{"navegacao":null,"view":"views/exibenormativo.aspx","conteudo":[{"Titulo":"Instrução Normativa BCB N° 667","Tipo":"Instrução Normativa BCB","Documentos":null,"DOU":"Publicada no DOU de 24/9/2025, Seção 1, p. 178/179.","Id":52711,"Data":"2025-09-22T23:44:00Z","DataTexto":"22/9/2025 20:44","Numero":667.0,"VersaoNormativo":1.0,"Assunto":"Disciplina a dispensa da observância do limite de emissão de Pix de valor superior a R$15.000,00 (quinze mil reais) por instituição que se conecta à Rede do Sistema Financeiro Nacional – RSFN por meio de Provedor de Serviços de Tecnologia da Informação – PSTI.","NormasVinculadas":"INSTRUÇÃO NORMATIVA BCB;@666;@2025;#RESOLUÇÃO BCB;@340;@2023;#RESOLUÇÃO BCB;@195;@2022;#RESOLUÇÃO BCB;@1;@2020;#","Referencias":"Resolução BCB nº 1/2020, regulamento anexo, art. 37, §§4º e 6º, inciso II.;#Resolução BCB nº 340/2023, Anexo (Regimento Interno do BCB), arts. 23, inciso I, “a”, 70, inciso I, “a”, e 112, inciso IV, “a” e “b”.;#Cita Lei nº 13.506/2017.;#Cita Resolução BCB nº 195/2022, regulamento anexo, art. 2º, inciso VI.;#Cita Instrução Normativa BCB nº 666/2025.;#","Atualizacoes":null,"Revogado":false,"Cancelado":false,"Texto":"

​INSTRUÇÃO\nNORMATIVA BCB Nº 667, DE 22 DE SETEMBRO DE 2025

Disciplina a dispensa da observância\ndo limite de emissão de Pix de valor superior a R$15.000,00 (quinze mil reais)\npor instituição que se conecta à Rede do Sistema Financeiro Nacional – RSFN por\nmeio de Provedor de Serviços de Tecnologia da Informação – PSTI.

O\nChefe do Departamento de Tecnologia da Informação – Deinf, o Chefe do\nDepartamento de Gestão Estratégica e Supervisão Especializada – Degef e o Chefe\ndo Departamento de Operações Bancárias e de Sistema de Pagamentos – Deban, no\nuso das suas atribuições, tendo em vista o disposto no art. 23, inciso I,\nalínea “a”, no art. 70, inciso I, alínea “a”, e no art. 112, inciso IV, alíneas\n“a” e “b”, todos do Regimento Interno do Banco Central do Brasil, anexo à\nResolução BCB nº 340, de 21 de setembro de 2023, e considerando a previsão do\nart. 37, § 6º, inciso II, do Regulamento Anexo à Resolução BCB nº 1, de 12 de\nagosto de 2020,

R E S\nO L V E M :

Art.\n1º  Esta Instrução Normativa disciplina a\ndispensa temporária da observância do limite de emissão de Pix de valor\nsuperior a R$15.000,00 (quinze mil reais) por instituição que se conecta à Rede\ndo Sistema Financeiro Nacional – RSFN por meio de Provedor de Serviços de\nTecnologia da Informação – PSTI.

Parágrafo\núnico.  A dispensa de que trata o caput\nsó será aplicada em dias de semana, de segunda a sexta-feira, no período das\n6h30 às 18h30.

Art.\n2º  Para a obtenção de dispensa, pelo\nprazo de noventa dias, do limite máximo de que trata o art. 1º, a instituição\nautorizada a funcionar pelo Banco Central do Brasil e que seja participante do\nPix deve protocolizar solicitação instruída com documento formal que demonstre\na constituição da garantia de que trata o art. 3º e descreva as medidas\nadotadas para a implementação dos controles de segurança da informação\ndescritos nos arts. 4º e 5º, devendo ainda ser acompanhado do relatório de\nasseguração razoável de que trata o art. 6º.

Parágrafo\núnico.  A dispensa temporária do que\ntrata o caput só produzirá efeitos a partir da comunicação formal ao\nparticipante da decisão conjunta do Departamento de Operações Bancárias e de\nSistema de Pagamentos (Deban), do Departamento de Tecnologia da Informação (Deinf)\ne do Departamento de Gestão Estratégica e Supervisão Especializada (Degef) do\nBanco Central do Brasil, após análise da documentação apresentada pela\ninstituição.

Art.\n3º  A instituição solicitante, a título\nde garantia, deverá manter, no mínimo, sobra de capital no montante de 100%\n(cem por cento) sobre o volume diário máximo de transferências interbancárias\nrealizadas de sua Conta PI de que trata o art. 2º, inciso VI, do Regulamento\nAnexo à Resolução BCB nº 195, de 3 de março de 2022, no período compreendido\nentre 1º de agosto de 2025 e 29 de agosto de 2025.

