Loading the Elevenlabs Text to Speech AudioNative Player...
As Resoluções BCB 538 e CMN 5.274, ambas de 18 de dezembro de 2025, atualizaram o marco regulatório brasileiro de segurança cibernética em instituições financeiras e entidades relacionadas, por meio de alterações às normas de 2021 (Resolução BCB nº 85/2021 e CMN nº 4.893/2021).
Esta regulamentação é crucial diante do cenário atual de ameaças no setor financeiro, com o aumento de transações via Pix e a evolução de ataques utilizando inteligência artificial no Brasil, e busca aumentar a confiança do consumidor no sistema financeiro digital brasileiro por meio do reforço da segurança nas operações de crédito e pagamentos.
Este artigo é voltado a profissionais que atuam com segurança cibernética no mercado financeiro e tem como objetivo explicar o que mudou em 2025 e o que passa a ser exigido de forma mais verificável.
As alterações de 2025 reforçam controles que precisam ser implementados e evidenciados, incluindo requisitos voltados a ambientes e operações sensíveis. Nesse contexto, o teste de intrusão ganha um papel central como mecanismo de comprovação: não basta “testar”, mas demonstrar independência, registrar vulnerabilidades e manter um plano de ação e remediação com rastreabilidade.
Contexto regulatório e escopo das normas
As Resoluções BCB 538/2025 e CMN 5.274/2025 são atos normativos publicados no âmbito das competências do Banco Central do Brasil (BCB) e do Conselho Monetário Nacional (CMN), respetivamente. Ambas atualizam o arcabouço iniciado em 2021 sobre a política de segurança cibernética e requisitos para contratação de serviços de processamento/armazenamento de dados e computação em nuvem.
Entre os objetivos principais das normas, destacam-se:
- Assegurar a confidencialidade, integridade e disponibilidade dos dados e sistemas;
- Mitigar vulnerabilidades e prevenir incidentes;
- Responsabilizar as instituições financeiras pela segurança da informação, inclusive quando dados e serviços são terceirizados;
A quem se aplicam as resoluções CMN nº 5.274 e BCB nº 538
A Resolução CMN 5.274 aplica-se às instituições autorizadas a funcionar pelo Banco Central do Brasil. Já a BCB nº 538/2025 define um escopo que inclui instituições de pagamento e também certas instituições do mercado (como sociedades corretoras e distribuidoras de títulos e valores mobiliários e sociedades corretoras de câmbio) autorizadas a funcionar pelo BCB, conforme o art. 1º do normativo de 2021.
Além de delimitar o escopo de instituições, esta norma também detalha controles para cenários técnicos específicos, sobretudo aqueles relacionados à conectividade e infraestrutura, como a comunicação eletrônica de dados na Rede do Sistema Financeiro Nacional (RSFN), e faz menções expressas a ambientes e sistemas críticos, como Pix e Sistema de Transferência de Reservas (STR).
Esse grau de especificidade é relevante porque ajuda a identificar quais componentes devem ser tratados como críticos para fins de implementação de controles, monitoramento e testes técnicos, incluindo a definição do que deve ser contemplado no escopo de avaliações de segurança e testes de intrusão.
O que mudou em 2025
As Resoluções BCB nº 538/2025 e CMN nº 5.274/2025 reforçam o arcabouço de 2021 e, sobretudo, deslocam o foco de “ter uma política” para “demonstrar controles em operação“. O Banco Central descreve mudanças, como a incorporação de requisitos mínimos adicionais, o reforço de exigências para a Rede do Sistema Financeiro Nacional (com destaque para Pix e STR), a ampliação do escopo para sistemas de terceiros e a exigência anual de testes de intrusão independentes, com retenção de evidências.
A nova regulação exige que a segurança cibernética seja parte da estratégia corporativa das empresas e que a segurança cibernética seja proativa e não apenas reativa.
