Há dois mTLS distintos envolvidos: o do acesso e o de notificação. No do acesso, você usa seu certificado emitido pela Gerencianet para mostrar que você é você mesmo, e compara o certificado da Gerencianet com as CAs confiadas para saber se é a Gerencianet mesmo. No de notificação, você apresentar uma CA confiada e a Gerencianet apresenta um certificado dela emitido pela CA dela.