# Márcio Nunes (V/CERT + ANCD) no 7º Encontr[AR]: V12, Selo Eletrônico, AR Eletrônica e pós-quântica

**Categoria:** Painel 01

**Meta:** Por Leandro Albertini | 13 mai 2026 | Atualizado em 13 mai 2026 | 20 min de leitura

![Márcio Nunes (V/CERT + ANCD) no 7º Encontr[AR]: V12, Selo Eletrônico, AR Eletrônica e pós-quântica](https://seloeletronico.com.br/assets/img/og/marcio-nunes-v12-automacao-fim-jornadas-fragmentadas-ancd-vcert-16x9.webp)

## Resumo

> Márcio Nunes — Diretor da V/CERT e Diretor-Presidente da ANCD, com mais de 25 anos no setor — abriu o Painel 01 do 7º Encontr[AR] da AARB (13/05/2026, 11h30) sob o tema "Certificação Digital em transformação: V12, automação e o fim das jornadas fragmentadas". O subtítulo oficial no slide de capa foi <strong>"A Evolução da Confiança — Consolidação Normativa, AR Eletrônica e a Era Pós-Quântica (2024-2026)"</strong>. Pontos críticos: o cronograma V5→V12 já começou (corte de A3 de 3 anos foi <strong>01/03/2026</strong>; expiração em mar/2029); <strong>o Selo Eletrônico ainda não virou emissão</strong> porque depende da Receita Federal definir a validade fiscal; o e-CNPJ A1 atual tem uma <strong>falha de segurança no gov.br</strong> que o Selo Eletrônico resolve por design; a IN 36 estabeleceu <strong>5 modalidades formais de emissão</strong> (Art. 2º); a AR Eletrônica opera com 5 pilares técnicos (Cap. V); a videoconferência ganhou um "Escudo Anti-IA" que bloqueia OBS Studio, ManyCam e drivers de câmera virtual; e a IN 35/2026 (PQC) trouxe ML-DSA e ML-KEM como os algoritmos da era pós-quântica.

Existe uma piada interna entre quem opera certificação digital há muito tempo: "regulamentação vem antes da realidade". Quando o palco do CREA-SP recebeu Márcio Nunes ao meio-dia menos meia desta terça-feira de 13 de maio de 2026, a piada virou pauta. O regulamento veio em forma de IN ITI nº 36/2026 e nº 37/2026 (publicadas no DOU em 04/05/2026); o cronograma da Cadeia V12 já opera; o Selo Eletrônico tem template pronto; a era pós-quântica está oficialmente nomeada pela IN ITI 35/2026 — mas a "realidade" do mercado ainda precisa atravessar a ponte entre lei e operação. É sobre essa ponte que Márcio Nunes falou.

O Painel 01 do 7º Encontr[AR] foi conduzido por uma das figuras mais antigas do setor brasileiro de certificação digital. Márcio Nunes acumula há mais de duas décadas a posição de Diretor da V/CERT — uma das Autoridades Certificadoras mais tradicionais da cadeia V5 — e desde 2024 lidera também a ANCD. Foi essa dupla camada — AC tradicional + associação nacional — que organizou a perspectiva da palestra: técnico-operacional, mas com tom de quem fala em nome do mercado consolidado.

## Quem é Márcio Nunes e por que sua leitura importa

A apresentação do palestrante na mesa trouxe a biografia oficial: Márcio Nunes é Diretor da V/CERT e Diretor-Presidente da ANCD, com mais de 25 anos no setor. Pioneiro da certificação digital no Brasil, atuou em iniciativas anteriores à própria ICP-Brasil. Tem experiência em segurança da informação, PKI, biometria e identidade digital, e hoje atua na evolução da confiança digital "conectando inovação e infraestruturas como a cadeia V12 ao mercado".

Esse tipo de carreira dá ao palestrante uma autoridade rara: ele fala da V12 não como teoria regulatória, mas como quem terá que reescrever os fluxos da própria AC nos próximos 36 meses. O bloco de citações que abre o artigo não vem de um regulador ou consultor — vem de quem opera certificado todo dia. Outra particularidade: o próprio Márcio apresentou "Márcia, a minha agente de IA — o IA no final, vocês entendem por que é Márcia" como co-autora dos slides da palestra. É provavelmente a primeira palestra ICP-Brasil em história oficial em que um agente generativo de IA é creditado abertamente na produção do material.

