INSTRUÇÃO NORMATIVA ITI Nº 31, DE 14 DE MARÇO DE 2025

INSTRUÇÃO NORMATIVA ITI Nº 31, DE 14 DE MARÇO DE 2025
Aprova o regulamento de envio de informações e
arquivos ao Instituto Nacional de Tecnologia da
Informação - ITI.
O DIRETOR-PRESIDENTE DO INSTITUTO NACIONAL DE TECNOLOGIA DA
INFORMAÇÃO, no uso das atribuições que lhe foram conferidas pelo inciso VI do art. 13 do
Anexo I do Decreto nº 12.103, de 8 de julho de 2024, pelo art. 1º da Resolução nº 33 do
Comitê Gestor da ICP-Brasil, de 21 de outubro de 2004, e pelo art. 2º da Resolução nº 163
do Comitê Gestor da ICP-Brasil, de 17 de abril de 2020, resolve:
Art. 1º Esta Instrução Normativa regulamenta o envio de informações e
arquivos ao Instituto Nacional de Tecnologia da Informação - ITI.
Parágrafo único. O disposto nesta Instrução Normativa não se aplica ao
Cadastro de Agentes de Registros - CAR, que possui regulamentação própria.
Art. 2º Todas as Autoridades Certificadoras - ACs que emitem certificados
digitais para usuário final deverão enviar diariamente, incluindo finais de semana e
feriados, ao Instituto Nacional de Tecnologia da Informação - ITI os certificados emitidos,
as biometrias atreladas a cada certificado e informações sobre suas emissões.
§ 1º Os arquivos dos certificados deverão ser identificados e encaminhados
individualmente, utilizando a codificação DER (*.cer).
§ 2º Os arquivos biométricos da face e das impressões digitais deverão ter os
formatos e a indicação do dedo, se for o caso, conforme disposto no DOC-ICP-05.02, Anexo
da Instrução Normativa ITI nº 05, de 22 de fevereiro de 2021, e no DOC-ICP-05.03, Anexo
da Instrução Normativa ITI nº 09, de 22 de outubro de 2020, seguindo as definições
dispostas no ADE-ICP-05.C.
§ 3º As informações, os arquivos dos certificados e os arquivos biométricos
deverão ser encaminhados ao ITI em um arquivo compactado (.zip), por meio do
carregamento do arquivo (upload) dentro da respectiva área de transferência de arquivos
da AC (FTP).
§ 4º O nome do arquivo compactado e o procedimento de envio deverão seguir
as orientações dispostas no ADE-ICP-05.C, disponível no site do ITI.
Art. 3º As informações referentes às emissões deverão ser encaminhadas em
um arquivo CSV, identificado com nome "Anexo1.csv", contendo, para cada certificado
emitido, o hash SHA1 do arquivo do certificado, associado às informações relacionadas
com a emissão do certificado.
§ 1º O arquivo CSV deverá conter todos os campos estabelecidos no "Modelo
Informacional de Dados dos Certificados Emitidos" do ADE-ICP-05.C, os quais deverão ser
preenchidos obedecendo aos critérios de obrigatoriedade indicados na coluna "Presença de
conteúdo".
§ 2º A primeira linha do arquivo CSV deverá conter o nome das colunas, sendo
obrigatório uso das denominações e sequência estabelecidas no "Modelo Informacional de
Dados dos Certificados Emitidos" do ADE-ICP-05.C.
§ 3º Para os certificados emitidos na modalidade "certificado digital", os
seguintes campos do arquivo CSV deverão ser preenchidos com o termo "VAZIO":
CPF_AGR_i, CPF_AGR_v, Data_i, Data_v, Data_PSBIO, TCN, IDN, CPF_RESP_SELO,
CNPJ_Titular, Resposta_DATAVALID, Resposta_PSBIO, Forma_pagto e ID_MAQ_AGR.
§ 4º Cada emissão registrada no arquivo CSV deve corresponder a um
certificado enviado no arquivo compactado e todo certificado do arquivo compactado deve
ter suas informações registradas no arquivo CSV.
§ 5º No dia em que não houver emissão de certificado digital, a AC deverá
encaminhar o arquivo "Anexo1.csv" contendo apenas a primeira linha com os nomes das
colunas.
