Resoluções CMN 4.893 e BCB 85: o que muda na segurança cibernética das instituições financeiras
Requisitos, prazos e um checklist prático, com o que mudou em dezembro de 2025 com as Resoluções CMN 5.274 e BCB 538.
Em resumo: As Resoluções CMN 4.893 e BCB 85 exigem política de segurança cibernética e plano de resposta a incidentes das instituições autorizadas pelo Banco Central, e fixam regras para contratar processamento, armazenamento de dados e computação em nuvem. Em dezembro de 2025, as Resoluções CMN 5.274 e BCB 538 ampliaram os controles mínimos, criaram exigências para o Pix e o STR e passaram a exigir teste de intrusão independente ao menos uma vez por ano.
O que as Resoluções CMN 4.893 e BCB 85 exigem, e de quem
As Resoluções CMN 4.893 e BCB 85 exigem política de segurança cibernética e plano de resposta a incidentes das instituições autorizadas pelo Banco Central. Também fixam regras para contratar processamento, armazenamento de dados e computação em nuvem, inclusive no exterior.
Em dezembro de 2025, as Resoluções CMN 5.274 e BCB 538 ampliaram os controles mínimos. Também criaram exigências para o Pix e o Sistema de Transferência de Reservas (STR). O teste de intrusão (pentest) independente passou a ser exigido ao menos uma vez por ano.
A CMN 4.893 é do Conselho Monetário Nacional (CMN); a BCB 85, do Banco Central do Brasil (BCB). As exigências são equivalentes, com a mesma numeração nos artigos citados aqui. Muda quem segue cada uma:
| Instituição | Norma que segue | Fonte |
|---|---|---|
| Bancos, cooperativas de crédito e demais instituições autorizadas pelo BCB | CMN 4.893, em vigor desde 1º/7/2021 | CMN 4.893, arts. 1º e 28 |
| Instituições de pagamento | BCB 85, em vigor desde 1º/8/2021 | BCB 85, arts. 1º e 27 |
| Corretoras e distribuidoras de títulos e valores mobiliários e corretoras de câmbio | BCB 85 desde 1º/3/2024; antes, CMN 4.893 | BCB 368/2024 e CMN 5.117/2024 |
| Prestadoras de serviços de ativos virtuais | BCB 85 desde 5/3/2026 | BCB 552/2026 |
| Administradoras de consórcio | Fora da CMN 4.893 desde 1º/3/2024 | CMN 4.893, art. 1º |
O que mudou em dezembro de 2025 e os prazos
As Resoluções CMN 5.274 e BCB 538 valem desde a publicação no Diário Oficial da União, em 22/12/2025 (art. 3º). Quem já funcionava nessa data teve até 1º/3/2026 para se adequar (art. 2º). As mudanças principais:
- Controles mínimos (art. 3º, § 2º). A lista passou a ter 14 incisos, detalhados nos §§ 7º a 12. Entre os novos estão configuração segura, proteção da rede, certificados digitais, integrações por interfaces eletrônicas (como APIs) e inteligência. Esta última inclui monitorar a internet, a Deep Web, a Dark Web e grupos privados de comunicação.
- Pix e STR (art. 3º-A). Quem troca dados pela Rede do Sistema Financeiro Nacional (RSFN) precisa de autenticação multifator (MFA) no acesso administrativo a esses ambientes. Eles devem ficar isolados, física e logicamente, dos demais sistemas, com instância dedicada quando estiverem na nuvem. O uso de credenciais e certificados deve ser monitorado, sobretudo no Sistema de Pagamentos Instantâneos (SPI). A integridade das transações deve ser validada antes da assinatura das mensagens, e prestadores não podem acessar as chaves privadas dessa assinatura. Participantes de Sistemas do Mercado Financeiro (SMF) precisam de controles contra fraude.
- Teste de intrusão (art. 22-A). Deve ocorrer ao menos uma vez por ano, com independência e imparcialidade, por pessoa ou empresa especializada contratada. Resultados e planos de correção ficam documentados.
- Relatório anual (art. 8º, § 1º, V). Passa a incluir os resultados de testes de intrusão e varreduras, com os planos de correção.
- Prestador de RSFN (art. 22-B). O serviço de comunicação com a RSFN passa a ser relevante, qualquer que seja a forma de conexão. Isso inclui prestadores que processam mensagens do Sistema Financeiro Nacional e do Sistema de Pagamentos Brasileiro. Assim, valem as regras de contratação dos arts. 11 a 17.
