Assinatura Eletrônica Qualificada: Guia Completo 2026

Uma assinatura eletrônica qualificada (QES) é uma assinatura eletrônica avançada criada com um dispositivo qualificado de criação de assinatura e respaldada por um certificado qualificado emitido por um prestador de serviços de confiança credenciado. Essa é a definição formal, extraída diretamente da lei da UE, e cada palavra nela cumpre uma função. "Avançada" significa que a assinatura está vinculada de forma exclusiva a você e é capaz de detectar adulterações. "Dispositivo qualificado" significa que a sua chave privada de assinatura fica armazenada em um lugar genuinamente difícil de extrair, não apenas em um arquivo protegido por senha. "Certificado qualificado" significa que um terceiro examinado verificou a sua identidade antes de emiti-lo, e publicou essa verificação para que qualquer pessoa possa confirmá-la depois.

Eis a parte que a maioria dos guias pula: a QES não é uma marca nem um produto. É um status legal. Qualquer assinatura que atenda ao patamar técnico definido pelo Regulamento (UE) 910/2014, comumente chamado de eIDAS, se qualifica. Dezenas de prestadores em toda a Europa emitem certificados compatíveis com a QES, e a UE mantém uma lista pública de cada um deles.

Por que isso deveria importar para você? A QES é o único formato de assinatura eletrônica que a lei da UE determina que um tribunal deve tratar exatamente como uma assinatura manuscrita. Não "semelhante a". Equivalente. Esse único fato é o motivo pelo qual bancos, cartórios e órgãos governamentais constroem fluxos de trabalho inteiros em torno dela, e por que vale a pena entendê-la mesmo que o seu negócio só lide ocasionalmente com burocracia da UE.

Se você já leu o nosso guia em linguagem simples sobre o eIDAS 2.0, já sabe que o sistema de assinatura em três níveis (SES, AES, QES) não mudou sob o regulamento mais recente. Este guia foca apenas na QES: o que ela é, como difere dos níveis abaixo dela e quando você realmente precisa de uma.

Toda assinatura eletrônica da UE se enquadra em um de três níveis, e as diferenças não são cosméticas. Elas dizem respeito a quanta prova de identidade e evidência de adulteração existe por trás do clique, a mesma diferença criptográfica que separa uma assinatura digital de uma assinatura eletrônica. A Assinatura Eletrônica Simples (SES) é o patamar mais baixo: um nome digitado, uma caixa de seleção, uma assinatura manuscrita escaneada e colada em um PDF. Ela é legalmente válida (o Artigo 25(1) diz que nenhuma assinatura pode ter seu efeito legal negado apenas por ser eletrônica), mas se uma disputa chegar aos tribunais, uma SES oferece a um juiz o menor volume de elementos para trabalhar.

A Assinatura Eletrônica Avançada (AES) eleva o patamar. Ela precisa estar vinculada de forma exclusiva ao signatário, ser capaz de identificá-lo, ser criada usando dados sob seu controle exclusivo e ser capaz de detectar qualquer alteração feita após a assinatura. A maioria das plataformas de assinatura eletrônica mainstream, o Chaindoc incluído, entrega assinatura em nível AES por padrão: verificação de identidade antes do acesso ao documento, um hash criptográfico gerado no momento da assinatura e uma trilha de auditoria à prova de adulteração.

A QES acrescenta duas coisas que a AES não tem: um certificado qualificado emitido por um prestador de serviços de confiança credenciado, e um dispositivo qualificado de criação de assinatura que armazena a chave privada. Essa combinação é o que garante à QES o seu status de equivalência à assinatura manuscrita.

Sinceramente, para a esmagadora maioria dos contratos B2B, a AES já é suficiente. Ela não é um nível de compromisso: é o nível que a maioria das empresas deveria adotar como padrão, a menos que uma lei específica ou uma contraparte exija mais.

Esta é a cláusula que torna a QES compensadora, apesar do processo extra. O Artigo 25(2) do Regulamento 910/2014 estabelece que uma assinatura eletrônica qualificada "terá o efeito jurídico equivalente ao de uma assinatura manuscrita". Não comparável. Não admissível. Equivalente. Essa formulação importa em um tribunal, porque um juiz não precisa avaliar separadamente o peso probatório de uma QES da forma como poderia fazer com uma AES ou uma SES; a lei já fez essa determinação.

Há um segundo benefício, mais discreto, embutido no mesmo regulamento: o reconhecimento transfronteiriço. Uma QES emitida por um prestador de serviços de confiança na Polônia precisa ser reconhecida por um tribunal ou uma empresa em Portugal, sem exigir um parecer jurídico à parte. Isso não é automaticamente verdade para a AES, cujo reconhecimento pode depender mais dos fatos específicos e das regras probatórias do país receptor.

