Regulações Banco Central (BACEN): BCB 538, CMN 4.658 e mais

Resumo:

• O Banco Central construiu seu regime de segurança cibernética em três gerações normativas: CMN 4.658/2018 (marco inicial, revogada em 2021), CMN 4.893/2021 e BCB 85/2021 (geração intermediária), e BCB 538/2025 e CMN 5.274/2025 (geração atual, em vigor desde março de 2026).
• A CMN 4.658/2018 foi o primeiro marco regulatório de segurança cibernética do SFN brasileiro e introduziu a obrigação de testes periódicos de vulnerabilidade, mas sem definir prazo ou metodologia. Essa ambiguidade foi reduzida nas gerações seguintes.
• A BCB 538/2025 e a CMN 5.274/2025 estabelecem 14 procedimentos mínimos obrigatórios e tornam o pentest anual por profissional independente um requisito explícito. O prazo de adequação encerrou em 1º de março de 2026. Instituições fora do prazo estão em desconformidade.
• A BCB 498/2025, em vigor desde setembro de 2025, cria regime específico para Provedores de Serviços de Tecnologia da Informação (PSTIs), empresas de tecnologia que prestam serviços críticos para o SFN e que agora precisam de credenciamento e controles próprios junto ao Banco Central.
• Auditores do BACEN em supervisões on-site verificam três elementos centrais: política de segurança cibernética aprovada pela governança, evidência de execução dos testes (relatórios com escopo, achados e remediação documentada) e processo formal de gestão de vulnerabilidades com rastreabilidade.

O regime de segurança cibernética do Banco Central do Brasil foi construído ao longo de sete anos, de 2018 a 2026, em camadas normativas que se sucederam, se revogaram parcialmente e se complementaram. Entender essa genealogia é o que permite saber quais obrigações vigoram hoje, quais foram superadas e o que será supervisionado.

Este artigo mapeia as cinco resoluções que compõem o regime atual, explica o que cada uma exigiu em seu momento, a quem se aplica cada norma e como estruturar um programa de pentest que atenda ao conjunto regulatório vigente.

Por que o histórico regulatório importa para o compliance atual

Conhecer a CMN 4.658/2018, mesmo revogada, ainda é relevante por dois motivos. Primeiro, muitos profissionais de compliance foram treinados sob essa norma, que ainda aparece em políticas internas e documentos de auditoria pendentes de atualização. Segundo, a definição de testes periódicos de vulnerabilidade, que a 4.658 deixou em aberto, foi sendo construída ao longo dos anos até chegar aos requisitos explícitos da BCB 538/2025.

Compreender essa evolução ajuda a explicar por que certas ações que eram aceitáveis sob a 4.658 não são mais suficientes sob a BCB 538, e por que auditores do BACEN hoje verificam elementos que não estavam literalmente na norma original.

CMN 4.658/2018: o marco inicial

A Resolução CMN nº 4.658, publicada em 26 de abril de 2018 e em vigor a partir de maio de 2018, foi o primeiro instrumento regulatório dedicado exclusivamente à segurança cibernética no Sistema Financeiro Nacional. Antes dela, as obrigações de segurança para instituições financeiras eram derivadas de normas gerais de gestão de riscos operacionais, sem referência explícita a testes de segurança, políticas de segurança cibernética ou gestão de vulnerabilidades.

O que a CMN 4.658 exigia

A resolução estabeleceu a obrigação de elaborar e implementar política de segurança cibernética compatível com o porte, o perfil de risco e o modelo de negócio da instituição. Os requisitos mais relevantes para testes de segurança eram:

• Definição de procedimentos e controles voltados à prevenção e ao tratamento de incidentes de segurança.
• Realização de testes e varreduras periódicas para detecção de vulnerabilidades, sem definição de periodicidade mínima ou metodologia obrigatória.
• Avaliação da efetividade dos controles implementados.
• Elaboração de plano de ação e resposta a incidentes com responsáveis definidos.

A ambiguidade sobre testes periódicos

A norma falava em “testes e varreduras periódicas”. Por isso, a interpretação predominante entre os profissionais de compliance do setor, confirmada por comunicações do BACEN em eventos e documentos orientadores, foi que testes de vulnerabilidade incluíam tanto varreduras automatizadas quanto testes manuais por especialistas.

Instituições que realizavam apenas varreduras automatizadas de CVEs sem complementar com testes manuais estavam em posição mais frágil em uma inspeção, especialmente quando possuíam aplicações desenvolvidas internamente, que não têm CVEs registrados, mas podem ter vulnerabilidades exploráveis.

