QES, AES e SES: compreender os três níveis de assinatura eIDAS em 2026

O regulamento eIDAS (nº 910/2014) constitui a pedra angular do direito europeu de assinatura eletrônica. Desde sua entrada em vigor, ele estrutura três níveis de assinatura — SES, AES e QES — cujas exigências técnicas e valor probatório diferem radicalmente. Em 2026, com a entrada em vigor progressiva do regulamento eIDAS 2.0 (regulamento UE 2024/1183), essas distinções ganham em importância para qualquer organização que deseje desmaterializar seus atos jurídicos em total conformidade. Este artigo decifra as diferenças fundamentais entre esses três níveis, as obrigações que implicam e os critérios a serem considerados para escolher o formato adequado conforme a natureza de seus documentos.

SES: a assinatura eletrônica simples, flexível mas limitada

Definição e características técnicas

A assinatura eletrônica simples (SES, ou Simple Electronic Signature) é definida no artigo 3(10) do regulamento eIDAS como "dados em forma eletrônica anexados ou associados logicamente a outros dados em forma eletrônica, e que o signatário utiliza para assinar". Essa definição é intencionalmente ampla: um simples clique em "Aceito", uma assinatura desenhada com o dedo em um tablet, ou ainda uma caixa marcada em um formulário online se enquadram nessa categoria.

A SES não requer nenhuma verificação prévia de identidade do signatário, nem nenhum certificado criptográfico. Sua robustez repousa unicamente no contexto contratual e nas evidências periféricas (endereço IP, timestamp do servidor, email de confirmação). O glossário de assinatura eletrônica enumera o conjunto dos termos técnicos associados a esses mecanismos.

Valor jurídico e casos de aceitação

A SES se beneficia do princípio de não-discriminação estabelecido no artigo 25(1) eIDAS: ela não pode ser rejeitada como prova unicamente pelo motivo de ser eletrônica. Porém, ela não produz nenhuma presunção de confiabilidade. Em caso de contestação, o ônus da prova recai inteiramente sobre a parte que a invoca. O valor jurídico da assinatura eletrônica depende portanto fortemente do nível escolhido.

A SES é apropriada para atos de baixo risco: aceitação de Termos de Uso, formulários internos, pedidos online de baixo valor, ou ainda pesquisas de satisfação. Ela é inadequada para qualquer documento suscetível de ser contestado em juízo.

AES: a assinatura avançada, o equilíbrio entre segurança e praticidade

Os quatro critérios cumulativos do artigo 26 eIDAS

A assinatura eletrônica avançada (AES, Advanced Electronic Signature) é definida no artigo 3(11) eIDAS e deve satisfazer quatro condições enumeradas no artigo 26:

1. Estar ligada ao signatário de modo unívoco: um identificador único vincula a assinatura a uma pessoa física determinada.
2. Permitir identificar o signatário: uma verificação de identidade é realizada (email, número de telefone, documento de identidade conforme o provedor).
3. Ter sido criada a partir de dados que o signatário pode utilizar com um nível de confiança elevado sob seu controle exclusivo: tipicamente um código OTP enviado ao seu telefone ou um certificado de software.
4. Estar ligada aos dados assinados de tal forma que qualquer modificação posterior seja detectável: a assinatura repousa sobre um hash criptográfico do documento.

Tecnologias utilizadas e níveis de segurança

Na prática, a AES é implementada via certificados digitais de nível substancial (no sentido do regulamento eIDAS), mecanismos de autenticação multifatorial, ou soluções de identidade documental (escaneamento de documento de identidade, comparação biométrica). Provedores de serviços de confiança qualificados como a Certyneo oferecem percursos de assinatura AES integrando verificação de identidade à distância, em conformidade com os referenciais da ANSSI e as normas ETSI EN 319 401.

A AES oferece um excelente compromisso entre segurança e fluidez de experiência do usuário. Ela é recomendada para contratos comerciais comuns, atos de RH, convenções de parceria ou contratos de prestação de serviços. Consulte nosso guia completo sobre assinatura eletrônica em empresas para aprofundar os usos em contexto profissional.

Limitações da AES frente a certos atos

A AES permanece insuficiente para atos autênticos ou aqueles para os quais a lei exige expressamente a assinatura qualificada. Na França, o artigo 1367 do Código Civil reserva a presunção de confiabilidade máxima unicamente às assinaturas qualificadas no sentido eIDAS. A AES pode ser afastada por um juiz se a parte adversa demonstrar uma insuficiência no processo de verificação de identidade.