## A Evolução da Confiança: tese central da palestra

O slide de capa estabeleceu a tese: "A Evolução da Confiança — Consolidação Normativa, AR Eletrônica e a Era Pós-Quântica (2024-2026)". A primeira frase da palestra deu o tom estratégico:

> “A maior superfície de ataque hoje, cibernético, é sobre as identidades.” *— Márcio Nunes, Diretor da V/CERT e Diretor-Presidente da ANCD, Painel 01 do 7º Encontr[AR], 13/05/2026.*

O argumento foi desenvolvido em três eixos: **(1)** a consolidação normativa promovida pelo ITI em 2024-2026 (com as INs 35, 36 e 37/2026 reescrevendo arquitetura regulatória); **(2)** a chegada da AR Eletrônica como modalidade auto-assistida; e **(3)** a entrada formal do Brasil na era da criptografia pós-quântica. Márcio Nunes interpretou esses três movimentos como respostas coordenadas a uma mesma ameaça: identidade digital sob ataque por IA generativa, deepfakes, computação quântica futura e fragmentação operacional do mercado.

## Os 3 pilares do diagnóstico do cenário

Antes de entrar nas soluções, Márcio Nunes apresentou o diagnóstico do "ponto de inflexão" da certificação digital brasileira. Os três pilares do problema:

1. **Fragmentação Normativa** — regras dispersas em múltiplas INs (16/2020, 05/2021, 09/2020, 23/2022) deixavam "liberdade poética" para interpretação das ARs e ACs, gerando assimetria operacional entre concorrentes.
2. **Barreiras Operacionais** — inviabilidade da AR Eletrônica sem acesso unificado a bases de dados, sem padrões técnicos comuns, sem fluxos automatizados.
3. **Ameaças Tecnológicas** — deepfakes, clonagem de voz (10 segundos já bastam, segundo Márcio), injeção biométrica via OBS Studio e ManyCam, e o futuro quântico.

O Painel 01 foi, na prática, uma narrativa estruturada em torno de como o ITI, ANCD e o mercado estão respondendo a esses três problemas em paralelo.

## O Selo Eletrônico segundo Márcio Nunes: sela mas não assina

Para este site, este é o bloco mais importante da palestra inteira. Márcio Nunes — uma das vozes mais autorizadas do setor — confirmou tecnicamente o que o Selo Eletrônico vem defendendo desde sua fundação:

> “O selo eletrônico é um elemento importante. (...) Sai da situação de identificação do representante junto à Receita Federal e passamos a identificar o certificado tal selo eletrônico como um certificado que (...) autentica, identifica uma empresa, **mas ele não serve para executar a assinatura na manifestação da vontade do indivíduo ou do representante da empresa**. Do ponto de vista técnico, é uma assinatura criptográfica. É um processo criptográfico, mas ele tem um valor e uma precedência e um entendimento diferentes.” *— Márcio Nunes, Painel 01 do 7º Encontr[AR], 13/05/2026.*

Três pontos críticos derivam dessa fala:

**Primeiro**: o Selo Eletrônico *não assina com validade jurídica*. Ele sela, atesta, autentica origem corporativa — mas não manifesta vontade. Quem manifesta vontade continua sendo o e-CPF do representante legal. Isso confirma a regra editorial do Selo Eletrônico (veja [o que é Selo Eletrônico](/blog/selo-eletronico/o-que-e-selo-eletronico/)).

**Segundo**: o Selo Eletrônico *ainda não virou emissão*. Em outro trecho, Márcio Nunes foi explícito:

> “A gente vai falar do selo eletrônico, mas o selo eletrônico ainda não virou uma emissão. Tem um aspecto importante. Qual é a principal aplicabilidade do selo eletrônico? **Enquanto a Secretaria de Fazenda, Receita Federal, não definirem e não estabelecerem a validade desse tipo de certificado**, ele muda algumas informações — ele é continuamente operável. Mas mudou. No mínimo, você já não tem mais a identificação do CPF da antiga receita dentro do certificado. Muda a estrutura, o template do certificado.” *— Márcio Nunes.*

A pendente, portanto, não é técnica nem regulatória do ITI — é fiscal. A Receita Federal e a SEFAZ precisam reconhecer formalmente a validade jurídico-fiscal do template do Selo Eletrônico antes que a emissão entre em produção em massa.

