BCB e CMN atualizam política de segurança cibernética, ampliam controles para sistemas próprios e de terceiros, e qualificam comunicação na RSFN como serviço relevante
Em uma movimentação estratégica para elevar a segurança cibernética no Sistema Financeiro Nacional, o Banco Central do Brasil e o Conselho Monetário Nacional aprovaram novos normativos que atualizam políticas, requisitos e práticas de proteção. Em nota, foi afirmado que “O Banco Central do Brasil (BCB) e o Conselho Monetário Nacional (CMN) aprovaram normativos que tratam da política de segurança cibernética e dos requisitos para contratação de serviços de processamento e armazenamento de dados e computação em nuvem pelas instituições autorizadas a funcionar pelo BCB.”
O objetivo é padronizar controles, fortalecer a governança e blindar infraestruturas críticas como a Rede do Sistema Financeiro Nacional e os sistemas de pagamento do país. Segundo o órgão, “A iniciativa busca uniformizar o ambiente regulatório e fortalecer a segurança das infraestruturas de comunicação de dados e dos sistemas de pagamentos do Sistema Financeiro Nacional (SFN) e do Sistema de Pagamentos Brasileiro (SPB).”
O pacote de medidas responde à transformação digital acelerada do setor, impulsionada por canais eletrônicos e pela popularização do Pix. De acordo com o comunicado, “O aprimoramento ocorre em resposta à crescente digitalização do setor e à implantação do Pix, que ampliou o tráfego na Rede do Sistema Financeiro Nacional (RSFN).”
O que muda nas regras de segurança cibernética
As novas diretrizes elevam a barra para a segurança cibernética das instituições financeiras, exigindo práticas robustas e verificáveis. Entre os destaques, está a incorporação de requisitos mínimos adicionais às políticas internas, com ênfase em gestão de riscos, prevenção e resposta a incidentes. O texto oficial detalha que haverá “Incorporação de requisitos mínimos adicionais à política de segurança cibernética das instituições, como gestão de certificados digitais, integração segura de sistemas, ações de inteligência cibernética, rastreabilidade de operações, testes de intrusão, controles de acesso, proteção de rede e aplicação regular de correções;”
Outra mudança relevante é a ampliação do escopo dos controles de segurança, agora abrangendo o ciclo completo de desenvolvimento de software, incluindo soluções adquiridas ou desenvolvidas por terceiros, além de novas tecnologias. Conforme a redação, haverá “Ampliação do escopo dos controles de segurança para o desenvolvimento de sistemas de informação e adoção de novas tecnologias, incluindo sistemas adquiridos ou desenvolvidos por terceiros;”
Para a comunicação eletrônica de dados na RSFN, especialmente nos ambientes Pix e Sistema de Transferência de Reservas, os requisitos ficam ainda mais rígidos. O normativo prevê “Reforço dos requisitos de segurança para comunicação eletrônica de dados com a RSFN, especialmente nos ambientes Pix e Sistema de Transferência de Reservas (STR), como autenticação multifatorial, isolamento de ambientes, monitoramento de credenciais e vedação de acesso de terceiros às chaves privadas das instituições;” Medidas como autenticação multifatorial, isolamento de ambientes e proteção de chaves privadas elevam o padrão de proteção em integrações críticas.
Testes de intrusão, nuvem e rastreabilidade sob escrutínio
Os normativos também instituem uma cultura permanente de avaliação técnica, determinando a execução recorrente de testes de intrusão. As instituições deverão realizar ensaios anuais por profissionais independentes, com documentação detalhada dos resultados e dos planos de ação. O texto deixa claro a exigência de “realização anual de testes de intrusão por profissionais independentes, com documentação dos resultados e planos de ação para correção de vulnerabilidades, mantidos à disposição do Banco Central por cinco anos;”
No ambiente de computação em nuvem, a diretriz reforça a necessidade de gestão de riscos e de supervisão sobre provedores, com controles específicos para segurança, resiliência e continuidade. A rastreabilidade de operações, a integração segura de sistemas e a aplicação regular de correções emergem como pilares operacionais, reduzindo superfícies de ataque e aumentando a capacidade de detecção e resposta.
Ao qualificar a comunicação eletrônica de dados na RSFN como serviço estratégico, o Banco Central sinaliza maior rigor na cadeia de fornecimento e na contratação de terceiros. O documento classifica a atividade como “serviço relevante para fins de contratação, sujeito a padrões rigorosos de gestão de riscos e supervisão pelo BCB.”
Prazos, governança e alinhamento internacional
As instituições autorizadas terão um período definido para adequação dos processos, sistemas e contratos às novas regras de segurança cibernética. O cronograma oficial estabelece que “O prazo para adequação das instituições às novas regras será até 1º de março de 2026.” Esse intervalo deverá ser utilizado para aprimorar controles, atualizar políticas internas, revisar integrações com terceiros e reforçar a conformidade com as exigências para Pix, STR e RSFN.
Os normativos se inserem em uma agenda de revisão regulatória mais ampla, dedicada à resiliência cibernética do sistema financeiro. Segundo o Banco Central, trata-se de um movimento alinhado às melhores práticas internacionais, com foco em proteção de infraestruturas críticas, mitigação de riscos e promoção de um ambiente seguro para a inovação digital. Nesse contexto, ganham relevância as referências explícitas à Resolução BCB 538/2025 e à Resolução CMN 5.274/2025, que detalham diretrizes e obrigações para instituições e prestadores de serviços.
Ao exigir autenticação multifatorial, monitoramento de credenciais, isolamento de ambientes e proibir o acesso de terceiros às chaves privadas das instituições, a regulação endereça vetores de ataque recorrentes e reforça a governança de identidade. Com os testes de intrusão anuais e a guarda de registros por cinco anos, a supervisão do BCB ganha capacidade de verificar evidências, avaliar a eficácia dos controles e induzir melhorias contínuas.
Para o usuário final, as medidas tendem a ampliar a confiança em pagamentos instantâneos e transferências entre bancos, já que elevam a proteção da base tecnológica do Sistema de Pagamentos Brasileiro. Para as instituições, a atualização normativa consolida um patamar mais alto de conformidade em segurança cibernética, com impactos diretos nas operações de TI, no relacionamento com provedores de nuvem e na gestão de riscos corporativos.
Em síntese, o reforço regulatório do BCB e do CMN cria um trilho claro para a segurança cibernética no sistema financeiro, combinando requisitos técnicos, governança e supervisão. Com prazo definido e regras precisas para RSFN, Pix e STR, a mensagem é inequívoca, preparar a infraestrutura agora para garantir continuidade, integridade e confiança nas transações digitais que sustentam a economia.