Solução de Consulta Cosit nº 98246, de 6 de agosto de 2026

Assunto: Classificação de Mercadorias
Código NCM 8471.80.00
Mercadoria: Dispositivo de interface humana (HID) USB de autenticação (token), próprio para ser conectado como dispositivo periférico a uma máquina automática para processamento de dados, com tecnologias FIDO U2F e FIDO2 de criptografia de chave pública e privada e microcontrolador seguro dedicado à geração, armazenamento e validação criptográfica de chaves assimétricas, com suporte a algoritmos AES, ECDSA, SHA-256 e SHA-1, contendo botão sensível ao toque para confirmação física do usuário, destinado à proteção contra acesso não autorizado a contas online, para impedir ataques de phishing e roubo de credenciais, medindo 44 x 21 x 3 mm, denominado comercialmente chave de segurança (security key).
Dispositivos Legais: RGI 1 (Nota 6 C) do Capítulo 84) e RGI 6 da NCM constante da TEC, aprovada pela Resolução Gecex nº 272, de 19 de novembro de 2021, e da Tipi, aprovada pelo Decreto nº 11.158, de 29 de julho de 2022, e alterações posteriores.

SC Cosit nº 98.246-2026

Coordenação-Geral de Tributação PROCESSO 00000.000000/0000-00

SOLUÇÃO DE 98.246 – COSIT CONSULTA DATA 6 de agosto de 2026

INTERESSADO CLICAR PARA INSERIR O NOME

CNPJ/CPF 00.000.000/0000-00

Assunto: Classificação de Mercadorias

Código NCM 8471.80.00

Mercadoria: Dispositivo de interface humana (HID) USB de autenticação (token), próprio para ser conectado como dispositivo periférico a uma

máquina automática para processamento de dados, com tecnologias FIDO U2F e FIDO2 de criptografia de chave pública e privada e microcontrolador seguro dedicado à geração, armazenamento e validação criptográfica de chaves assimétricas, com suporte a algoritmos AES, ECDSA, SHA-256 e SHA- 1, contendo botão sensível ao toque para confirmação física do usuário, destinado à proteção contra acesso não autorizado a contas online, para impedir ataques de phishing e roubo de credenciais, medindo 44 x 21 x 3 mm, denominado comercialmente chave de segurança (security key).

Dispositivos Legais: RGI 1 (Nota 6 C) do Capítulo 84) e RGI 6 da NCM constante da TEC, aprovada pela Resolução Gecex nº 272, de 19 de novembro de 2021, e da Tipi, aprovada pelo Decreto nº 11.158, de 29 de julho de 2022, e alterações posteriores.

RELATÓRIO

1. Consulta o interessado quanto à classificação fiscal na Nomenclatura Comum do Mercosul – NCM, constante da Tarifa Externa Comum – TEC, aprovada pela Resolução Gecex nº 272, de 19 de novembro de 2021, e da Tabela de Incidência do Imposto sobre Produtos Industrializados – Tipi, aprovada pelo Decreto nº 11.158, de 29 de julho de 2022, para a mercadoria abaixo especificada:

[Informações protegidas por sigilo fiscal/ comercial.]

FUNDAMENTOS

Identificação da mercadoria

2. Trata-se de dispositivo de interface humana (HID) USB de autenticação (token),

próprio para ser conectado como dispositivo periférico a uma máquina automática para processamento de dados, com tecnologias FIDO U2F e FIDO2 de criptografia de chave pública e privada e microcontrolador seguro dedicado à geração, armazenamento e validação criptográfica de chaves assimétricas, com suporte a algoritmos AES, ECDSA, SHA-256 e SHA-1, contendo botão sensível ao toque para confirmação física do usuário, destinado à proteção contra acesso não autorizado a contas online, para impedir ataques de phishing e roubo de credenciais, medindo 44 x 21 x 3 mm, denominado comercialmente chave de segurança (security key).

