{"navegacao":null,"view":"views/exibenormativo.aspx","conteudo":[{"Titulo":"Instrução Normativa BCB N° 666","Tipo":"Instrução Normativa BCB","Documentos":null,"DOU":"Publicada no DOU de 24/9/2025, Seção 1, p. 178.","Id":52710,"Data":"2025-09-22T23:30:00Z","DataTexto":"22/9/2025 20:30","Numero":666.0,"VersaoNormativo":1.0,"Assunto":"Disciplina a dispensa da observância do limite de emissão de Transferência Eletrônica Disponível – TED de valor igual ou superior a R$15.000,00 (quinze mil reais) por instituição que se conecta à Rede do Sistema Financeiro Nacional – RSFN por meio de Provedor de Serviços de Tecnologia da Informação – PSTI.","NormasVinculadas":"INSTRUÇÃO NORMATIVA BCB;@667;@2025;#RESOLUÇÃO BCB;@340;@2023;#RESOLUÇÃO BCB;@256;@2022;#","Referencias":"Resolução BCB nº 256/2022, art. 3º-A, §§ 1º, 2º e 3º.;#Resolução BCB nº 340/2023, Anexo (Regimento Interno do BCB), arts. 23, inciso I, “a”, 70, inciso I, \"a\", e 112, inciso IV, \"a\" e \"b\".;#Cita Lei nº 13.506/2017.;#Cita Instrução Normativa BCB nº 667/2025.;#","Atualizacoes":null,"Revogado":false,"Cancelado":false,"Texto":"
\n\n\n\n\n\n\n\n\n\n\n
\n\n

INSTRUÇÃO NORMATIVA BCB Nº 666, DE 22 DE SETEMBRO DE 2025

Disciplina\na dispensa da observância do limite de emissão de Transferência Eletrônica\nDisponível – TED de valor igual ou superior a R$15.000,00 (quinze mil reais)\npor instituição que se conecta à Rede do Sistema Financeiro Nacional – RSFN por\nmeio de Provedor de Serviços de Tecnologia da Informação – PSTI.

O Chefe do Departamento de Tecnologia\nda Informação – Deinf, o Chefe do Departamento de Gestão Estratégica e\nSupervisão Especializada – Degef e o Chefe do Departamento de Operações\nBancárias e de Sistema de Pagamentos – Deban, no uso das suas atribuições,\ntendo em vista o disposto no art. 23, inciso I, alínea “a”, no art. 70, inciso\nI, alínea “a”, e no art. 112, inciso IV, alíneas “a” e “b”, todos do Regimento\nInterno do Banco Central do Brasil, anexo à Resolução BCB nº 340, de 21 de\nsetembro de 2023, e o art. 3º-A, § 3º, inciso II, da Resolução BCB nº 256, de\n1º de novembro de 2022,

R E S O L V E M :

Art. 1º \nEsta Instrução Normativa disciplina a dispensa temporária de que trata o\nart. 3º-A, §§ 2º e 3º, da Resolução BCB nº 256, de 2022, incidente sobre o\nlimite de emissão de Transferência Eletrônica Disponível – TED de valor igual\nou superior a R$15.000,00 (quinze mil reais) por instituição que se conecta à\nRede do Sistema Financeiro Nacional – RSFN por meio de Provedor de Serviços de\nTecnologia da Informação – PSTI.

\n\n

Art.\n2º  Para a obtenção de dispensa, pelo prazo de noventa dias, do limite máximo\nde que trata o art. 1º, a instituição deve protocolizar solicitação instruída\ncom documento formal que demonstre a constituição da garantia de que trata o\nart. 3º e descreva as medidas adotadas para a implementação dos controles de\nsegurança da informação descritos nos arts. 4º e 5º, devendo ainda ser\nacompanhado do relatório de asseguração razoável de que trata o art. 6º.