| BCB 85 e CMN 4.893 (2021) | BCB 538 e CMN 5.274 (2025) | O que muda na prática | |
|---|---|---|---|
| Enfoque geral | Política e governança como eixo (regras gerais) | Maior ênfase em controles verificáveis e evidências | Menos “declaração”, mais prova de execução |
| Controles mínimos | Diretrizes e requisitos gerais | Detalhamento de um conjunto mínimo de controles/procedimentos | Facilita auditoria e reduz interpretação flexível |
| Inteligência de ameaças | Pode existir como prática, mas sem centralidade explícita | Explicita ações de inteligência cibernética (incluindo na deep web e dark web) como parte dos requisitos mínimos | Threat intelligence passa a ser tratada como requisito operacional |
| Desenvolvimento e tecnologia | Trata contratação/uso de serviços e governança | Amplia o escopo de controles para desenvolvimento e adoção de tecnologia, incluindo sistemas de terceiros | Fornecedores e componentes externos entram mais claramente no “perímetro” de segurança |
| RSFN/conectividade | Menos prescritivo para cenários específicos | Detalha controles para comunicação eletrônica na RSFN e cita ambientes críticos | Aumenta objetividade sobre o que é “crítico” |
| Pix/STR | Referências mais genéricas | Requisitos adicionais e específicos para Pix e STR (ex.: acesso admin, isolamento, credenciais) | Arquitetura e operação precisam evidenciar controles nesses ambientes |
| Gestão de credenciais/certificados | Regras gerais de segurança | Maior ênfase em monitoramento de credenciais e certificados em contextos críticos | Exige trilhas e controles mais duros de Identity and Access Management (IAM) e Public Key Infrastructure (PKI) |
| Terceiros | Obrigações para contratação e gestão de riscos | Reforça e explicita serviços críticos (ex.: conectividade RSFN) como serviço relevante | Contratos e Third-Party Risk Management (TPRM) ficam mais exigentes; impacto direto em escopo de testes |
| Pentest e vulnerabilidades | Avaliações e governança em nível geral | Pentest anual independente + reforço do ciclo de vulnerabilidades + retenção de evidências | Pentest vira peça central de conformidade; exige plano, remediação e rastreabilidade |
| Evidências e retenção | Evidências existiam, mas menos estruturadas | Reforça a necessidade de documentar e manter resultados e planos | Mais foco em trilhas de auditoria e governança do ciclo |
Na prática, as mudanças de 2025 podem ser entendidas em quatro blocos: (i) requisitos mínimos adicionais na política de segurança cibernética, (ii) ampliação do escopo para desenvolvimento e terceiros, (iii) reforços específicos para RSFN e (iv) centralidade de evidências, incluindo pentest anual independente.
i – Requisitos mínimos adicionais passam a ser explícitos e verificáveis
O Banco Central aponta a incorporação de “requisitos mínimos adicionais” à política de segurança cibernética, citando temas como gestão de certificados digitais, integração segura de sistemas, ações de inteligência cibernética, rastreabilidade de operações, testes de intrusão, controles de acesso, proteção de rede e aplicação regular de correções. A leitura prática é que esses itens deixam menos espaço para interpretações amplas: passam a exigir implementação contínua e evidências.
ii – Escopo de controle se amplia para desenvolvimento e soluções de terceiros
Outro eixo destacado pelo Banco Central é a ampliação do escopo dos controles de segurança para o desenvolvimento de sistemas e a adoção de novas tecnologias, incluindo sistemas adquiridos ou desenvolvidos por terceiros. Isso é relevante porque reduz uma zona cinzenta comum: componentes “do fornecedor” passam a integrar o perímetro de responsabilidade de segurança.
Em termos práticos, a consequência é que programas de segurança precisam tratar com mais rigor: dependências de software, integrações, módulos de terceiros e serviços operados fora da instituição quando são parte do serviço prestado ao cliente ou da infraestrutura crítica.
iii – RSFN, Pix e STR: exigências técnicas adicionais em ambientes críticos
O Banco Central também destaca o reforço dos requisitos de segurança para comunicação eletrônica de dados com a RSFN, com foco especial nos ambientes Pix e STR. Na nota oficial, são citados exemplos concretos: autenticação multifatorial, isolamento de ambientes, monitoramento de credenciais e vedação de acesso de terceiros às chaves privadas das instituições.
Além disso, o BCB qualifica o serviço de comunicação eletrônica de dados na RSFN como serviço relevante para fins de contratação, sujeitando-o a padrões rigorosos de gestão de riscos e supervisão. Isso tende a afetar a gestão de terceiros e a governança de contratos, porque eleva o grau de exigência sobre um componente essencial da operação.
iv – Pentest anual independente e retenção de evidências
Um dos pontos mais operacionais é a exigência de realização anual de testes de intrusão por profissionais independentes. A nota oficial explicita que esses testes devem ter resultados documentados e planos de ação para correção de vulnerabilidades, mantidos à disposição do Banco Central durante cinco anos.