QES: a assinatura qualificada, equivalente legal da manuscrita

Definição regulatória e exigências técnicas

A assinatura eletrônica qualificada (QES, Qualified Electronic Signature) é definida no artigo 3(12) eIDAS como uma assinatura avançada criada por um dispositivo de criação de assinatura qualificado (QSCD) e repousando sobre um certificado qualificado de assinatura eletrônica. Esses dois componentes são indissociáveis.

O certificado qualificado é emitido por um provedor de serviços de confiança qualificado (QTSP) inscrito na lista de confiança nacional (Trusted List) publicada por cada Estado-membro. Na França, essa lista é administrada pela ANSSI. O QTSP deve ter sido auditado e acreditado conforme as exigências do anexo I do regulamento eIDAS e as normas ETSI EN 319 411-2.

O QSCD (dispositivo de criação de assinatura qualificado) é um suporte de hardware ou software seguro — tipicamente um cartão inteligente, um token USB criptográfico ou um HSM (Hardware Security Module) remoto — garantindo que a chave privada do signatário não possa ser extraída ou copiada. As exigências dos QSCD são especificadas no anexo II do regulamento eIDAS.

A presunção legal irrefragável do artigo 25(2)

O artigo 25(2) do regulamento eIDAS confere à QES um efeito jurídico equivalente à assinatura manuscrita em todos os Estados-membros da União Europeia. Essa presunção é automática: diferentemente da AES, a parte que apresenta uma QES não precisa demonstrar a confiabilidade do procedimento. Cabe ao adversário reverter essa presunção, o que é na prática muito difícil desde que o QTSP e o QSCD sejam devidamente qualificados.

Na França, o artigo 1367 parágrafo 2 do Código Civil transpõe essa exigência ao direito interno: a confiabilidade do procedimento de assinatura eletrônica é presumida até prova em contrário quando a assinatura eletrônica qualificada eIDAS é utilizada. Essa presunção cobre igualmente a integridade do documento assinado.

Processo de obtenção de um certificado qualificado

A obtenção de um certificado qualificado exige uma verificação de identidade presencial ou por equivalente à distância com o mesmo nível de segurança (por exemplo, uma vídeo-identificação conforme a norma EN ISO/IEC 18013 ou as especificações do regulamento de execução 2015/1502). O processo envolve:

• A coleta de documentos de identidade oficiais
• A verificação de sua autenticidade (detecção de falsificação)
• O registro biométrico do signatário
• A emissão do certificado pelo QTSP após validação

Esse nível de exigência explica que a QES é reservada aos atos de risco elevado: documentos particulares com forte enjôo financeiro, documentos notariais eletrônicos, licitações públicas, atos médicos sensíveis, ou ainda em domínios onde a regulamentação setorial a impõe explicitamente. Para comparar as soluções disponíveis no mercado, nosso comparativo de soluções de assinatura eletrônica o orientará em sua escolha.

Tabela comparativa e critérios de escolha em 2026

Recapitulação das diferenças estruturantes

Três eixos permitem distinguir rapidamente os três níveis:

Verificação de identidade: nenhuma para SES, documental ou OTP para AES, presencial ou equivalente para QES. Suporte criptográfico: inexistente para SES, certificado de software para AES, QSCD certificado para QES. Presunção jurídica: ausente para SES, parcial para AES, total e automática para QES.

Em termos de atrito do usuário, a equação é inversa: a SES é quase transparente, a AES necessita de alguns minutos de verificação, a QES pressupõe uma abordagem de registro prévia que pode levar de alguns minutos (vídeo-identificação) a alguns dias.

Impacto eIDAS 2.0 nessas distinções em 2026

O regulamento eIDAS 2.0 (UE 2024/1183), cujos atos de execução são progressivamente publicados desde 2024, reforça diversos pontos-chave. Ele introduz a Carteira Europeia de Identidade Digital (EUDI Wallet), que permitirá aos cidadãos europeus armazenar seu certificado qualificado diretamente em seu smartphone, reduzindo consideravelmente o atrito associado à QES. Ele também clarifica as exigências aplicáveis aos QTSP e reforça a governança das listas de confiança nacionais.

Além disso, eIDAS 2.0 estende o perímetro do reconhecimento mútuo de assinaturas qualificadas entre Estados-membros, o que é particularmente estruturante para empresas operando em vários países da União. O guia completo do regulamento eIDAS 2.0 detalha o conjunto dessas evoluções regulatórias. Por fim, a questão da timestamp eletrônico qualificado — complementar à QES para preservar o valor probatório dos documentos ao longo do tempo — também merece atenção ao desenhar sua arquitetura documental.

Quadro legal aplicável às assinaturas SES, AES e QES

A hierarquia das assinaturas eletrônicas repousa sobre um corpus regulatório denso, articulando direito europeu e direito interno francês.