\n\n

Parágrafo\núnico.  A dispensa temporária do que trata o caput só produzirá efeitos a\npartir da comunicação formal ao participante da decisão conjunta do\nDepartamento de Operações Bancárias e de Sistema de Pagamentos (Deban), do\nDepartamento de Tecnologia da Informação (Deinf) e do Departamento de Gestão\nEstratégica e Supervisão Especializada (Degef), após análise da documentação\napresentada pela instituição.

\n\n

Art.\n3º  A instituição solicitante, a título de garantia, deverá manter, no mínimo,\nsobra de capital no montante de 100% (cem por cento) sobre o volume diário\nmáximo de TED realizadas em favor de clientes a partir de sua Conta Reservas\nBancárias ou de sua Conta de Liquidação, a depender do caso, no período\ncompreendido entre 1º de agosto de 2025 e 29 de agosto de 2025.

\n\n

§\n1º  A sobra de capital, cujo valor, para fins da garantia de que trata esta\nInstrução Normativa, corresponderá, no mínimo ao montante previsto no caput, é\ndefinida como:

\n\n

I\n- para os conglomerados e instituições tipo 1 e tipo 3 pertencentes aos\nsegmentos S1 a S4, o menor excedente de capital em relação aos requerimentos de\nmínimos de Capital Principal, Nível I e Patrimônio de Referência, apurados nos\ntermos da regulamentação vigente;

\n\n

II\n- para os conglomerados e instituições tipo 1 e tipo 3 pertencentes ao segmento\nS5, o excedente de capital em relação ao requerimento de mínimo de Patrimônio\nde Referência S5 (PRS5), apurado nos termos da regulamentação vigente; e

\n\n

III\n- para os conglomerados e instituições tipo 2, o excedente de capital em\nrelação ao requerimento de mínimo de Patrimônio de Referência IP (PRIP),\napurado nos termos da regulamentação vigente.

\n\n

§\n2º  A exigência a que se refere o caput será cumulativa com a garantia\napresentada com base na Instrução Normativa BCB nº 667, de 22 de setembro de\n2025.

\n\n

§\n3º  O Banco Central do Brasil poderá requerer a apresentação de garantia\nadicional caso o volume diário máximo de TED realizadas em favor de clientes a\npartir da Conta Reservas Bancárias ou da Conta de Liquidação da instituição, a\ndepender do caso, apresente, durante o tempo em que perdurar a dispensa, valor\nsuperior ao do montante de que trata o caput.

\n\n

Art.\n4º  Para o caso em que são utilizados serviços de processamento de dados\nrelativos à emissão de TED e de conectividade para acesso à RSFN providos por\nPSTI, a instituição deve atestar que:

\n\n

I\n- não compartilha com o PSTI, ou armazena no ambiente desse provedor, as chaves\nprivadas, relativas aos certificados digitais cadastrados no Banco Central do\nBrasil, que são utilizadas para a assinatura das mensagens;

\n\n

II\n- os certificados digitais, relativos às chaves privadas utilizadas para a\nassinatura das mensagens que estivessem no ambiente do PSTI ou às quais o PSTI\ntivesse acesso, foram revogados pela respectiva autoridade certificadora e\nsubstituídos no Sistema de Transferência de Reservas – STR, operado pelo Banco\nCentral do Brasil, e no Sistema de Transferência de Fundos – SITRAF, operado\npela Núclea;

\n\n

III\n- utiliza certificados digitais distintos para ambientes diferentes;

\n\n

IV\n- implementa revisão periódica e tempestiva das permissões de acesso, em\nespecial, de colaboradores terceirizados com acesso ao ambiente computacional\nda instituição e à operação de reserva;

\n\n

V\n- em relação à gestão de fraudes:

\n\n

a)\nvalida a integridade das transações antes de sua assinatura, assegurando que as\ninformações não tenham sido fraudulentamente geradas, corrompidas ou\nmanipuladas durante o processo de geração da mensagem; e

\n\n

b)\nrealiza monitoramento em dias úteis das 6h00 às 19h00 para identificação em\ntempo real, com base em padrões históricos e comportamentais, de transações\natípicas ou fraudulentas, avaliando desvios em relação aos parâmetros esperados\nno que se refere, inclusive:

\n\n

1.\naos valores transacionados;

\n\n

2.\nao volume de transações; e

\n\n

3.\nà quantidade de transações por unidade de tempo; e

\n\n

VI\n- possui mecanismos para a interrupção do processamento de transações em caso\nde suspeita de grave comprometimento de seus sistemas ou dos sistemas do PSTI\ncontratado.

