Os requisitos de segurança do BACEN determinam controles que instituições financeiras e de pagamento devem adotar para proteger sistemas, dados, credenciais e infraestruturas críticas.
Na prática, isso envolve política de segurança cibernética, controle de acessos, proteção de chaves e certificados, monitoramento, testes de segurança, continuidade operacional e gestão dos riscos associados a fornecedores e serviços de tecnologia.
Com a digitalização do Sistema Financeiro Nacional (SFN), o crescimento do Pix e a ampliação das integrações por meio da Rede do Sistema Financeiro Nacional (RSFN), a segurança cibernética passou a ocupar posição ainda mais estratégica na regulamentação bancária.
Por isso, bancos, fintechs, cooperativas de crédito, instituições de pagamento e demais organizações reguladas precisam compreender não apenas quais normas seguir, mas também quais controles tecnológicos devem estar presentes em suas operações.
Qual é o papel do Banco Central na segurança das instituições financeiras?
O Banco Central do Brasil (BACEN) é responsável por zelar pela solidez e pela eficiência do Sistema Financeiro Nacional, além de supervisionar as instituições autorizadas a funcionar no país. A segurança cibernética faz parte desse papel porque falhas tecnológicas podem comprometer transações, infraestruturas de pagamentos e a própria estabilidade operacional do sistema financeiro.
A RSFN (Rede do Sistema Financeiro Nacional), por exemplo, é a infraestrutura de comunicação utilizada para amparar o tráfego de informações no âmbito do SFN (Sistema Financeiro Nacional). Por esse motivo, os participantes que se conectam a essa rede precisam observar requisitos específicos de segurança, comunicação e controle de acesso.
Nos últimos anos, o Banco Central e o Conselho Monetário Nacional vêm reforçando essas exigências para acompanhar o aumento da digitalização e dos riscos cibernéticos.
Em dezembro de 2025, novas regras atualizaram requisitos de segurança aplicáveis às instituições financeiras e de pagamento, incluindo controles adicionais sobre certificados digitais, integração de sistemas, rastreabilidade, proteção de redes e comunicação com infraestruturas críticas.
Quais normas tratam da segurança cibernética no mercado financeiro?
O arcabouço regulatório é amplo e varia conforme o tipo de instituição e a atividade exercida. Entre os principais normativos estão:
Resolução CMN nº 4.893/2021 e Resolução CMN nº 5.274/2025
A Resolução CMN nº 4.893/2021 estabelece regras sobre política de segurança cibernética e contratação de serviços de processamento, armazenamento de dados e computação em nuvem por instituições autorizadas a funcionar pelo Banco Central.
Em dezembro de 2025, a Resolução CMN nº 5.274 atualizou essa regulamentação, reforçando requisitos relacionados à segurança das infraestruturas tecnológicas e de comunicação.
Resolução BCB nº 85/2021 e suas atualizações
A Resolução BCB nº 85/2021 estabelece requisitos de segurança cibernética aplicáveis às instituições de pagamento e determina a implementação e manutenção de política específica para esse fim.
A regulamentação também foi atualizada em dezembro de 2025 pela Resolução BCB nº 538, ampliando e atualizando os controles aplicáveis a instituições de pagamento e outras instituições supervisionadas pelo BCB.
Resolução BCB nº 498/2025
A Resolução BCB nº 498/2025 estabelece requisitos para o credenciamento de Provedores de Serviços de Tecnologia da Informação (PSTIs), que desempenham papel relevante na conexão de participantes à infraestrutura do sistema financeiro.
A norma recebeu ajustes em 2026 para esclarecer e aprimorar requisitos relacionados a governança, gestão de riscos e segurança cibernética dos PSTIs.
Além dessas normas específicas do setor financeiro, instituições também precisam observar legislações gerais, como a Lei Geral de Proteção de Dados (LGPD) e a legislação relacionada ao sigilo das operações financeiras.
