o que a IN 32/2025 reforça

O que é a IN 32/2025 e por que ela importa?

A Instrução Normativa 32/2025 (IN 32/2025), emitida pelo Instituto Nacional de Tecnologia da Informação (ITI), reforça um princípio fundamental da Infraestrutura de Chaves Públicas Brasileira (ICP-Brasil): a conformidade não é responsabilidade isolada de uma única entidade — ela é sistêmica.

Em termos práticos, isso significa que a solidez de toda a cadeia de certificação digital depende da consistência operacional de cada um de seus participantes. E um dos elos mais críticos dessa cadeia são as Autoridades de Registro (ARs).

Autoridades de Registro: o elo que conecta usuário e cadeia de confiança

Para entender o impacto da IN 32/2025, é necessário compreender o papel das ARs dentro da ICP-Brasil.

As Autoridades Certificadoras (ACs) são as entidades responsáveis por emitir certificados digitais. As ACs, por sua vez, podem ser vinculadas a Autoridades de Registro (ARs) — entidades credenciadas que atuam na linha de frente do processo: identificam e registram os titulares dos certificados, coletam documentação e realizam o atendimento presencial ou remoto.

Em outras palavras: enquanto a AC é o “laboratório” que emite o certificado, a AR é o “balcão de atendimento” que valida quem receberá esse certificado.

O que a IN 32/2025 reforça sobre a avaliação das ARs?

A IN 32/2025 consolida a importância de considerar o funcionamento das Autoridades de Registro dentro do escopo das auditorias realizadas nas Autoridades Certificadoras. Entre os aspectos que normalmente integram essa avaliação:

• Padronização de procedimentos: as ARs seguem processos documentados e consistentes entre si?
• Supervisão operacional: a AC mantém mecanismos formais de acompanhamento das ARs vinculadas?
• Gestão de desvios: existem processos estruturados para identificar e corrigir não conformidades nas ARs?
• Aderência normativa: as ARs demonstram conformidade com as normas vigentes da ICP-Brasil?

Por que esse modelo reflete boas práticas internacionais?

A abordagem adotada pela ICP-Brasil com a IN 32/2025 está alinhada a práticas consolidadas em infraestruturas de confiança digital ao redor do mundo. Frameworks como o CA/Browser Forum e padrões como o ETSI EN 319 401 (utilizado na União Europeia) já estabelecem que a supervisão de terceiros é uma responsabilidade inerente às autoridades certificadoras.

Esse princípio é amplamente aplicado em setores regulados como o financeiro e o farmacêutico, sob o nome de gestão de terceiros (third-party management).

O que isso significa na prática para ACs e ARs?

Para as Autoridades Certificadoras, a mensagem é clara: é necessário investir em mecanismos formais de governança sobre as ARs vinculadas.

Para as Autoridades de Registro, o momento exige maturidade organizacional. São necessários processos documentados, treinamentos formais, registros auditáveis e estruturas de gestão de riscos operacionais.

Perguntas Frequentes (FAQ)

O que é a IN 32/2025?

A Instrução Normativa 32/2025 é um ato normativo do ITI que reforça diretrizes relacionadas à avaliação das Autoridades de Registro no contexto das auditorias das ACs da ICP-Brasil.

As ARs são auditadas diretamente pelo ITI?

A avaliação das ARs pode ocorrer no contexto das auditorias realizadas nas ACs às quais estão vinculadas. A IN 32/2025 reforça a importância de considerar as ARs nesse processo.

O que é ICP-Brasil?

A ICP-Brasil é o conjunto de técnicas, práticas e procedimentos que sustenta o sistema de certificação digital brasileiro, gerenciado pelo ITI.

O que significa conformidade sistêmica na ICP-Brasil?

Significa que a confiança no sistema de certificação digital depende da consistência operacional de toda a cadeia — da AC Raiz até as ARs que atendem os usuários finais.

Conclusão

A IN 32/2025 não traz apenas uma exigência técnica — ela reafirma uma filosofia de governança: a confiança em sistemas digitais é construída de ponta a ponta, e cada participante da cadeia tem responsabilidade sobre o resultado final.

Para ACs e ARs que operam na ICP-Brasil, isso representa um chamado à maturidade organizacional: processos bem estruturados, supervisão formal e cultura de conformidade não são diferenciais opcionais — são a base de um ecossistema de certificação digital confiável.