BACEN · SEGURANÇA CIBERNÉTICA
A revisão de dezembro de 2025 trocou um texto de princípios por uma lista do que precisa existir, item a item. Instituição de pagamento, corretora, distribuidora e corretora de câmbio autorizadas pelo Banco Central tinham até 1º de março de 2026 para se adequar. Quem não chegou lá não está atrasado em relação a uma boa prática: está em desconformidade com norma vigente.
A DM11 implanta os controles com o seu time e executa o teste de intrusão que a norma exige. Quando fazemos as duas coisas, o teste é conduzido por equipe independente da que implantou, porque a norma pede independência e imparcialidade e misturar os papéis fragiliza a evidência. A supervisão é do Banco Central, e a interpretação regulatória é acompanhada pelo jurídico da sua instituição.
Quem conduz a adequação
Equipe própria de teste de intrusão, com CEH, CPTE, SYCP e SYES
CISA, auditoria de sistemas de informação
ISO/IEC 27001 Lead Auditor certificado pela BSI
17 anos de governança, riscos e conformidades
O QUE MUDOU
A Resolução BCB 85, de 8 de abril de 2021, definiu a política de segurança cibernética das instituições de pagamento, e a Resolução BCB 538, de dezembro de 2025, a reescreveu em boa parte. O texto anterior descrevia o que a política deveria contemplar; o atual lista o que precisa estar implantado, e detalha cada item em parágrafo próprio. A mesma lógica vale para as instituições financeiras, pela trilha das resoluções do Conselho Monetário Nacional.
O art. 3º, § 2º lista autenticação, criptografia, prevenção e detecção de intrusão, prevenção de vazamento, proteção contra software malicioso, rastreabilidade, cópias de segurança, avaliação e correção de vulnerabilidades, controles de acesso, perfis de configuração segura, proteção de rede, gestão de certificados digitais, segurança na integração por interfaces eletrônicas e, no item catorze, ações de inteligência no ambiente cibernético, com monitoramento na internet, na Deep Web e na Dark Web, além de grupos privados de comunicação. Monitorar Dark Web deixou de ser serviço opcional.
O art. 22-A é específico: periodicidade mínima anual, execução com independência e imparcialidade por pessoa natural ou empresa especializada contratada para essa finalidade, e resultados documentados com plano de ação para as vulnerabilidades encontradas. E diz, com todas as letras, que isso não afasta os testes feitos pela equipe interna, ou seja, o time de casa não substitui o teste independente. O resultado ainda entra no relatório anual.
O art. 3º-A trata da comunicação na rede do sistema financeiro nacional e exige múltiplos fatores de autenticação no acesso administrativo ao Pix e ao sistema de transferência de reservas, isolamento físico e lógico do ambiente Pix dos demais sistemas, com instância dedicada quando houver nuvem contratada, validação de integridade fim a fim das transações antes da assinatura e vedação de acesso de prestador de serviço às chaves privadas de assinatura de mensagens.
O art. 2º da Resolução 538 deu às instituições em funcionamento até essa data para promover as adaptações. Não há escalonamento por porte nem regime de transição. Para quem está fora, a pergunta deixou de ser quando começar e passou a ser em que ordem fechar, com o que é documentável primeiro.
QUEM PRECISA
O alcance da Resolução 538 vai além do que muita gente imagina: instituições de pagamento, sociedades corretoras e distribuidoras de títulos e valores mobiliários e sociedades corretoras de câmbio autorizadas pelo Banco Central.
A operação escalou, o time de tecnologia acompanhou o produto e a segurança ficou no que dava para fazer. Existe política aprovada porque alguém precisou aprovar uma, e existe distância entre ela e o que roda de fato. É o caso mais comum, e o mais rápido de resolver quando alguém mede antes de opinar.
Corretoras e distribuidoras de títulos e valores mobiliários e corretoras de câmbio estão nomeadas na resolução. Parte delas tratava segurança cibernética como assunto de boa prática, e passou a ter obrigação com artigo, prazo e supervisão.