Principais requisitos de segurança do BACEN
Embora os requisitos específicos dependam do tipo de instituição, serviço e sistema utilizado, alguns controles aparecem de forma recorrente no ambiente regulatório financeiro.
Política e governança de segurança cibernética
A instituição deve possuir políticas formais capazes de orientar a prevenção, detecção e resposta a incidentes.
Essa estrutura precisa definir responsabilidades, controles, procedimentos e mecanismos de acompanhamento dos riscos tecnológicos.
A governança também deve abranger sistemas desenvolvidos internamente e soluções fornecidas por terceiros, evitando que fornecedores se tornem pontos vulneráveis da infraestrutura.
Gestão de certificados e chaves criptográficas
Certificados digitais e chaves privadas são ativos críticos para a autenticação, assinatura e proteção das comunicações financeiras.
O Banco Central reforçou requisitos relacionados à gestão de certificados digitais e à proteção das credenciais utilizadas em infraestruturas críticas. As regras atuais também aumentam a atenção sobre o acesso às chaves privadas utilizadas pelas instituições.
Uma arquitetura adequada deve contemplar:
- Geração e armazenamento seguro de chaves;
- Controle rigoroso de acesso;
- Segregação de funções;
- Rotação e revogação;
- Rastreabilidade das operações;
- Custódia adequada em KMS, Vault ou HSM, conforme o nível de criticidade.
Controle de acesso e autenticação
A instituição precisa restringir o acesso administrativo aos ambientes e aplicações críticas.
Entre as boas práticas estão autenticação multifator, princípio do menor privilégio, segregação de responsabilidades e monitoramento das credenciais utilizadas.
Nos ambientes relacionados à RSFN, Pix e STR, os requisitos de segurança foram reforçados justamente para reduzir o risco de comprometimento de credenciais e acessos privilegiados.
Isolamento e proteção dos ambientes críticos
Ambientes responsáveis por transações e comunicações críticas precisam ser adequadamente segregados do restante da infraestrutura.
Esse isolamento reduz a possibilidade de que uma vulnerabilidade em um sistema menos sensível seja utilizada como caminho para atingir sistemas do Pix, STR ou outros componentes importantes da operação financeira.
Monitoramento, rastreabilidade e testes de segurança
A segurança precisa ser continuamente verificada.
As regras atualizadas incluem requisitos relacionados à rastreabilidade das operações, proteção de redes, correção de vulnerabilidades e realização periódica de testes de intrusão. O Banco Central também passou a exigir documentação dos resultados e dos respectivos planos de ação.
Isso permite identificar vulnerabilidades antes que sejam exploradas e fornece evidências para processos de auditoria e supervisão.
Gestão de terceiros e serviços em nuvem
A contratação de serviços de processamento, armazenamento ou computação em nuvem não transfere integralmente a responsabilidade pela segurança ao fornecedor.
As instituições precisam avaliar riscos, estabelecer requisitos contratuais, monitorar seus prestadores e garantir que os serviços contratados permaneçam compatíveis com as exigências regulatórias aplicáveis.
Como atender aos requisitos de segurança do BACEN na prática?
O primeiro passo é identificar quais normas e manuais se aplicam à instituição e aos sistemas dos quais ela participa. Depois, é necessário transformar essas exigências em controles técnicos efetivamente incorporados à infraestrutura.
Uma estratégia consistente costuma envolver quatro frentes: governança, proteção criptográfica, controle operacional e monitoramento contínuo.
No caso de integrações com BACEN, NÚCLEA, Pix e outros sistemas do SFN, isso significa utilizar soluções capazes de executar criptografia e assinatura digital, proteger chaves privadas, controlar identidades e produzir registros auditáveis.
O objetivo não é simplesmente “ter criptografia”, mas garantir que os ativos criptográficos sejam protegidos durante todo o ciclo de vida e utilizados apenas por aplicações e usuários autorizados.
Como a PRODIST apoia instituições no atendimento aos requisitos de segurança?
