Certificado QSCD eIDAS: tudo o que você precisa saber para obtê-lo na França em 2026

O crescimento da desmaterialização obriga empresas e administrações a dominarem conceitos técnicos precisos. Entre eles, o certificado QSCD (Qualified Signature Creation Device) ocupa um lugar central no dispositivo eIDAS. Sem ele, nenhuma assinatura eletrônica qualificada — a única que dispõe de uma presunção legal de valor equivalente à assinatura manuscrita — pode ser emitida. No entanto, a grande maioria das organizações francesas ainda ignora o que é um QSCD, como se diferencia de um simples certificado digital e quais procedimentos permitem obtê-lo. Este artigo oferece uma resposta completa: definição técnica, fundamentos regulatórios, lista dos atores acreditados na França e processo de obtenção passo a passo.

O que é um certificado QSCD? Definição e escopo regulatório

O termo QSCD é o acrônimo em inglês de Qualified Signature Creation Device, traduzido para o português como dispositivo qualificado de criação de assinatura. Designa uma ferramenta de hardware ou software que gera e armazena as chaves criptográficas utilizadas para assinar eletronicamente, garantindo um nível máximo de segurança definido pelo regulamento eIDAS nº 910/2014.

Distinção entre certificado qualificado e QSCD

É importante distinguir dois conceitos frequentemente confundidos:

• O certificado qualificado (Qualified Certificate for Electronic Signature, QCert) é um certificado digital emitido por um provedor de serviços de confiança qualificado (PSCQ). Ele atesta a identidade do signatário e contém sua chave pública.
• O QSCD é o suporte seguro no qual a chave privada associada ao certificado é gerada e mantida. Pode ser um token USB criptográfico, um cartão inteligente, um HSM (Hardware Security Module) ou um QSCD remoto (remote QSCD) hospedado na infraestrutura do provedor.

Para que uma assinatura seja qualificada conforme eIDAS, ambos os elementos devem estar presentes: um certificado qualificado E um QSCD. O Anexo II do regulamento estabelece as exigências que o dispositivo deve atender (unicidade dos dados de criação, impossibilidade de deduzir a chave privada, proteção contra falsificação, etc.).

Níveis de assinatura eletrônica e papel do QSCD

O regulamento eIDAS define três níveis de assinatura:

1. Assinatura eletrônica simples (SES): nenhuma exigência técnica específica.
2. Assinatura eletrônica avançada (AdES): vinculada de forma única ao signatário, criada a partir de dados sob seu controle exclusivo, mas sem obrigatoriedade de QSCD.
3. Assinatura eletrônica qualificada (QES): exige imperativamente um certificado qualificado armazenado em um QSCD. É o único nível beneficiando de uma presunção legal de equivalência à assinatura manuscrita em todos os Estados-membros.

Para aprofundar as diferenças entre esses três níveis, o comparativo de soluções de assinatura eletrônica da Certyneo oferece uma análise detalhada.

Os provedores qualificados (QTSP) na França: quem pode emitir um QSCD?

Na França, a emissão de certificados qualificados e o fornecimento de QSCD competem exclusivamente aos provedores de serviços de confiança qualificados (QTSP) inscritos na lista de confiança nacional (Trust Service List, TSL), publicada e mantida pela ANSSI (Agência Nacional de Segurança dos Sistemas de Informação).

A ANSSI, autoridade supervisora francesa

A ANSSI desempenha na França o papel de órgão de controle (supervisory body) previsto no artigo 17 de eIDAS. Ela audita os candidatos QTSP segundo critérios rigorosos alinhados com as normas ETSI EN 319 401 (exigências gerais para provedores de serviços de confiança) e ETSI EN 319 411 (certificados qualificados). Um provedor não pode se reivindicar "qualificado" sem figurar na lista de confiança francesa publicada em formato XML assinado.

Entre os QTSP franceses acreditados figuram notavelmente atores como Certigna, CertEurope, Docaposte, Keynectis ou ainda Thales (ex-Gemalto). Cada um oferece soluções de certificados qualificados armazenados em QSCD físicos (cartões inteligentes, tokens USB) ou QSCD remotos, sendo estes últimos em forte crescimento desde 2022.

QSCD remoto (remote QSCD): o novo padrão em empresa

O QSCD remoto representa uma evolução significativa: a chave privada do signatário não é mais armazenada em um suporte físico fornecido ao usuário, mas em um HSM certificado, hospedado na infraestrutura segura do QTSP. O signatário acessa seu dispositivo por meio de autenticação forte (OTP, biometria, aplicativo móvel). Essa abordagem, regulamentada pela norma ETSI EN 319 432 e validada pela ANSSI, está agora integrada na maioria das plataformas SaaS de assinatura qualificada, incluindo Certyneo.