§ 1º  A sobra de capital, cujo valor, para fins da\ngarantia de que trata esta Instrução Normativa, corresponderá, no mínimo ao\nmontante previsto no caput, é definida como:

I -\npara os conglomerados e instituições tipo 1 e tipo 3 pertencentes aos segmentos\nS1 a S4, o menor excedente de capital em relação aos requerimentos de mínimos\nde Capital Principal, Nível I e Patrimônio de Referência, apurados nos termos\nda regulamentação vigente;

II -\npara os conglomerados e instituições tipo 1 e tipo 3 pertencentes ao segmento\nS5, o excedente de capital em relação ao requerimento de mínimo de Patrimônio\nde Referência S5 (PRS5), apurado nos termos da regulamentação vigente; e

III -\npara os conglomerados e instituições tipo 2, o excedente de capital em relação\nao requerimento de mínimo de Patrimônio de Referência IP (PRIP), apurado nos\ntermos da regulamentação vigente.

§ 2º  A exigência a que se refere o caput será\ncumulativa com a garantia apresentada com base na Instrução Normativa BCB nº 666,\nde 22 de setembro de 2025.

Art.\n4º  Para o caso em que são utilizados\nserviços de processamento de dados relativos à emissão de Pix e de\nconectividade para acesso à RSFN providos por PSTI, a instituição deve atestar\nque:

I -\nnão compartilha com o PSTI, ou armazena no ambiente desse provedor, as chaves\nprivadas, relativas aos certificados digitais cadastrados no Banco Central do\nBrasil, que são utilizadas para a assinatura das mensagens;

II -\nos certificados digitais, relativos às chaves privadas utilizadas para a\nassinatura das mensagens que estivessem no ambiente do PSTI ou às quais o PSTI\ntivesse acesso, foram revogados pela respectiva autoridade certificadora e\ndesativados no Pix;

III -\nutiliza certificados digitais distintos para ambientes diferentes;

IV - adota\ncertificados digitais separados para assinatura das mensagens e para\nestabelecimento de canais no Pix;

V -\nimplementa revisão periódica e tempestiva das permissões de acesso, em\nespecial, de colaboradores terceirizados com acesso ao ambiente computacional\nda instituição e à operação de reserva;

VI -\nem relação à gestão de fraudes:

a) valida\na integridade das transações antes de sua assinatura, assegurando que as\ninformações não tenham sido fraudulentamente geradas, corrompidas ou\nmanipuladas durante o processo de geração da mensagem; e

b) realiza\nmonitoramento em tempo integral, vinte e quatro horas por dia, sete dias por\nsemana, para identificação em tempo real, com base em padrões históricos e\ncomportamentais, de transações atípicas ou fraudulentas, avaliando desvios em\nrelação aos parâmetros esperados no que se refere, inclusive:

1.\naos valores transacionados;

2. ao\nvolume de transações; e

3. à\nquantidade de transações por unidade de tempo; e

VII -\npossui mecanismos para a interrupção do processamento de transações em caso de\nsuspeita de grave comprometimento de seus sistemas ou dos sistemas do PSTI\ncontratado.

Art.\n5º  Para os casos em que é utilizado\napenas o serviço de conectividade provido por PSTI para o acesso à RSFN, além\ndas exigências previstas no art. 4º, a instituição deve atestar que:

I -\nimplementa mecanismos de criptografia, de prevenção e detecção de intrusão, de\nprevenção de vazamentos de informações e de proteção contra softwares\nmaliciosos;

II -\nimplementa mecanismos de rastreabilidade de transações que contemplem, no\nmínimo:

a) trilhas\nde auditoria do processamento fim-a-fim dos dados e das informações, incluindo\na definição e a geração de logs que possibilitem identificar falhas de\nprocessamento ou comportamento atípicos, bem como subsidiar análises;

b) definição\nde tempo de retenção de informações de acordo com o tipo de processamento\nrealizado; e

c) retenção\nsegura das trilhas de auditoria;

III -\nimplementa gestão de cópias de segurança dos dados e das informações;

IV -\nrealiza avaliação e a correção de vulnerabilidades que contemplem no mínimo:

a) testes\ne análises periódicas para detecção de vulnerabilidades em sistemas de\ninformação;

b) varreduras\nfísicas periódicas do ambiente tecnológico que possibilitem identificar\ndispositivos indevidamente conectados à rede corporativa que possam estabelecer\nconexão com ativos de tecnologia externos;

c) análises\nperiódicas do ambiente tecnológico com o objetivo de identificar\nvulnerabilidades que possam comprometer a segurança dos ativos de tecnologia; e\n

d) testes\nde intrusão periódicos;

V -\nimplementa política de controle de acesso que contemple, no mínimo:

a) mecanismos\npara limitar o acesso à rede corporativa a usuários e dispositivos autorizados;

b) revisão\nperiódica e tempestiva das permissões de acesso, em especial, de colaboradores\nterceirizados com acesso ao ambiente computacional da instituição;

c) estabelecimento\nde múltiplos fatores de autenticação para acesso à rede corporativa a partir de\nambientes externos; e

d) acesso\nadministrativo com o uso de múltiplos fatores de autenticação, para os\nambientes internos de processamento da Pix;

