{"navegacao":null,"view":"views/exibenormativo.aspx","conteudo":[{"Titulo":"Instrução Normativa BCB N° 720","Tipo":"Instrução Normativa BCB","Documentos":null,"DOU":"Publicada no DOU de 7/4/2026, Seção 1, p. 140-142.","Id":52864,"Data":"2026-04-02T14:33:00Z","DataTexto":"2/4/2026 11:33","Numero":720.0,"VersaoNormativo":1.0,"Assunto":"Divulga a versão 5.0 do Manual de Segurança do Open Finance.","NormasVinculadas":"RESOLUÇÃO CONJUNTA;@1;@2020;#INSTRUÇÃO NORMATIVA BCB;@305;@2022;#INSTRUÇÃO NORMATIVA BCB;@136;@2021;#RESOLUÇÃO BCB;@400;@2024;#RESOLUÇÃO BCB;@340;@2023;#RESOLUÇÃO BCB;@109;@2021;#RESOLUÇÃO BCB;@85;@2021;#RESOLUÇÃO BCB;@32;@2020;#RESOLUÇÃO CMN;@4893;@2021;#","Referencias":"Resolução BCB nº 32/2020.;#Resolução BCB nº 340/2023, Anexo (Regimento Interno do BCB), art. 23, inciso I, “a”.;#Cita Medida Provisória nº 2.200-2/2001.;#Cita Lei nº 13.709/2018.;#Cita Resolução CMN nº 4.893/2021.;#Cita Resolução Conjunta BCB/CMN nº 1/2020.;#Cita Resoluções BCB ns. 85/2021, 109/2021 e 400/2024.;#Cita Instrução Normativa BCB nº 136/2021.\t;#Revoga Instrução Normativa BCB nº 305/2022.;#","Atualizacoes":null,"Revogado":false,"Cancelado":false,"Texto":"
\n\n\n\n\n\n\n\n\n\n\n
\n\n

INSTRUÇÃO NORMATIVA BCB Nº 720, DE 2 DE\nABRIL DE 2026

\n\n

Divulga a\nversão 5.0 do Manual de Segurança do Open Finance.

\n\n

Os Chefes do Departamento de Regulação\ndo Sistema Financeiro (Denor) e do Departamento de Tecnologia da Informação\n(Deinf), no uso das atribuições que lhes conferem o art. 23, inciso I, alínea\n"a", do\nRegimento Interno do Banco Central do Brasil, anexo à Resolução BCB nº 340, de\n21 de setembro de 2023,\ncom base no art. 3º, inciso IV, da Resolução BCB nº 32, de 29 de outubro de\n2020,

\n\n

R E S O L V E M :

\n\n

Art. 1º  Esta Instrução Normativa\ndivulga a versão 5.0 do Manual de Segurança do Open Finance, de\nobservância obrigatória por parte das instituições participantes, conforme Anexo.

\n\n

§ 1º  O manual de que trata o caput,\nem sua versão mais recente, estará acessível na página do Open Finance no\nsítio eletrônico do Banco Central do Brasil na internet e no Portal Open Finance\ndo Brasil, mantido pela Estrutura de Governança do Open Finance de\nque trata o art. 44, § 1º, da Resolução Conjunta nº 1, de 4 de maio de 2020.

\n\n

§ 2º  A observância obrigatória do\nmanual de que trata o caput deve ocorrer:

\n\n

I - a partir de 3 de novembro de 2026,\npara os itens 3.28 a 3.30 e 6.18 do citado manual; e

\n\n

II - na data de vigência desta\nInstrução Normativa, para os demais itens do manual.

\n\n

Art. 2º  Fica revogada a Instrução\nNormativa BCB nº 305, de 15 de setembro de 2022, publicada no Diário Oficial da\nUnião de 19 de setembro de 2022.

\n\n

Art. 3º  Esta Instrução Normativa\nentra em vigor na data de sua publicação.

                        MARDILSON\nFERNANDES QUEIROZ                             CAIO MOREIRA FERNANDES
                        Chefe\ndo Denor                                                               Chefe\ndo Deinf

\n\n
\n\n\n

 

\n\n

ANEXO À INSTRUÇÃO NORMATIVA BCB Nº 720​,\nDE 2 DE ABRIL DE 2026

\n\n

Manual de Segurança do Open Finance\nVersão 5.0

\n\n

Sumário\nde alterações

\n\n\n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n
\n

Data

\n 		\n

Versão

\n 		\n

Descrição\n das alterações

\n
\n

2/4/2026

\n 		\n

5.0

\n 		\n

Aprimoramentos\n na redação do texto, sem alteração de mérito.