Foi feita para a redação antiga, aprovada pela diretoria e arquivada. Ela não menciona os catorze controles nem o teste anual independente, e não vai mencionar sozinha. Aqui o trabalho começa comparando o que existe com o que a redação atual pede, e a lacuna costuma ser menor do que o susto inicial.
HISTÓRIAS
Trocamos os nomes dos clientes com o mesmo sigilo que vai proteger a sua instituição depois. Os nomes mudam, o padrão dos problemas se repete. Quando o cliente autoriza, mostramos referências com nome numa conversa.
Instituição de pagamento
Existia política de segurança cibernética aprovada, bem escrita e genérica. Quando a redação nova trouxe a lista item a item, ninguém conseguia dizer quais dos catorze controles estavam implantados, porque o documento falava em objetivos e não em controle com dono e evidência.
Montamos a leitura na ordem da norma, controle a controle, exigindo evidência para cada um marcado como atendido. O que existia de fato ficou provado; o que era intenção virou plano com responsável e data. A política foi reescrita depois, e não antes, para refletir a operação real.
Nove dos catorze já existiam e ninguém sabia demonstrar. O trabalho pesado ficou concentrado nos cinco restantes, e a diretoria passou a discutir um plano curto em vez de um projeto indefinido.
Corretora de valores
A instituição acompanhava as normas de segurança cibernética à distância, entendendo que se aplicavam a banco e a instituição de pagamento. A redação atual nomeia sociedades corretoras, e a percepção mudou quando o prazo já estava perto.
Começamos pelo enquadramento, com o jurídico, para não trabalhar sobre suposição. Definido o alcance, priorizamos o que é documentável rápido, controle de acesso, revisão de permissões e múltiplos fatores no acesso externo, e deixamos para depois o que depende de investimento.
Em poucas semanas a instituição saiu de não ter resposta para ter plano datado e evidência do que já estava fechado, que é a diferença entre estar atrasado e estar sem nada a mostrar.
Fintech com Pix
O ambiente que se comunica com o Pix rodava na mesma infraestrutura do restante da plataforma, com acesso administrativo por credencial única e sem separação. Funcionava bem, e era exatamente o que a redação nova passou a proibir.
Separamos o ambiente Pix física e logicamente do resto, com instância dedicada na nuvem contratada, e implantamos múltiplos fatores no acesso administrativo. Revisamos também quem, entre os prestadores, tinha alcance às chaves privadas usadas na assinatura de mensagens.
A revisão de chaves foi o achado que ninguém esperava: um prestador tinha acesso que não precisava e ninguém lembrava de ter concedido. Cortado antes de virar apontamento.
COMO CONDUZIMOS
A norma é prescritiva, então a avaliação também é: cada controle atende ou não atende, com evidência anexada. Nota subjetiva não serve aqui, porque o supervisor não pergunta o quanto a instituição acha que está madura, pergunta se o controle existe e pede para ver.
Confirmamos com o jurídico qual resolução alcança a instituição, porque a trilha das instituições de pagamento e a das financeiras são diferentes. Depois lemos os controles contra o ambiente real, um a um, exigindo evidência para cada resposta positiva.
Enquadramento confirmado, com a resolução aplicável identificada
Avaliação dos catorze controles, com evidência por item
Leitura separada dos requisitos de Pix, STR e conexão com a rede do sistema financeiro
Lacunas em ordem de risco e de esforço, com o que é rápido separado do que exige investimento
Marco de entregaEstado atual medido, sem controle marcado como atendido sem documento que o sustente.
Implantamos com seu time o que a lista pede: segmentação de rede protegendo produção, múltiplos fatores no acesso externo, revisão de permissões incluindo terceirizados, perfis de configuração segura, rastreabilidade com retenção definida, guarda de chaves privadas e as ações de inteligência, inclusive o monitoramento em Deep Web e Dark Web.
