A Resolução BCB 85, de 8 de abril de 2021, é a norma de segurança cibernética e de contratação de nuvem para as instituições de pagamento autorizadas pelo Banco Central do Brasil. Ela exige uma política de segurança cibernética aprovada pelo conselho (ou pela diretoria), um plano de ação e resposta a incidentes, um diretor responsável, um relatório anual apresentado até 31 de março e a comunicação ao Banco Central, em até dez dias, de cada contratação relevante de processamento, armazenamento ou nuvem.
Desde março de 2024, a norma também vale para corretoras e distribuidoras de títulos e valores mobiliários e corretoras de câmbio, e desde março de 2026, para as prestadoras de serviços de ativos virtuais autorizadas pelo Banco Central. Em dezembro de 2025, a Resolução BCB 538 detalhou os controles mínimos, passou a exigir teste de intrusão anual e isolou os ambientes do Pix e do STR. O prazo de adequação terminou em 1º de março de 2026.
BCB 85 ou CMN 4.893: qual vale para você
As duas normas têm a mesma estrutura e mudaram juntas em dezembro de 2025. O que muda é quem segue cada uma:
| Tipo de instituição | Norma | Alteração de dezembro de 2025 |
|---|---|---|
| Bancos, financeiras e demais instituições financeiras | Resolução CMN 4.893 | Resolução CMN 5.274 |
| Instituições de pagamento | Resolução BCB 85 | Resolução BCB 538 |
| Corretoras e distribuidoras de TVM, corretoras de câmbio | Resolução BCB 85 (desde 1º/3/2024) | Resolução BCB 538 |
| Prestadoras de serviços de ativos virtuais | Resolução BCB 85 (desde a Resolução BCB 552, de 3/3/2026) | Entraram com o texto já alterado pela BCB 538 |
Uma instituição de pagamento que faz parte de um conglomerado prudencial pode adotar a política única do conglomerado, desde que compatível com a BCB 85. A opção precisa ser formalizada em reunião do conselho ou da diretoria (art. 2º, §§ 2º e 3º).
O que a política precisa conter
A política deve ser compatível com o porte, o perfil de risco, o modelo de negócio, a natureza das atividades e a sensibilidade dos dados (art. 2º, § 1º). No mínimo, ela define objetivos de segurança, procedimentos e controles para reduzir a vulnerabilidade a incidentes, controles de rastreabilidade das informações sensíveis, o registro e a análise de causa e impacto dos incidentes relevantes, diretrizes para cenários de teste de continuidade, para prestadores que manuseiam dados sensíveis e para classificar dados e incidentes por relevância, além de mecanismos de cultura de segurança e de compartilhamento de informações sobre incidentes (art. 3º).
Com a Resolução BCB 538, o § 2º do art. 3º passou a listar 14 grupos de controles mínimos, e os §§ 7º a 12 detalham os principais:
- Rastreabilidade: trilhas de auditoria do processamento fim a fim, tempo de retenção definido por tipo de processamento e guarda segura das trilhas.
- Vulnerabilidades: testes e varreduras periódicos, busca de dispositivos conectados indevidamente à rede, testes de intrusão e correção tempestiva.
- Acessos: rede só para usuários credenciados e dispositivos autorizados, revisão periódica de permissões, com atenção aos terceirizados, e múltiplo fator para acesso externo à rede corporativa.
- Configuração segura: ciclo de vida dos ativos, aplicação regular de correções e troca de senhas e de outros padrões que permitam acesso indevido.
- Rede: segmentação, protegendo o ambiente de produção, regras de firewall e monitoramento de conexões externas e de acessos privilegiados, em especial à noite e em dias não úteis.
- Certificados digitais: monitoramento de uso, guarda das chaves privadas e validação de certificados revogados.
- Inteligência cibernética: monitoramento de informações de interesse da instituição na internet, na deep web, na dark web e em grupos privados de comunicação.
Para quem se conecta à Rede do Sistema Financeiro Nacional (RSFN), o novo art. 3º-A exige múltiplo fator no acesso administrativo aos ambientes Pix e STR, isolamento físico e lógico desses ambientes (com instância dedicada quando estiverem em nuvem), validação da integridade das transações antes da assinatura das mensagens e proíbe o acesso de prestadores às chaves privadas usadas para assinar mensagens. O serviço de comunicação na RSFN passa a contar sempre como serviço relevante para as regras de contratação (art. 22-B).
