QES, AES e SES: compreender os três níveis de assinatura eIDAS em 2026

O regulamento eIDAS (n.º 910/2014) constitui a pedra angular do direito europeu da assinatura eletrónica. Desde a sua entrada em vigor, estrutura três níveis de assinatura — SES, AES e QES — cujos requisitos técnicos e valor probatório diferem radicalmente. Em 2026, com a entrada em vigor progressiva do regulamento eIDAS 2.0 (regulamento UE 2024/1183), estas distinções ganham importância para qualquer organização que deseje desmaterializar os seus atos jurídicos em total conformidade. Este artigo decifra as diferenças fundamentais entre estes três níveis, as obrigações que implicam e os critérios a considerar para escolher o formato adequado de acordo com a natureza dos seus documentos.

SES: a assinatura eletrónica simples, flexível mas limitada

Definição e características técnicas

A assinatura eletrónica simples (SES, ou Simple Electronic Signature) é definida no artigo 3(10) do regulamento eIDAS como «dados sob forma eletrónica anexados ou associados logicamente a outros dados sob forma eletrónica, e que o signatário utiliza para assinar». Esta definição é deliberadamente ampla: um simples clique em «Aceito», uma assinatura desenhada com o dedo num tablet ou uma caixa assinalada num formulário online entram nesta categoria.

A SES não exige qualquer verificação prévia da identidade do signatário, nem qualquer certificado criptográfico. A sua robustez repousa unicamente no contexto contratual e nas provas periféricas (endereço IP, marca temporal do servidor, email de confirmação). O glossário da assinatura eletrónica enumera o conjunto de termos técnicos associados a estes mecanismos.

Valor jurídico e casos de aceitação

A SES beneficia do princípio de não-discriminação estabelecido no artigo 25(1) eIDAS: não pode ser rejeitada como prova apenas porque é eletrónica. No entanto, não implica qualquer presunção de fiabilidade. Em caso de contestação, o ónus da prova recai inteiramente sobre a parte que a invoca. O valor jurídico da assinatura eletrónica depende portanto muito do nível escolhido.

A SES é adequada para atos de baixo risco: aceitação de termos de serviço, formulários internos, encomendas online de baixo valor ou inquéritos de satisfação. É inadequada para qualquer documento passível de ser contestado em tribunal.

AES: a assinatura avançada, o equilíbrio entre segurança e praticidade

Os quatro critérios cumulativos do artigo 26 eIDAS

A assinatura eletrónica avançada (AES, Advanced Electronic Signature) é definida no artigo 3(11) eIDAS e deve satisfazer quatro condições enumeradas no artigo 26:

1. Estar ligada ao signatário de forma unívoca: um identificador único liga a assinatura a uma pessoa singular determinada.
2. Permitir identificar o signatário: é realizada uma verificação de identidade (email, número de telefone, documento de identificação conforme o prestador).
3. Ter sido criada a partir de dados que o signatário pode utilizar com um nível elevado de confiança sob o seu controlo exclusivo: tipicamente um código OTP enviado para o seu telemóvel ou um certificado de software.
4. Estar ligada aos dados assinados de tal forma que qualquer modificação subsequente seja detetável: a assinatura repousa num resumo criptográfico do documento.

Tecnologias utilizadas e níveis de garantia

Na prática, a AES é implementada através de certificados digitais de nível substancial (no sentido do regulamento eIDAS), mecanismos de autenticação multifator ou soluções de identidade documental (análise de documento de identificação, comparação biométrica). Os prestadores de serviços de confiança qualificados, como a Certyneo, propõem percursos de assinatura AES integrando a verificação de identidade remota, conformes aos referenciais ANSSI e às normas ETSI EN 319 401.

A AES oferece um excelente compromisso entre segurança e fluidez de experiência do utilizador. É recomendada para contratos comerciais correntes, atos de recursos humanos, convenções de parceria ou contratos de prestação de serviços. Consulte o nosso guia completo sobre assinatura eletrónica em empresa para aprofundar as utilizações em contexto profissional.

Limitações da AES face a certos atos

A AES permanece insuficiente para atos autênticos ou aqueles para os quais a lei exige explicitamente assinatura qualificada. Em França, o artigo 1367 do Código Civil reserva a presunção de fiabilidade máxima unicamente para assinaturas qualificadas no sentido eIDAS. A AES pode ser rejeitada por um tribunal se a parte adversária demonstrar uma insuficiência no processo de verificação de identidade.

QES: a assinatura qualificada, equivalente legal da assinatura manuscrita

Definição regulatória e requisitos técnicos

A assinatura eletrónica qualificada (QES, Qualified Electronic Signature) é definida no artigo 3(12) eIDAS como uma assinatura avançada criada por um dispositivo qualificado de criação de assinatura (QSCD) e baseada num certificado qualificado de assinatura eletrónica. Estes dois componentes são indissociáveis.