Status atual da CMN 4.658: A Resolução CMN 4.658/2018 foi revogada integralmente pela Resolução CMN 4.893/2021, que entrou em vigor em 1º de julho de 2021. Instituições que ainda referenciam a 4.658 em suas políticas internas precisam atualizar a documentação para refletir a norma vigente.

CMN 4.893/2021 e BCB 85/2021: a geração intermediária

Em fevereiro de 2021, o Conselho Monetário Nacional publicou a Resolução CMN nº 4.893, que revogou a CMN 4.658 e estabeleceu um regime mais prescritivo para bancos e demais instituições financeiras autorizadas. Na mesma época, o Banco Central publicou a Resolução BCB nº 85/2021, com estrutura equivalente, mas aplicada especificamente a instituições de pagamento, corretoras e distribuidoras.

O que mudou em relação à CMN 4.658

• Requisitos mais explícitos sobre compartilhamento de informações sobre incidentes relevantes com o BACEN.
• Obrigação de que a política de segurança contemplasse testes de efetividade das soluções implementadas.
• Requisitos mais detalhados para contratação de serviços de processamento, armazenamento de dados e computação em nuvem.
• Obrigação de comunicação ao BACEN de incidentes relevantes dentro de prazos definidos.

CMN 4.893 vs. BCB 85: qual se aplica à sua instituição

BCB 498/2025: o regime para provedores de tecnologia

A Resolução BCB nº 498, publicada em 5 de setembro de 2025 e com vigência imediata, criou um regime regulatório específico para os Provedores de Serviços de Tecnologia da Informação (PSTIs), empresas de tecnologia que prestam serviços críticos para instituições do Sistema Financeiro Nacional e que acessam a Rede do Sistema Financeiro Nacional (RSFN).

O que é um PSTI e por que isso importa

PSTI é qualquer empresa de tecnologia que, por sua relevância para o SFN, passou a ser regulada diretamente pelo Banco Central. Se uma empresa presta serviços críticos para múltiplos bancos, uma falha de segurança nela pode afetar o sistema financeiro como um todo. Por isso, o BACEN passou a exigir que ela tenha os mesmos controles que as próprias instituições financeiras.

O que a BCB 498 exige de PSTIs

• Credenciamento obrigatório junto ao Banco Central para operar (sem autorização, a PSTI não pode acessar a RSFN).
• Política de segurança cibernética com os mesmos controles mínimos das instituições financeiras: autenticação, criptografia, monitoramento, inteligência de ameaças.
• Plano de resposta a incidentes com testes periódicos.
• Políticas de prevenção à lavagem de dinheiro e financiamento ao terrorismo.
• Plano de continuidade operacional com testes documentados.

Prazo de adequação da BCB 498: a BCB 498 entrou em vigor imediatamente em 5 de setembro de 2025. PSTIs já em operação tiveram prazo de 30 dias para atualizar aspectos específicos da política de segurança e 4 meses para implementar os demais controles. O prazo final de credenciamento para PSTIs que já operavam foi antecipado para maio de 2026.

BCB 538/2025 e CMN 5.274/2025: a geração atual

Em 18 de dezembro de 2025, o Banco Central e o Conselho Monetário Nacional publicaram simultaneamente as Resoluções BCB nº 538/2025 e CMN nº 5.274/2025, que atualizaram, respectivamente, a BCB 85/2021 e a CMN 4.893/2021. As duas normas entraram em vigor em 1º de março de 2026.

Essa geração representa a maior mudança no regime desde 2018: saiu-se de requisitos genéricos de “testes periódicos” para 14 procedimentos mínimos obrigatórios, explícitos e auditáveis.

Os 14 procedimentos mínimos obrigatórios

As resoluções definem que a política de segurança cibernética deve contemplar, no mínimo:

1. Autenticação multifator em cenários de maior risco.
2. Mecanismos de criptografia para dados em trânsito e em repouso.
3. Proteção contra malware, incluindo monitoramento e resposta.
4. Prevenção e detecção de intrusões.
5. Prevenção de vazamentos de dados.
6. Realização de testes e varreduras periódicas, agora com pentest anual por profissional independente como referência explícita.
7. Gestão de identidades e controle de acesso.
8. Implementação de perfis de configuração seguros e aplicação regular de correções.
9. Monitoramento, coleta e análise de logs.
10. Retenção de logs e trilhas de auditoria.
11. Proteção de redes e gerenciamento de certificados digitais.
12. Ações de inteligência no ambiente cibernético, com monitoramento na internet, Deep Web, Dark Web e grupos privados.
13. Segurança no desenvolvimento de sistemas.
14. Adoção de novas tecnologias com avaliação de segurança.