\n
\n

Atualização\n de referências.

\n
\n


Atualização\n da redação sobre o escopo de aplicação dos requisitos mínimos de segurança,\n com base na Resolução Conjunta nº 1, de 2020.

\n
\n

Alteração\n dos itens 3.1 e 3.9, para adequar ao escopo de aplicação atualizado dos\n requisitos mínimos de segurança.

\n
\n

Inclusão do\n item 3.10, dispondo sobre excepcionalidade do uso de certificados digitais\n para compartilhamento de dados sobre canais de atendimento e para o\n compartilhamento de produtos e serviços de que trata o art. 5º, inciso I,\n alíneas "a" e "b", da Resolução Conjunta nº 1, de 2020,\n renumerando-se os demais itens.

\n
\n

Alteração\n do item 3.15, dispondo sobre os certificados utilizados para comunicação de\n sistemas Front-End.

\n
\n

Inclusão\n dos itens 3.28 a 3.30, dispondo sobre os mecanismos adotados para validação\n de certificados digitais.

\n
\n

Inclusão do\n item 6.18 sobre a disponibilidade de parâmetros para seleção de mecanismos de\n verificação de que trata o item 3.28.

\n
\n\n

Termos de\nUso

\n\n

Este manual detalha os requisitos\ntécnicos para a implementação dos elementos necessários à operacionalização do Open\nFinance, complementando a regulamentação vigente sobre o tema.

\n\n

O\nmanual será revisto e atualizado periodicamente a fim de preservar a\ncompatibilidade com a regulamentação, bem como para incorporar os\naprimoramentos decorrentes da evolução do Open Finance e da tecnologia.

\n\n

Informações\nmais detalhadas e exemplos da aplicação deste manual poderão ser encontrados\nnos guias e tutoriais disponíveis no Portal do Open Finance no Brasil,\nna Área do Desenvolvedor.

\n\n

Sugestões,\ncríticas ou pedidos de esclarecimentos de dúvidas relativas ao conteúdo deste\ndocumento podem ser enviados ao Banco Central do Brasil por meio dos canais\ninstitucionais dessa autarquia.

\n\n

Referências

\n\n

Estas\nespecificações baseiam-se, referenciam, e complementam, quando aplicável, os\nseguintes documentos:

\n\n\n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n
\n

Referência

\n 		\n

Origem

\n
\n

Resolução\n Conjunta nº 1, de 2020

\n 		\n

https://www.bcb.gov.br/estabilidadefinanceira/exibenormativo?tipo=Resolu%C3%A7%C3%A3o%20Conjunta&numero=1

\n
\n

Resolução\n BCB nº 85, de 2021

\n 		\n

https://www.bcb.gov.br/estabilidadefinanceira/exibenormativo?tipo=Resolu%C3%A7%C3%A3o%20BCB&numero=85

\n
\n

Resolução\n BCB nº 109, de 2021

\n 		\n

https://www.bcb.gov.br/estabilidadefinanceira/exibenormativo?tipo=Resolu%C3%A7%C3%A3o%20BCB&numero=109

\n
\n

Instrução\n Normativa BCB nº 136, de 2021

\n 		\n

https://www.bcb.gov.br/estabilidadefinanceira/exibenormativo?tipo=Instru%C3%A7%C3%A3o%20Normativa%20BCB&numero=136

\n
\n

Resolução\n CMN nº 4.893, de 2021

\n 		\n

https://www.bcb.gov.br/estabilidadefinanceira/exibenormativo?tipo=Resolu%C3%A7%C3%A3o%20CMN&numero=4893

\n
\n

Resolução BCB nº 400, de 2024

\n 		\n

https://www.bcb.gov.br/estabilidadefinanceira/exibenormativo?tipo=Resolu%C3%A7%C3%A3o%20BCB&numero=400

\n
\n

Lei Geral\n de Proteção de Dados Pessoais (LGPD – Lei nº 13.709, de 2018)

\n 		\n

http://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/L13709.htm\n

\n
\n

OWASP\n API Security Project

\n 		\n

https://owasp.org/www-project-api-security/\n

\n
\n

CWE\n TOP 25 Most Dangerous Software Errors

\n 		\n

https://www.sans.org/top25-software-errors\n

\n
\n

CWE\n Top 25 Most Dangerous Software Weaknesses

\n 		\n

https://cwe.mitre.org/top25/\n

\n
\n

NIST Cybersecurity\n Framework

\n 		\n

 https://www.nist.gov/cyberframework

\n
\n

ICP Brasil\n - Manual de Condutas Técnicas 7 – Volume I

\n 		\n

https://www.gov.br/iti/pt-br/centrais-de-conteudo/mct-7-vol-1-v-2-2-pdf

\n
\n

Medida\n Provisória nº 2.200-2, de 24 de agosto de 2001

\n 		\n

http://www.planalto.gov.br/ccivil_03/mpv/antigas_2001/2200-2.htm

\n
\n

Chartered\n Professional Accountants – Canada: Principles and Criteria and Practitioner Guidance