O certificado qualificado é emitido por um prestador de serviços de confiança qualificado (QTSP) inscrito na lista de confiança nacional (Trusted List) publicada por cada Estado-membro. Em França, esta lista é administrada pela ANSSI. O QTSP deve ter sido auditado e acreditado de acordo com os requisitos do Anexo I do regulamento eIDAS e as normas ETSI EN 319 411-2.

O QSCD (dispositivo qualificado de criação de assinatura) é um suporte material ou de software seguro — tipicamente um cartão inteligente, um token USB criptográfico ou um HSM (Hardware Security Module) remoto — garantindo que a chave privada do signatário não pode ser extraída ou copiada. Os requisitos dos QSCD são especificados no Anexo II do regulamento eIDAS.

A presunção legal irrefutável do artigo 25(2)

O artigo 25(2) do regulamento eIDAS confere à QES um efeito jurídico equivalente à assinatura manuscrita em todos os Estados-membros da União Europeia. Esta presunção é automática: ao contrário da AES, a parte que apresenta uma QES não precisa de demonstrar a fiabilidade do processo. Cabe ao adversário reverter esta presunção, o que é na prática muito difícil desde que o QTSP e o QSCD sejam devidamente qualificados.

Em França, o artigo 1367 alínea 2 do Código Civil transpõe este requisito no direito interno: a fiabilidade do processo de assinatura eletrónica é presumida até prova em contrário quando é utilizada assinatura eletrónica qualificada eIDAS. Esta presunção abrange igualmente a integridade do documento assinado.

Processo de obtenção de um certificado qualificado

A obtenção de um certificado qualificado exige uma verificação de identidade face a face ou por equivalente remoto com o mesmo nível de garantia (por exemplo, uma identificação por vídeo conforme a norma EN ISO/IEC 18013 ou às especificações do regulamento de execução 2015/1502). O processo implica:

• A recolha de documentos de identificação oficiais
• A verificação da sua autenticidade (deteção de falsificação)
• O registo biométrico do signatário
• A emissão do certificado pelo QTSP após validação

Este nível de requisito explica que a QES é reservada aos atos de risco elevado: atos sob assinatura privada de elevado enjeu financeiro, documentos notariais eletrónicos, contratos públicos, atos médicos sensíveis ou ainda em domínios nos quais a regulação setorial o impõe explicitamente. Para comparar as soluções disponíveis no mercado, o nosso comparativo de soluções de assinatura eletrónica o guiará na sua escolha.

Tabela comparativa e critérios de escolha em 2026

Recapitulativos das diferenças estruturantes

Três eixos permitem distinguir rapidamente os três níveis:

Verificação de identidade: nula para a SES, documental ou OTP para a AES, face a face ou equivalente para a QES. Suporte criptográfico: inexistente para a SES, certificado de software para a AES, QSCD certificado para a QES. Presunção jurídica: ausente para a SES, parcial para a AES, total e automática para a QES.

Em termos de fricção do utilizador, a equação é inversa: a SES é quase transparente, a AES requer alguns minutos de verificação, a QES pressupõe uma etapa de inscrição prévia que pode levar de alguns minutos (identificação por vídeo) a alguns dias.

Impacto do eIDAS 2.0 nessas distinções em 2026

O regulamento eIDAS 2.0 (UE 2024/1183), cujos atos de execução estão sendo progressivamente publicados desde 2024, reforça vários pontos-chave. Introduz a Carteira Europeia de Identidade Digital (EUDI Wallet), que permitirá aos cidadãos europeus armazenar o seu certificado qualificado diretamente no seu smartphone, reduzindo consideravelmente a fricção associada à QES. Clarifica igualmente os requisitos aplicáveis aos QTSP e reforça a governação das listas de confiança nacionais.

Além disso, eIDAS 2.0 estende o perímetro do reconhecimento mútuo de assinaturas qualificadas entre Estados-membros, o que é particularmente estruturante para empresas que operam em vários países da União. O guia completo do regulamento eIDAS 2.0 detalha o conjunto destas evoluções regulatórias. Por fim, a questão da marca temporal eletrónica qualificada — complementar à QES para conservar o valor probatório dos documentos ao longo do tempo — merece igualmente atenção na conceção da sua arquitetura documental.

Enquadramento legal aplicável às assinaturas SES, AES e QES

A hierarquia das assinaturas eletrónicas repousa num corpus regulatório denso, articulando direito europeu e direito interno francês.