**Terceiro**: Márcio Nunes apresentou uma *falha de segurança* do modelo atual (e-CNPJ A1) que o Selo Eletrônico resolve por design. Vale ler com atenção:

> “Veja o que acontece hoje (...). Por exemplo, [no] e-CNPJ A1 que consta lá dentro o CPF do representante legal: **se eu entrar para me autenticar no gov.br com [o] e-CNPJ que tem o A1, o que acontece? Eu vou entrar na conta individual do CPF que está vinculado àquele gov.br.** Isso não é saudável e não é confiável. Imagina uma empresa que tem 10 [e-CNPJs] emitidos A1, todos apontando o representante legal, e 10 áreas diferentes com a senha de um certificado digital que dá acesso, via Gov.br, aos dados daquele indivíduo.” *— Márcio Nunes.*

A leitura é brutal: hoje, em empresas com múltiplos e-CNPJs A1 espalhados por diferentes áreas funcionais, qualquer dessas áreas tem credencial válida para acessar a conta gov.br individual do CPF do representante legal. O Selo Eletrônico, ao remover o CPF do template criptográfico, fecha esse vetor. É uma das justificativas técnicas mais fortes para a transição V12 que circulou em público até hoje.

## O cronograma V5→V12: o relógio já começou

Márcio Nunes dedicou um bloco inteiro a desenhar o cronograma operacional da transição V5→V12, com datas que muita gente do mercado ainda não internalizou:

- **Outubro/2024** — início da Cadeia V12 (raiz ativada)
- **Dezembro/2024** — AC PR (Autoridade Certificadora da Presidência da República) credenciada
- **1º de março de 2026** — **data de corte**: a partir desse dia, não se pode mais emitir certificado A3 com 3 anos completos na V5
- **Daí em diante** — "todos os certificados A3 e A1 passam a ter no limite dos 3 anos menos um dia todo dia" (validade máxima decresce 1 dia a cada dia transcorrido)
- **Março de 2029** — expiração da Cadeia V5

A mecânica de "validade decrescente" merece registro especial: hoje, 13 de maio de 2026, já estamos há 73 dias do corte. Um certificado V5 emitido hoje já não pode mais ultrapassar mar/2029 — ou seja, validade máxima de aproximadamente 2 anos e 10 meses, não mais 3 anos cheios. E essa janela continua encolhendo.

> “Se nós estamos hoje no dia 3 de maio, eu já tenho 3 de maio menos 1º de março — é a data máxima, a validade máxima que eu consigo dar com [um] certificado digital dentro da V5. (...) **A V5 já existe há muitos anos e já é reconhecida pela ampla maioria das aplicações. Então você não tem problema. Tem uma relação de confiança estabelecida. A V12 não é assim. Então a gente precisa motivar a emissão da V12.**” *— Márcio Nunes.*

O ponto técnico crítico: a Cadeia V12 precisa estar propagada nos sistemas-cliente (relying parties) para que os certificados sejam reconhecidos. Sistemas que ainda não instalaram a raiz V12 vão invalidar as assinaturas e a autenticidade dos certificados emitidos nela. **O risco de interoperabilidade**, segundo Márcio, é o maior gargalo da transição. Exige trabalho coletivo do ecossistema — não só ACs e ARs, mas todos os sistemas que consomem certificado.

## Pilar 1: Consolidação normativa — a "limpeza da casa"

O slide "Pilar 1: Consolidação Normativa" trouxe o "antes e depois" da arquitetura regulatória. Antes: pilha desorganizada de INs (IN 16/2020, IN 05/2021, IN 09/2020) representando "dispersão, redundância e lentidão regulatória". Depois: estrutura centralizada com DOC-ICP-05 (diretrizes padrão RFC 3647 aprovadas pelo CG) + Instruções Normativas da AC Raiz (procedimentos detalhados com agilidade de atualização).

A nova arquitetura tem dois módulos específicos:

- **Módulo de Processos (IN 36)** — métodos de confirmação de identidade, desbloqueio da AR Eletrônica, regras rígidas para videoconferência, operacionalização de Listas Negativas
- **Módulo Técnico (IN 37)** — padrões técnicos de coleta, qualidade de imagem (NFIQ 2.0), deduplicação contínua no PSBio, limites rígidos de FAR e TAR

Márcio elogiou explicitamente o trabalho do ITI: "é um trabalho importante feito pelo ITI". A unificação reduz o que ele chamou de "liberdade poética" da interpretação regulatória, fechando o espaço para que diferentes operadores adotem padrões divergentes para a mesma regra. Resultado: **simetria operacional** — condição para concorrência leal no mercado. Análise completa da IN 36 em [IN ITI 36/2026: análise completa](/blog/ar-eletronica/in-iti-36-2026-regulamento-oficial-ar-eletronica-match-biometrico-icp-brasil/).

