QTSPs: o acelerador oculto por trás da corrida da Europa pela identidade digital
A maioria das instituições financeiras sabe que precisa estar preparada para a EUDI Wallet até dezembro de 2027. Menos instituições, porém, mapearam o que realmente é necessário para chegar até lá.
Na maioria dos casos, a resposta não é construir sozinha a infraestrutura de identidade.
O problema de conformidade sobre o qual ninguém fala abertamente
Cumprir os requisitos do eIDAS 2.0 parece simples no papel: é preciso aceitar uma carteira digital para identificação de clientes, conectar-se a serviços qualificados de confiança, manter a soberania dos dados na União Europeia e garantir a interoperabilidade transfronteiriça.
Na prática, cada um desses requisitos envolve uma camada de complexidade técnica, jurídica e operacional que a maioria das instituições não possui recursos para gerenciar internamente com rapidez.
As especificações técnicas da EUDI Wallet ainda estão sendo finalizadas. Os Estados-Membros estão implementando a solução em ritmos diferentes e por meio de diferentes iniciativas nacionais, como o France Identité, a IT-Wallet da Itália, a Cartera Digital da Espanha e a abordagem gradual da Alemanha. Os formatos das credenciais, os protocolos de interoperabilidade e os processos de certificação variam. E tudo isso se soma às obrigações já existentes decorrentes do GDPR, DORA, NIS2, AMLR e PSR.
Fazer tudo isso sozinho significa dedicar equipes de engenharia ao acompanhamento das mudanças de protocolos nas 27 implementações nacionais, obter e manter a conformidade regulatória em múltiplas jurisdições e assumir o risco de qualquer erro ao longo do processo. Isso representa um desvio significativo de recursos que poderiam ser direcionados às decisões estratégicas e à inovação voltada ao cliente, que são os verdadeiros diferenciais das instituições.
O que um QTSP oferece que um integrador de sistemas não pode oferecer
Essa é a distinção que mais importa na prática: um integrador de sistemas executa uma especificação previamente definida. Um Qualified Trust Service Provider faz parte da própria infraestrutura regulatória.
Os QTSPs são entidades credenciadas de acordo com o eIDAS, incluídas nas listas nacionais de confiança e submetidas a auditorias periódicas de conformidade. Seus serviços qualificados, verificação de identidade, assinaturas eletrônicas, selos eletrônicos, atributos, carimbos de tempo, entrega eletrônica certificada e arquivamento de longo prazo, contam com reconhecimento jurídico automático em todos os 27 Estados-Membros da União Europeia. Não é necessária validação adicional nem negociação país por país.
Para as instituições financeiras, essa distinção tem consequências diretas. Quando um banco estabelece parceria com um QTSP para integração da carteira digital e comprovação de identidade, ele não está apenas adquirindo um serviço tecnológico. Está conectando-se a uma infraestrutura de nível regulatório que já é reconhecida, já foi auditada e já é interoperável em toda a Europa.
Essa é a diferença entre construir uma ponte e atravessar uma que já existe.
A vantagem na implementação: onde os QTSPs reduzem tempo e riscos
Integração da carteira digital sem gerenciar protocolos. QTSPs que já possuem infraestrutura ativa para carteiras digitais oferecem SDKs e APIs que abstraem a complexidade dos protocolos em constante evolução (OpenID4VCI, OpenID4VP), dos diversos formatos de credenciais e da interoperabilidade transfronteiriça. As instituições realizam uma única integração e passam a usufruir automaticamente da camada de interoperabilidade, em vez de desenvolvê-la e mantê-la de forma independente.
Reconhecimento regulatório em múltiplas jurisdições. Um QTSP pan-europeu já possui certificações e relacionamento com autoridades regulatórias em diversos Estados-Membros. Para instituições que operam além das fronteiras nacionais, isso elimina a necessidade de lidar individualmente com cada regime nacional de certificação, um processo que pode levar meses e exigir recursos jurídicos significativos em cada jurisdição.
Convergência entre eIDAS 2.0 e AMLR já contemplada. Um dos aspectos mais complexos do cenário regulatório atual é que um único processo de verificação de identidade precisa atender simultaneamente aos requisitos do eIDAS 2.0, AMLR e PSR/PSD3. Um QTSP alinhado ao padrão ETSI TS 119 461 v2 fornece serviços de comprovação de identidade que atendem aos três requisitos ao mesmo tempo, eliminando a necessidade de projetar e validar processos de conformidade separados para cada regime regulatório.
Soberania dos dados por concepção. Diversas grandes instituições financeiras europeias possuem determinações em nível de conselho de administração para que os dados de identidade e assinatura permaneçam dentro da jurisdição da União Europeia. QTSPs sediados na Europa e operando sob a legislação europeia oferecem essa garantia de forma estrutural, ao contrário de fornecedores não europeus, cujo tratamento de dados continua sujeito a legislações extraterritoriais, como o US CLOUD Act.
A decisão entre desenvolver internamente ou estabelecer uma parceria, na prática
Nas entrevistas realizadas com executivos seniores de grandes bancos europeus para o relatório BCG x Namirial sobre identidade digital, surgiu um padrão consistente: a balança pende para a parceria, especialmente nas camadas tecnicamente mais complexas da integração da carteira digital.
Como afirmou um executivo sênior de TI:
“É o produto que torna as coisas possíveis e acelera sua implementação; o integrador de sistemas apenas faz mais rápido aquilo que já está definido no papel.”
Essa não é uma decisão de compras. É uma questão de sequência estratégica. As instituições que optam por parcerias para a camada de infraestrutura técnica e regulatória podem direcionar seus investimentos para as decisões que realmente as diferenciam: posicionamento estratégico no ecossistema de identidade digital, desenho da jornada do cliente e desenvolvimento de capacidades de processos e gestão de riscos que outros não conseguem replicar.
As instituições que passarem os próximos 18 meses desenvolvendo internamente protocolos para carteiras digitais chegarão a dezembro de 2027 com uma infraestrutura em conformidade. As instituições que estabelecerem parcerias desde cedo chegarão com uma posição consolidada no ecossistema.
A janela da vantagem do pioneiro está aberta, mas não permanecerá assim para sempre
A implementação gradual das EUDI Wallets nacionais cria uma vantagem competitiva para quem se movimenta primeiro, mas essa vantagem é limitada no tempo. A carteira nacional da França já está em operação. Itália e Espanha estão em fase piloto. A Alemanha pretende disponibilizar sua solução no início de 2027. À medida que cada carteira nacional atingir uma base significativa de usuários, as instituições que já estiverem integradas estarão posicionadas para captar volume desde o primeiro dia. As instituições que ainda estiverem concluindo sua integração precisarão correr atrás.
O prazo de dezembro de 2027 representa o requisito mínimo de conformidade. O objetivo estratégico para as instituições que desejam moldar sua posição no ecossistema, em vez de simplesmente cumprir as exigências regulatórias, é o início de 2027.
Essa janela de oportunidade está aberta agora. A questão é quem será o primeiro a atravessá-la.
ENTRE EM CONTATO COM A NAMIRIAL
A Namirial é o maior grupo europeu de Qualified Trust Service Providers, com reconhecimento regulatório em diversos países, infraestrutura para integração de carteiras digitais e uma plataforma completa de Digital Transaction Management. Ajudamos instituições financeiras a evoluírem da preparação para conformidade para uma posição de vantagem dentro do ecossistema.