Regulamento eIDAS n.º 910/2014: este texto fundador define nos artigos 3(10), 3(11) e 3(12) os três níveis de assinatura. O artigo 25 estabelece o princípio de não-discriminação (§1) e a presunção de equivalência manuscrita para a QES (§2). O artigo 26 enumera as quatro condições cumulativas da assinatura avançada. Os anexos I e II especificam respetivamente os requisitos aplicáveis aos certificados qualificados e aos dispositivos qualificados de criação de assinatura (QSCD).

Regulamento eIDAS 2.0 — UE 2024/1183: entrou em vigor em 20 de maio de 2024, altera substancialmente o regulamento de 2014, nomeadamente pela introdução da Carteira Europeia de Identidade Digital (EUDI Wallet), extensão dos serviços de confiança qualificados e reforço da governação dos QTSP. Os atos de execução continuam a ser publicados em 2026.

Código Civil francês, artigos 1366 e 1367: o artigo 1366 reconhece o escrito eletrónico como prova da mesma forma que o escrito em papel, sob reserva de que a pessoa de quem provém possa ser devidamente identificada e que tenha sido estabelecido e conservado em condições de natureza a garantir a sua integridade. O artigo 1367 alínea 2 estabelece a presunção de fiabilidade para a assinatura qualificada eIDAS, em transposição direta do artigo 25(2) do regulamento.

Decreto n.º 2017-1416 de 28 de setembro de 2017: especifica no direito francês as condições permitindo beneficiar da presunção de fiabilidade, remetendo explicitamente para os requisitos do regulamento eIDAS para assinaturas qualificadas.

Normas ETSI: as normas ETSI EN 319 102-1 (procedimentos de criação e validação de assinatura), ETSI EN 319 132 (formato XAdES), ETSI EN 319 122 (formato CAdES) e ETSI EN 319 142 (formato PAdES) enquadram tecnicamente a criação de assinaturas eletrónicas conformes. Os prestadores qualificados devem implementar estes formatos para garantir a interoperabilidade europeia.

RGPD — Regulamento UE 2016/679: a recolha de dados biométricos no âmbito da verificação de identidade para a emissão de certificados qualificados constitui um tratamento de dados sensíveis no sentido do artigo 9. O QTSP deve dispor de uma base legal explícita, informar as pessoas e implementar as garantias técnicas apropriadas. Uma análise de impacto (AIPD) é geralmente requerida.

Diretiva NIS2 — UE 2022/2555: aplicável aos operadores de serviços essenciais e aos prestadores de serviços digitais, impõe requisitos reforçados de cibersegurança que se aplicam indiretamente aos QTSP que operam infraestruturas críticas de assinatura eletrónica.

As organizações que implementam soluções de assinatura eletrónica sem respeitar o nível exigido pela natureza jurídica do ato expõem-se à nulidade ou à ineficácia dos documentos assinados, bem como a riscos de litígio que podem resultar em prejuízos financeiros significativos.

Cenários de utilização: escolher o nível certo de acordo com o contexto

Caso 1 — PME industrial gerindo centenas de encomendas a fornecedores

Uma PME industrial que trata aproximadamente 400 bons de encomenda e contratos de fornecedores por ano implementou assinatura AES para o conjunto dos seus documentos comerciais correntes. O percurso de assinatura baseia-se numa verificação por ligação de email segura e código OTP SMS, com geração de um relatório de auditoria marcado temporalmente para cada ato. O tempo médio de assinatura passou de 4,5 dias (correio registado) para menos de 3 horas. A taxa de contestação contratual manteve-se nula durante 18 meses de exploração, oferecendo a pista de auditoria prova suficiente em caso de diferendo comercial. A redução dos custos de impressão, franquia e gestão documental atinge aproximadamente 60% de acordo com as estimativas internas, coerentes com os intervalos publicados por estudos setoriais europeus (Billentis Report, 2025).

Caso 2 — Gabinete de advogados especializado em direito empresarial

Um gabinete de advogados empresariais de aproximadamente quinze colaboradores implementou uma infraestrutura a dois níveis: assinatura AES para as comunicações internas, mandatos de representação e convenções de honorários; assinatura QES para atos sob assinatura privada de elevado enjeu (cessões de participações sociais, protocolos de acordo, garantias financeiras). A obtenção dos certificados qualificados para os sócios foi realizada através de uma sessão de identificação por vídeo conforme eIDAS, sem deslocação física, em menos de 20 minutos por pessoa. A presunção legal associada à QES permite ao gabinete apresentar os seus atos perante qualquer jurisdição europeia sem necessidade de demonstrar a fiabilidade do processo, reduzindo significativamente o risco processual.