\n 		\n

https://www.cpacanada.ca/business-and-accounting-resources/audit-and-assurance/Overview-of-WebTrust-services/Principles-and-criteria

\n
\n

RFC 2818 -\n HTTP Over TLS

\n 		\n

https://datatracker.ietf.org/doc/html/rfc2818

\n
\n

RFC\n 5280 - Internet X.509 Public Key Infrastructure Certificate and\n Certificate Revocation List (CRL) Profile

\n 		\n

https://datatracker.ietf.org/doc/html/rfc5280

\n
\n

BCP\n 195/RFC 7525 - Recommendations for Secure Use of Transport Layer Security (TLS)\n and Datagram Transport Layer Security (DTLS)

\n 		\n

https://tools.ietf.org/html/rfc7525  \n

\n
\n\n

1. Introdução

\n\n

Este manual\ndetalha em termos operacionais as diretrizes de segurança estabelecidas pela\nResolução Conjunta nº 1, de 4 de maio de 2020, e pela Resolução BCB nº 32, de\n29 de outubro de 2020. Ele contém tanto os requisitos mínimos de segurança\nobrigatórios para as instituições participantes como para os demais elementos\nque compõem a Estrutura Responsável pela Governança do Open Finance.

\n\n

Para\ngarantir a segurança do Open Finance no País, a regulamentação vigente estabelece\na obrigatoriedade de se cumprir uma série de medidas, entre as quais as\ndescritas neste manual.

\n\n

No tocante\naos requisitos obrigatórios para as instituições participantes, este manual apresenta\nas seguintes seções: 2. governança, 3. proteção, 4. detecção e 5. reação. Os\nrequisitos obrigatórios para a Estrutura de Governança do Open Finance constam\nda Seção 6.

\n\n

Este manual prescreve\nos requisitos mínimos de segurança necessários para o compartilhamento de dados\ne serviços no Open Finance, conforme Resolução Conjunta nº 1, de 2020.

\n\n

À medida que\no Open Finance abranger o compartilhamento de outros dados e serviços, novos\nrequisitos de segurança poderão ser acrescentados a este manual, em complemento\nà regulamentação aplicável.

\n\n

Ao\nlongo deste documento será constante o uso de siglas para designar algumas\nexpressões cotidianas dos profissionais da área de segurança da informação. Alguns\nexemplos das mais frequentemente utilizadas, com as correspondentes definições,\nsão as seguintes:

\n\n

I\n- ACL: Access Control List;

\n\n

II\n- API: Application Programming Interface;

\n\n

III - ETIR: Equipe de Tratamento de\nIncidentes;

\n\n

IV - HTTP: HyperText\nTransfer Protocol;

\n\n

V -\nICP-Brasil: Infraestrutura de Chaves Públicas Brasileira;

\n\n

VI\n- IP: Internet Protocol;

\n\n

VII\n- NTP: Network Time Protocol;

\n\n

VIII\n- PFS: Perfect Forward Secrecy;

\n\n

IX\n- PGP: Pretty Good Privacy;

\n\n

X\n- TCP: Transmission Control Protocol;

\n\n

XI\n- TLS: Transport Layer Security;

\n\n

XII\n- URI: Uniform Resource Identifier; e

\n\n

XIII\n- UTC: Universal Time Coordinated.

\n\n

2. Governança

\n\n

2.1 As\ninstituições participantes do Open Finance devem adotar processos para acompanhar\na publicação e a entrada em vigor de atos normativos com impacto no tema, de\nforma a estarem permanentemente atualizadas com as determinações regulamentares.

\n\n

2.2 Compõem,\nde forma não exaustiva, o rol de atos normativos cuja observância é essencial\npelas instituições participantes do Open Finance:

\n\n

I - a Resolução\nConjunta nº 1, de 2020;

\n\n

II - as Resoluções\neditadas pelo Conselho Monetário Nacional (CMN) e pelo Banco Central do Brasil\naplicáveis às instituições participantes, em especial as que dispõem sobre a\npolítica de segurança cibernética e sobre os requisitos para a contratação de\nserviços de processamento e armazenamento de dados e computação em nuvem; e

\n\n

III - a Lei\nGeral de Proteção de Dados Pessoais (LGPD – Lei nº 13.709, de 2018).