Segmentação de rede e isolamento dos ambientes críticos
Múltiplos fatores de autenticação no acesso externo e no acesso administrativo a Pix e STR
Trilhas de auditoria com retenção definida por tipo de processamento
Monitoramento de inteligência cibernética em operação, com relatório periódico
Marco de entregaControles de maior risco implantados e verificados, com evidência arquivada.
Executamos o teste que o art. 22-A pede, com equipe independente de quem implantou. Metodologia declarada, resultado documentado e plano de ação para cada vulnerabilidade encontrada, no formato que o relatório anual vai precisar citar.
Teste de intrusão com escopo e metodologia declarados
Relatório com as vulnerabilidades e a criticidade de cada uma
Plano de ação de correção, com responsável e prazo
Reteste das correções, para a evidência fechar o ciclo
Marco de entregaTeste executado por equipe independente, com plano de ação documentado.
Organizamos o que o relatório anual precisa carregar, incluindo resultados dos testes e os planos de correção, e definimos a rotina que mantém tudo vivo: quem revisa, quando, e onde a documentação fica guardada pelo prazo que a norma exige.
Insumos do relatório anual organizados para a data-base
Repositório de evidências, com prazo de guarda definido
Rotina de revisão da política e do plano de resposta a incidentes
Calendário do próximo ciclo, incluindo o teste do ano seguinte
Marco de entregaRelatório anual pronto para levar ao conselho, com evidência rastreável em cada afirmação.
QUANTO TEMPO LEVA
Não publicamos prazo padrão, porque prazo publicado vira promessa. Com o prazo regulatório já vencido, a conversa que interessa não é quanto tempo leva o todo, e sim o que dá para fechar e documentar primeiro. Estes são os três fatores que mais mexem no relógio.
Instituição que já mantinha o ambiente Pix isolado resolve o art. 3º-A com ajuste. Quem roda tudo junto tem pela frente uma mudança de arquitetura, e essa é a parte mais longa do projeto inteiro, com ou sem nuvem.
Documento aprovado e não implantado é o caso mais frequente, e ele engana nos dois sentidos. Às vezes a instituição está bem melhor do que o papel sugere, porque a equipe fez sem registrar. Às vezes é o contrário, e é pior descobrir isso durante uma supervisão.
O serviço de comunicação na rede do sistema financeiro passou a ser considerado relevante para as regras de contratação, o que puxa esses contratos para dentro das exigências de nuvem, com comunicação prévia ao Banco Central. Revisar contrato depende do fornecedor, e essa costuma ser a conversa mais lenta.
A NORMA EXIGE SEPARAÇÃO
Este é o único ponto desta página em que a separação de papéis não é escolha nossa nem boa prática de mercado: está escrita no art. 22-A. O teste de intrusão precisa ser realizado com independência e imparcialidade, por pessoa natural ou empresa especializada contratada para essa finalidade, e o texto deixa claro que testes conduzidos pela equipe da própria instituição não ocupam esse lugar. Quando a DM11 implanta e testa, as duas frentes são conduzidas por equipes diferentes.
Periodicidade mínima anual, e o teste da equipe interna não substitui
Resultado documentado, com plano de ação para cada vulnerabilidade
Os resultados e os planos entram no relatório anual
Quando implantamos e testamos, quem testa não é quem implantou
PERGUNTAS FREQUENTES
As dúvidas que aparecem em quase toda primeira reunião, respondidas sem rodeio.
A Resolução BCB 85, com a redação atual, nomeia instituições de pagamento, sociedades corretoras e distribuidoras de títulos e valores mobiliários e sociedades corretoras de câmbio autorizadas pelo Banco Central. Instituições financeiras seguem a trilha das resoluções do Conselho Monetário Nacional, com estrutura equivalente. O enquadramento é a primeira coisa que confirmamos, com o seu jurídico, porque trabalhar sobre suposição aqui custa caro nos dois sentidos.
A avaliação percorre os catorze controles e os requisitos de Pix e STR, com evidência exigida em cada resposta positiva. Você sai com o retrato do estado atual, a lista do que falta em ordem de risco e o que dá para documentar primeiro.
Comparativos sobre este assunto
Ver os 13 comparativos