Nada disso significa que a AES seja legalmente fraca. O Artigo 25(1) protege toda assinatura eletrônica, incluindo a SES, contra a negação de efeito legal apenas por ser eletrônica. A QES simplesmente elimina o argumento por completo. Se o advogado de uma contraparte quiser contestar a validade de uma assinatura, a QES não lhe dá nada com que trabalhar nessa frente; ele teria que atacar os fatos subjacentes do próprio acordo.

Obter uma QES é um processo de quatro etapas, e a ordem importa porque cada etapa depende da anterior.

1. 1
   Comprovação de identidade por um QTSP. Um Prestador de Serviços de Confiança Qualificado verifica quem você é, historicamente por meio de um encontro presencial, hoje mais comumente por videoidentificação ou, cada vez mais, por uma credencial da EUDI Wallet. Esta é a etapa que não pode ser abreviada. Todo o peso legal da QES repousa sobre um terceiro efetivamente confirmar a sua identidade.
2. 2
   Geração do par de chaves em um QSCD. Uma vez confirmada a identidade, um par de chaves criptográficas é criado, e a metade privada fica armazenada dentro de um Dispositivo Qualificado de Criação de Assinatura: um cartão inteligente certificado, um token USB, ou um QSCD remoto (executado no lado do servidor) operado pelo próprio QTSP. Você nunca consegue exportar ou copiar essa chave privada. Esse é justamente o ponto.
3. 3
   O QTSP emite um certificado qualificado. De acordo com o Anexo I do Regulamento 910/2014, esse certificado precisa vincular a sua identidade verificada à sua chave pública e identificar o QTSP emissor pelo nome.
4. 4
   O status do certificado é publicado. O status de validade de cada certificado qualificado é publicado por meio de OCSP ou de uma lista de revogação de certificados, para que qualquer pessoa que verifique uma assinatura mais tarde possa confirmar que o certificado era válido no momento da assinatura, e não apenas que ele existia. Os ciclos de renovação normalmente vão de 1 a 3 anos, dependendo do prestador.

A QES remota tornou tudo isso drasticamente menos penoso do que costumava ser. Em vez de visitar pessoalmente um cartório ou um centro de confiança, você completa a videoidentificação ou a autenticação baseada em carteira uma única vez, e um QSCD do lado do servidor cuida da assinatura em si, autorizada por uma confirmação no aplicativo ou por um código de uso único a cada assinatura. Você continua obtendo o mesmo peso legal; só não precisa mais de um token físico rodando solto em uma gaveta.

O custo varia conforme o QTSP e o volume: certificados qualificados individuais costumam ficar entre aproximadamente €20 e mais de €100 por ano para um único usuário, e os preços por volume no nível empresarial podem trazer o custo por usuário para bem abaixo de €10 em volumes maiores. Não existe uma tarifa única publicada para toda a UE, então consulte as listas de preços atuais diretamente com um QTSP presente na Lista de Confiança, em vez de planejar o orçamento com base em um valor fixo.

O fluxo de assinatura do Chaindoc atualmente entrega assinatura em nível AES (verificação de identidade, hash criptográfico, trilha de auditoria ancorada em blockchain) como padrão para todo documento. Se o seu contrato específico ou a sua jurisdição exigir a QES completa, você combinaria esse fluxo com um certificado qualificado emitido por um QTSP; a arquitetura de trilha de auditoria por baixo não muda, o que muda é a camada de certificado por cima.

Aqui é onde muitos guias pecam pela imprecisão, então vamos ser exatos: não existe uma única lista, válida para toda a UE, de "contratos que exigem QES". Se um determinado acordo precisa de QES, AES ou SES é decidido pela lei nacional e, às vezes, pelo que a política interna da contraparte exige. O eIDAS estabelece as definições técnicas e as regras de reconhecimento transfronteiriço; ele não impõe a QES para tipos específicos de contrato de maneira uniforme nos 27 Estados-Membros.

Dito isso, alguns padrões aparecem de forma consistente em países de direito civil com exigências formais de "forma escrita". A Alemanha é o exemplo mais claro: a Seção 126a do Código Civil alemão (BGB) permite que a forma eletrônica substitua a exigência estatutária de forma escrita, mas apenas se a assinatura usada for uma QES. Certos contratos de crédito ao consumidor, avisos relacionados a relações de trabalho e apresentações próximas do âmbito notarial em Estados-Membros da UE se apoiam em regras semelhantes de QES-ou-nada.

Para tudo o que fica fora desses recortes estatutários específicos, a maioria dos contratos comerciais, NDAs, acordos com fornecedores, contratos de serviço, a AES é legalmente suficiente e consideravelmente menos custosa em termos de processo para todos os envolvidos. A QES existe para os casos em que a lei exige explicitamente a equivalência à assinatura manuscrita, não como um upgrade padrão a que você deveria recorrer por precaução.