\n\n

2.3 O plano\nde ação e resposta a incidentes das instituições participantes deve abranger os\nprocedimentos e os controles a serem utilizados na prevenção e resposta a\nincidentes que afetem sistemas, APIs e outros recursos relacionados à\nimplementação e à operação do Open Finance, de forma compatível com a\npolítica de segurança cibernética da instituição e com a regulamentação\nvigente.

\n\n

2.4 As\ninstituições participantes devem definir procedimentos e controles voltados à\nprevenção e ao tratamento de incidentes a serem adotados pelas empresas\nprestadoras de serviços a terceiros que manuseiem dados ou informações\nrequeridos para a condução das atividades relativas ao Open Finance, em\ncompatibilidade com a política de que trata o item 2.3 e com a regulamentação\nvigente.

\n\n

2.5 Os\nprocedimentos e controles de que trata o item 2.4 devem ser divulgados às\nempresas prestadoras de serviços mediante linguagem clara, acessível e em nível\nde detalhamento compatível com as funções desempenhadas e sensibilidade das\ninformações.

\n\n

2.6 As\ninstituições participantes, previamente à contratação de serviços requeridos\npara a condução das atividades relativas ao Open Finance, devem adotar\nprocedimentos que contemplem a verificação da capacidade do potencial prestador\nde serviço de assegurar o cumprimento da legislação e da regulamentação\nvigente.

\n\n

2.7 As\ninstituições devem armazenar e processar os dados discriminados na etapa de\nconsentimento segundo a finalidade para a qual foram compartilhados de maneira\nsegura, observadas a legislação e a regulamentação vigentes.

\n\n

2.8 As\ninstituições participantes devem manter suas informações cadastrais permanentemente\natualizadas no Diretório de Participantes do Open Finance, observada a\nregulamentação vigente.

\n\n

3. Proteção

\n\n

3.1\nOs acessos aos dados e aos serviços no âmbito do\nOpen Finance devem ser realizados exclusivamente por meio de APIs.

\n\n

3.2\nOs sistemas e APIs relacionados ao Open Finance devem ser mantidos em\nrede interna segregada logicamente de redes ordinariamente utilizadas por\nestações de trabalho ou redes sem fio.

\n\n

3.3\nAs instituições transmissoras de dados e detentoras de conta devem implementar\ncontroles de tráfego de entrada e saída, de forma a permitir apenas o\nnecessário para comunicação com as APIs de Open Finance.

\n\n

3.4\nAs instituições devem implementar criptografia na comunicação com as APIs de Open\nFinance expostas publicamente, por meio do protocolo TLS na versão 1.2 ou\nsuperior, utilizando cifras (cipher suites) que atendam ao requisito de\nperfect forward secrecy (PFS).

\n\n

3.5\nAs funcionalidades "TLS Session Resumption" e "TLS Renegotiation"\ndevem ser desabilitadas.

\n\n

3.6\nAs instituições devem aplicar controles de segurança na camada de aplicação que\npermitam a inspeção de ameaças e o bloqueio de ataques de injeção de código,\nentre outros, adequados às tecnologias utilizadas nas APIs.

\n\n

3.7\nAs instituições não devem expor os repositórios de dados utilizados no Open Finance\ndiretamente à internet.

\n\n

3.8\nAs instituições participantes devem verificar e garantir que a quantidade, a\nordem, o formato, o tamanho e o conteúdo dos campos das requisições de acesso\nàs APIs, bem como suas respostas, estejam de acordo com os estabelecidos pelas\ndefinições de Open Finance.

\n\n

3.9\nPara assinatura de mensagens e comunicação segura com APIs usadas para os\ncompartilhamentos de dados e de serviços,\ndevem ser utilizados\ncertificados digitais válidos, emitidos por autoridade certificadora\nparticipante da ICP-Brasil, de acordo com os padrões para certificação digital\nestabelecidos pela Estrutura de Governança do Open Finance.

\n\n

3.10\nO disposto no item 3.9 não se aplica ao compartilhamento de dados sobre canais de atendimento nem\nao compartilhamento de dados sobre produtos e serviços de que trata o art. 5º,\ninciso I, alíneas "a" e "b", da Resolução Conjunta no\n1, de 2020.

\n\n

3.11\nOs certificados digitais de que trata o item 3.9 devem contemplar mecanismos para\na proteção dos canais de comunicação e para a assinatura ou criptografia de\nmensagens trocadas com APIs.