## As 5 modalidades formais de emissão (IN 36, Art. 2º)

O slide "Matriz de Modalidades de Emissão" consolidou de forma didática os cinco métodos formalmente reconhecidos pela IN 36, com diferentes graus de intervenção humana e diferentes públicos-alvo:

1. **Presencial** — AGR local, biometria face e digital, batimento 1:N, "padrão ouro tradicional"
2. **Videoconferência** — AGR remoto, biometria face 1:1, liveness, defesa anti-deepfake
3. **Certificado Prévio** — ZERO intervenção humana, baseada em certificado A3+ ativo, "renovação contínua e ágil"
4. **Módulo Eletrônico de AR** — sistêmico, batimento 1:1 em base do próprio órgão, público-alvo: servidores públicos, bancos, juntas comerciais
5. **AR Eletrônica** — **ZERO intervenção humana**, liveness + hardware binding + match 1:1 direto em Base Oficial Nacional, foco em "massificação 100% self-service via App"

A diferenciação crítica: **Módulo Eletrônico de AR** faz batimento 1:1 contra a base do próprio órgão emissor (Banco, Detran, Junta Comercial), enquanto **AR Eletrônica** faz batimento 1:1 direto em Base Oficial Nacional (CIN, ICN/TSE, CNH/Senatran, IPD). São modalidades distintas, com públicos distintos.

## Os 5 pilares técnicos da AR Eletrônica (Capítulo V)

O slide "A Revolução da AR Eletrônica" detalhou os cinco pilares técnicos do Capítulo V da IN 36/2026:

1. **Ambiente Seguro** — ambiente autenticado, com sensores e fatores de proteção no dispositivo
2. **Hardware Binding** — vinculação criptográfica do certificado ao dispositivo, atestado por Hardware ID, "reforçando a segurança operacional"
3. **Prova de Vida (Liveness)** — detecção de presença real com mecanismos de defesa contra fraude e deepfakes
4. **Match Biométrico Direto** — batimento biométrico direto em base oficial, com validações automáticas da AR
5. **Custódia em PSC** — chave privada custodiada exclusivamente em Prestador de Serviço de Confiança, "para proteção das chaves, conformidade e continuidade operacional"

Márcio Nunes destacou um ponto técnico importante na fala: a AR Eletrônica emite certificado **tipo A3 em nuvem** (custodiado em PSC), não tipo A1 (arquivo). Isso classifica tecnicamente a modalidade como A3, não software. Validação adicional: a AR Eletrônica está restrita a Pessoa Física, com vedacao explícita para PEPs, Judiciário e Ministério Público (Art. 56). Para esses públicos, o slide "Pessoas Expostas Politicamente (PEP)" reproduzido por Márcio listou: verificação obrigatória de enquadramento, segunda conferência por AGR distinto (duo diligence), batimento biométrico e impressão digital no PSBio, coleta documental obrigatória mesmo com biometria positiva, e procedimentos adicionais conforme avaliação de risco da AC.

## O Motor Biométrico Integrado (Art. 5º, IN 36)

O slide "O Motor Biométrico Integrado" trouxe a imagem mais didática de como a IN 36/2026 desenha a arquitetura biométrica nacional. No centro do diagrama: **Sistema Biométrico ICP-Brasil (PSBio)**. Em torno, seis peças orbitais conectadas:

- **CIN** — Carteira Nacional de Identidade
- **ICN/TSE** — Identificação Civil Nacional, mantida pelo TSE
- **IPD** — Infraestrutura Pública Digital de Identificação
- **Motor primário** — batimento biométrico e biográfico
- **Senatran** — CNH via Datavalid
- **Passaporte Eletrônico Brasileiro** — leitura via chip/NFC

O slide reposiciona uma confusão terminológica do mercado: o PSBio é o **hub central integrador**, não uma Base Oficial Nacional. As Bases Oficiais Nacionais são quatro (CIN, ICN/TSE, CNH/Senatran, IPD); o passaporte é rota alternativa (Art. 58 §3º); e o PSBio é a infraestrutura interna que conecta tudo. Detalhamento completo em [DataValid não é base biométrica](/blog/ar-eletronica/datavalid-nao-e-base-biometrica-mapa-oficial-fontes-ar-eletronica/).