Essa mudança impacta diretamente o planejamento anual de segurança, o orçamento, a governança de fornecedores de pentest e, principalmente, a forma de documentar e rastrear remediações. Também é um dos tópicos mais enfatizados por análises especializadas, que o tratam como um marco de “auditoria por evidência”.
Garanta que sua empresa esteja em conformidade.
Garanta que sua empresa esteja em conformidade.
O papel do pentest para a conformidade com a CMN 5.274 2025 e a BCB 538 2025
Nas alterações de 2025, o pentest deixa de ser apenas “boa prática” e passa a atuar como evidência de conformidade. Do ponto de vista normativo, a Resolução BCB nº 538/2025 conecta o pentest a um ciclo obrigatório de gestão de vulnerabilidades: a avaliação e correção devem contemplar, no mínimo, testes de intrusão e outras atividades complementares (como varreduras de vulnerabilidades e análises periódicas), além de exigir correção tempestiva do que for identificado.
Isso importa porque, para a conformidade, o “entregável” não é só o relatório, mas o processo completo (identificação → priorização → correção → evidência). A dimensão “auditável” é reforçada quando o Banco Central explicita a exigência de pentests anuais por profissionais independentes, com resultados documentados e planos de ação, mantidos disponíveis ao supervisor por cinco anos.
Por fim, como as mudanças de 2025 também reforçam controles sobre terceiros e componentes críticos (inclusive em integrações e infraestrutura), o pentest que “serve à conformidade” tende a precisar justificar escopo e cobertura de interfaces e dependências relevantes, e não apenas aplicações isoladas. Esse ponto é recorrente em leituras técnicas e jurídicas sobre a atualização regulatória.
Conclusão
As Resoluções BCB 538 e CMN 5.274 consolidam uma mudança de ênfase: de requisitos predominantemente “de política” para um conjunto de obrigações mais técnicas e comprováveis, com atenção a controles mínimos, gestão de terceiros e ambientes críticos.
Para fins de conformidade, o efeito mais relevante é a expectativa de evidências rastreáveis: controles implementados, registros de execução e tratamento contínuo de vulnerabilidades. Nesse contexto, o pentest anual independente se torna um mecanismo central de demonstração, acompanhado de documentação e plano de ação.
Perguntas frequentes
Qual é a diferença prática entre a CMN 5.274/2025 e a BCB 538/2025?
Em termos de escopo, atualizam regimes distintos: a CMN 5.274 trata de instituições financeiras autorizadas pelo BCB, enquanto a BCB 538 trata de instituições de pagamento e algumas categorias específicas (como corretoras/distribuidoras e corretoras de câmbio).
O que mudou em 2025 de forma concreta?
O BCB destaca: requisitos mínimos adicionais (por exemplo, gestão de certificados, rastreabilidade, inteligência cibernética), ampliação do escopo para sistemas adquiridos/desenvolvidos por terceiros, reforços para RSFN, Pix e STR e exigência de pentest anual independente com documentação e plano de ação.
O Pentest é obrigatório? Com que frequência?
Sim, o Banco Central menciona expressamente a realização anual de testes de intrusão por profissionais independentes, com documentação dos resultados e plano de ação para correção.
“Independente” significa que não pode ser feito pela equipe interna?
“Independente” significa que o teste deve ser conduzido por avaliadores sem conflito de interesses em relação ao ambiente avaliado, isto é, com separação clara entre quem opera/implementa e quem testa/valida.
O Pentest substitui a varredura de vulnerabilidades?
Não. A BCB 538 enquadra o pentest dentro de um conjunto mínimo de atividades de avaliação de vulnerabilidades, sugerindo complementar com testes, análises e varreduras e não substituir.
Quais evidências normalmente “fecham” o ciclo de conformidade do pentest?
As mudanças de 2025 reforçam evidências como: resultados documentados, plano de ação, registro de correções e rastreabilidade no tempo. Esses materiais devem permanecer à disposição por cinco anos.
O que muda para RSFN/Pix/STR e por que isso importa para testes de segurança?
A BCB 538 explicita controles mínimos para conectividade RSFN e ambientes Pix/STR (por exemplo, MFA administrativo, isolamento físico e lógico, monitoramento de credenciais, integridade e restrição de acesso a chaves privadas). Isso tende a orientar quais componentes são críticos e, portanto, prioritários em avaliações.
Qual é o prazo de adequação?
O BCB aponta o 1º de março de 2026 como prazo de adequação para instituições já em operação.