\n\n

3.12\nAdmite-se, para emprego no ambiente de testes de APIs\nde que trata o art. 12, inciso IV da Resolução BCB nº 32, de 2020, o uso de\ncertificados digitais emitidos pelo serviço de Diretório da Estrutura de Governança\ndo Open Finance.

\n\n

3.13\nOs certificados requeridos para as contratações de parceria devem observar a\nlegislação e a regulamentação em vigor e seguir, no que couber, os padrões de\ncertificado digital definidos pela Estrutura de Governança do Open Finance.\nOs padrões de que trata este item devem contemplar a formatação do certificado,\nos algoritmos criptográficos e os atributos estabelecidos.

\n\n

3.14\nPara o estabelecimento de conexões TLS das chamadas de endpoints\nconfidenciais devem ser utilizados os seguintes algoritmos:

\n\n

I - ‘TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256’;\ne

\n\n

II - ‘TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384’.

\n\n

3.15\nOs certificados utilizados para comunicação de sistemas Front-End,\nacessados diretamente por clientes das instituições participantes, em especial\npara realizar autenticação, devem:

\n\n

I\n- ser do tipo Extended Validation (EV); e

\n\n

II\n- ser emitidos por autoridade certificadora em funcionamento, em conformidade\ncom os princípios e critérios WebTrust.

\n\n

3.16\nOs procedimentos e controles relativos à criptografia devem contemplar meios\nseguros de armazenamento, transferência, utilização e destruição de segredos ou\nchaves empregados no âmbito do Open Finance, observada a regulamentação\nvigente.

\n\n

3.17\nRecomenda-se utilizar os seguintes algoritmos criptográficos para proteção e\narmazenamento de segredos no âmbito do Open Finance:

\n\n

I\n- ‘AES-256bits’ ou superior;

\n\n

II\n- ‘SHA-256bits’ ou superior; e

\n\n

III\n- ‘RSA-2048bits’ ou superior.

\n\n

3.18\nÉ recomendável que os segredos e as chaves utilizados para autenticar, proteger\ne garantir a integridade de dados sejam gerados de maneira a respeitar\nprocessos de duplo controle e tratamento de segredo (split-knowledge), armazenando\nregistros de log que incluam data de geração, participantes e\nresponsáveis pela custódia, quando aplicável e de forma compatível com a\nregulamentação vigente.

\n\n

3.19\nAs instituições participantes devem implementar procedimentos e controles de\nsegurança para análise de vulnerabilidades nas etapas de desenvolvimento e de\nutilização em produção das versões das APIs utilizadas no Open Finance,\nobservada a regulamentação vigente.

\n\n

3.20\nAs vulnerabilidades de que trata o item 3.19 devem ser categorizadas e\npriorizadas de acordo com classificação de risco.

\n\n

3.21\nOs participantes devem implementar processos de revisão periódica das\nconfigurações dos sistemas e das APIs utilizados no Open Finance, para\ngarantir que somente portas e serviços autorizados estejam habilitados,\nobservada a regulamentação vigente.

\n\n

3.22\nAs instituições participantes devem garantir que portais e aplicações\nrelacionados à implementação e à operação do Open Finance possuam meios\nde autenticação adequados e controle de autorização em observância à\nregulamentação vigente.

\n\n

3.23\nO processo de autenticação deve ser sempre realizado por meio de canal de\ncomunicação seguro, utilizando criptografia TLS 1.2 ou superior, de forma\ncompatível com a regulamentação vigente.

\n\n

3.24\nOs acessos remotos para administração de sistemas ou da infraestrutura\nrelacionados ao Open Finance devem ser realizados mediante uso de\nmúltiplos fatores de autenticação, observada, no que couber, a compatibilidade\ncom a regulamentação vigente.

\n\n

3.25\nAs instituições devem implementar processo formal de aplicação de patch\nque contemple os sistemas relacionados à implementação do Open Finance,\nde forma compatível com a política de segurança cibernética da instituição, observada\nregulamentação vigente.

\n\n

3.26\nOs sistemas e APIs relacionados ao Open Finance devem possuir relógio\nsincronizado com fonte confiável de tempo, por exemplo, por meio do uso do\nprotocolo NTP.

\n\n

3.27\nAs APIs e os sistemas relacionados ao Open Finance devem ser\nimplementados usando padrões de configuração segura (hardening),\nobservada a regulamentação vigente.

\n\n

3.28\nAs instituições participantes devem utilizar mecanismos para verificar a\nvalidade dos certificados digitais de que trata o item 3.9.