Versão curta: a QES em si não muda sob o eIDAS 2.0. O processo de emissão em quatro etapas descrito acima, o efeito legal do Artigo 25(2), a arquitetura QTSP/QSCD, nada disso se moveu. O que o eIDAS 2.0 (Regulamento 2024/1183) acrescenta é uma nova forma de completar a primeira etapa: a comprovação de identidade por meio de uma credencial da EUDI Wallet, em vez de uma sessão autônoma de videoidentificação ou de um encontro presencial.

Na prática, isso aponta para um futuro em que você se autentica uma única vez pela sua carteira e reutiliza essa identidade verificada em múltiplos pedidos de emissão de QES, em vez de comprovar quem é do zero a cada vez. Esse é um ganho genuíno de eficiência, mas, em meados de 2026, ainda é um caminho emergente, não o padrão universal. Os Atos de Execução e as normas da ETSI que regem a emissão de QES vinculada à carteira ainda estão sendo finalizados ao longo de 2026, então trate a "QES emitida via carteira" como a direção em que as coisas caminham, não como algo que todo QTSP já suporta.

Se você quiser o panorama regulatório completo, incluindo o cronograma de implantação da carteira e quais setores precisam aceitá-la e até quando, o nosso guia do eIDAS 2.0 cobre esse terreno em detalhe. Este artigo permanece focado no que a própria QES exige hoje.

A QES é uma construção jurídica da UE, então a sua garantia de equivalência à assinatura manuscrita sob o Artigo 25(2) é uma afirmação da lei da UE, não uma afirmação global. Isso não significa que um documento assinado com QES se torne inútil no momento em que cruza uma fronteira, mas a certeza jurídica muda de forma.

Dentro da UE, o reconhecimento transfronteiriço é automático: uma QES emitida em um Estado-Membro precisa ser aceita em todos os outros. Fora da UE, o reconhecimento depende da lei do próprio país receptor e, muitas vezes, de acordos bilaterais. Países com laços regulatórios estreitos com a UE tendem a estender um reconhecimento semelhante; outros não reconhecem formalmente a designação QES, embora a assinatura subjacente normalmente ainda conte como evidência eletrônica válida e à prova de adulteração sob suas próprias leis gerais de assinatura eletrônica.

Os Estados Unidos operam sob um modelo genuinamente diferente. O ESIGN Act e a adoção da UETA em nível estadual não criam um sistema em níveis como SES/AES/QES; eles validam de forma ampla qualquer assinatura eletrônica respaldada por uma intenção clara de assinar, independentemente da tecnologia usada. Não existe um conceito jurídico americano que corresponda um a um a "assinatura eletrônica qualificada". Uma assinatura que se qualificaria como QES na UE é, sob a lei americana, simplesmente uma assinatura eletrônica válida. Vale saber disso se você é uma empresa americana se perguntando se precisa de uma QES no estilo europeu no mercado interno: geralmente não precisa, o ESIGN Act e a UETA já lhe dão forte exequibilidade sem ela.

Para empresas que de fato operam além-fronteiras, a jogada prática é combinar o formato de assinatura com o local onde a execução judicial é mais provável de ocorrer, e não adotar a QES como padrão em todo lugar por precaução.

Uma QES só é tão útil quanto a sua capacidade de provar depois que ela é genuína, e é aí que entra a verificação. O status de cada certificado qualificado é publicado pelo seu QTSP emissor, então verificar significa checar três coisas: o hash criptográfico corresponde exatamente ao documento tal como foi assinado, o certificado era válido (nem expirado, nem revogado) no momento da assinatura, e o certificado remonta a um QTSP credenciado na Lista de Confiança da UE.

Esse último ponto é fácil de deixar passar. O navegador da Lista de Confiança, mantido pela Comissão Europeia, permite que qualquer pessoa consulte quais prestadores estão credenciados em qual Estado-Membro. Se uma assinatura alega status de QES, mas o seu emissor não aparece na lista, isso é um sinal de alerta que vale a pena investigar antes de confiar no documento.

Você não precisa de um software especializado para checar isso por conta própria. A ferramenta gratuita de verificação de PDF do Chaindoc permite que qualquer pessoa confirme a integridade criptográfica e a trilha de auditoria de um documento assinado em segundos, sem necessidade de conta. Para o panorama de conformidade mais completo entre os frameworks eIDAS, GDPR e NIST juntos, o nosso guia de conformidade de assinatura digital mostra como a verificação se encaixa em uma postura de auditoria mais ampla.

Acertar o nível de assinatura importa menos do que a maioria das pessoas presume, e verificá-lo corretamente importa mais. Uma QES que ninguém se dá ao trabalho de verificar carrega o mesmo risco prático de uma SES não verificada: tecnicamente em conformidade, praticamente impossível de comprovar se algum dia for contestada.