## Padrões de Alta Precisão Biométrica (IN 37)

O slide "Padrões de Alta Precisão Biométrica" trouxe os três medidores quantitativos que entram em vigor com a IN ITI 37/2026:

- **Qualidade de Captura**: Score **NFIQ 2.0 ≥ 70** — "medição internacional da quantidade e qualidade de minúcias da impressão digital logo após compressão WSQ"
- **Deduplicação (1 dedo)**: **FAR 0,01% / TAR 99,0%** — taxas mínimas aceitáveis para indexação semestral de um único dedo
- **Deduplicação (2 dedos)**: **FAR 0,01% / TAR 99,4%** — precisão ainda maior para a varredura, higienização contínua e deduplicação da base

O ponto operacional crítico citado por Márcio: a IN 37 estabelece deduplicação semestral obrigatória dos PSBios — cada PSBio precisa varrer toda sua base a cada 6 meses para detectar registros duplicados. O desafio técnico foi descrito por ele como "fazer isso com um avião em voo" — ou seja, sem interromper a operação em tempo real.

## Defesa Profunda em Videoconferência: o Escudo Anti-IA

O slide "Defesa Profunda em Videoconferência: O Escudo Anti-IA" foi o mais técnico da palestra. Mostrou cinco pilares de defesa para combater fraude por IA em sessões de videoconferência, com nomes específicos de softwares que devem ser bloqueados:

1. **Liveness Detection Obrigatório** — garante a presença de uma pessoa viva no momento da captura, bloqueia montagens estáticas do rosto
2. **Bloqueio de Injeção Biométrica** — detecção de integridade e bloqueio ativo de drivers de câmeras virtuais. Softwares citados nominalmente: **OBS Studio** e **ManyCam**, bloqueados na raiz do sistema
3. **Scripts de Desafio Aleatórios** — AGR aplica questionários sequenciais imprevisíveis, quebrando a integridade física de vídeos pré-gravados
4. **Análise Comportamental Rigorosa** — precisão HD de imagem/som; interrupções, falhas ou ritmos corrompidos causam encerramento imediato
5. **Rastreabilidade Criptográfica** — sessão gravada com Fonte Confiável de Tempo (FCT) e código OTP rastreável enviado paralelamente por SMS/Email

Márcio Nunes destacou o motivo pelo qual essas medidas têm que ser todas obrigatórias:

> “**Não tem como pensar em combater IA se você não usar IA.** Quem acha que vai ter defesa de algum tipo de dinâmica ou estática sobre um ataque de inteligência [artificial], vai [perder]. (...) Tomem cuidado quando vem aquelas ligações que vocês recebem: 'Oi, quem está falando?' **Eu preciso de 10 segundos da sua voz para poder clonar a sua voz, para poder falar 100% com a sua voz.**” *— Márcio Nunes.*

## Pós-quântica: o que muda com a IN ITI 35/2026

O bloco PQC (Pós-Quântica) foi conduzido em dois slides. O primeiro contextualizou a ameaça; o segundo detalhou os algoritmos aprovados. Márcio Nunes resumiu o conceito-chave para o público em uma frase:

> “Coletar hoje e armazenar hoje para ter que criptografar amanhã.” *— Márcio Nunes, explicando o ataque "Store Now, Decrypt Later".*

O slide oficial listou as quatro categorias de algoritmos aprovados pela IN ITI 35/2026:

- **Assinatura Digital PQC**: ML-DSA (FIPS 204)
- **Encapsulamento de Chaves PQC**: ML-KEM nos tamanhos 512, 768 e 1024
- **Curvas Elípticas (ECC)**: Ed25519, Ed448, X-521, Brainpool
- **Algoritmos Consolidados Mantidos**: RSA (com novos tamanhos), ECC P-256, P-384, P-521

O segundo slide trouxe os três pilares da "Infraestrutura de Agilidade Criptográfica" estabelecida pela IN 35/2026:

- **Padrões NIST** — injeção dos algoritmos pós-quânticos ML-DSA e ML-KEM
- **Adaptação de HSMs** — adequação de Hardware Security Modules para suportar tamanhos maiores de chaves
- **Atualização do SGC** — adequação do Sistema de Gerência de Certificados para emissões ágeis

O algoritmo de Shor — capaz de quebrar RSA e ECC com computação quântica suficientemente poderosa — foi citado no slide como justificativa central. Cobertura completa do tema em [IN ITI 35/2026 e a era pós-quântica](/blog/seguranca/in-iti-35-2026-selo-eletronico-pos-quantica/).