Plano de resposta, diretor e relatório anual
O plano de ação e de resposta a incidentes (art. 6º) traz as ações para adequar a estrutura à política, as rotinas e tecnologias de prevenção e resposta e a área responsável por registrar e controlar os efeitos dos incidentes relevantes. O diretor responsável pela política e pelo plano pode acumular funções se não houver conflito de interesses (art. 7º).
O relatório anual tem data-base de 31 de dezembro (art. 8º). Ele cobre a efetividade do plano, os resultados das rotinas e controles, os incidentes relevantes do ano, os resultados dos testes de continuidade e, desde a BCB 538, os resultados dos testes de intrusão e das varreduras com os planos de correção. Vai ao comitê de risco, quando existir, e é apresentado ao conselho ou à diretoria até 31 de março do ano seguinte. A política e o plano são aprovados pelo conselho ou pela diretoria e revisados pelo menos uma vez por ano (arts. 9º e 10).
O teste de intrusão (art. 22-A) é anual, feito com independência por pessoa ou empresa especializada contratada para isso, sem impedir testes internos, e tem resultados e planos de correção documentados.
Nuvem e prestadores
Antes de contratar um serviço relevante, a instituição verifica e documenta a capacidade do prestador de cumprir a regulamentação, dar acesso aos dados, garantir confidencialidade, integridade, disponibilidade e recuperação, atender às certificações exigidas, entregar relatórios de auditoria independente, permitir monitoramento e segregar os dados de clientes (art. 12). A responsabilidade pelo serviço continua sendo da instituição (art. 14). Os prazos são os mesmos da 4.893:
- 10 dias após a contratação, ou após uma alteração contratual que mude essas informações, para comunicar ao Banco Central o prestador, os serviços e, no caso de serviço no exterior, os países e regiões onde os dados podem ser tratados (art. 15).
- 60 dias de antecedência para pedir autorização ao Banco Central quando o serviço for prestado num país sem convênio de troca de informações com o Banco Central (art. 16, § 1º).
- 30 dias de aviso prévio, prorrogáveis por mais 30 a pedido do responsável pelo regime de resolução, antes de o prestador interromper o serviço de uma instituição em resolução (art. 17, parágrafo único).
Na nossa leitura, o ponto que merece mais atenção é a dependência de poucos prestadores para serviços como processamento, nuvem e comunicação na RSFN. A norma pede que a política de continuidade cubra a interrupção desses serviços, incluindo a troca de prestador (art. 19, II). E esse cenário precisa ser testado, além de descrito.
Guarda de documentos
Por cinco anos ficam à disposição do Banco Central a política, as atas que formalizam a política única, o plano de resposta, os relatórios anuais, a documentação da verificação de prestadores e dos serviços no exterior, os contratos (contados a partir do fim de cada contrato), os registros de acompanhamento e controle, os critérios de crise e, agora, os resultados dos testes de intrusão e os planos de correção (art. 23).
Por onde começaríamos
- Lista de serviços relevantes, incluindo a comunicação na RSFN. É a base para as comunicações ao Banco Central e para os cenários de continuidade.
- Teste de intrusão anual com plano de correção. O resultado precisa aparecer no relatório de 31 de março.
- Revisão de acessos de terceirizados e múltiplo fator para acesso externo. A norma cita os terceirizados de forma expressa.
- Critérios de crise documentados. Sem eles, não há como cumprir a comunicação tempestiva ao Banco Central do art. 20.
No GlobalSuite®, o módulo de Segurança organiza a política, os controles e as evidências, com um catálogo de controles reutilizável entre normas: o controle de múltiplo fator que atende à BCB 85 serve também à ISO 27001. O módulo de Riscos de terceiros mantém o inventário de prestadores com a verificação de cada um. Veja também como trabalhamos com fintechs.
Fontes oficiais: Resolução BCB nº 85, de 8 de abril de 2021, Resolução BCB nº 368, de 25 de janeiro de 2024, Resolução BCB nº 538, de 18 de dezembro de 2025 e Resolução BCB nº 552, de 3 de março de 2026, no site do Banco Central do Brasil. Conteúdo revisado em outubro de 2026.