O valor jurídico da assinatura eletrônica não depende do caráter físico ou remoto do QSCD, desde que a conformidade eIDAS seja atestada por uma qualificação ANSSI.

Como obter um certificado QSCD na França: o processo passo a passo

A obtenção de um certificado qualificado em QSCD segue um processo formalizado, mais exigente do que o de um certificado simples ou avançado. Aqui estão as etapas imprescindíveis.

Etapa 1: escolher seu QTSP e tipo de QSCD

A primeira decisão diz respeito ao tipo de QSCD desejado:

• QSCD físico (cartão inteligente ou token USB): adequado para usos pontuais, profissionais liberais ou executivos. Implica entrega física do suporte.
• QSCD remoto: ideal para organizações signatárias com volume elevado ou em modalidade 100% digital. Nenhum suporte físico a gerenciar.

A escolha do provedor também depende das integrações disponíveis (API REST, webhooks, conectores SIRH) e do nível de suporte. Recomenda-se consultar a lista oficial dos QTSP no portal da ANSSI antes de qualquer decisão.

Etapa 2: o processo de verificação de identidade (KYC)

O regulamento eIDAS impõe uma verificação de identidade rigorosa antes da emissão de um certificado qualificado. Duas modalidades são aceitas:

• Presencialmente (in-person): o solicitante se apresenta em um ponto de registro do QTSP ou junto a um operador de verificação designado, com seus documentos de identidade oficiais.
• A distância via vídeo (remote identity proofing): desde 2021, alguns QTSP oferecem verificação por videoconferência em tempo real com um agente, regulamentada pelas exigências ETSI EN 319 461. A verificação automatizada por IA (eKYC) ainda não é admitida para certificados qualificados na França em meados de 2026, com a ANSSI ainda exigindo sempre intervenção humana.

Os documentos geralmente necessários incluem: documento de identidade válido (carteira de identidade, passaporte), comprovante de vínculo com a entidade profissional (extrato de registro comercial), e às vezes uma carta de missão para signatários agindo em nome de pessoa jurídica.

Etapa 3: geração de chaves e entrega do QSCD

Uma vez a identidade verificada, o QTSP procede à geração do par de chaves criptográficas no ambiente seguro do QSCD. Para um QSCD físico, o suporte é inicializado e depois entregue ou enviado ao titular com um código PIN seguro. Para um QSCD remoto, o titular ativa seu dispositivo via aplicativo móvel do provedor e configura seu mecanismo de autenticação forte.

O certificado qualificado é então associado à chave pública e publicado no diretório do QTSP. Sua validade é geralmente de 1 a 3 anos, conforme a oferta contratada. Uma renovação deve ser antecipada antes do vencimento para manter a continuidade da capacidade de assinatura.

Custo, prazos e renovação: o que se deve antecipar

Grade tarifária indicativa em 2026

Os preços dos certificados qualificados em QSCD variam significativamente conforme o provedor e o tipo de dispositivo:

• QSCD físico (token USB ou cartão): entre EUR 80 e EUR 250 HT para a primeira emissão (incluindo o suporte material), depois EUR 50 a EUR 150 HT para renovação anual.
• QSCD remoto: frequentemente integrado em ofertas de assinatura SaaS a partir de EUR 15 a EUR 40 HT por usuário e por mês, ou em pacotes por ato para volumes baixos.

Esses custos devem ser confrontados com o ganho de tempo e a redução dos riscos jurídicos. O calculador ROI da Certyneo permite estimar precisamente o retorno sobre investimento conforme o volume de documentos assinados.

Prazos de obtenção

O prazo entre o pedido e a disponibilidade efetiva do certificado qualificado é geralmente de 3 a 10 dias úteis para soluções físicas (incluindo envio postal) e de algumas horas a 48 horas para QSCD remotos, condicionado à completude do dossiê KYC. As organizações antecipando picos de atividade (renovações contratuais no final do exercício, chamadas públicas, fechamentos contábeis) devem planejar em conformidade.

Revogação e ciclo de vida do certificado

Um certificado qualificado pode ser revogado antes de seu termo em caso de comprometimento da chave privada, saída do titular ou mudança de informações certificadas. A revogação é publicada na Certificate Revocation List (CRL) ou via protocolo OCSP (Online Certificate Status Protocol) do QTSP. Toda assinatura aposta após a revogação é considerada inválida; aquelas apostas antes conservam seu valor, desde que sejam carimbadas com data e hora. O carimbo de data/hora eletrônico qualificado desempenha aqui um papel crucial para provar a anterioridade de uma assinatura.