Art. 4º Anualmente, até o dia 15 de dezembro, em conformidade com o DOC-
ICP-08, as Autoridades Certificadoras - ACs, Autoridades de Carimbo do Tempo - ACTs,
Prestadores de Serviços Biométricos - PSBios e Prestadores de Serviços de Confiança - PSCs
deverão encaminhar ao ITI o Plano Anual de Auditoria Operacional - PLAAO.
§ 1º As informações deverão ser encaminhadas ao ITI em um arquivo no
formato ZIP, contendo o arquivo PDF do ADE-ICP-08.C e as informações referentes ao
PLAAO em arquivo CVS.
§ 2º O arquivo compactado deve ser identificado com nome
"PLAAO_ANO_nome da entidade na ICP-Brasil.zip".
§ 3º O arquivo compactado deve ser encaminhado para o e-mail
[email protected].
Art. 5º As informações referentes ao PLAAO de AC deverão conter, para cada
entidade vinculada, as seguintes informações:
I - nome da AC responsável pelo preenchimento das informações;
II - número do CNPJ da entidade vinculada à AC responsável pelo
preenchimento;
III - nome da entidade vinculada à AC responsável pelo preenchimento;
IV - data prevista para o início da auditoria na respectiva instalação técnica;
V - data prevista para entrega do relatório de auditoria pela entidade
responsável pela execução da auditoria;
VI - CNPJ da empresa que realizará a auditoria; e
VII - informações adicionais que a AC julgar conveniente apresentar.
Parágrafo único. O arquivo CSV deve ser identificado com nome
"PLAAOANO_nome da AC na ICP-Brasil.csv".
Art. 6º As informações referentes ao PLAAO de ACT, PSBio e PSC deverão
conter, para cada entidade vinculada, as seguintes informações:
I - nome da ACT ou PSBio ou PSC responsável pelo preenchimento das
informações;
II - data prevista para o início da auditoria nas respectivas entidades;
III - data prevista para entrega do relatório de auditoria pela entidade
responsável pela execução da auditoria;
IV - CNPJ da empresa que realizará a auditoria; e
V - informações adicionais que a entidade julgar conveniente apresentar.
Parágrafo único. O arquivo CSV deve ser identificado com nome
"PLAAO_ANO_nome da entidade na ICP-Brasil.csv".
Art. 7º As entidades de auditoria devem encaminhar ao ITI relatórios e
informações de auditoria em até 15 dias após a data prevista no PLAAO para a entrega do
relatório de auditoria, contendo, para cada entidade auditada, as seguintes informações:
I - para Relatório de AR:
a) CNPJ da entidade de auditoria responsável pelo preenchimento das
informações;
b) nome na ICP-Brasil da entidade auditada, seguido de dois pontos ":" e
número do CNPJ;
c) nome das ACs vinculada à AR auditada, separado por virgula, ex: AC xxxx
rfb,AC XXXXX multipla;
d) ano da auditoria prevista no PLAAO;
e) data prevista para o início da auditoria na respectiva entidade;
f) data do relatório;
g) Conceito Geral atribuído à entidade auditada; e
h) relação das não conformidade identificadas.
II - para Relatório de AC e PSS:
a) CNPJ da entidade de auditoria responsável pelo preenchimento das
informações;
b) nome na ICP-Brasil da entidade auditada, seguido de dois pontos ":" e
número OID da DPC da AC auditada preenchido sem ponto, exemplo: AC
TESTE:21676110;
c) nome da entidade superior vinculada à AC auditada, ex: AC RAIZ ou AC RFB;
d) ano da auditoria prevista no PLAAO;
e) data prevista para o início da auditoria na respectiva entidade;
f) data do relatório;
g) Conceito Geral atribuído à entidade auditada; e
h) relação das não conformidade identificadas.
III - para Relatório de ACT, PSC e PSBio:
a) CNPJ da entidade de auditoria responsável pelo preenchimento das
informações, preenchido sem ponto ou barra ou hífen (ex: 99999999999999);
b) nome na ICP-Brasil da entidade auditada, seguido de dois pontos ":" e
número do preenchido sem ponto ou barra ou hífen (ex: 99999999999999);
c) tipo de entidade auditada, ACT ou PSBio ou PSC;
d) ano da auditoria prevista no PLAAO;
e) data prevista para o início da auditoria na respectiva entidade;
f) data do relatório;
g) Conceito Geral atribuído a entidade auditada; e
h) relação das não conformidade identificadas.