Caso 3 — Agrupamento hospitalar desmaterializando os seus atos RH e médicos

Um agrupamento hospitalar de aproximadamente 1 200 camas optou por uma abordagem diferenciada de acordo com a natureza dos documentos. Os contratos de trabalho, aditamentos e fichas de postos são assinados em AES, permitindo aos 800 agentes envolvidos assinar a partir do seu smartphone sem infraestrutura pesada. Para as convenções médicas específicas e documentos exigindo autenticação forte imposta pela regulação sanitária (HDS), a QES é implementada para os médicos signatários designados. Este modelo híbrido reduz em 75% o tempo de constituição dos dossiês RH durante as recrutamentos, um ganho particularmente crítico em período de tensão nos recursos médicos. Garante adicionalmente a conformidade com as obrigações da CNIL relativas aos tratamentos de dados de saúde.

Perguntas frequentes

Qual é a diferença principal entre QES e AES no eIDAS?

A diferença fundamental reside em dois elementos: o certificado e o dispositivo de assinatura. A QES repousa obrigatoriamente num certificado qualificado emitido por um prestador acreditado (QTSP) e num dispositivo qualificado de criação de assinatura (QSCD) materialmente seguro. A AES pode utilizar um certificado de software e uma verificação de identidade menos rigorosa. Consequência direta: a QES beneficia de uma presunção legal de equivalência à assinatura manuscrita em toda a União Europeia, o que a AES não garante automaticamente.

Em que casos é obrigatório utilizar uma assinatura QES?

Nenhum texto europeu impõe a QES de forma geral, mas várias regulações setoriais ou nacionais exigem-na implícita ou explicitamente. É o caso de certos atos autênticos eletrónicos, contratos públicos específicos, atos notariais desmaterializados ou ainda em setores regulados como banca (DSP2, KYC reforçado) ou saúde. A regra geral é a seguinte: quanto maior é o enjeu jurídico ou financeiro do ato, mais recomendado é o recurso à QES para afastar qualquer risco de contestação.

A assinatura SES tem valor jurídico em França em 2026?

Sim, a assinatura SES é juridicamente admissível em França em virtude do princípio de não-discriminação estabelecido no artigo 25(1) do regulamento eIDAS e no artigo 1366 do Código Civil. Não pode ser rejeitada como prova apenas porque é eletrónica. No entanto, não beneficia de qualquer presunção de fiabilidade: em caso de contestação, a parte que a invoca deve demonstrar a sua robustez por outros meios (registos, endereço IP, pista de auditoria). A sua utilização deve portanto ser reservada aos atos de baixo risco.

Um certificado qualificado obtido em França é reconhecido em toda a União Europeia?

Sim. O artigo 25(2) do regulamento eIDAS e o mecanismo de reconhecimento mútuo das listas de confiança nacionais (Trusted Lists) garantem que um certificado qualificado emitido por um QTSP acreditado em França é reconhecido em todos os Estados-membros da União Europeia com o mesmo efeito jurídico. eIDAS 2.0 (UE 2024/1183) reforça ainda mais este princípio ao estender o reconhecimento aos novos serviços de confiança qualificados introduzidos pelo regulamento revisto.

Como verificar que um prestador de assinatura é bem qualificado eIDAS?

Cada Estado-membro publica e mantém uma lista oficial de confiança (Trusted List) enumerando todos os prestadores de serviços de confiança qualificados (QTSP) acreditados no seu território. Em França, esta lista é publicada e atualizada pela ANSSI no seu site oficial. A Comissão Europeia agrega o conjunto das listas nacionais no portal EU Trusted List Browser (tlbrowser.tsl.europa.eu). Verifique que um prestador aí figura antes de lhe confiar a emissão de certificados qualificados ou a criação de assinaturas QES.

Conclusão

Os três níveis de assinatura eletrónica definidos pelo regulamento eIDAS — SES, AES e QES — respondem a necessidades jurídicas e operacionais fundamentalmente diferentes. A SES é apropriada para atos de baixo enjeu, a AES cobre a maioria dos contratos profissionais correntes com um excelente equilíbrio entre segurança e fluidez, enquanto a QES impõe-se para atos de elevado valor jurídico graças à sua presunção legal de equivalência manuscrita em toda a União Europeia. Em 2026, com a entrada em vigor progressiva do eIDAS 2.0, dominar estas distinções é mais do que nunca estratégico para qualquer organização desmaterializando os seus processos documentários.

A Certyneo permite-lhe implementar os três níveis de assinatura de acordo com as suas necessidades reais, com uma interface unificada conforme aos requisitos eIDAS e ANSSI. Descubra as nossas ofertas ou estime os seus ganhos desde já através do nosso calculador ROI assinatura eletrónica, ou contacte a nossa equipa para uma auditoria personalizada dos seus fluxos documentários.