Marco legal aplicável ao certificado QSCD

A regulamentação que enquadra os dispositivos qualificados de criação de assinatura é densa e articulada entre vários textos europeus e nacionais.

Regulamento eIDAS nº 910/2014 (UE) — Este texto fundador constitui a pedra angular do dispositivo. O artigo 3(12) define o dispositivo qualificado de criação de assinatura. O artigo 26 estabelece as exigências da assinatura avançada, enquanto o artigo 29 e o Anexo II detalham as exigências técnicas aplicáveis aos QSCD (unicidade dos dados de criação, confidencialidade da chave privada, não-falsificabilidade). O artigo 25(2) confere à assinatura qualificada uma presunção de equivalência com a assinatura manuscrita. O regulamento eIDAS 2.0 (Regulamento 2024/1183, em aplicação progressiva desde 2024) reforça essas exigências e amplia o escopo para carteiras de identidade digital europeias (EUDIW).

Código civil francês, artigos 1366 e 1367 — O artigo 1366 estabelece que o escrito eletrônico tem a mesma força probante que o escrito em papel sob reserva de identificação confiável do autor e integridade do documento. O artigo 1367 precisa que a assinatura eletrônica consiste no uso de um procedimento confiável de identificação garantindo o vínculo com o ato assinado. O decreto nº 2017-1416 de 28 de setembro de 2017 estabelece a presunção de confiabilidade para assinaturas qualificadas em conformidade com eIDAS.

Normas ETSI — As normas ETSI EN 319 132 (formato XAdES para assinatura XML), ETSI EN 319 122 (CAdES), ETSI EN 319 162 (ASiC) e ETSI EN 319 401/411 (exigências para provedores de serviços de confiança e certificados qualificados) constituem o referencial técnico oponível aos provedores. O não-cumprimento dessas normas pode resultar na suspensão da qualificação QTSP pela ANSSI.

RGPD nº 2016/679 — O processo de verificação de identidade (KYC) implica o tratamento de dados biométricos e dados pessoais. O responsável pelo tratamento (QTSP e, eventualmente, a empresa cliente) deve respeitar os princípios de minimização, de finalidade limitada e prever duração de retenção proporcional. Uma AIPD (Análise de Impacto sobre a Proteção de Dados) é recomendada para implantações em larga escala.

Responsabilidade em caso de não-conformidade — O uso de um certificado não qualificado para assinar atos exigindo assinatura qualificada (certos contratos públicos, atos notariais eletrônicos, declarações fiscais desmaterializadas) expõe a organização a uma contestação do valor probante do ato, ou até sua nulidade. O artigo 13 de eIDAS prevê um regime de responsabilidade para os QTSP em caso de não-cumprimento de suas obrigações, mas este regime não dispensa as empresas usuárias de seu dever de diligência na escolha e manutenção de seu dispositivo.

Cenários de uso do certificado QSCD em empresa

Cenário 1: um escritório de advocacia desmaterializando seus atos processuais

Um escritório de advocacia com cerca de quinze colaboradores trata a cada ano várias centenas de atos processuais, mandatos e convenções de honorários. Antes da implantação de uma solução baseada em QSCD remoto, cada documento necessitava impressão, assinatura manuscrita e envio postal ou digitalização. O escritório optou por certificados qualificados remotos integrados a uma plataforma SaaS, permitindo que cada sócio assinasse desde seu terminal ou dispositivo móvel com nível qualificado. Resultado constatado: redução de cerca de 70% do prazo de assinatura de convenções de rescisão amigável (de 4 dias para menos de 24 horas em média), eliminação dos custos de postagem e arquivamento automático dos atos assinados no sistema de gestão de documentos do escritório.

Cenário 2: uma PME industrial gerenciando seus contratos com fornecedores

Uma PME do setor manufatureiro tratando aproximadamente 300 contratos com fornecedores por ano enfrentava riscos jurídicos recorrentes relacionados a assinaturas simples ou digitalizadas, facilmente contestáveis. Após auditoria, constatou-se que diversos contratos envolvendo montantes superiores a EUR 100.000 tinham sido assinados sem procedimento de identificação confiável. A migração para assinaturas qualificadas em QSCD remoto para contratos de alto valor (fornecedores estratégicos, acordos de confidencialidade, ordens-moldura) permitiu securizar o patrimônio contratual. Os prazos de validação dos contratos diminuíram cerca de 60%, com as contrapartes estrangeiras apreciando o reconhecimento transfronteiriço imediato oferecido por eIDAS.