\n\n

3.29\nA seleção dos mecanismos de que trata o item 3.28 deve estar de acordo com os\nparâmetros definidos pela Estrutura de Governança do Open Finance.

\n\n

3.30\nAs instituições participantes devem ser capazes de verificar a validade dos\ncertificados digitais mesmo diante de indisponibilidade temporária dos\nmecanismos de que trata o item 3.28.

\n\n

4. Detecção

\n\n

4.1\nAs instituições participantes devem manter trilhas de auditoria contendo, no\nmínimo, endereço IP de origem da chamada, porta de comunicação de origem da\nchamada, data, hora, sistema, usuário (quando aplicável), objeto, falha ou\nsucesso da ação das configurações realizadas nos sistemas e APIs relacionados\nao Open Finance, observadas a legislação e regulamentação vigentes.

\n\n

4.2\nAs instituições participantes devem monitorar os registros relativos aos\nacessos das APIs relacionadas ao Open Finance, em especial os registros\nque indicarem erros internos (ex: status HTTP 500) ou requisições inválidas\n(ex: status HTTP 400), observada a regulamentação vigente.

\n\n

4.3\nAs instituições participantes devem monitorar a volumetria e o padrão das\nrequisições às APIs relacionadas ao Open Finance, para detecção de\nincidentes relacionados aos incisos I a IV do item 5.5.

\n\n

5. Reação

\n\n

5.1\nÉ facultado às instituições participantes implementar bloqueio de acessos às\nsuas APIs, com vistas a tratar riscos cibernéticos ou para tratar incidentes\ncibernéticos em andamento. A implementação desses bloqueios deve ser compatível\ncom a política de segurança cibernética da instituição.

\n\n

5.2\nEm caso de comprometimento de qualquer credencial relacionada ao Open Finance,\na instituição participante deve revogá-la tempestivamente perante o Diretório de\nParticipantes e compartilhar essa informação com as demais instituições\nparticipantes, observada a regulamentação vigente.

\n\n

5.3\nNo caso de comprometimento de certificados de segurança, a instituição\nparticipante do Open Finance deve solicitar tempestivamente a revogação\ndo certificado comprometido à autoridade certificadora e compartilhar essa\ninformação com a Estrutura de Governança do Open Finance e com as demais\ninstituições participantes, observada a regulamentação vigente.

\n\n

5.4\nSem prejuízo do dever de sigilo e da livre concorrência, as instituições\nparticipantes devem compartilhar com as demais instituições participantes e com\na Estrutura de Governança do Open Finance informações sobre incidentes\ncibernéticos que afetem os serviços do Open Finance, observando a\nregulamentação vigente.

\n\n

5.5\nNo âmbito do Open Finance, observada a regulamentação vigente, o plano\nde ação e resposta a incidentes deve contemplar, no mínimo, procedimentos para\nprevenir e responder a incidentes que possam implicar:

\n\n

I\n- acesso não autorizado;

\n\n

II\n- vazamento de dados;

\n\n

III\n- negação de serviço; e

\n\n

IV\n- falha na integridade de dados.

\n\n

6. Estrutura\nde Governança do Open Finance

\n\n

6.1\nCada instituição deve cadastrar no Diretório de Participantes os dados de\ncontato de seus representantes para tratamento de incidentes com, no mínimo, e-mail,\nchaves criptográficas PGP (se houver) e campo para dados adicionais. Tais dados\ndevem ser disponibilizados pelo Diretório para acesso aos demais participantes.

\n\n

6.2\nCada instituição deve disponibilizar os contatos de e-mail das equipes\nde segurança conforme a RFC 2142 (abuse e security).

\n\n

6.3\nO acesso às áreas restritas do Diretório de Participantes deve ser:

\n\n

I\n- permitido apenas a usuários autorizados pelas instituições participantes ou pela\nEstrutura de Governança do Open Finance; e

\n\n

II\n- condicionado à autenticação por múltiplos fatores.

\n\n

6.4\nOs acessos ao Diretório devem ser registrados em trilhas de auditoria, que\ndevem conter, no mínimo, data e hora do acesso na timezone UTC, endereço\nIP de origem da chamada, porta de comunicação origem da chamada, URI acessada,\nmétodo HTTP utilizado e status de retorno, observada a legislação e a\nregulamentação vigentes.

\n\n

6.5\nA Estrutura de Governança do Open Finance deve implementar e manter\npolítica de segurança cibernética formulada com base em princípios e diretrizes\nque busquem assegurar a confidencialidade, a integridade e a disponibilidade\ndos dados e dos sistemas de informação utilizados, com vistas a contemplar as\natividades de que trata o art. 12 da Resolução BCB nº 32, de 2020.