Regulamento eIDAS nº 910/2014: esse texto fundamental define nos artigos 3(10), 3(11) e 3(12) os três níveis de assinatura. O artigo 25 estabelece o princípio de não-discriminação (§1) e a presunção de equivalência manuscrita para QES (§2). O artigo 26 enumera as quatro condições cumulativas da assinatura avançada. Os anexos I e II especificam respectivamente as exigências aplicáveis aos certificados qualificados e aos dispositivos de criação de assinatura qualificados (QSCD).

Regulamento eIDAS 2.0 — UE 2024/1183: entrado em vigor em 20 de maio de 2024, ele altera substancialmente o regulamento de 2014, notadamente pela introdução da Carteira Europeia de Identidade Digital (EUDI Wallet), extensão dos serviços de confiança qualificados e reforço da governança dos QTSP. Os atos de execução continuam sendo publicados em 2026.

Código Civil francês, artigos 1366 e 1367: o artigo 1366 reconhece o escrito eletrônico como prova da mesma forma que o escrito em papel, sob a reserva de que possa ser devidamente identificada a pessoa de cuja proveniência emana e que seja estabelecido e conservado em condições de natureza a garantir sua integridade. O artigo 1367 parágrafo 2 estabelece a presunção de confiabilidade para a assinatura qualificada eIDAS, em transposição direta do artigo 25(2) do regulamento.

Decreto nº 2017-1416 de 28 de setembro de 2017: especifica em direito francês as condições que permitem se beneficiar da presunção de confiabilidade, remetendo explicitamente às exigências do regulamento eIDAS para assinaturas qualificadas.

Normas ETSI: as normas ETSI EN 319 102-1 (procedimentos de criação e validação de assinatura), ETSI EN 319 132 (formato XAdES), ETSI EN 319 122 (formato CAdES) e ETSI EN 319 142 (formato PAdES) regulamentam tecnicamente a criação de assinaturas eletrônicas conformes. Os provedores qualificados devem implementar esses formatos para garantir a interoperabilidade europeia.

RGPD — Regulamento UE 2016/679: a coleta de dados biométricos no contexto da verificação de identidade para a emissão de certificados qualificados constitui um tratamento de dados sensíveis no sentido do artigo 9. O QTSP deve dispor de uma base legal explícita, informar as pessoas e implementar as garantias técnicas apropriadas. Uma análise de impacto (AIPD) é geralmente exigida.

Diretiva NIS2 — UE 2022/2555: aplicável aos operadores de serviços essenciais e aos provedores de serviços digitais, ela impõe exigências de cibersegurança reforçadas que se aplicam indiretamente aos QTSP operando infraestruturas críticas de assinatura eletrônica.

As organizações que implantam soluções de assinatura eletrônica sem respeitar o nível exigido pela natureza jurídica do ato se expõem à nulidade ou ineficácia dos documentos assinados, bem como a riscos de contentioso que podem resultar em prejuízos financeiros significativos.

Cenários de uso: escolher o nível adequado conforme o contexto

Caso 1 — PME industrial gerenciando centenas de pedidos a fornecedores

Uma PME industrial que processa cerca de 400 bons de encomenda e contratos com fornecedores por ano implantou a assinatura AES para o conjunto de seus documentos comerciais comuns. O percurso de assinatura se apoia em uma verificação por link de email seguro e código OTP SMS, com geração de um relatório de auditoria com timestamp para cada ato. O tempo médio de assinatura passou de 4,5 dias (correio registrado) para menos de 3 horas. A taxa de contestação contratual permaneceu nula em 18 meses de exploração, a trilha de auditoria fornecendo uma prova suficiente em caso de divergência comercial. A redução dos custos de impressão, postagem e gestão documental atinge aproximadamente 60% conforme as estimativas internas, coerentes com as faixas publicadas por estudos setoriais europeus (Billentis Report, 2025).

Caso 2 — Escritório de advocacia especializado em direito empresarial

Um escritório de advocacia empresarial de cerca de quinze colaboradores implementou uma infraestrutura em dois níveis: assinatura AES para correspondências internas, mandatos de representação e convenções honorárias; assinatura QES para atos particulares com alto enjôo (cessões de participações sociais, protocolos de acordo, garantias financeiras). A obtenção dos certificados qualificados para os sócios foi realizada via uma sessão de vídeo-identificação conforme eIDAS, sem deslocamento físico, em menos de 20 minutos por pessoa. A presunção legal ligada à QES permite ao escritório apresentar seus atos perante qualquer jurisdição europeia sem necessidade de demonstrar a confiabilidade do procedimento, reduzindo significativamente o risco processual.

