Se a sua instituição é autorizada a funcionar pelo Banco Central do Brasil, a Resolução CMN 4.893 obriga a ter uma política de segurança cibernética aprovada pelo conselho, um plano de resposta a incidentes, um diretor responsável e um relatório anual apresentado até 31 de março. Também obriga a comunicar ao BCB, em até dez dias, cada contratação relevante de processamento, armazenamento ou nuvem.
Em dezembro de 2025, a Resolução CMN 5.274 ampliou os controles mínimos, passou a exigir teste de intrusão pelo menos uma vez por ano e isolou os ambientes do Pix e do STR. O prazo de adequação terminou em 1º de março de 2026. As instituições de pagamento ficam de fora da 4.893 e seguem regulamentação própria do Banco Central.
O que a 4.893 já exigia
A norma está em vigor desde 1º de julho de 2021. Estas são as peças que o supervisor pode pedir a qualquer momento:
| Peça | Onde está | O que observar |
|---|---|---|
| Política de segurança cibernética | Arts. 2º e 3º | Proporcional ao porte e ao perfil de risco. Conglomerados podem ter uma política única. |
| Plano de ação e de resposta a incidentes | Art. 6º | Com as ferramentas de prevenção e resposta e a área que registra os efeitos dos incidentes. |
| Diretor responsável | Art. 7º | Pode acumular funções, desde que sem conflito de interesses. |
| Aprovação | Art. 9º | Pelo conselho de administração ou, se não houver, pela diretoria. |
| Revisão | Art. 10 | No mínimo anual. |
| Relatório anual | Art. 8º | Data-base 31 de dezembro, apresentado ao conselho até 31 de março e, se existir, ao comitê de riscos. |
| Resumo público da política | Art. 5º | Divulgado ao público. |
O relatório anual é o documento que mais revela a maturidade da instituição. Ele precisa trazer a efetividade do plano, os incidentes relevantes do ano e o resultado dos testes de continuidade. Se essas informações só forem reunidas em março, é fácil faltar evidência de parte do ano.
O que a 5.274 acrescentou
A Resolução CMN 5.274, de 18 de dezembro de 2025, foi publicada no DOU em 22 de dezembro e deu às instituições em funcionamento até 1º de março de 2026 para se adaptar. As mudanças que mais trabalho dão:
- Controles mínimos mais detalhados (art. 3º). Rastreabilidade das transações com trilhas de auditoria e prazo de retenção definido; gestão de vulnerabilidades com varreduras e testes de intrusão; revisão periódica de acessos, com atenção especial aos terceirizados, e múltiplo fator para acesso externo à rede; configuração segura; segmentação de rede e monitoramento de conexões também à noite e em dias não úteis; gestão de certificados digitais.
- Inteligência cibernética. Monitoramento da internet, da deep web, da dark web e de grupos privados de comunicação.
- Pix e STR (art. 3º-A). Múltiplo fator para acesso administrativo, ambientes isolados física e logicamente, inclusive em nuvem, com instância dedicada, e nenhum acesso de prestadores às chaves privadas.
- Teste de intrusão anual (art. 22-A). Feito com independência, por pessoa ou empresa especializada, com resultado e plano de correção documentados. O resultado entra no relatório anual.
- Comunicação na RSFN (art. 22-B). Passa a contar sempre como serviço relevante para as regras de contratação.
Nuvem e prestadores: onde a adequação mais trava
Os artigos 11 a 17 tratam da contratação de processamento, armazenamento e nuvem. São os que mais geram trabalho, porque dependem de informação que está espalhada entre TI, compras e jurídico.
Antes de contratar um serviço relevante, a instituição precisa verificar e documentar a capacidade do prestador: conformidade legal, acesso aos dados, confidencialidade e recuperação, certificações, relatórios de auditoria independente, monitoramento, segregação de dados e controles de acesso (art. 12). Mesmo com o serviço terceirizado, a responsabilidade continua sendo da instituição (art. 14).
Depois, há três prazos que convém ter à vista:
- 10 dias após a contratação para comunicar ao BCB o nome do prestador, os serviços e os países e regiões onde os dados são armazenados e processados. O mesmo prazo vale para alterações contratuais que mudem essas informações (art. 15).
- 60 dias de antecedência para pedir autorização ao BCB quando o serviço é prestado no exterior e não há convênio entre o BCB e o supervisor do país (art. 16).
- 30 dias de aviso prévio que o contrato deve garantir antes de uma interrupção do serviço, se a instituição entrar em regime de resolução (art. 17).
O contrato também precisa de cláusulas mínimas: localização dos dados, medidas de segurança, segregação, devolução e exclusão no fim do contrato, aviso de subcontratação e acesso do Banco Central.
Na nossa leitura, o ponto mais delicado é o inventário de prestadores relevantes. Ele alimenta a comunicação ao BCB, a revisão das cláusulas e os cenários de continuidade, e raramente tem um dono só: TI conhece os serviços, compras conhece os contratos e o jurídico, as cláusulas. Vale nomear um responsável antes de começar.
Continuidade: incidentes e situação de crise
A 4.893 liga a cibersegurança à continuidade de negócios. A política de continuidade precisa cobrir o tratamento de incidentes relevantes, a interrupção de serviços de nuvem relevantes (incluindo a troca de prestador) e os cenários de incidente usados nos testes (art. 19). Os procedimentos devem definir prazos para retomar as atividades e a comunicação tempestiva ao BCB quando um incidente configurar crise, com critérios de crise documentados (art. 20).
Na prática, isso significa que o plano de continuidade e o plano de resposta a incidentes não podem viver em pastas separadas. Os cenários de teste de um devem sair do registro de incidentes do outro.
Guarda de documentos: cinco anos
Política, atas do conselho, plano de resposta, relatório anual, a documentação da verificação de prestadores, os contratos e os registros de monitoramento ficam à disposição do BCB por cinco anos (art. 23). Com a 5.274, os resultados dos testes de intrusão e os planos de correção entram na lista, contados a partir da data de execução de cada teste.
Por onde começar
Se a sua instituição ainda está fechando a adequação à 5.274, esta é a ordem que faríamos:
- Inventário de prestadores relevantes. Sem ele não há comunicação ao BCB, nem cláusulas revisadas, nem cenários de continuidade realistas.
- Teste de intrusão e plano de correção. É a exigência nova com data mais fácil de verificar, e precisa aparecer no relatório do próximo 31 de março.
- Revisão de acessos de terceirizados e múltiplo fator para acesso externo. Costuma ser rápido de corrigir e a 5.274 cita os terceirizados de forma expressa.
- Relatório anual alimentado ao longo do ano. Incidentes, testes e planos de ação registrados quando acontecem, e não reconstruídos em março.
No GlobalSuite®, o módulo de Segurança traz os requisitos da Resolução CMN 4.893 cruzados com os controles da ISO 27001, e o de Riscos de terceiros mantém o inventário de prestadores com as evidências de cada verificação. Se também trata dados pessoais nesses serviços, vale rever o que a LGPD e a ANPD exigem em caso de incidente.
Fontes oficiais: Resolução CMN nº 4.893, de 26 de fevereiro de 2021 e Resolução CMN nº 5.274, de 18 de dezembro de 2025, no site do Banco Central do Brasil. Conteúdo revisado em outubro de 2026.