## TLS/SSL ICP-Brasil em 47 dias: a nova era do ciclo curto

Um bloco menos discutido publicamente que Márcio trouxe: a chegada do limite global de **47 dias de validade para certificados SSL/TLS** — mudança imposta pelas políticas globais do CA/B Forum. Para a ICP-Brasil, isso muda o jogo da emissão de certificados de servidor:

> “No mundo global, os certificados SSL vão valer apenas por 47 [dias]. (...) **A gente fala de certificados de curto prazo, 47 dias vai ser o de menor prazo.**” *— Márcio Nunes.*

A consequência operacional é clara: emissão e renovação de SSL ICP-Brasil precisam migrar para fluxos automatizados via protocolo ACME (Automated Certificate Management Environment, RFC 8555). Não é mais viável que cada certificado SSL seja emitido manualmente — em 12 meses, uma empresa precisaria de 7 a 8 renovações por servidor. A automação é obrigatória.

## AR Eletrônica não substitui o agente humano: ela substitui o validador

Márcio Nunes fez questao de mediar a discussão entre AR Eletrônica e as ARs tradicionais. A mensagem foi pragmática:

> “Nada substitui um bom atendimento, nada substitui a forma como você interage com o seu cliente. (...) Agora a AR Eletrônica não tem [precisa] meu agente de registro. **Mas ele não se vende sozinho. Se fosse verdade, não existiria mais loja física para nada e todo mundo compraria.**” *— Márcio Nunes.*

O argumento sustenta-se em uma observação de carreira: a AR Eletrônica elimina o AGR do papel de **validador**, mas não do papel de **vendedor** e **consultor**. Quem dimensiona ao cliente que tipo de certificado ele precisa, qual modalidade serve para o caso, o que cabe ou não cabe (um PEP que não pode usar AR Eletrônica precisa saber isso antes de tentar) — continua sendo a AR.

Em outra fala memorável, Márcio Nunes lembrou sobre relações de confiança:

> “Não é pelo fato que eu vou emitir certificado com A ou B, vou ficar trocando toda hora. (...) Existe uma relação de confiança. Você [não] troca de computador todo dia, você [não] troca de advogado todo dia. **Por que você vai trocar todo dia da sua autoridade de registro, se você é bem atendido?**” *— Márcio Nunes.*

## A sequência da fraude: como o vício operacional vira crime

O bloco mais filosófico-político da palestra foi sobre a dinâmica de fraude. Márcio resumiu em uma sentencia com forma de roteiro:

> “**Começa tudo por um vício, uma conveniência que vira um vício operacional, que vira um descumprimento normativo que pode gerar uma fraude.** É sobre essa sequência que a gente tem que observar. (...) Independentemente de quem esteja no centro do furacão de uma fraude, ela denigre o ecossistema da certificação digital.” *— Márcio Nunes.*

O conceito é importante para todo o setor: fraudes raramente começam como crimes. Começam como **atalhos operacionais** aceitos pela equipe (pular uma conferência, aceitar uma assinatura sem face-to-face, "fazer uma exceção" para um cliente conhecido). Esses atalhos viram **vícios operacionais**; com o tempo, fragmentam a aplicação da norma; em algum momento, abrem espaço para que um fraudador real explore a fissura. Quando o caso explode, contamina todo o ecossistema — a AR pequena que fez o atalho denigre a confiança do certificado de quem nunca atalhou.

## Os 3 pilares do plano de ação para os entes ICP-Brasil

O slide de encerramento — "Plano de Ação: o que os entes da ICP-Brasil precisam fazer agora?" — consolidou a mensagem em três pilares:

1. **Adequação Sistêmica** — alinhar processos, políticas e sistemas às novas normas, garantindo conformidade, integração e segurança em toda a cadeia
2. **Treinamento Operacional** — capacitar equipes e parceiros para aplicar as novas regras com excelência, eficiência e foco na experiência do cidadão
3. **Estratégia Comercial** — posicionar a oferta de valor da ICP-Brasil no mercado, ampliando parcerias, gerando demanda e fortalecendo a confiança do ecossistema

A frase de encerramento do slide — "Ação integrada hoje. Confiança e transformação amanhã" — sintetizou o tom do painel.