VI -\npossui processo de avaliação e aplicação regular das correções de segurança;

VII -\nimplanta mecanismos de proteção da rede que contemplem, no mínimo:

a) estabelecimento\nde regras de firewall, assim como o monitoramento de conexões, ​evitando-se\ntentativas de conexão com sistemas críticos provenientes de ativos de\ntecnologia localizados fora da rede corporativa da instituição;

b) definição\nde critérios para o estabelecimento e o monitoramento de conexões com ambientes\nexternos, em especial em horário noturno ou não convencional;

c) mecanismos\npara identificar e prevenir conexões indevidas a ambientes externos a partir do\nambiente computacional da instituição; e

d) implementação\ne manutenção de processos e ferramentas para identificação, análise ​e\ntratamento de eventos atípicos no ambiente, a exemplo da abertura de virtual\nprivate networks - VPN e de tentativas de acesso privilegiado, especialmente em\nhorário noturno ou não convencional, assim como análise da implantação de\ncontroles mais robustos que mitiguem riscos de acessos indevidos nessas\nocasiões;

VIII -\nsegrega os ambientes computacionais, limitando o acesso ao ambiente de produção\ne aos recursos computacionais críticos;

IX -\nisola física e logicamente do ambiente de processamento de Pix dos demais\nsistemas, mantendo instância dedicada e apartada dos demais ambientes nos casos\nde uso de nuvem pública;

X -\nrealiza a gestão de certificados digitais que contemple, no mínimo:

a) o\nmonitoramento do uso de certificados digitais e controles para a guarda dessas\ninformações; e

b) a\nvalidação de certificados revogados junto às autoridades certificadoras; e

XI -\nimplementa política de gestão de fraudes, com adoção das seguintes medidas:

a) estabelecimento\nde canal para reporte de indícios de fraudes; e

b) estabelecimento\nde sistema de identificação em tempo de transações atípicas ou fraudulentas,\navaliando desvios em relação aos parâmetros esperados.

Art. 6º  O preenchimento dos requisitos de que tratam\nos arts. 4º e 5º deverá ser atestado por relatório de asseguração razoável\nelaborado por firma de auditoria independente registrada na Comissão de Valores\nMobiliários – CVM, o qual deverá ser apresentado ao Banco Central do Brasil\npara a protocolização do pedido de que trata o art. 2º.

§ 1º  A firma de auditoria independente contratada\npela instituição deverá possuir capacidade técnica, administrativa e\noperacional compatível com o desempenho dos trabalhos de asseguração razoável\nprevistos nesta Instrução Normativa.

§ 2º  O Banco Central do Brasil poderá indeferir o\npedido de dispensa temporária ou adotar a providência de que trata o art. 9º se\ndetectar, a qualquer tempo, que a firma de auditoria contratada não atende aos\nrequisitos do § 1º e às normas e aos procedimentos de auditoria determinados\npela CVM e pelo Conselho Federal de Contabilidade.

Art.\n7º  O pedido de que trata o art. 2º\ndeverá ser assinado por Diretor estatutário responsável pela política de\nsegurança cibernética, designado pela instituição conforme regulamentação em\nvigor, que se comprometerá pela veracidade das informações apresentadas ao\nBanco Central do Brasil, sujeitando-se às medidas previstas na Lei nº 13.506,\nde 13 de novembro de 2017.

Art.\n8º  A dispensa temporária de que trata o\nart. 1º poderá ser prorrogada por sucessivos períodos de, no máximo, noventa\ndias, até que a instituição atenda as exigências previstas no art. 37, § 4º do\nRegulamento Anexo à Resolução BCB nº 1, de 12 de agosto de 2020, e desde que\nnão tenha apresentado deficiências ou falhas operacionais graves durante os\nperíodos de dispensa anteriores.

Art.\n9º  A dispensa temporária de que trata o\nart. 1º poderá ser revogada, a qualquer tempo, caso a instituição:

I -\napresente deficiências ou falhas operacionais graves;

II - mantenha\ninformações desatualizadas sobre seu capital; ou

III -\nnão observe o disposto nos art. 3º.

Art.\n10.  Ao protocolizar as informações e os\ndocumentos requeridos nesta Instrução Normativa, as instituições deverão\nselecionar, no Protocolo Digital do Banco Central do Brasil, o assunto\n“Documentos para avaliação de dispensa dos limites estabelecidos – Pix – PSTI ”\npara destinação ao Degef.

Art.\n11.  Esta Instrução Normativa entra em\nvigor na data de sua publicação.

CAIO MOREIRA\nFERNANDES

Chefe do\nDeinf

ARISTIDES\nANDRADE CAVALCANTE NETO

Chefe do\nDegef

FABIO\nMARTINS TRAJANO DE ARRUDA

Chefe do\nDeban


","Voto":null,"DataAssinatura":null,"DataAssinaturaTexto":""}]}