3. Opera como chave de autenticação criptográfica baseada em hardware, gerando, armazenando e processando chaves assimétricas. Quando conectado à porta USB do equipamento, comunica-se por protocolo HID, atuando como autenticador compatível com padrões FIDO2 e WebAuthn. Durante o processo de autenticação, o dispositivo recebe do host um desafio criptográfico e utiliza a chave privada associada ao serviço para assinar digitalmente os dados recebidos, sem permitir sua extração. O botão de toque serve como confirmação física do usuário. O botão evita que um malware executado no computador utilize a chave de segurança sem o conhecimento do usuário.

Classificação fiscal

4. A classificação fiscal de mercadorias fundamenta-se nas Regras Gerais para a Interpretação do Sistema Harmonizado – RGI da Convenção Internacional sobre o Sistema Harmonizado de Designação e de Codificação de Mercadorias, nas Regras Gerais Complementares do Mercosul – RGC, nas Regras Gerais Complementares da Tipi – RGC/Tipi, nos pareceres de classificação do Comitê do Sistema Harmonizado da Organização Mundial das Aduanas – OMA e nos ditames do Mercosul, e, subsidiariamente, nas Notas Explicativas do Sistema Harmonizado – Nesh.

5. A RGI 1 dispõe que:

6. Os títulos das Seções, Capítulos e Subcapítulos têm apenas valor indicativo. Para os efeitos legais, a classificação é determinada pelos textos das posições e das Notas de Seção e de

Capítulo e, desde que não sejam contrárias aos textos das referidas posições e Notas, pelas Regras seguintes:

6. O equipamento sob consulta é utilizado como dispositivo de autenticação forte em

sistemas computacionais. Possui conector USB e um microcontrolador seguro dedicado à geração, armazenamento e processamento interno de chaves assimétricas.

7. A Nota 6 C) do Capítulo 84 define as condições para que um dispositivo seja considerado unidade de sistema automático para processamento de dados:

C) Ressalvadas as disposições das alíneas D) e E), abaixo, considera-se como fazendo parte de um sistema automático para processamento de dados, qualquer unidade que satisfaça simultaneamente as seguintes condições:

1º) Ser do tipo exclusiva ou principalmente utilizado num sistema automático para processamento de dados;

2º) Ser conectável à unidade central de processamento, seja diretamente, seja por intermédio de uma ou mais unidades;

3º) Ser capaz de receber ou fornecer dados em forma - códigos ou sinais - utilizável pelo sistema.

8. O dispositivo consultado é principalmente utilizado em sistema automático para processamento de dados, a fim de proporcionar segurança ao usuário para acesso a contas online, é conectável à unidade central de processamento e é capaz de receber e fornecer dados em forma utilizável pelo sistema. Satisfaz, portanto, às condições determinadas na Nota 6 C) e é considerado,

para a Nomenclatura, uma unidade de sistema automático para processamento de dados. Classifica- se, pela RGI 1, na posição 84.71:

84.71 Máquinas automáticas para processamento de dados e suas unidades; leitores magnéticos ou ópticos, máquinas para registrar dados em suporte sob forma codificada, e máquinas para processamento desses dados, não especificadas nem compreendidas noutras posições. (negritou-se)

9. A posição 84.71 se divide em subposições de primeiro nível:

8471.30 - Máquinas automáticas para processamento de dados, portáteis, de peso não superior a 10 kg, que contenham pelo menos uma unidade central de processamento, um teclado e uma tela (ecrã*)

8471.4 - Outras máquinas automáticas para processamento de dados:

8471.50 - Unidades de processamento, exceto as das subposições 8471.41 ou 8471.49,

podendo conter, no mesmo corpo, um ou dois dos seguintes tipos de unidades: unidade de memória, unidade de entrada e unidade de saída

8471.60 - Unidades de entrada ou de saída, podendo conter, no mesmo corpo, unidades de memória

8471.70 - Unidades de memória

8471.80.00 - Outras unidades de máquinas automáticas para processamento de dados

8471.90 - Outros

10. A RGI 6 determina que:

11. A classificação de mercadorias nas subposições de uma mesma posição é determinada, para efeitos legais, pelos textos dessas subposições e das Notas de Subposição respectivas, assim como, mutatis mutandis, pelas Regras precedentes, entendendo-se que apenas são comparáveis subposições do mesmo nível. Para os fins da presente Regra, as Notas de Seção e de Capítulo são também aplicáveis, salvo disposições em contrário.