Cenário 3: um agrupamento hospitalar implantando assinatura qualificada para seus contratos públicos

Um agrupamento hospitalar de cerca de 900 leitos deveria cumprir a obrigação, oriunda do decreto nº 2016-360 relativo a contratos públicos, de assinar eletronicamente os atos de engagement acima de certos limiares. O departamento de TI implantou tokens USB certificados QSCD para os diretores habilitados a engajar a instituição. A capacitação dos usuários, integração na plataforma de desmaterialização de contratos públicos e procedimento de renovação anual foram documentados em uma política de assinatura interna (Signature Policy). O ganho operacional estimado é da ordem de 3 a 4 dias por procedimento de contrato público, graças à eliminação de envios com aviso de recebimento e das navetas de parafeurs físicos.

Perguntas frequentes

O que diferencia um QSCD de um HSM convencional?

Um HSM (Hardware Security Module) é um módulo material de segurança genérico utilizado para armazenar e gerenciar chaves criptográficas. Um QSCD é um HSM — ou qualquer outro dispositivo seguro — que foi avaliado e certificado em conformidade com as exigências do Anexo II do regulamento eIDAS por um laboratório acreditado e reconhecido por uma autoridade supervisora nacional. A qualificação QSCD atesta que o dispositivo atende a critérios rigorosos de unicidade de chave, não-exportabilidade e resistência a ataques físicos e lógicos.

Um certificado QSCD obtido na França é válido em toda a União Europeia?

Sim. O artigo 25(2) de eIDAS estabelece um reconhecimento mútuo obrigatório de assinaturas qualificadas entre todos os Estados-membros. Um certificado qualificado emitido por um QTSP francês inscrito na lista de confiança nacional produz os mesmos efeitos jurídicos na Alemanha, Espanha ou Itália que em seu país de emissão. Esse reconhecimento automático é uma das principais vantagens do dispositivo para empresas com atividades contratuais transfronteiriças.

Qual é a duração de validade de um certificado QSCD e pode-se renová-lo a distância?

A duração de validade de um certificado qualificado é geralmente fixada em 1, 2 ou 3 anos conforme a oferta do QTSP. A renovação pode ser realizada a distância para QSCD remotos, desde que a identidade do titular tenha sido verificada presencialmente ou por vídeo na emissão inicial. A maioria dos QTSP envia alertas de vencimento 60 e 30 dias antes da expiração. Ignorar esses alertas expõe a organização a uma interrupção da capacidade de assinatura qualificada.

O certificado QSCD é obrigatório para todos os atos assinados eletronicamente?

Não. O nível de assinatura exigido depende da natureza do ato e do marco regulatório aplicável. A assinatura qualificada em QSCD é obrigatória para certos atos específicos (atos notariais eletrônicos, certos contratos públicos, declarações fiscais desmaterializadas). Para a maioria dos contratos comerciais correntes, uma assinatura avançada é suficiente. Recomenda-se consultar o glossário de assinatura eletrônica ou um assessor jurídico para determinar o nível exigido ato por ato.

Como verificar que uma assinatura repousa efetivamente em um certificado QSCD válido?

A verificação é realizada consultando os metadados do documento assinado por meio de uma ferramenta de validação em conformidade com especificações ETSI, como o serviço DSS (Digital Signature Service) da Comissão Europeia, acessível gratuitamente. Esta ferramenta verifica a cadeia de confiança do certificado, seu status (não revogado), sua conformidade com o perfil qualificado e a presença de um carimbo de data/hora qualificado. Certas plataformas SaaS como Certyneo integram este relatório de validação diretamente na interface de gestão de documentos.

Conclusão

O certificado QSCD é muito mais que uma formalidade técnica: é o fundamento jurídico e criptográfico da assinatura eletrônica qualificada, o único nível oferecendo uma presunção legal de equivalência à assinatura manuscrita em toda a União Europeia. Na França, sua obtenção passa por um QTSP acreditado pela ANSSI, um processo de verificação de identidade rigoroso e uma escolha fundamentada entre QSCD físico e QSCD remoto — sendo este último a norma para organizações buscando agilidade e escalabilidade.

Certyneo integra nativamente QSCD remotos certificados em sua plataforma SaaS, permitindo que suas equipes assinem com nível qualificado sem qualquer suporte físico a gerenciar. Quer você comece do zero ou migre de outra solução, nossos especialistas o acompanham a cada etapa. Descubra os preços da Certyneo ou entre em contato com nossa equipe para uma auditoria de suas necessidades de assinatura qualificada.