\n\n

Art.\n5º  Para os casos em que é utilizado apenas o serviço de conectividade provido\npor PSTI para o acesso à RSFN, além das exigências previstas no art. 4º, a\ninstituição deve atestar que:

\n\n

I\n- implementa mecanismos de criptografia, de prevenção e detecção de intrusão,\nde prevenção de vazamentos de informações e de proteção contra softwares\nmaliciosos;

\n\n

II\n- implementa mecanismos de rastreabilidade de​ transações que contemplem, no\nmínimo:

\n\n

a)\ntrilhas de auditoria do processamento fim-a-fim dos dados e das informações,\nincluindo a definição e a geração de logs que possibilitem identificar falhas\nde processamento ou comportamento atípicos, bem como subsidiar análises;

\n\n

b)\ndefinição de tempo de retenção de informações de acordo com o tipo de\nprocessamento realizado; e

\n\n

c)\nretenção segura das trilhas de auditoria;

\n\n

III\n- implementa gestão de cópias de segurança dos dados e das informações;

\n\n

IV\n- realiza avaliação e a correção de vulnerabilidades que contemplem no mínimo:

\n\n

a)\ntestes e análises periódicas para detecção de vulnerabilidades em sistemas de\ninformação;

\n\n

b)\nvarreduras físicas periódicas do ambiente tecnológico que possibilitem\nidentificar dispositivos indevidamente conectados à rede corporativa que possam\nestabelecer conexão com ativos de tecnologia externos;

\n\n

c)\nanálises periódicas do ambiente tecnológico com o objetivo de identificar\nvulnerabilidades que possam comprometer a segurança dos ativos de tecnologia; e\n

\n\n

d)\ntestes de intrusão periódicos.

\n\n

V\n- implementa política de controle de acesso que contemple, no mínimo:

\n\n

a)\nmecanismos para limitar o acesso à rede corporativa a usuários e dispositivos\nautorizados;

\n\n

b)\nrevisão periódica e tempestiva das permissões de acesso, em especial, de\ncolaboradores terceirizados com acesso ao ambiente computacional da\ninstituição;

\n\n

c)\nestabelecimento de múltiplos fatores de autenticação para acesso à rede\ncorporativa a partir de ambientes externos; e.

\n\n

d)\nacesso administrativo com o uso de múltiplos fatores de autenticação, para os\nambientes internos de processamento da TED;

\n\n

VI\n- possui processo de avaliação e aplicação regular das correções de segurança;

\n\n

VII\n- implanta mecanismos de proteção da rede que contemplem, no mínimo:

\n\n

a)\nestabelecimento de regras de firewall, assim como o monitoramento de conexões,\nevitando-se tentativas de conexão com sistemas críticos provenientes de ativos\nde tecnologia localizados fora da rede corporativa da instituição;

\n\n

b)\ndefinição de critérios para o estabelecimento e o monitoramento de conexões com\nambientes externos, em especial em horário noturno ou não convencional;

\n\n

c)\nmecanismos para identificar e prevenir conexões indevidas a ambientes externos\na partir do ambiente computacional da instituição; e

\n\n

d)\nimplementação e manutenção de processos e ferramentas para identificação,\nanálise e tratamento de eventos atípicos no ambiente, a exemplo da abertura de\nvirtual private networks – VPN e de tentativas de acesso privilegiado,\nespecialmente em horário noturno ou não convencional, assim como análise da\nimplantação de controles mais robustos que mitiguem riscos de acessos indevidos\nnessas ocasiões.