12. Uma vez que se trata de unidade de máquina automática para processamento de dados não incluída nas subposições 8471.50 a 8471.70, o dispositivo consultado se inclui, pela RGI 6, na subposição 8471.80.00, que não possui desdobramentos em itens e subitens na Nomenclatura Comum do Mercosul.

13. Tal classificação é corroborada por parecer de classificação do Comitê do Sistema Harmonizado (CSH) da Organização Mundial das Alfândegas (OMA), internalizado pela Instrução Normativa nº 2.171, de 2 de janeiro de 2024:

8471.80 1. Processador criptográfico dotado de algoritmo de criptografia conforme à norma norte- americana de criptografia de dados (DES), ligado como dispositivo periférico a uma ou várias máquina(s) automática(s) para processamento de dados da qual (das quais) recebe instruções que lhe encarregam de efetuar as operações pré-programadas. Tem por função prover a necessária proteção dos dados (validação e criptografia) que, sem ele, deveria ser efetuada por programa instalado na máquina para processamento de dados hospedeira (central), o que permite evitar a conservação em memória na(s) máquina(s) automática(s) de processamento das bases de dados de proteção. As funções do aparelho são regidas por microprograma nele instalado quando de sua fabricação. O aparelho é equipado com

interface do tipo RS 232C. Com adequada modificação do microprograma, o aparelho pode ser utilizado por diferentes instituições financeiras para estabelecer valores criptográficos utilizados nos cartões de crédito ou débito ou para prover proteção de dados em transações financeiras.

13. O art. 2º dessa Instrução Normativa determina que:

Art. 2º Os pareceres a que se refere o art. 1º terão caráter vinculativo para a Secretaria Especial da Receita Federal do Brasil (RFB) e para os demais intervenientes no comércio internacional, e serão adotados como elemento subsidiário fundamental para a classificação de mercadorias com características semelhantes às das mercadorias objeto de sua análise. (negritou-se)

14. O consulente sugere que o dispositivo sob consulta se inclui na posição 85.23, cujo texto é:

Discos, fitas, dispositivos de armazenamento de dados não voláteis à base de semicondutores, "cartões inteligentes" e outros suportes para gravação de som ou para gravações semelhantes, mesmo gravados, incluindo as matrizes e moldes galvânicos para fabricação de discos, exceto os produtos do Capítulo 37.

15. Apesar de ter o formato de um pendrive, o token sob consulta é um dispositivo de segurança criptográfica, não um dispositivo de armazenamento de dados. Ele é utilizado para

comprovar a identidade de um usuário durante o login. O token também não é um cartão inteligente, pois a Nota 6 b) do Capítulo 85, que define “cartões inteligentes”, exige que eles sejam cartões propriamente ditos (incluindo os cartões e as etiquetas de proximidade, conforme as Nesh da posição 49.11), contendo um ou mais chips embebidos na massa, contatos, tarja magnética ou antena embebida. Os cartões não podem conter outros elementos de circuito ativos ou passivos.