\n\n

6.6\nA política de que trata o item 6.5 deve contemplar:

\n\n

I\n- os procedimentos e controles para reduzir a vulnerabilidade a incidentes;

\n\n

II\n- a execução, no mínimo anual, de testes de intrusão;

\n\n

III\n- os mecanismos para disseminação da cultura de segurança cibernética; e

\n\n

IV\n- a difusão de boas práticas de segurança cibernética aos participantes e a\noutras partes interessadas na implementação e na operação do Open Finance\nno Brasil.

\n\n

6.7\nA Estrutura de Governança do Open Finance deve implementar e manter\nplano de ação e resposta a incidentes visando à implementação da política de\nsegurança cibernética de que trata o item 6.5.

\n\n

6.8\nO plano de ação e resposta a incidentes mencionado no item 6.7 deve contemplar\nas rotinas, os procedimentos, os controles e as tecnologias a serem utilizados\nna prevenção, no monitoramento e na resposta a incidentes que afetem os\nserviços definidos no art. 12 da Resolução BCB nº 32, de 2020.

\n\n

6.9\nO monitoramento dos serviços de que trata o item 6.8 deve ser realizado de\nforma permanente e estar disponível 24 horas por dia, 7 dias por semana.

\n\n

6.10\nA política referida no item 6.5 e o plano de ação e resposta a incidentes\nmencionado no item 6.7 devem ser aprovados pelo Órgão de Direção Superior da\nEstrutura de Governança do Open Finance, após prévia avaliação técnica.

\n\n

6.11\nOs testes de intrusão mencionados no inciso II do item 6.6 devem ser realizados\ncom independência e imparcialidade por pessoa natural ou empresa especializada\ncontratada para essa finalidade.

\n\n

6.12\nAs vulnerabilidades identificadas nos testes de intrusão devem ser documentadas\ne tempestivamente tratadas pela Estrutura de Governança do Open Finance.

\n\n

6.13\nA Estrutura de Governança do Open Finance deverá instituir Equipe de\nTratamento de Incidentes responsável por:

\n\n

I\n- prevenir e tratar incidentes cibernéticos que afetem as atividades de que\ntrata o art. 12 da Resolução BCB nº 32, de 2020;

\n\n

II\n- monitorar a utilização de credenciais de acesso dos participantes às\natividades referenciadas no Inciso I; e

\n\n

III\n- responder por eventuais violações de acesso caso utilizadas as credenciais de\nque trata o Inciso II.

\n\n

6.14\nÉ responsabilidade da Equipe de Tratamento de Incidentes que trata o item 6.13,\nno âmbito de suas atribuições, apoiar o tratamento de incidentes que possam\nimplicar risco ao funcionamento de sistemas relacionados à implementação do Open\nFinance, especialmente para promover:

\n\n

I\n- a difusão e o compartilhamento de indicadores de comprometimento e de\ninformações de inteligência cibernética; e

\n\n

II\n- o monitoramento e o tratamento de incidentes envolvendo as atividades de que\ntrata o art. 12 da Resolução BCB nº 32, de 2020.

\n\n

6.15\nAs informações sobre incidentes cibernéticos citados no Inciso I do item 6.13\ndevem ser:

\n\n

I\n- compartilhadas com os representantes para tratamento de incidentes das\ninstituições participantes; e

\n\n

II\n- disponibilizadas ao Banco Central do Brasil, observada a regulamentação em\nvigor.

\n\n

6.16\nA Estrutura de Governança do Open Finance deve disponibilizar no Portal\ndo Open Finance no Brasil:

\n\n

I\n- os padrões de segurança e dos certificados digitais para fins de\ncompartilhamento de dados e de serviços no escopo do Open Finance,\nobservada a regulamentação em vigor; e

\n\n

II\n- as instruções para subsidiar a emissão de certificados digitais requeridos\npara as contratações de parceria para fins de compartilhamento previstas na\nregulamentação em vigor.

\n\n

6.17\nO Diretório de Participantes do Open Finance deve disponibilizar\nmecanismos que permitam às autoridades registradoras a validação de atributos\ndos certificados digitais de que trata o item 3.9.

\n\n

6.18\nA Estrutura de Governança do Open Finance deve disponibilizar às\ninstituições participantes os parâmetros para seleção de mecanismos de\nverificação de que trata o item 3.29, contemplando, no mínimo:

\n\n

I\n- a frequência mínima esperada de atualização das informações disponibilizadas\npor meio do mecanismo selecionado;

\n\n

II\n- a tolerância mínima a falhas na utilização do mecanismo selecionado; e

\n\n

III\n- a alternativa para verificação da validade do certificado de que trata o item\n3.9, no caso de indisponibilidade do mecanismo selecionado.

