Se há um ponto que o C-level ainda subestima, é este: o próximo ataque cibernético não ameaça apenas seus sistemas, pode comprometer sua licença perante o Banco Central. Tratar incidentes como um problema técnico, restrito à TI, é um erro que o ambiente regulatório brasileiro já não tolera. Em 2026, um ataque deixou de ser um evento operacional para se tornar um evento regulatório, com impacto direto na continuidade do negócio e na responsabilização da alta administração.
Essa mudança não é conceitual, é normativa. Ela está estruturada nas Resoluções CMN nº 4.893/2021 e BCB nº 85/2021, e foi significativamente aprofundada pelas atualizações das Resoluções CMN nº 5.274/2025 e BCB nº 538/2025. O que essas normas fizeram foi simples e, ao mesmo tempo, disruptivo: transformaram controles técnicos em obrigações legais auditáveis, elevando a resposta a incidentes ao nível de requisito de sobrevivência institucional.
Essas normas não apenas estabelecem diretrizes genéricas. Elas transformam controles técnicos em deveres jurídicos auditáveis. Isso significa que a instituição não precisa apenas estar segura, ela precisa provar, de forma contínua e estruturada, que está segura. E é exatamente nesse ponto que o jurídico deixa de ser coadjuvante e passa a operar como elemento central da engrenagem de sobrevivência institucional.
A primeira exigência crítica dessas normas está na definição prévia do que se considera uma "situação de crise". Diferentemente do parâmetro mais difundido da LGPD, que trabalha com a lógica de comunicação em até 72 horas, o Banco Central exige algo mais sofisticado: a instituição deve estabelecer, documentar e aprovar previamente os critérios objetivos que caracterizam uma crise cibernética. Uma vez atingido esse limiar, a comunicação ao regulador deve ser imediata, estruturada e tecnicamente consistente. Não se trata de um simples aviso. É uma narrativa formal que precisa demonstrar domínio sobre o incidente, indicar impactos relevantes e, principalmente, detalhar as medidas adotadas para a normalização segura das operações. Uma comunicação falha, incompleta ou precipitada pode ser interpretada como desorganização, negligência ou até ocultação de informações.
Essa lógica regulatória desloca o risco para o topo da organização. As Resoluções CMN nº 4.893/2021 e BCB nº 85/2021 exigem a designação formal de um diretor responsável pela política de segurança cibernética e pelo plano de resposta a incidentes. Além disso, tanto a política quanto o plano precisam ser aprovados pelo conselho de administração e revisados, no mínimo, anualmente. O que isso significa na prática é que a cibersegurança deixou de ser uma pauta técnica e passou a integrar o campo da responsabilidade fiduciária dos administradores. O C-level não apenas acompanha, ele responde.
As atualizações regulatórias de 2025 elevaram ainda mais esse nível de exigência. Com as Resoluções CMN nº 5.274/2025 e BCB nº 538/2025, o Banco Central consolidou uma mudança importante: práticas antes tratadas como boas recomendações passaram a ser obrigações legais inegociáveis. Entre elas, destaca-se o isolamento físico e lógico de ambientes críticos, como o ecossistema do Pix e o Sistema de Transferência de Reservas (STR), inclusive quando operados em nuvem, exigindo instâncias dedicadas e segregadas. Soma-se a isso a obrigatoriedade de testes de intrusão anuais, conduzidos por agentes independentes, e a imposição de atividades de inteligência cibernética, com monitoramento ativo de ameaças na internet aberta, deep web, dark web e até em grupos privados de comunicação.
O ponto mais sensível, no entanto, não está apenas na implementação desses controles, mas na capacidade de demonstrá-los. A regulação exige evidência. Logs, relatórios, atas, contratos, planos de ação e registros de correção precisam estar organizados e disponíveis. Isso porque o Banco Central não audita apenas o incidente. Ele audita a jornada da instituição antes, durante e depois do evento.
Essa exigência se torna ainda mais complexa no contexto da terceirização e da computação em nuvem. As normas são claras ao estabelecer que a responsabilidade pela segurança e pela conformidade não se transfere ao fornecedor. A instituição contratante continua sendo integralmente responsável. Por isso, os contratos com provedores precisam refletir integralmente as exigências regulatórias, incluindo cláusulas que assegurem o acesso irrestrito do Banco Central aos dados, relatórios de auditoria, backups e estruturas do fornecedor. Devem prever também continuidade operacional em caso de intervenção do regulador, mecanismos de portabilidade e exclusão definitiva de dados ao término da relação contratual. Caso esses elementos não estejam adequadamente previstos, o Banco Central pode vetar a contratação ou impor restrições, o que, na prática, pode inviabilizar a operação da instituição.