O que muda para o pentest

As resoluções de 2025 foram as primeiras a citar explicitamente pentests como referência de avaliação de segurança, saindo da ambiguidade da CMN 4.658. As exigências específicas:

• Pentest anual por profissional independente em todos os sistemas críticos.
• Ativos de terceiros integrados ao ambiente crítico entram no escopo, incluindo provedores de cloud que processam Pix e STR.
• Retenção de toda a documentação (relatório, plano de remediação, laudo de reteste) por 5 anos.
• Avaliação técnica adicional após mudanças significativas na infraestrutura.
• Os relatórios dos testes devem ser apresentados à diretoria ou comitê de segurança com registro de discussão.

Normas para cada tipo de instituição

O que o BACEN verifica em uma supervisão

Com base em orientações públicas do Banco Central e no padrão de supervisão on-site documentado por profissionais de compliance do setor, os auditores que avaliam segurança cibernética verificam três elementos centrais:

• A política de segurança cibernética

Os auditores verificam se a política está aprovada pelos órgãos de governança competentes (diretoria ou conselho, dependendo do porte), se está atualizada e se contempla os 14 procedimentos mínimos obrigatórios da norma vigente. Uma política que ainda referencia a CMN 4.658 ou que não menciona pentest como controle implementado é sinal de alerta imediato.

• A evidência de execução dos testes

A verificação mais concreta é sobre a evidência de que os testes foram realizados: relatórios de pentest com data, escopo, achados identificados, evidência técnica de exploração e status de remediação. Os auditores verificam se o escopo inclui os sistemas mais críticos, como core banking, canais digitais, APIs de Pix e Open Finance e infraestrutura de cloud. A ausência de relatórios recentes, escopo limitado ou achados críticos sem remediação documentada são as situações que mais resultam em exigências formais de adequação.

• O processo de gestão de vulnerabilidades

Além dos testes em si, os auditores verificam se existe processo formal de gestão de vulnerabilidades: como os achados são rastreados, quem é responsável pela remediação, qual é o SLA para diferentes níveis de severidade e como a diretoria é mantida informada. Esse processo deve estar documentado e as evidências de execução, como registros de comitê de segurança, relatórios de status de remediação e escalações de vulnerabilidades críticas, devem estar disponíveis para consulta.

Como estruturar o programa de pentest para atender ao conjunto regulatório

Um programa de pentest que atende simultaneamente à CMN 4.893/CMN 5.274 ou BCB 85/BCB 538 precisa cobrir os seguintes elementos:

Escopo mínimo

• Core banking e componentes críticos.
• Internet banking e mobile banking, que são as principais interfaces de ataque externo.
• APIs de Open Finance, Pix, TED, parte da superfície de ataque crescente que o BACEN acompanha com atenção especial.
• Infraestrutura de cloud onde sistemas críticos estão hospedados.
• Active Directory e controles de identidade.
• Ambientes de terceiros integrados ao ambiente crítico, incluindo provedores de cloud que processam transações do Pix e do STR.

Documentação exigida

• Relatório técnico com evidência de exploração por achado.
• Relatório executivo apresentado à diretoria com registro de discussão e aprovação do plano de remediação.
• Laudo de reteste confirmando que as vulnerabilidades foram corrigidas
• Carta de atestado do fornecedor independente com identificação do profissional e das certificações.
• Retenção de toda a documentação por 5 anos.

Governança

O programa de pentest deve ser gerido com o mesmo rigor que outros requisitos regulatórios: política documentada, evidências de execução, processo de remediação rastreável e reporte à governança. Instituições que não mantêm essa documentação estão expostas a exigências formais de adequação e a medidas mais severas em caso de incidente.

A Vantico e o compliance com as regulações do Banco Central

A Vantico realiza pentest em bancos, instituições de pagamento e demais instituições autorizadas pelo BACEN com metodologia alinhada às Resoluções BCB 538/2025 e CMN 5.274/2025. Todos os relatórios incluem evidência técnica de exploração por achado, mapeamento para os 14 procedimentos mínimos obrigatórios, relatório de reteste e carta de atestado, todos os elementos verificados em supervisões on-site do Banco Central.