- A CMN 5.274 também permitiu ao BCB detalhar requisitos técnicos e de integração (art. 24 da 4.893).
| Prazo | O que vale | Artigo |
|---|---|---|
| Ao menos 1 vez por ano | Teste de intrusão independente | 22-A, I |
| Ao menos 1 vez por ano | Revisão da política e do plano de ação e de resposta a incidentes | 10 |
| Até 31/3 do ano seguinte | Apresentar ao conselho ou à diretoria o relatório anual com data-base 31/12; o comitê de risco, se houver, também o recebe | 8º, § 2º |
| Até 10 dias após contratar ou alterar o contrato | Comunicar ao BCB a contratação de serviço relevante ou a alteração que mude os dados informados | 15, §§ 2º e 3º |
| 60 dias antes de contratar | Pedir autorização ao BCB para serviço no exterior sem convênio com o supervisor local | 16, § 1º |
| 5 anos | Manter documentos à disposição do BCB; no pentest, contados da execução | 23 |
O que cada requisito pede e onde a Vortex pode apoiar
| Requisito (artigo) | O que a instituição precisa ter | Como a Vortex pode apoiar |
|---|---|---|
| Política de segurança cibernética (arts. 2º a 5º, 9º e 10) | Política aprovada pelo conselho ou pela diretoria, revisada ao menos uma vez por ano, divulgada a funcionários e prestadores, com resumo público | Vortex Assessment, que mede a maturidade em cibersegurança; Projetos Especiais de consultoria |
| Acesso e autenticação (art. 3º, § 2º, I e IX; § 9º) | Rede só para usuários e dispositivos autorizados; revisão periódica de permissões, sobretudo de terceirizados; MFA no acesso externo | Implantação e gestão de MFA, gestão de acessos privilegiados (PAM), login único (SSO) e acesso de confiança zero (ZTNA) |
| Criptografia, vazamento e malware (§ 2º, II, IV e V) | Mecanismos de criptografia, de prevenção de vazamentos e de proteção contra softwares maliciosos | Criptografia de disco, prevenção de vazamento de dados (DLP), proteção de estações e servidores (EPP e EDR) e de e-mail |
| Intrusão e rede (§ 2º, III e XI; § 11) | Segmentação que proteja a produção; regras de firewall; controle de conexões externas; detecção de eventos atípicos, como VPN e acesso privilegiado à noite e em dias não úteis | Cyber Defense Center, o NG-SOC Convergente da Vortex, com operação 24x7x365 em ambientes IT e OT; firewall de nova geração e detecção na rede (NDR) |
| Rastreabilidade (§ 2º, VI; § 7º) | Trilhas de auditoria fim a fim, com logs; tempo de retenção por tipo de processamento; guarda segura | Cyber Defense Center, com correlação de eventos (SIEM) e investigação automatizada (SOAR) |
| Vulnerabilidades e configuração segura (§ 2º, VIII e X; §§ 8º e 10) | Testes e varreduras periódicos, inclusive contra dispositivos indevidos; correção tempestiva; atualizações; troca de senhas e configurações padrão | Gestão de vulnerabilidades em infraestrutura, aplicações web, containers e infraestrutura como código; gestão de patches; verificação de conformidade com políticas |
| Teste de intrusão (§ 8º, IV; art. 22-A) | Teste ao menos anual, independente, por pessoa ou empresa especializada contratada; resultados e planos de ação documentados | Pentest da Security Consulting, com relatório e priorização de vulnerabilidades; simulação de ataques (BAS) entre um teste e outro |
| Certificados digitais (§ 2º, XII; § 12) | Monitoramento do uso; controle de acesso às chaves privadas; bloqueio de compartilhamento indevido; validação de certificados revogados | Gestão de segredos, com cofre e ciclo de vida de chaves e certificados, e monitoramento dos certificados expostos à internet (EASM) |
| Integrações e desenvolvimento (§ 2º, XIII; §§ 3º e 6º) | Requisitos de segurança para integrações, como APIs; controles no desenvolvimento e na adoção de novas tecnologias | Segurança de APIs, firewall de aplicações web (WAF) e testes de código e de aplicações em execução (SAST e DAST) |