Mas é no pós-incidente que o rigor regulatório revela seu ponto mais crítico. Durante um ataque, existe uma tensão natural entre a necessidade de restaurar rapidamente os sistemas e a necessidade de preservar evidências. A resposta técnica, focada em contenção e recuperação, muitas vezes entra em conflito com a investigação forense, que exige tempo e método para garantir a integridade da prova. Se a instituição prioriza apenas a retomada operacional e negligencia a preservação, ela perde a capacidade de demonstrar o que aconteceu, como reagiu e quais medidas adotou. E sem essa capacidade, sua defesa perante o regulador fica comprometida.
As Resoluções CMN nº 4.893/2021 e BCB nº 85/2021 estabelecem, no artigo 23, uma obrigação central: a guarda de toda a documentação relacionada à segurança cibernética e aos incidentes por um período mínimo de cinco anos. Isso inclui políticas aprovadas, atas de conselho, planos de resposta, relatórios anuais, contratos de terceiros e, especialmente após as atualizações de 2025, os resultados dos testes de intrusão e os respectivos planos de ação corretiva. Esse ponto traz um risco relevante. Se um ataque explorar uma vulnerabilidade que já havia sido identificada em um teste anterior e não foi corrigida, o problema deixa de ser técnico e passa a ser caracterizado como falha de governança, potencialmente negligência.
Diante desse cenário, não basta cumprir a norma de forma reativa. O que o setor financeiro começa a demandar, e o que diferencia instituições resilientes, é a adoção de um protocolo inteligente de gestão de incidentes cibernéticos. Esse protocolo não é um documento estático, mas uma arquitetura integrada que conecta jurídico, tecnologia, risco e alta administração.
Um protocolo inteligente parte de alguns pilares claros. Primeiro, a definição jurídica e técnica precisa dos critérios de crise, alinhada às exigências do Banco Central. Segundo, a integração em tempo real entre SOC, equipes de resposta a incidentes e jurídico, permitindo que decisões técnicas sejam tomadas com consciência do impacto regulatório. Terceiro, a existência de playbooks previamente estruturados, com fluxos de decisão, responsáveis definidos e modelos de comunicação já validados. Quarto, a governança de evidências, garantindo desde o início a preservação da cadeia de custódia e a rastreabilidade das ações tomadas. E, por fim, a retroalimentação do sistema por meio de relatórios anuais, testes contínuos e atualização permanente dos controles.
Esse tipo de protocolo transforma a resposta a incidentes em um processo controlado, auditável e defensável. Ele reduz o risco de decisões improvisadas, evita a produção de provas contra a própria instituição e fortalece a posição perante o regulador.
No fundo, o que está em jogo é uma mudança de paradigma. O jurídico não atua mais apenas na defesa após o problema. Ele participa da construção da arquitetura que permite à instituição atravessar a crise. Ele traduz a linguagem técnica em linguagem regulatória, estrutura contratos que sustentam a operação e garante que cada ação tomada durante o incidente possa ser demonstrada de forma clara e consistente.
Para o C-level, a leitura é direta. O risco cibernético no setor financeiro não é mais um risco operacional isolado. Ele é um risco regulatório, reputacional e de continuidade de negócio. A pergunta relevante deixou de ser se a instituição está protegida contra ataques. A pergunta correta é se ela está juridicamente preparada para sobreviver a um ataque sob o escrutínio do Banco Central.
As instituições que entenderem essa lógica tendem a sair mais fortes das crises. As que não entenderem correm o risco de descobrir, no pior momento possível, que o problema nunca foi apenas tecnologia. Sempre foi governança.
Publicado originalmente em TI Inside, em 2 de maio de 2026.
Walter Calza Neto
Fundador da VORIK LABS. Encarregado de dados (DPO) e Compliance Officer em organizações dos setores esportivo, financeiro, de saúde suplementar e público, perito judicial no TJSP e colunista de cibersegurança e proteção de dados da TI Inside.