista de confiança da UE. Um selo no site do fornecedor não prova o status qualificado.
5. 5.
   Trate a carteira como mais uma forma de entrada, não a única. Quem não usa a carteira não pode ser prejudicado (art. 5a(15)).

Se a sua empresa parar no passo 1, deixe a análise por escrito.

O Chaindoc é onde você cria um contrato, envia para assinatura e recebe o pagamento.

Cada PDF assinado leva uma assinatura PAdES-BES ligada a um certificado por usuário, emitido pela autoridade certificadora do próprio Chaindoc. A documentação de segurança do Chaindoc (em inglês) classifica isso como assinatura eletrônica avançada nos termos do art. 26 do eIDAS. Depois da última assinatura, o hash do PDF final é gravado na SKALE Calypso, e qualquer pessoa pode recalcular o hash do arquivo e comparar na verificação gratuita de PDF online.

A verificação de identidade (KYC) roda dentro do fluxo de assinatura, e o resultado entra na trilha de auditoria: uma verificação por mês no plano Personal, cinco no Team, dez no Business e nenhuma no Free. Veja KYC no fluxo de assinatura e a verificação de identidade antes de assinar.

Há dois limites. O Chaindoc não é prestador de serviços de confiança e não emite certificados qualificados. E o registro em blockchain é um livro-razão eletrônico não qualificado: não pode ter o efeito jurídico negado só por isso, mas a presunção de integridade e de ordem cronológica fica com os qualificados.

Você pode testar o fluxo de assinatura do Chaindoc no plano Free: 0 €, para sempre, sem cartão, com 5 assinaturas por mês. Os planos pagos estão na página de preços do Chaindoc, e o guia de conformidade da assinatura digital compara eIDAS, GDPR e NIST.

As datas que mais pesam no eIDAS 2.0 são três: 24 de dezembro de 2026, para a carteira em cada Estado-Membro; 19 de agosto de 2027, para as novas normas de verificação de identidade; e 24 de dezembro de 2027, para os serviços privados sujeitos à autenticação forte, exceto micro e pequenas empresas.

Suas assinaturas mantêm o efeito jurídico que tinham. Se a sua empresa trabalha com a UE, confira agora se uma lei ou um contrato impõe autenticação forte, que assinatura a lei de cada contrato pede e se os prestadores europeus estão na lista de confiança. O panorama de eIDAS, GDPR e NIST está no nosso guia de conformidade da assinatura digital.