| Inteligência (§ 2º, XIV) | Monitoramento da internet, da Deep Web, da Dark Web e de grupos privados | Cyber Defense Center: inteligência de ameaças com mais de 150 fontes e monitoramento de credenciais e de Deep e Dark Web |
| Pix, STR e SMF (art. 3º-A) | MFA no acesso administrativo; ambientes isolados, com instância dedicada na nuvem; guarda de credenciais e certificados; integridade fim a fim; controles antifraude | MFA e PAM; segmentação com firewall e ZTNA; proteção contra fraudes com monitoramento comportamental e detecção de anomalias |
| Plano de ação, incidentes e relatório anual (arts. 6º a 8º) | Plano com rotinas, tecnologias e área responsável; diretor responsável designado; relatório anual com incidentes, testes de continuidade e pentest | Resposta a incidentes no Cyber Defense Center, com SLA de referência de 15 minutos para o primeiro atendimento nos de alta criticidade; relatórios do Vortex Cockpit, o painel do serviço |
| Continuidade e comunicação ao BCB (arts. 19 e 20) | Cenários de incidentes nos testes de continuidade; prazos de retomada; critérios de crise documentados; comunicação tempestiva ao BCB | Planos de resposta, contenção e recuperação; simulação de ataques (BAS) |
| Contratação de serviços relevantes (arts. 11 a 17 e 22-B) | Avaliação prévia do prestador; cláusulas mínimas no contrato; comunicação ao BCB em até 10 dias | Análise de configuração e de uso da nuvem (CSPM e CASB); Security Rating, nota de segurança feita com dados públicos. O Cyber Defense Center informa operação certificada ISO/IEC 27001, ISO/IEC 27701 e ISO 22301, com duas unidades redundantes, no RJ e em SP |
| Cultura e acompanhamento (art. 3º, VI; art. 21) | Capacitação e avaliação periódica de pessoal; métricas e indicadores; testes da auditoria interna | Plataformas de conscientização e de simulação de phishing; indicadores no Vortex Cockpit |
O que se aplica a cada caso depende do porte, do perfil de risco e do modelo de negócio da instituição (art. 2º, § 1º).
Checklist prático
Use a lista para conferir o que já existe. Os artigos são da CMN 4.893 e da BCB 85.
- Confirmar qual norma vale para a instituição: CMN 4.893 ou BCB 85.
- Atualizar a política com os 14 controles do art. 3º, § 2º, aprová-la no conselho ou na diretoria e publicar o resumo (arts. 5º e 9º).
- Exigir MFA no acesso externo à rede corporativa e revisar permissões, em especial de terceirizados (art. 3º, § 9º).
- Definir a retenção de logs por tipo de processamento e guardar as trilhas com segurança (art. 3º, § 7º).
- Monitorar conexões externas e eventos atípicos, inclusive à noite e em dias não úteis (art. 3º, § 11).
- Mapear certificados digitais e chaves privadas, monitorar o uso e validar revogações (art. 3º, § 12).
- Monitorar internet, Deep Web, Dark Web e grupos privados de comunicação (art. 3º, § 2º, XIV).
- Se usa a RSFN: MFA no acesso administrativo a Pix e STR, ambientes isolados e chaves fora do alcance de prestadores (art. 3º-A).
- Contratar o teste de intrusão independente do ano e documentar resultados e planos de ação (art. 22-A).
- Levar testes e planos ao relatório anual e apresentá-lo até 31/3 (art. 8º).
- Tratar o prestador de RSFN como serviço relevante: diligência, cláusulas e comunicação ao BCB em até 10 dias (arts. 12, 15, 17 e 22-B).
- Documentar os critérios de crise e guardar a documentação por cinco anos (arts. 20 e 23).
Perguntas frequentes
Qual a diferença entre a Resolução CMN 4.893 e a Resolução BCB 85?
As exigências são equivalentes; muda o público. A 4.893 vale para bancos, cooperativas e demais instituições autorizadas. A BCB 85 vale para instituições de pagamento, corretoras, distribuidoras, corretoras de câmbio e prestadoras de serviços de ativos virtuais (CMN 4.893, art. 1º; BCB 85, art. 1º).
A Resolução CMN 5.274 substituiu a 4.893?
Não. A 5.274 alterou a 4.893, que segue em vigor com nova redação. A BCB 538 fez o mesmo com a BCB 85 (CMN 5.274, art. 1º; BCB 538, art. 1º).