§ 1º Os relatórios de auditoria devem ser no formato PDF, assinados
digitalmente com certificado ICP-Brasil pelo responsável técnico da entidade de
auditoria.
§ 2º As informações sobre o relatório de auditoria devem ser encaminhadas ao
ITI em arquivo no formato CSV identificado com o nome "rel_ano do relatório_nome da
entidade auditada.csv".
§ 3º O relatório (PDF) e as informações (CSV) devem ser incluídos em um único
arquivo compactado (.zip) e encaminhados para o e-mail [email protected].
Art. 8º Os arquivos CSV mencionados neste ato deverão seguir as "Definições
do formato dos arquivos CSV" do ADE-ICP-05.C.
Art. 9º As Autoridades Certificadoras credenciadas que emitem certificados para
usuário final terão os seguintes prazos para adequação:
I - até 30 (trinta) dias, contados da data de publicação deste regulamento, para
implementação da regra de periodicidade de envio dos arquivos, conforme estabelecido no
caput do art. 2º; e
II - até 90 (noventa) dias, contados da data de publicação deste regulamento,
para adequação às regras previstas no art. 3º, relativas à inserção de novos campos no
arquivo CSV que contém informações sobre emissões de certificados digitais.
Art. 10. Fica revogada a Instrução Normativa ITI nº 20, de 23 de novembro de 2021.
Art. 11. Esta Instrução Normativa entra em vigor na data de sua publicação.
ENYLSON FLÁVIO MARTINEZ CAMOLESI
DIRETORIA DE AUDITORIA, FISCALIZAÇÃO E NORMALIZAÇÃO
DESPACHOS
DEFIRO o pedido de credenciamento da AR CDL BRUSQUE, CNPJ:
82.991.803/0001-10, vinculada à AC FCDL SC, com endereço na RUA PEDRO WERNER, N°
180, SALA 201, CENTRO II, BRUSQUE/SC. Processo n° 00100.000078/2025-62.
DEFIRO o pedido de credenciamento da AR PRYOR, CNPJ 38.543.065/0001-56,
vinculada à AC VALID BRASIL, com endereço na AVENIDA PAULISTA, N° 37, 7° ANDAR,
CONJUNTO 72, SALA 02, BELA VISTA, SÃO PAULO/SP. Processo n° 00100.000044/2025-78.
DEFIRO o pedido de credenciamento da AR UP SOLUÇÕES TECNOLOGICAS E
CERTIFICAÇÃO DIGITAL, CNPJ 57.413.107/0001-89, vinculada à AC SAFEWEB RFB, com
endereço na RUA DOUTOR ZEFERINO ALVES DO AMARAL, N° 925, CONJ 203, CENTRO,
ATIBAIA/SP. Processo n° 00100.000102/2025-63.
DEFIRO, a pedido, o descredenciamento da AR FACILITA SA, CNPJ:
45.340.757/0001-62, vinculada à AC SOLUTI MÚLTIPLA e AC SOLUTI JUS. Processo n°
00100.000639/2025-23.
DEFIRO, a pedido, o descredenciamento da AR GRUPO NETVOO & PROTEGE
CERTSAFETY, CNPJ: 18.093.888/0001-10, vinculada à AC SOLUTI MÚLTIPLA e AC SOLUTI JUS.
Processo n° 00100.000665/2025-51.
DEFIRO, a pedido, o descredenciamento da AR ALIANÇA RIO CERTIFICADORA
DIGITAL, CNPJ: 48.034.761/0001-90 vinculada à AC SOLUTI MÚLTIPLA e AC SOLUTI JUS.
Processo n° 00100.000663/2025-62.
DEFIRO, a pedido, o descredenciamento da AR CERTIFAZ, CNPJ:
30.715.794/0001-30, vinculada à AC CONSULTI BRASIL RFB. Processo n°
00100.000612/2025-31.
PEDRO PINHEIRO CARDOSO
Diretor