A PRODIST desenvolve soluções voltadas à proteção criptográfica e à integração segura de instituições financeiras com ambientes regulados.
O PRODIST STS permite centralizar funções essenciais de criptografia, assinatura digital e gerenciamento de chaves, reduzindo a necessidade de desenvolver internamente toda a camada de segurança utilizada pelas aplicações.
Entre seus recursos estão:
- Gerenciamento centralizado de chaves criptográficas;
- Criptografia e assinatura digital;
- Controle de acesso baseado em perfis (RBAC);
- Autenticação baseada em certificados (mTLS);
- Integração com HSMs homologados;
- Compatibilidade com Vaults e KMS em nuvem;
- Implantação on-premises, híbrida ou em nuvem.
Para as comunicações baseadas no protocolo SFN, a solução pode realizar o empacotamento de mensagens e arquivos, criptografia, assinatura digital, inclusão do header de segurança e validação dos pacotes recebidos.
Dessa forma, as instituições conseguem incorporar controles criptográficos às aplicações de maneira padronizada, mantendo maior governança sobre seus ativos de segurança.
Integração com sistemas BACEN, NÚCLEA e Pix
A PRODIST também oferece soluções para instituições que precisam integrar suas aplicações aos principais ecossistemas financeiros.
Sua tecnologia atende sistemas relacionados a registro de ativos e recebíveis, liquidação, portabilidade e outras operações do SFN, além de oferecer recursos específicos para o ambiente Pix.
Ao concentrar a camada criptográfica em uma solução especializada, a instituição reduz a complexidade técnica das aplicações de negócio e facilita a manutenção dos controles de segurança ao longo do tempo.
PRODIST: experiência e suporte para ambientes financeiros
Fundada em 1987, a PRODIST acumula 4 décadas de atuação no mercado brasileiro, com soluções em operação desde o início do Sistema de Pagamentos Brasileiro (SPB), em 2002.
A empresa atende mais de 40 instituições financeiras e combina tecnologia especializada em criptografia com acompanhamento técnico durante implantação e operação.
Entre seus diferenciais estão SLA de até 99,96%, suporte técnico especializado, possibilidade de atendimento 24×7 e início de atendimento a chamados em até 15 minutos, conforme a modalidade contratada.
Mais do que fornecer uma ferramenta de criptografia, a PRODIST atua no desenho, implementação e sustentação de soluções para organizações que precisam conciliar segurança, conformidade regulatória, disponibilidade e integração com sistemas críticos.
Para instituições que precisam avaliar ou modernizar seus controles relacionados aos requisitos de segurança do BACEN, contar com uma plataforma especializada pode reduzir a complexidade da implementação e fortalecer a governança dos ativos criptográficos.
FAQ – Requisitos de segurança do BACEN
Os requisitos incluem política de segurança cibernética, proteção de chaves e certificados, controle de acessos, rastreabilidade, monitoramento, testes de segurança, continuidade operacional e gestão de riscos de fornecedores.
A Resolução CMN nº 4.893/2021 é uma das principais normas e foi atualizada pela Resolução CMN nº 5.274/2025, que reforçou requisitos de segurança e proteção das infraestruturas tecnológicas.
Sim. A Resolução BCB nº 85/2021 estabelece requisitos de segurança cibernética para instituições de pagamento e recebeu atualizações posteriores.
Os requisitos regulatórios incluem controles sobre certificados, credenciais e chaves privadas utilizadas nas infraestruturas financeiras, especialmente nos ambientes críticos de comunicação.
O PRODIST STS centraliza a gestão de chaves, criptografia e assinatura digital, além de permitir integração com HSMs, Vaults e KMS, autenticação mTLS e controle de acesso RBAC.
Sim. A empresa oferece soluções para criptografia, assinatura digital, gestão de ativos criptográficos e integração segura com diferentes sistemas do BACEN, NÚCLEA, Pix e SFN.