\n\n

VIII\n- segrega os ambientes computacionais, limitando o acesso ao ambiente de\nprodução e aos recursos computacionais críticos;

\n\n

IX\n- isola física e logicamente do ambiente de processamento das TEDs dos demais\nsistemas, mantendo instância dedicada e apartada dos demais ambientes nos casos\nde uso de nuvem pública;

\n\n

X\n- realiza a gestão de certificados digitais que contemple, no mínimo:

\n\n

a)\no monitoramento do uso de certificados digitais e controles para a guarda\ndessas informações; e

\n\n

b)\na validação de certificados revogados junto às autoridades certificadoras;

\n\n

XI\n- implementa política de gestão de fraudes, com adoção das seguintes medidas:

\n\n

a)\nestabelecimento de canal para reporte de indícios de fraudes; e

\n\n

b)\nestabelecimento de sistema de identificação em tempo de transações atípicas ou\nfraudulentas, avaliando desvios em relação aos parâmetros esperados.

\n\n

Art.\n6º  O preenchimento dos requisitos de que tratam os arts. 4º e 5º deverá ser\natestado por relatório de asseguração razoável elaborado por firma de auditoria\nindependente registrada na Comissão de Valores Mobiliários – CVM, o qual deverá\nser apresentado ao Banco Central do Brasil para a protocolização do pedido de\nque trata o art. 2º.

\n\n

§\n1º  A firma de auditoria independente contratada pela instituição deverá\npossuir capacidade técnica, administrativa e operacional compatível com o\ndesempenho dos trabalhos de asseguração razoável previstos nesta Instrução\nNormativa.

\n\n

§\n2º  O Banco Central do Brasil poderá indeferir o pedido de dispensa temporária\nou adotar a providência de que trata o art. 9º se detectar, a qualquer tempo,\nque a firma de auditoria contratada não atende aos requisitos do § 1º e às\nnormas e aos procedimentos de auditoria determinados pela CVM e pelo Conselho\nFederal de Contabilidade.

\n\n

Art.\n7º  O pedido de que trata o art. 2º deverá ser assinado por Diretor estatutário\nresponsável pela política de segurança cibernética, designado pela instituição\nconforme regulamentação em vigor, que se comprometerá pela veracidade das\ninformações apresentadas ao Banco Central do Brasil, sujeitando-se às medidas\nprevistas na Lei nº 13.506, de 13 de novembro de 2017.

\n\n

Art.\n8º  A dispensa temporária de que trata o art. 1º poderá ser prorrogada por\nsucessivos períodos de, no máximo, noventa dias, até que a instituição atenda\nas exigências previstas no § 1º do art. 3º-A da Resolução BCB nº 256, de 1º de\nnovembro de 2022, e desde que não tenha apresentado deficiências ou falhas\noperacionais graves durante os períodos de dispensa anteriores.

\n\n

Art.\n9º  A dispensa temporária de que trata o art. 1º poderá ser revogada, a\nqualquer tempo, caso a instituição:

\n\n

I\n- apresente deficiências ou falhas operacionais graves;

\n\n

II\n- mantenha informações desatualizadas sobre seu capital; ou

\n\n

III\n- não observe o disposto nos art. 3º.

\n\n

Art.\n10.  Ao protocolizar as informações e os documentos requeridos nesta Instrução\nNormativa, as instituições deverão selecionar, no Protocolo Digital do Banco\nCentral do Brasil, o assunto “Documentos para avaliação de dispensa dos limites\nestabelecidos – TED – PSTI” para destinação ao Degef.

\n\n

Art.\n11.  Esta Instrução Normativa entra em vigor na data de sua publicação.

\n\n

CAIO MOREIRA\nFERNANDES                             ARISTIDES ANDRADE CAVALCANTE NETO

\n\n

Chefe do Deinf                                                    Chefe\ndo Degef

\n\n

FABIO MARTINS TRAJANO\nDE ARRUDA

\n\n

Chefe do Deban

\n\n
\n\n\n\n\n
","Voto":null,"DataAssinatura":null,"DataAssinaturaTexto":""}]}