Caso 3 — Agrupamento hospitalar desmaterializando seus atos de RH e médicos

Um agrupamento hospitalar de aproximadamente 1.200 leitos escolheu uma abordagem diferenciada conforme a natureza dos documentos. Os contratos de trabalho, aditivos e fichas de função são assinados em AES, permitindo aos 800 agentes afetados assinar por seus smartphones sem infraestrutura pesada. Para as convenções médicas específicas e documentos exigindo autenticação forte imposta pela regulamentação de saúde (HDS), a QES é implantada para os médicos signatários designados. Esse modelo híbrido reduz em 75% o tempo de constituição de dossiês de RH durante recrutamentos, um ganho particularmente crítico em período de pressão nos recursos médicos. Ele assegura igualmente conformidade com as obrigações da CNIL relativas aos tratamentos de dados de saúde.

Perguntas frequentes

Qual é a diferença principal entre QES e AES em eIDAS?

A diferença fundamental reside em dois elementos: o certificado e o dispositivo de assinatura. A QES repousa obrigatoriamente sobre um certificado qualificado emitido por um provedor acreditado (QTSP) e sobre um dispositivo de criação de assinatura qualificado (QSCD) materialmente seguro. A AES pode utilizar um certificado de software e uma verificação de identidade menos rigorosa. Consequência direta: a QES se beneficia de uma presunção legal de equivalência à assinatura manuscrita em toda a União Europeia, o que a AES não garante automaticamente.

Em quais casos é obrigatório utilizar uma assinatura QES?

Nenhum texto europeu impõe a QES de forma geral, mas diversas regulamentações setoriais ou nacionais a exigem implícita ou explicitamente. Esse é o caso de certos atos autênticos eletrônicos, licitações públicas específicas, atos notariais desmaterializados, ou ainda em setores regulados como bancos (DSP2, KYC reforçado) ou saúde. A regra geral é a seguinte: quanto maior o enjôo jurídico ou financeiro do ato, mais o recurso à QES é recomendado para afastar qualquer risco de contestação.

A assinatura SES tem valor jurídico na França em 2026?

Sim, a assinatura SES é juridicamente admissível na França em virtude do princípio de não-discriminação estabelecido pelo artigo 25(1) do regulamento eIDAS e do artigo 1366 do Código Civil. Ela não pode ser afastada como prova unicamente pelo motivo de ser eletrônica. Por outro lado, ela não se beneficia de nenhuma presunção de confiabilidade: em caso de contestação, a parte que a invoca deve demonstrar sua robustez por outros meios (logs, endereço IP, trilha de auditoria). Seu uso deve portanto ser reservado aos atos de baixo risco.

Um certificado qualificado obtido na França é reconhecido em toda a União Europeia?

Sim. O artigo 25(2) do regulamento eIDAS e o mecanismo de reconhecimento mútuo das listas de confiança nacionais (Trusted Lists) garantem que um certificado qualificado emitido por um QTSP acreditado na França é reconhecido em todos os Estados-membros da União Europeia com o mesmo efeito jurídico. eIDAS 2.0 (UE 2024/1183) reforça ainda mais esse princípio ao estender o reconhecimento aos novos serviços de confiança qualificados introduzidos pelo regulamento revisado.

Como verificar que um provedor de assinatura é realmente qualificado eIDAS?

Cada Estado-membro publica e mantém uma lista oficial de confiança (Trusted List) enumerando todos os provedores de serviços de confiança qualificados (QTSP) acreditados em seu território. Na França, essa lista é publicada e atualizada pela ANSSI em seu site oficial. A Comissão Europeia agrega o conjunto das listas nacionais no portal EU Trusted List Browser (tlbrowser.tsl.europa.eu). Verifique que um provedor consta aí antes de confiar-lhe a emissão de certificados qualificados ou a criação de assinaturas QES.

Conclusão

Os três níveis de assinatura eletrônica definidos pelo regulamento eIDAS — SES, AES e QES — respondem a necessidades jurídicas e operacionais fundamentalmente diferentes. A SES convém aos atos de baixo enjôo, a AES cobre a maioria dos contratos profissionais comuns com um excelente equilíbrio entre segurança e fluidez, enquanto a QES se impõe para atos de forte valor jurídico graças à sua presunção legal de equivalência manuscrita em toda a União Europeia. Em 2026, com a entrada em vigor progressiva eIDAS 2.0, dominar essas distinções é mais que nunca estratégico para qualquer organização desmaterializando seus processos documentários.

A Certyneo permite que você implante os três níveis de assinatura conforme suas necessidades reais, com uma interface unificada conforme as exigências eIDAS e ANSSI. Descubra nossas ofertas ou estime seus ganhos desde já graças ao nosso calculador ROI de assinatura eletrônica, ou entre em contato com nossa equipe para uma auditoria personalizada de seus fluxos documentários.