Qual era o prazo para se adequar?
1º de março de 2026. A regra de transição cita só as instituições que já funcionavam em 22/12/2025, quando as normas entraram em vigor (CMN 5.274, arts. 2º e 3º; BCB 538, arts. 2º e 3º).
O teste de intrusão é obrigatório? A equipe interna pode fazê-lo?
Sim, ao menos uma vez por ano, por pessoa ou empresa especializada contratada, com independência e imparcialidade. Testes da equipe interna podem ser feitos além desse, sem substituí-lo (CMN 4.893, art. 22-A).
O que muda para quem acessa a RSFN por um prestador ou pela nuvem?
O serviço de comunicação com a RSFN passou a ser relevante. Por isso, segue as regras de contratação, como a comunicação ao BCB em até 10 dias. Na nuvem, Pix e STR exigem instância dedicada e apartada (CMN 4.893, arts. 3º-A, 15 e 22-B).
Em quanto tempo é preciso comunicar um incidente ao Banco Central?
A 4.893 e a BCB 85 não fixam prazo em horas. Elas exigem comunicação tempestiva dos incidentes relevantes que configurem crise, conforme critérios documentados pela instituição (CMN 4.893, art. 20). Se houver dados pessoais envolvidos, vale também a LGPD.
A Resolução 4.658 ainda vale?
Não. A CMN 4.893 revogou as Resoluções 4.658/2018 e 4.752/2019, com efeito a partir de 1º/7/2021 (CMN 4.893, arts. 27 e 28).
Relação com PCI DSS e LGPD
| Norma | O que pede | Relação com a Resolução 4.893 |
|---|---|---|
| PCI DSS | É o padrão do PCI Security Standards Council para dados de cartão de pagamento. A versão publicada é a 4.0.1, de junho de 2024. Em junho de 2026, o conselho abriu consulta sobre ela para preparar a próxima versão. | Não é uma norma do BCB. Quem tem ambiente de cartão segue os dois, e há controles em comum, como o MFA. |
| LGPD (Lei 13.709/2018) | Medidas de segurança técnicas e administrativas para proteger dados pessoais (art. 46). Incidentes que possam causar risco ou dano relevante devem ser comunicados à ANPD e aos titulares (art. 48). A Resolução CD/ANPD nº 15/2024 fixa três dias úteis para isso, salvo prazo em legislação específica. | Um mesmo incidente pode exigir comunicação ao BCB e à ANPD. |
Fontes: PCI SSC, sobre a versão 4.0.1, e PCI SSC, sobre a consulta; Lei 13.709/2018; ANPD, sobre o prazo de três dias úteis. Veja também como a Vortex atua com segurança para ambientes financeiros e o Cyber Defense Center.
Fontes
Textos oficiais consultados em 1º/11/2026.
- Resolução CMN nº 4.893, de 26/2/2021 (texto consolidado), Banco Central do Brasil. DOU de 1º/3/2021, Seção 1, p. 82–83.
- Resolução CMN nº 5.274, de 18/12/2025. DOU de 22/12/2025, Seção 1, p. 232–233.
- Resolução BCB nº 85, de 8/4/2021 (texto consolidado). DOU de 12/4/2021, Seção 1, p. 66–67.
- Resolução BCB nº 538, de 18/12/2025. DOU de 22/12/2025, Seção 1, p. 448–449.
- Resolução BCB nº 368, de 25/1/2024. DOU de 26/1/2024.
- Resolução CMN nº 5.117, de 25/1/2024. DOU de 26/1/2024.
- Resolução BCB nº 552, de 3/3/2026. DOU de 5/3/2026.
- Lei nº 13.709/2018 (LGPD), texto compilado, Planalto.
- Comunicação de incidente de segurança, ANPD, com base na Resolução CD/ANPD nº 15/2024.
- Just Published: PCI DSS v4.0.1, PCI Security Standards Council, 11/6/2024.
- Request for Comments: PCI DSS v4.0.1, PCI Security Standards Council, 3/6/2026.
Quer avaliar a aderência da sua instituição às Resoluções CMN 4.893 e BCB 85?
Conte o momento da sua instituição e um especialista da Vortex entra em contato.
- Diagnóstico gratuito
- Resposta rápida
- Atendimento personalizado
Atualizado em