Existe no CONFAZ uma norma que permite outra entidade assinar e transmitir o seu documento fiscal eletrônico, sem que você tenha certificado digital próprio. Em fevereiro de 2026 ela foi ampliada para alcançar o optante pelo Simples Nacional — o que parece resolver um custo fixo do provedor pequeno.

Parece. O parágrafo seguinte da mesma cláusula fecha a porta, e a lista oficial de quem está habilitado explica por quê.

Neste artigo

• O que é o PAA, em uma frase
• Quem pode usar — e a ressalva que vem logo abaixo
• Quem são os PAAs de verdade: três entidades
• O que mudou em 1º de setembro de 2026
• Por que isso não chega na sua NFCom
• A responsabilidade não vai junto
• A leitura: o certificado do provedor é infraestrutura, não burocracia
• Onde conferir

O que é o PAA, em uma frase

PAA é o Provedor de Assinatura e Autorização de Documentos Fiscais Eletrônicos. A norma o define como quem realiza, em nome do contribuinte, as comunicações com os sistemas de autorização de uso de documentos fiscais das administrações tributárias.

A mecânica tem três peças, e vale entender a divisão de trabalho:

• o contribuinte assina com assinatura eletrônica avançada, usando chaves pública e privada fornecidas pela própria administração tributária — ele precisa solicitá-las;
• o PAA assina com assinatura qualificada, com certificado digital ICP-Brasil próprio dele, e envia o pedido de emissão;
• a administração tributária recebe o documento com as duas assinaturas: a qualificada do PAA e a avançada do contribuinte.

Ou seja: o certificado não desaparece do processo. Ele muda de dono. Quem não tem certificado é o emitente; o intermediário tem — e é obrigado a ter.

Quem pode usar — e a ressalva que vem logo abaixo

Até janeiro de 2026, o texto era estreito: só pessoa física ou MEI. A partir de 1º de fevereiro de 2026, a lista cresceu e passou a incluir o Transportador Autônomo de Cargas, o produtor primário e o optante pelo Simples Nacional.

É aí que o provedor no Simples se reconhece na norma. Mas o parágrafo imediatamente seguinte diz:

“No caso de contribuintes optantes pelo Simples Nacional e MEI, a utilização do provedor de que trata o ‘caput’ está restrita às operações e prestações realizadas por intermediadores de serviços e negócios de comércio eletrônico.”

Leia com calma o que essa frase exige: não basta ser do Simples. A prestação precisa ser realizada por intermediador de comércio eletrônico. Um provedor que fatura o próprio assinante — contrato direto, cobrança direta, NFCom no CNPJ dele — não está descrito ali.

E há um segundo freio, esse discricionário: a administração tributária da unidade federada pode limitar ou vedar as situações em que seus contribuintes usam um PAA. Mesmo quem se encaixasse depende do estado permitir.

Quem são os PAAs de verdade: três entidades

A norma não vale sozinha: a habilitação de cada PAA é publicada em Ato COTEPE/ICMS, e existe uma relação oficial das entidades credenciadas. Conferir essa lista responde a pergunta prática melhor do que qualquer interpretação.

Na relação divulgada e nas alterações posteriores, os credenciados são três:

1. SEBRAE — Serviço Brasileiro de Apoio às Micro e Pequenas Empresas;
2. CNTA — Confederação Nacional dos Transportadores Autônomos, incluída em março de 2023;
3. Sindicato dos Produtores Rurais de Ibiá, incluído em junho de 2024.

Um órgão de apoio a pequenos negócios, uma confederação de transportadores autônomos e um sindicato rural de uma cidade de Minas Gerais. Nenhuma entidade do setor de telecomunicações. E não é acaso: o serviço tem de ser prestado de forma gratuita — quem pleiteia habilitação assume esse compromisso. Não é um mercado de fornecedores; é uma estrutura de representação de categoria.

O que mudou em 1º de setembro de 2026

Os requisitos para virar PAA foram reescritos, com efeitos a partir de 1º de setembro de 2026. Vale registrar porque a mudança confirma o desenho.

O que saiu: a exigência de atingir mil usuários vinculados antes de pedir a inclusão em Ato COTEPE — uma barreira que travava candidatos novos.