## O que tudo isso significa na prática para o mercado

A palestra de Márcio Nunes entrega ao mercado uma leitura prática e técnica do que a IN 36/2026 mudou. Vale destacar quatro consequências diretas:

**1. O relógio V5→V12 já está rodando — e cada dia conta.** A data de corte (01/03/2026) já passou. Hoje, todo certificado A3 ou A1 emitido na V5 nasce com validade máxima decrescente. Cliente que comprar V5 hoje precisa migrar para V12 em menos de 3 anos, e a propagação V12 nos sistemas-clientes ainda é gargalo não resolvido. Quem não estiver preparado para essa interoperabilidade vai sofrer.

**2. O Selo Eletrônico tem template, mas não tem liberação fiscal.** Esta é talvez a notícia mais importante e menos divulgada da palestra: o template do Selo já existe, a IN 36/2026 já o trata, mas a entrada em produção depende da Receita Federal e da SEFAZ definirem a validade fiscal do novo modelo. Para o mercado, isso significa: a transição V12 acontece em três velocidades distintas — (a) infraestrutura ICP-Brasil já pronta; (b) padrões técnicos já definidos; (c) reconhecimento fiscal pendente.

**3. O e-CNPJ A1 atual tem uma falha de segurança que o Selo Eletrônico resolve.** Esse foi o trecho mais surpreendente da palestra. O fato de o e-CNPJ A1 carregar o CPF do representante legal e, por extensão, permitir acesso à conta gov.br individual do representante é um vetor de risco real para empresas com múltiplas filiais ou múltiplos e-CNPJs ativos. O Selo Eletrônico, ao remover o CPF da criptografia, fecha esse vetor por design — e isso passa a ser um argumento de venda direto para empresas que se preocupam com segurança corporativa.

**4. O Match biométrico em videoconferência agora bloqueia OBS Studio e ManyCam por nome.** O slide do "Escudo Anti-IA" oficializa em ICP-Brasil aquilo que era apenas "boa prática" antes: drivers de câmera virtual têm que ser ativamente bloqueados, com nome e tudo. Para as ARs, isso significa pilha tecnológica nova obrigatória a partir de 05/08/2026 (Art. 69 da IN 36 dá 90 dias).

Para Leandro Albertini, fundador do [Selo Eletrônico](https://seloeletronico.com.br) e do [Certificado Campinas](https://certificadocampinas.com.br), que atua com certificação digital ICP-Brasil desde 2016 e acompanhou presencialmente a palestra, a fala de Márcio Nunes confirma com voz autorizada do mercado tradicional aquilo que o próprio Selo Eletrônico vem defendendo há meses: **o Selo Eletrônico sela, não assina**. E confirma também que a transição V12 tem um gargalo não-ICP-Brasil (Receita Federal/SEFAZ) que vale entender antes de prometer datas de emissão ao cliente.

As demais palestras do dia — Flávio Pinto sobre marketing, Elizabeth Martos sobre Reforma Tributária e Gisele Strey sobre Comitê Gestor — serão cobertas em artigos individuais. Acompanhe no [hub do 7º Encontr[AR] 2026](/blog/eventos/7-encontrar-aarb-2026/).

---

## Perguntas frequentes

### Quando a Cadeia V5 da ICP-Brasil expira?

A Cadeia V5 da ICP-Brasil expira em março de 2029. A Cadeia V12, padrão criptográfico moderno, foi ativada em outubro de 2024 e coexiste com a V5 até a expiração. A partir de 1º de março de 2026, não é mais possível emitir certificado A3 com 3 anos completos na V5 — a validade máxima decresce 1 dia a cada dia até zerar em março/2029.

### O Selo Eletrônico já está sendo emitido?

Não. Segundo Márcio Nunes, Diretor-Presidente da ANCD, no 7º Encontr[AR] em 13/05/2026: "o Selo Eletrônico ainda não virou uma emissão". A pendência regulatória externa é a definição da validade fiscal pela Receita Federal e Secretaria de Fazenda. A IN ITI 36/2026 já formalizou o template do certificado (sem o CPF do representante na criptografia), mas a entrada em produção depende do reconhecimento fiscal.

