Certificado digital A1 ou A3: qual escolher para a sua empresa

É dia de faturar e o sistema não emite a nota. O motivo: o certificado venceu, ou o cartão que assina as notas ficou no computador de quem saiu de férias. A dúvida entre certificado digital A1 ou A3 parece técnica, mas decide se a empresa fatura sozinha ou se depende de alguém plugar um dispositivo na hora certa.

A escolha certa depende menos do certificado em si e mais de quem vai usar, em quais sistemas e de onde. Veja a diferença, o que a lei diz e um roteiro para decidir.

O que é certificado digital?

Certificado digital é uma identidade eletrônica. Segundo o Instituto Nacional de Tecnologia da Informação (ITI), o certificado da ICP-Brasil permite a identificação segura de pessoas físicas, pessoas jurídicas, sistemas, aplicações ou equipamentos no meio eletrônico, além de assinaturas eletrônicas qualificadas. Ele é emitido e assinado por uma Autoridade Certificadora credenciada.

A base legal é a Medida Provisória nº 2.200-2, de 24 de agosto de 2001, que instituiu a ICP-Brasil para garantir a autenticidade, a integridade e a validade jurídica de documentos em forma eletrônica. Na prática, é com ele que a empresa assina documentos eletrônicos com validade jurídica e se identifica em sistemas que exigem certificado ICP-Brasil.

Certificado digital A1 ou A3: qual a diferença?

A diferença está em onde o certificado fica guardado e por quanto tempo vale. Pela página do ITI, o A1 fica armazenado no computador ou no dispositivo móvel e vale 1 ano. O A3 é emitido e armazenado em cartão, token criptográfico ou diretamente na nuvem, e vale de 1 a 5 anos.

Qual escolher, pensando nos sistemas da empresa

Comece pela pergunta: quem, ou o quê, vai usar o certificado no dia a dia?

• Um sistema que emite notas sozinho. Se o sistema de gestão fatura pedidos de forma automática, inclusive fora do horário, ele precisa acessar o certificado sem alguém conectar um cartão. Como o A1 fica armazenado no computador, ele pode ser instalado no próprio sistema. O A3 em nuvem também pode servir, se o sistema for compatível.
• Uma pessoa que assina documentos. Para o sócio que assina contratos e acessa serviços do governo, o A3 em cartão, token ou nuvem mantém a chave sob controle dele.
• Várias pessoas em lugares diferentes. Cartão e token ficam presos a quem está com eles. O A3 em nuvem é acessado do computador ou do celular, segundo o ITI, o que ajuda equipes que não trabalham no mesmo lugar.

A regra prática é perguntar ao fornecedor do sistema, antes de comprar o certificado, qual tipo ele aceita e como o certificado é guardado do lado dele. Quem emite nota de serviço pelo próprio sistema, integrado ao padrão nacional por API, precisa dessa resposta por escrito.

Cuidados de segurança com cada tipo

• A1 é um arquivo. Arquivo pode ser copiado. Guarde a senha fora do alcance de quem não precisa dela, saiba exatamente em quais computadores e sistemas ele está instalado e nunca envie o arquivo e a senha pela mesma conversa de WhatsApp ou e-mail.
• A3 em cartão ou token é um objeto. Objeto se perde. Defina onde ele fica guardado e quem pode usar.
• A3 em nuvem depende de acesso. Proteja o acesso ao serviço como protege a conta do banco.
• Quando alguém sai da empresa. Revise quem tinha acesso ao certificado e fale com a Autoridade Certificadora sobre o que fazer se houver risco de uso indevido.

Como obter o certificado digital

O ITI descreve o caminho em poucos passos:

1. escolher uma Autoridade Certificadora da ICP-Brasil;
2. solicitar no site dela o certificado de pessoa física ou jurídica;
3. agendar a validação com a Autoridade de Registro, presencial, com coleta de biometria, ou por videoconferência;
4. receber o certificado: no A1, a Autoridade Certificadora orienta o download; no A3, o cartão ou token é entregue na Autoridade de Registro, ou o acesso é liberado na nuvem.

Custos, formas de pagamento e equipamentos necessários são informados pela própria Autoridade Certificadora, segundo o ITI.

Certificado digital e assinatura eletrônica

A Lei nº 14.063, de 23 de setembro de 2020, define três tipos de assinatura eletrônica: simples, avançada e qualificada. A qualificada é a que usa certificado digital, e a lei diz que ela é a de nível mais elevado de confiabilidade. Para contratos comuns, outras formas de assinatura podem bastar; para obrigações fiscais e serviços que exigem certificado ICP-Brasil, ele continua indispensável.

Checklist antes de comprar ou renovar

1. Em quais sistemas o certificado vai ser usado: emissor de nota, sistema de gestão, banco, portais do governo?
2. Algum desses sistemas assina de forma automática, sem uma pessoa na frente do computador?
3. Qual tipo cada sistema aceita, A1, A3 em cartão ou token, A3 em nuvem? Peça a resposta por escrito.
4. Quem vai ser o responsável pelo certificado e quem é o substituto quando ele faltar?
5. Onde fica registrada a data de validade e quem recebe o lembrete da renovação?

Com essas cinco respostas, a escolha entre A1 e A3 costuma ficar evidente, e o certificado deixa de ser um ponto de parada do faturamento.

Erros comuns

• Deixar vencer. Coloque a data de validade na agenda de duas pessoas, com antecedência para emitir o novo.
• Comprar antes de perguntar ao sistema. O tipo errado pode não funcionar na emissão automática.
• Uma pessoa só sabe onde está. Se o certificado depende da memória de alguém, a empresa para quando essa pessoa falta.

Próximo passo

Hoje, descubra a validade do certificado atual, quem tem acesso a ele e em quais sistemas está instalado. Antes da renovação, pergunte ao fornecedor do sistema qual tipo ele aceita. Para acompanhar as mudanças fiscais que passam pelo sistema, veja também o regime regular de IBS e CBS no Simples Nacional e o guia de gestão e tecnologia. Se quiser olhar o processo de faturamento inteiro, a 1i faz uma sessão gratuita de 30 minutos para encontrar onde a sua empresa trava.