A pergunta "Por que sites do governo não têm certificados de segurança?" foi bastante negativada e fechada como fora do escopo, entretanto pelos comentários (e principalmente pelos votos positivos aos comentários) pode-se ver que muitos parecem não entender o assunto a fundo e/ou apenas aproveitaram pra descer o pau no governo... (i.e. quem comentou justificou como má gestão, ausência de necessidade e até razões financeiras, e quem votou [pra fechar] sem comentar presume-se que se guiou por algum desses motivos citados acima)
A pergunta pode ser respondida em sua maior parte puramente em termos da Infraestrutura de Chave Pública (ICP ou em inglês PKI), sem entrar no mérito da gestão da TI do governo ou qualquer coisa interna a essas instituições e que não caberia discutir aqui. E sim, uma resposta seria útil, talvez não exclusivamente ao desenvolvedor (muito embora qualquer um que quisesse interagir com sites do governo programaticamente teria que lidar com certificados raiz da ICP-Brasil), mas em grande parte sim.
Não estou dizendo que é a melhor pergunta do mundo, mas ela é respondível sem sair do escopo do site - haja vista que outras perguntas conceituais sobre criptografia foram aceitas. Dei uma resposta sumarizada em comentário (que espero ser suficiente pra ajudar o AP) mas gostaria de saber se acham que a pergunta tem outros problemas, se é salvável, se há interesse nela por outras pessoas (sério que ninguém nunca se perguntou isso?), etc.
Atualização: após analisar mais exemplos e reler o que achei de relevante na legislação aplicável, optei por remover minha resposta e concordar com o fechamento da pergunta. Pois mesmo existindo um padrão de uso da ICP-Brasil pelos sites do governo, isso não só não é mandatório como existem tantos contra-exemplos quanto existem exemplos, donde concluo que não dá mesmo pra responder a essa pergunta objetivamente.
Atualização 2: abri uma nova pergunta, focada só na parte "respondível" e deixando o resto de lado, tentei não deixá-la muito ampla mas não sei se consegui...