O Banco Central do Brasil (BCB) e o Conselho Monetário Nacional (CMN) aprovaram, em dezembro, novas regras que atualizam a política de segurança cibernética e os requisitos para contratação de serviços de tecnologia, como processamento, armazenamento de dados e computação em nuvem, por instituições autorizadas a funcionar pelo BC.
As mudanças constam na Resolução BCB nº 538, publicada em 18 de dezembro de 2025, e entram em vigor imediatamente, com prazo de adequação até 1º de março de 2026.
A atualização busca uniformizar o ambiente regulatório e fortalecer a proteção das infraestruturas digitais do Sistema Financeiro Nacional (SFN) e do Sistema de Pagamentos Brasileiro (SPB), em um contexto de avanço da digitalização e aumento do volume de transações, especialmente após a consolidação do Pix.
Leia mais: O que é Banking as a Service (BaaS)? Entenda a tecnologia
+ Gestão de risco: veja o que é e como implementar na sua empresa
Por que o Banco Central atualizou as regras de segurança cibernética?
Segundo o Banco Central, o aprimoramento regulatório responde ao crescimento do tráfego de dados na Rede do Sistema Financeiro Nacional (RSFN) e à necessidade de elevar o nível de resiliência cibernética das instituições financeiras e de pagamento.
O objetivo é mitigar riscos operacionais, reduzir vulnerabilidades e garantir um ambiente mais seguro para a inovação digital, alinhado às melhores práticas internacionais de segurança da informação.
Principais mudanças na política de segurança cibernética
A nova resolução amplia e detalha os requisitos mínimos que devem integrar a política de segurança cibernética das instituições. Entre os pontos centrais, estão:
Gestão de certificados digitais e proteção rigorosa das chaves privadas
Mecanismos de criptografia, prevenção e detecção de intrusões
Rastreabilidade completa das transações, com trilhas de auditoria e retenção segura de logs
Testes de intrusão periódicos, com correção tempestiva de vulnerabilidades
Controles de acesso, incluindo autenticação multifatorial
Proteção de rede, segmentação de ambientes e monitoramento contínuo
Aplicação regular de correções de segurança e gestão do ciclo de vida dos ativos tecnológicos
Esses controles passam a ser exigidos não apenas nos sistemas próprios, mas também em soluções desenvolvidas ou fornecidas por terceiros.
Reforço da segurança em ambientes Pix e STR
Um dos destaques da atualização é o endurecimento dos requisitos de segurança para a comunicação eletrônica de dados na RSFN, especialmente nos ambientes do Pix e do Sistema de Transferência de Reservas (STR).
Entre as novas exigências estão:
Autenticação multifatorial para acessos administrativos
Isolamento físico e lógico dos ambientes Pix e STR em relação a outros sistemas
Monitoramento de credenciais e certificados digitais
Validação da integridade das transações de ponta a ponta
Vedação de acesso de terceiros às chaves privadas usadas na assinatura digital de mensagens
As medidas visam reduzir riscos de fraude, acessos indevidos e comprometimento de dados sensíveis.
Testes de intrusão anuais passam a ser obrigatórios
A resolução determina que todas as instituições realizem testes de intrusão ao menos uma vez por ano, conduzidos por profissionais ou empresas independentes.
Os resultados devem ser documentados, com planos de ação para correção das vulnerabilidades identificadas, e mantidos à disposição do Banco Central por cinco anos.
Serviços de comunicação na RSFN ganham status de atividade relevante
Outro ponto relevante é a classificação do serviço de comunicação eletrônica de dados na RSFN como serviço relevante para fins regulatórios.
Isso significa que sua contratação passa a exigir padrões mais rigorosos de gestão de riscos, supervisão e governança, inclusive quando envolve processamento de mensagens no âmbito do SFN e do SPB.
Veja também: Por que o Pix é tão popular no Brasil? Entenda seus diferenciais
+ Copom: o que é e para que serve na Política Monetária do Brasil? Entenda
Prazo para adequação vai até março de 2026
As instituições em funcionamento na data de publicação da norma terão até 1º de março de 2026 para se adequar às novas exigências. Após esse prazo, o descumprimento pode resultar em medidas supervisoras e sanções por parte do Banco Central.
Vale destacar que, com a atualização, o Banco Central reforça a expectativa de que instituições financeiras, de pagamento e de câmbio adotem uma abordagem mais estruturada, preventiva e integrada de segurança cibernética.
A medida impacta diretamente empresas que operam com pagamentos digitais, infraestrutura crítica e serviços financeiros baseados em tecnologia, elevando o nível de proteção do ecossistema como um todo.
Para saber mais sobre como a Glin pode ajudar a sua empresa a aceitar pagamentos por Pix e facilitar as transações internacionais, entre em contato conosco e comece agora mesmo a otimizar seus processos de pagamento! Conheça melhor a Glin!