O reteste está incluso por 90 dias sem custo adicional e a documentação é estruturada para retenção pelo prazo de 5 anos exigido pelas resoluções.

Comece a adequar-se agora com a Vantico.

FAQ: Perguntas frequentes

Quais são as principais resoluções de segurança cibernética do Banco Central?

O regime de segurança cibernética do Banco Central é composto por cinco resoluções principais: CMN 4.658/2018 (revogada, mas marco histórico), CMN 4.893/2021 e BCB 85/2021 (geração intermediária, ainda vigentes e atualizadas em 2025), BCB 498/2025 (específica para PSTIs, em vigor desde setembro de 2025) e BCB 538/2025 e CMN 5.274/2025 (geração atual, em vigor desde março de 2026). As normas se aplicam a diferentes tipos de instituições, como bancos, instituições de pagamento, corretoras e provedores de tecnologia, e se complementam para formar o quadro regulatório completo.

A CMN 4.658 ainda está em vigor?

Não. A Resolução CMN 4.658/2018 foi revogada integralmente pela Resolução CMN 4.893/2021, que entrou em vigor em 1º de julho de 2021. Instituições financeiras que ainda referenciam a CMN 4.658 em suas políticas internas de segurança precisam atualizar a documentação. A norma vigente para bancos e financeiras é a CMN 4.893/2021, atualizada pelos requisitos da CMN 5.274/2025.

Qual a diferença entre a CMN 4.893 e a BCB 85?

As duas normas têm estrutura equivalente, incluindo política de segurança cibernética, requisitos para contratação de serviços em nuvem, testes de segurança, mas se aplicam a diferentes tipos de instituição. A CMN 4.893/2021 se aplica a bancos, financeiras, SCDs, cooperativas de crédito e demais instituições financeiras em sentido amplo. A BCB 85/2021 se aplica a instituições de pagamento, corretoras e distribuidoras de títulos e valores mobiliários, e corretoras de câmbio. As atualizações de 2025, CMN 5.274 e BCB 538, respectivamente, seguiram a mesma divisão.

O que é PSTI e por que a BCB 498 é relevante?

PSTI (Provedor de Serviços de Tecnologia da Informação) é uma empresa de tecnologia que presta serviços críticos para o Sistema Financeiro Nacional e que acessa a Rede do Sistema Financeiro Nacional (RSFN). Com a Resolução BCB 498/2025, esse tipo de empresa passou a precisar de credenciamento junto ao Banco Central e a cumprir os mesmos controles de segurança cibernética das próprias instituições financeiras. Empresas de tecnologia que prestam serviços para múltiplos bancos e instituições de pagamento precisam verificar se se enquadram como PSTI.

O que os auditores do BACEN verificam em segurança cibernética?

Em supervisões on-site, os auditores do BACEN verificam três elementos centrais: a política de segurança cibernética (aprovada pela governança, atualizada, contemplando os 14 procedimentos mínimos obrigatórios), a evidência de execução dos testes (relatórios de pentest com escopo, achados, evidência de exploração e remediação documentada) e o processo de gestão de vulnerabilidades (rastreabilidade dos achados, SLAs de remediação, reporte à diretoria). A ausência de relatórios recentes, escopo insuficiente ou achados críticos sem remediação são as situações que mais frequentemente resultam em exigências formais.

Pentest anual é suficiente para atender ao BCB 538?

É o mínimo. A BCB 538/2025 exige pentest anual por profissional independente, mas também exige avaliação técnica após mudanças significativas na infraestrutura. Para instituições com desenvolvimento ativo, que lançam novas versões do internet banking, integram novos parceiros via APIs de Open Finance ou Pix, ou migram workloads para cloud, o ciclo anual frequentemente não cobre o ambiente real em produção ao longo do ano. Além disso, toda a documentação (relatório, plano de remediação, laudo de reteste) precisa ser retida por 5 anos.

Como o Open Finance e o Pix afetam o escopo do pentest?

Tanto o Open Finance quanto o Pix criaram superfícies de ataque adicionais que devem estar no escopo do pentest. As APIs de compartilhamento de dados do Open Finance seguem padrões de segurança específicos definidos pelo BACEN e pela FEBRABAN, e testes de segurança nessas APIs são esperados. As APIs do Pix, os mecanismos de autenticação para transações de alto valor e as integrações com o DICT (Diretório de Identificadores de Contas Transacionais) são componentes que o BACEN acompanha com atenção especial em supervisões, especialmente em relação à robustez dos fluxos de autenticação contra fraudes via engenharia social.