### O Selo Eletrônico assina documentos como o e-CNPJ?

Não. Márcio Nunes confirmou tecnicamente o que o ITI vem dizendo: o Selo Eletrônico autentica e identifica a empresa (sela origem e integridade de transações M2M, NF-e, APIs), mas NÃO serve para executar a assinatura na manifestação de vontade do indivíduo ou do representante da empresa. Quem assina com validade jurídica continua sendo o e-CPF do representante legal (pessoa física). É uma assinatura criptográfica, mas com valor e precedência diferentes.

### Por que o e-CNPJ A1 atual gera vulnerabilidade no gov.br?

Márcio Nunes alertou: o e-CNPJ A1 atual carrega o CPF do representante legal dentro da criptografia. Quando alguém se autentica no gov.br com esse certificado, entra na conta individual do CPF vinculado. Em empresas com vários e-CNPJs A1 e diferentes áreas usando senhas, há múltiplas credenciais dando acesso aos dados do mesmo CPF. O Selo Eletrônico na V12 resolve isso por design — não carrega o CPF na criptografia.

### Quais são as 5 modalidades de emissão de certificado pela IN 36/2026?

Pelo Art. 2º da IN ITI 36/2026: (1) Presencial — AGR local, biometria face e digital, batimento 1:N; (2) Videoconferência — AGR remoto, biometria face 1:1, liveness, defesa anti-deepfake; (3) Certificado Prévio — zero intervenção humana, baseada em certificado A3+ ativo; (4) Módulo Eletrônico de AR — sistêmico, batimento 1:1 em base do próprio órgão (servidores públicos, bancos, juntas comerciais); (5) AR Eletrônica — ZERO intervenção humana, liveness + hardware binding + match 1:1 direto em Base Oficial.

### Quais são os 5 pilares técnicos da AR Eletrônica?

Segundo o slide do Capítulo V da IN ITI 36/2026: (1) Ambiente Seguro; (2) Hardware Binding — vinculação criptográfica do certificado ao dispositivo; (3) Prova de Vida (Liveness) anti-deepfake; (4) Match Biométrico Direto em Base Oficial Nacional; (5) Custódia em PSC — chave privada gerada e custodiada exclusivamente em Prestador de Serviço de Confiança, jamais no dispositivo do titular.

### Quem NÃO pode usar a AR Eletrônica?

Pessoas Expostas Politicamente (PEPs), autoridades do Poder Judiciário e membros do Ministério Público são vedados de usar AR Eletrônica conforme Art. 56 da IN ITI 36/2026. Para esses perfis, a emissão exige obrigatoriamente intervenção humana (videoconferência ou presencial), batimento de impressão digital no PSBio, segunda conferência por AGR distinto e coleta documental obrigatória. Pessoas jurídicas continuam vetadas — AR Eletrônica é exclusiva para pessoa física.

### Quais são os novos padrões biométricos da IN ITI 37/2026?

(1) Qualidade de Captura — Score NFIQ 2.0 ≥ 70 (medição internacional de minúcias da impressão digital após compressão WSQ); (2) Deduplicação de 1 dedo — FAR 0,01% / TAR ≥ 99,0%; (3) Deduplicação de 2 dedos — FAR 0,01% / TAR ≥ 99,4%. A IN 37 também exige deduplicação semestral obrigatória dos PSBios e indexação contínua da base biométrica.

### Quais são os novos algoritmos pós-quânticos da IN ITI 35/2026?

A IN ITI 35/2026 estabelece: (1) Assinatura Digital — ML-DSA (FIPS 204); (2) Encapsulamento de Chaves — ML-KEM 512/768/1024; (3) Curvas Elípticas — Ed25519, Ed448, X-521, Brainpool; (4) Algoritmos Consolidados Mantidos — RSA e ECC (P-256, P-384, P-521). A IN 35/2026 também estabelece a "Infraestrutura de Agilidade Criptográfica" com três pilares: Padrões NIST, Adaptação de HSMs e Atualização do SGC.

### O que é a estratégia "Store Now, Decrypt Later" citada por Márcio Nunes?

É um ataque atual: adversários estão coletando dados criptografados hoje para descriptografá-los no futuro, quando computadores quânticos suficientemente poderosos quebrarem RSA e ECC. Mesmo sem computação quântica comercial disponível, a ameaça é real para dados sensíveis de longo prazo. A migração para criptografia pós-quântica (ML-DSA, ML-KEM) é defesa preventiva contra esse vetor.

---

Fonte: https://seloeletronico.com.br/blog/eventos/7-encontrar-aarb-2026/marcio-nunes-v12-automacao-fim-jornadas-fragmentadas-ancd-vcert/