\n\n

Brasília, 2 de abril de 2026.

\n\n
\n\n\n\n\n

​NOTA 227/2026-BCB/DENOR,\nDE 20 de MARÇO de 2026

\n\n

Fundamenta\nproposta de edição de instrução normativa que estabelece a versão 5.0 do Manual\nde Segurança do Open Finance.

\n\n

                   Senhores\nChefes do Denor e do Deinf,

\n\n

1.               A\npresente Nota fundamenta proposta de edição de instrução normativa pelo\nDepartamento de Regulação do Sistema Financeiro (Denor) e pelo Departamento de\nTecnologia da Informação (Deinf), no uso da atribuição que lhes confere o art.\n23, inciso I, alínea "a", do Regimento Interno do Banco Central do\nBrasil, anexo à Resolução BCB nº 340, de 21 de setembro de 2023, com base no\nart. 51, inciso IX, da Resolução Conjunta nº 1, de 4 de maio de 2020, que\ndispõe sobre a implementação do Open Finance.

\n\n

2.           ​A\nrespeito, a proposta trata de edição de instrução normativa que estabelece a versão\n5.0 do Manual de Segurança do Open Finance, revogando a Instrução\nNormativa BCB nº 305, de 15 de setembro de 2022, que divulga a versão 4.0 do\nManual de Segurança do Open Finance.

\n\n

3.              As\nalterações referem-se às atualizações no escopo de aplicação dos requisitos\nmínimos de segurança, para deixá-lo mais alinhado com o escopo vigente de dados\ne de serviços compartilhados no\nâmbito do Open Finance, conforme Resolução Conjunta nº 1, de 2020. Adicionalmente, foram propostas atualizações\nde caráter formal em expressões do texto.

\n\n

4.                 Cumpre\nressaltar que, por força do art. 5º da Lei nº 13.874, de 20 de setembro de\n2019, as propostas de edição e de alteração de atos normativos de interesse\ngeral de agentes econômicos ou de usuários dos serviços prestados, editadas por\nórgão ou entidade da administração pública federal, incluídas as autarquias e\nas fundações públicas, serão precedidas da realização de análise de impacto\nregulatório (AIR), que conterá informações e dados sobre os possíveis efeitos\ndo ato normativo para verificar a razoabilidade do seu impacto econômico.

\n\n

5.                 Por\nsua vez, o Decreto nº 10.411, de 30 de junho de 2020, que regulamenta essa Lei,\nem seu art. 4º, caput, incisos V, alíneas "b" e "c",\nestabelece que a AIR poderá ser dispensada, desde que haja decisão fundamentada\ndo órgão ou da entidade competente, nas hipóteses de ato normativo que vise a\npreservar liquidez, solvência ou higidez dos mercados financeiros, de capitais\ne de câmbio e dos sistemas de pagamentos.

\n\n

6.                Nesse\nsentido, as alterações ora propostas no manual de segurança referentes às\natualizações de escopo e de expressões citadas e aos requisitos de proteção\nobservados pelos participantes do Open Finance buscam, em conjunto, preservar a\nhigidez dos mercados financeiros e dos sistemas de pagamentos, ao esclarecer que os certificados\nutilizados para comunicação de sistemas Front-End, acessados diretamente\npor clientes das referidas instituições, sejam emitidos por autoridade\ncertificadora em funcionamento, em conformidade com os princípios e critérios WebTrust\n(selo que representa que a autoridade certificadora foi auditada e está em\nconformidade com os requisitos do Webtrust Seal Program), e ao estabelecer\nregras relativas à seleção e ao uso de mecanismos para verificar a validade dos\ncertificados digitais, mesmo em situações de indisponibilidade temporárias\ndesses mecanismos. Nesse sentido, de acordo com o art.\n4º, inciso V, alíneas "b" e "c", do citado Decreto nº\n10.411, de 2020, o ato normativo ora proposto está dispensado de elaboração de\nAIR.

\n\n

À\nconsideração de V.Sa.

\n\n

JANAÍNA\nPIMENTA ATTIE                                VERUSKA\nROCHA DE ARAGÃO
Consultora\ndo Denor                                       Chefe\nAdjunta do Deinf

\n\n

De acordo.

\n\n

MARDILSON\nFERNANDES QUEIROZ              CAIO\nMOREIRA FERNANDES
Chefe\ndo Denor                                                 Chefe\ndo Deinf

\n\n
\n\n\n\n\n
","Voto":null}]}