O que entrou, como requisitos cumulativos:

• CNPJ regular;
• exercer atividade de representação de categoria ou de intermediação de operações por meio de plataforma digital;
• estar apto a usar certificado digital ICP-Brasil;
• estar pré-cadastrado no portal do PAA.

Repare no segundo item. Ele põe na regra de entrada o que antes se deduzia da lista: PAA é quem representa uma categoria ou opera uma plataforma de intermediação. Uma empresa que quisesse ser PAA apenas para assinar os próprios documentos não atende ao requisito.

Junto veio um alívio operacional: verificado o atendimento dos requisitos, o interessado já pode operar, ficando a manutenção da habilitação condicionada ao envio da documentação — com bloqueio ou suspensão se ela não vier.

Por que isso não chega na sua NFCom

Some-se a isso o lado técnico, e a resposta fica fechada por dois caminhos independentes.

Primeiro, a integração. A norma diz que a comunicação entre PAA e administrações tributárias segue os padrões técnicos do manual da NF-e e do manual do próprio PAA, dentro da chamada “Plataforma de Emissão Simplificada de DFe”. O documento em torno do qual essa plataforma foi desenhada não é a NFCom.

Segundo, o que o autorizador da NFCom faz antes de olhar o conteúdo. O manual da NFCom manda aplicar, como validações básicas do serviço, dois grupos inteiros que vêm antes de qualquer regra de negócio:

• Grupo D — Validação do Certificado de Assinatura;
• Grupo E — Validação da Assinatura Digital.

São os dois primeiros portões de uma nota que ainda nem chegou às validações de CFOP, de tributo ou de cadastro. Antes de discutir se o seu item está certo, o autorizador pergunta de quem é a assinatura e se o certificado presta. É a mesma lógica das travas que vêm antes do conteúdo — como as rejeições que nascem do cadastro e não da nota.

É a mesma exigência que a norma da NFCom faz do lado do emitente: a assinatura precisa ser certificada por entidade credenciada pela ICP-Brasil, admitindo o CNPJ de qualquer estabelecimento do contribuinte — mas do contribuinte.

A responsabilidade não vai junto

Há um detalhe que interessa mesmo a quem se encaixa no PAA, e que costuma ser lido pela metade. Ao contratar o serviço, o contribuinte:

• assume a responsabilidade pela veracidade das informações e documentos fiscais que enviar ao PAA; e
• assume as obrigações tributárias, comerciais e financeiras que possam ser legalmente atribuídas a ele como resultado dessas comunicações.

Terceirizar a assinatura não terceiriza o conteúdo. É a mesma lógica que já aparece quando a nota é autorizada e mesmo assim pode ser considerada inidônea por erro que reduza imposto: o carimbo é do processo, a conta é de quem emite.

E há a contrapartida da conveniência: como as chaves são fornecidas pela administração tributária, é do contribuinte o dever de comunicar perda, roubo, suspeita de uso indevido ou desistência, pedindo a revogação. Chave esquecida em fornecedor antigo é problema de quem a solicitou.

A leitura: o certificado do provedor é infraestrutura, não burocracia

Esta é a nossa leitura: o PAA foi desenhado para quem emite pouco e não tem estrutura — e o provedor de internet é exatamente o oposto disso.

Quem o legislador tinha em mente aparece na lista de credenciados: o transportador autônomo que emite um documento por viagem, o produtor rural que emite na safra, o microempreendedor que vende por plataforma. Para eles, exigir certificado próprio e integração técnica seria barreira de entrada maior do que o próprio documento.

O provedor está no extremo contrário: emite uma nota por assinante, todo mês, em ciclo automatizado. Para esse perfil, o certificado não é obstáculo — é peça de infraestrutura, como o servidor de faturamento.