Nota 6 do Capítulo 85:

6.- Na acepção da posição 85.23:

a) Entende-se por "dispositivos de armazenamento de dados não voláteis à base de semicondutores" (por exemplo, "cartões de memória flash" ou "cartões de memória eletrônica flash"), os dispositivos de armazenamento que tenham um plugue (ficha*) de conexão, que comportem no mesmo invólucro uma ou mais memórias flash (por exemplo, "flash E2PROM") na forma de circuitos integrados, montados numa placa de circuitos

impressos. Podem comportar um controlador que se apresenta com a forma de circuito integrado e elementos discretos passivos, tais como os condensadores e as resistências;

b) Entende-se por "cartões inteligentes" os cartões que comportem, embebidos na massa, um ou mais circuitos integrados eletrônicos (um microprocessador, uma memória de acesso aleatório (RAM) ou uma memória somente de leitura (ROM)), em forma de chips. Estes cartões podem apresentar-se munidos de contatos, de uma tarja (banda) magnética ou de uma antena embebida, mas que não contenham outros elementos de circuito ativos ou passivos.

Nesh da posição 49.11:

(...)

Também se excluem desta posição:

(...)

e) Os "cartões inteligentes" impressos (incluindo os cartões e etiquetas de proximidade) tal como definidos na Nota 5 b) do Capítulo 85 (posição 85.23).

(...)

16. O security key gera chaves privadas internamente por meio de um gerador de números aleatórios criptograficamente seguro implementado no hardware do dispositivo. Durante o registro da credencial, o serviço solicita a criação de uma nova credencial FIDO2. O security key

aciona seu gerador de números aleatórios seguro. A partir desses valores aleatórios, o dispositivo gera um par de chaves assimétricas, uma pública e outra privada. A chave privada é armazenada em área protegida do hardware e a chave pública é enviada ao serviço e associada à conta do usuário. A chave privada não é exportável, ou seja, nem o usuário, nem o sistema operacional, nem o navegador conseguem visualizar ou copiar seu conteúdo.

17. Portanto, apesar de o dispositivo armazenar as chaves privadas geradas em área protegida e inacessível de seu hardware, sua função é segurança criptográfica, mediante geração de chaves públicas e privadas aleatórias e autenticação do usuário por meio da “solução” do desafio criptográfico enviado pelo servidor e da confirmação do usuário por toque no botão (sensor capacitivo).

18. Diante do exposto, a posição 85.23, sugerida pelo consulente, é inaplicável.

CONCLUSÃO

19. Com base nas Regras Gerais para Interpretação do Sistema Harmonizado RGI 1 (textos da Nota 6 C) do Capítulo 84 e da posição 84.71) e RGI 6 (texto da subposição 8471.80) da Nomenclatura Comum do Mercosul – NCM constante da Tarifa Externa Comum – TEC, aprovada pela Resolução Gecex nº 272, de 19 de novembro de 2021, e da Tipi, aprovada pelo Decreto nº 11.158, de 29 de julho de 2022, e alterações posteriores, a mercadoria se classifica no código NCM 8471.80.00.

ORDEM DE INTIMAÇÃO

Aprovada a Solução de Consulta, nos termos do art. 48 da Lei nº 9.430, de 27 de dezembro de 1996, pela 3ª Turma constituída pela Portaria RFB nº 1.921, de 13 de abril de 2017, à sessão de 4 de agosto de 2026. Divulgue-se e publique-se nos termos do art. 44 da Instrução Normativa RFB nº 2.057, de 9 de dezembro de 2021.

Encaminhe-se para ciência do consulente e demais providências cabíveis.

Assinatura digital Assinatura digital YARA CARLA GIL SILVA NOVIS GILBERTO DE GUEDES VAZ Auditora-Fiscal da Receita Federal do Brasil Auditor-Fiscal da Receita Federal do Brasil Membro da 3ª Turma Membro da 3ª Turma

Assinatura digital Assinatura digital SURA HELEN COT MARCOS DANIELLE CARVALHO DE LACERDA Auditora-Fiscal da Receita Federal do Brasil Auditora-Fiscal da Receita Federal do Brasil Relatora Presidente da 3ª Turma

DANIELLE CARVALHO DE LACERDA
Presidente da 3ª Turma do Ceclam