VORIK LABS

Início › Mercados regulados › Setor financeiro

Mercados regulados · Setor financeiro

Banco Central: segurança cibernética não é opcional.

Bancos, fintechs, instituições de pagamento e empresas que se conectam ao Pix seguem regras detalhadas do Conselho Monetário Nacional e do Banco Central. Desde 1º de março de 2026, elas ficaram mais rígidas.

Em uma frase: quem é autorizado pelo Banco Central precisa ter política de segurança cibernética aprovada, diretor responsável, controles técnicos mínimos, teste de intrusão anual e regras claras para a nuvem.

Quem precisa cumprir

As regras se dividem conforme o tipo de instituição, mas o conteúdo é praticamente o mesmo.

Bancos e demais instituições autorizadas pelo BCInstituições de pagamentoCorretoras e distribuidoras (CTVM e DTVM)Corretoras de câmbioPrestadoras de serviços de ativos virtuaisEmpresas de tecnologia que conectam instituições ao Pix e à RSFN (PSTI)

As regras que importam

O que cada norma pede, em linguagem direta.

CMN

Resolução CMN nº 4.893/2021, atualizada pela 5.274/2025

É a regra principal para bancos e demais instituições autorizadas. Exige política de segurança cibernética, plano de resposta a incidentes, diretor responsável e regras para contratar processamento e armazenamento em nuvem.

Banco Central

Resolução BCB nº 85/2021, atualizada pela 538/2025

Repete a mesma lógica para instituições de pagamento, corretoras, distribuidoras, corretoras de câmbio e, desde 2026, prestadoras de serviços de ativos virtuais.

Banco Central

Resolução BCB nº 498/2025 e IN BCB nº 664/2025

Tratam das empresas de tecnologia (PSTI) que conectam instituições ao Pix e à Rede do Sistema Financeiro: credenciamento, certificação de segurança, auditoria anual e prazos curtos de adequação.

Banco Central

Regras antifraude do Pix

O MED 2.0, que rastreia e recupera valores de golpes, é obrigatório desde 2 de fevereiro de 2026. Pagamentos para contas com suspeita fundada de fraude devem ser recusados (Resolução BCB nº 501/2025), e há teto de R$ 15 mil por transação para quem se conecta sem as garantias exigidas.

Lei

Sigilo bancário e LGPD

A Lei Complementar nº 105/2001 protege o sigilo das operações. A LGPD vale integralmente: dados de clientes exigem segurança, finalidade clara e comunicação de incidentes à ANPD.

CMN e BCB

Open Finance (Resolução Conjunta nº 1/2020)

O cliente autoriza o compartilhamento por finalidade específica e por até 12 meses, sem opção pré-marcada, e pode revogar a autorização a qualquer momento.

Números para não esquecer

1º/3/2026prazo de adequação às Resoluções CMN 5.274 e BCB 538
1 por anoteste de intrusão independente e documentado, no mínimo
10 diaspara comunicar ao BC a contratação de serviço relevante em nuvem
31/3data-limite do relatório anual à alta administração
5 anosguarda de documentos, relatórios e testes
3 dias úteispara comunicar à ANPD incidente com dados pessoais de risco relevante

O que precisa existir na prática

Itens que o Banco Central pode pedir para ver em uma fiscalização.

Política de segurança cibernéticaAprovada pelo conselho ou pela diretoria, compatível com o porte e revisada ao menos uma vez por ano.
Diretor responsávelUm diretor indicado ao BC responde pela política e pelo plano de resposta a incidentes.
Autenticação multifatorObrigatória no acesso à rede corporativa a partir de fora e no acesso administrativo aos ambientes do Pix e do STR.
Pix e STR isoladosAmbientes ligados à Rede do Sistema Financeiro separados física e logicamente, e prestadores sem acesso às chaves privadas.
Teste de intrusão anualFeito por profissional ou empresa especializada e independente, com resultado documentado e guardado.
Vulnerabilidades e ameaçasVarreduras com correção rápida, trilhas de auditoria de ponta a ponta e monitoramento de ameaças, inclusive na deep e dark web.
Nuvem sob controleAvaliação prévia do fornecedor, cláusulas obrigatórias no contrato, acesso garantido ao BC e comunicação da contratação em até 10 dias.
Relatório anualCom incidentes relevantes, testes de continuidade e de intrusão e planos de ação, apresentado até 31 de março.
Cultura e orientação a clientesProgramas de conscientização para equipe e orientações de segurança para clientes e usuários.
Guarda por 5 anosPolítica, relatórios, resultados dos testes de intrusão e contratos de nuvem guardados por pelo menos 5 anos.

Se acontecer um incidente

O Banco Central pede comunicação tempestiva, e a LGPD fixa prazo próprio quando há dados pessoais.

  1. Acione o plano de respostaSiga o plano aprovado e envolva o diretor responsável desde o início.
  2. Contenha e preserve evidênciasIsole o que foi afetado e registre tudo o que aconteceu, com horários.
  3. Comunique o Banco CentralIncidentes relevantes e interrupções que configurem crise devem ser comunicados de forma tempestiva, conforme o plano de continuidade.
  4. Avalie os dados pessoaisSe houver risco ou dano relevante aos titulares, comunique a ANPD e os titulares em até 3 dias úteis.
  5. Registre causa e impactoDocumente a causa, o impacto e as correções, e leve o caso ao relatório anual.

Como a VORIK LABS ajuda

Cada exigência ligada a um serviço concreto.

Pentest anual independenteTeste de intrusão documentado, que atende ao art. 22-A das Resoluções CMN 4.893 e BCB 85.
Diagnóstico de aderênciaComparação da sua operação com cada exigência das normas e plano de ação priorizado.
Resposta a incidentesPlano de resposta, playbooks e exercícios de mesa com a diretoria.
Campanhas antiphishingCultura de segurança e orientação a clientes, como pedem as normas.

Conteúdo informativo, atualizado em 18 de outubro de 2026. Ele resume as normas em linguagem simples e não substitui a leitura do texto oficial nem uma análise do seu caso.

Fontes oficiais:

Quer saber quanto falta para a sua organização cumprir essas regras?

Solicitar diagnóstico