Três consequências práticas:

1. Não há atalho legal para economizar o certificado. Se um fornecedor oferecer “emissão sem certificado” para NFCom, a pergunta é qual norma ele invoca — e se a resposta for o PAA, a restrição do parágrafo segundo e a lista de credenciados respondem sozinhas.
2. O vencimento do certificado é risco de faturamento, não de TI. Como os grupos D e E rodam antes de tudo, certificado vencido não gera rejeição de item: derruba a emissão inteira, de todos os assinantes, no mesmo instante. Isso pede alarme com antecedência, não lembrete no dia.
3. Se o seu ERP também emite NF-e ou NFS-e por outra empresa do grupo, vale saber que existe essa figura — ela pode aparecer na conversa com contador ou marketplace. Para a NFCom do provedor, não.

A pergunta útil ao fornecedor, portanto, não é “dá para emitir sem certificado?”. É: “o sistema me avisa quantos dias antes do vencimento do certificado, e por qual canal?”

Onde conferir

As regras são as vigentes na data desta apuração e podem mudar por ajuste, ato ou nota técnica. A relação de entidades credenciadas é atualizada por Ato COTEPE/ICMS — confira a versão vigente antes de decidir. A permissão de uso de PAA depende ainda da unidade federada, que pode limitá-la ou vedá-la.

Fontes: Ajuste SINIEF nº 9, de 7 de abril de 2022, do Conselho Nacional de Política Fazendária — CONFAZ, em texto consolidado (cláusula primeira, com a redação do Ajuste SINIEF nº 46/25, efeitos a partir de 1º de fevereiro de 2026: definição do PAA como quem realiza, em nome do contribuinte, as comunicações com os sistemas de autorização de uso de DF-e; contribuinte emissor considerado como a pessoa física, o MEI, o Transportador Autônomo de Cargas, o produtor primário e o optante pelo Simples Nacional; e § 2º, que restringe a utilização, no caso de optantes pelo Simples Nacional e MEI, às operações e prestações realizadas por intermediadores de serviços e negócios de comércio eletrônico; cláusula segunda, com a exigência de prestação gratuita do serviço, os requisitos de habilitação na redação do Ajuste SINIEF nº 21/26, com efeitos a partir de 1º de setembro de 2026 — inscrição regular no CNPJ, atividade de representação de categoria ou de intermediação por plataforma digital, aptidão para uso de certificado ICP-Brasil e pré-cadastro no portal do PAA —, a operação condicionada com possibilidade de bloqueio ou suspensão, e o § 3º, que autoriza a unidade federada a limitar ou vedar o uso; cláusula terceira, segundo a qual a integração segue os padrões do Manual de Orientação do Contribuinte da NF-e e do Manual de Orientação do PAA, no âmbito da Plataforma de Emissão Simplificada de DFe, com as comunicações entre contribuinte e PAA assinadas com assinatura eletrônica qualificada ou avançada nos termos da Lei nº 14.063/20; cláusula quarta, com o dever de informar o CNPJ do PAA, de solicitar as chaves pública e privada fornecidas pela administração tributária, de assumir a responsabilidade pela veracidade das informações e documentos enviados e pelas obrigações tributárias, comerciais e financeiras decorrentes, e de comunicar perda, roubo, suspeita de uso indevido ou desistência para revogação das chaves; e cláusula quinta, que obriga o PAA a enviar a solicitação de emissão com a sua assinatura qualificada e a assinatura avançada do contribuinte, e a fornecer o seu certificado digital padrão ICP-Brasil), bem como o Ato COTEPE/ICMS nº 111, de 1º de dezembro de 2022, que divulga a relação de entidades credenciadas para prover os serviços do Ajuste SINIEF nº 9/22, cujo Anexo Único registra o SEBRAE, a Confederação Nacional dos Transportadores Autônomos — CNTA (acrescida pelo Ato COTEPE/ICMS nº 27/23, com efeitos a partir de 23 de março de 2023) e o Sindicato dos Produtores Rurais de Ibiá (acrescido pelo Ato COTEPE/ICMS nº 86/24, com efeitos a partir de 28 de junho de 2024); e o Manual de Orientação do Contribuinte da NFCom — Anexo I, Leiaute e Regras de Validação, versão 1.00a, no portal DF-e da SVRS (item 2.1, Regras de Validação Básicas do Serviço, que manda aplicar as validações gerais do MOC Visão Geral, entre elas o Grupo D — Validação do Certificado de Assinatura — e o Grupo E — Validação da Assinatura Digital).