{"navegacao":null,"view":"views/exibenormativo.aspx","conteudo":[{"Titulo":"Resolução BCB N° 538","Tipo":"Resolução BCB","Documentos":null,"DOU":"Publicada no DOU de 22/12/2025, Seção 1, p. 448/449.","Id":52792,"Data":"2025-12-18T21:01:00Z","DataTexto":"18/12/2025 18:01","Numero":538.0,"VersaoNormativo":1.0,"Assunto":"Altera a Resolução BCB nº 85, de 8 de abril de 2021, que dispõe sobre a política de segurança cibernética e sobre os requisitos para a contratação de serviços de processamento e armazenamento de dados e de computação em nuvem a serem observados pelas instituições de pagamento, pelas sociedades corretoras de títulos e valores mobiliários, pelas sociedades distribuidoras de títulos e valores mobiliários e pelas sociedades corretoras de câmbio autorizadas a funcionar pelo Banco Central do Brasil.","NormasVinculadas":"RESOLUÇÃO BCB;@85;@2021;#","Referencias":"Lei nº 4.728/1965, art. 9º-A, incisos I e II.;#Lei nº 12.865, arts. 9º, inciso II e IX, 10 e 15.;#Altera Resolução BCB nº 85/2021 - Dá nova redação: art. 3º, §§ 2º, 3º; art. 8º, §1º, incisos III e IV; art. 23, incisos VIII e IX. Inclui: art. 3º, §§ 2º, incisos I a XIV, 3º, incisos I e II, 6º a 12; art. 3º-A; art. 8º, § 1º, inciso V; art. 22-A; art. 22-B; art. 23, inciso X.;#","Atualizacoes":null,"Revogado":false,"Cancelado":false,"Texto":"
\n\n\n\n\nResolução Nº 538\n\n\n\n\n\n\n
\n\n

RESOLUÇÃO BCB Nº 538, DE 18 DE DEZEMBRO DE\n2025

\n\n

Altera a Resolução BCB nº 85, de 8 de abril\nde 2021, que dispõe sobre a política de segurança cibernética e sobre os\nrequisitos para a contratação de serviços de processamento e armazenamento de\ndados e de computação em nuvem a serem observados pelas instituições de\npagamento, pelas sociedades corretoras de títulos e valores mobiliários, pelas\nsociedades distribuidoras de títulos e valores mobiliários e pelas sociedades\ncorretoras de câmbio autorizadas a funcionar pelo Banco Central do Brasil.

\n\n

A Diretoria Colegiada do Banco Central do Brasil, em sessão\nrealizada em 3 de dezembro de 2025, com base no art. 9º-A, caput,\nincisos I e II, da Lei nº 4.728, de 14 de julho de 1965, nos arts. 9º, caput,\nincisos II e IX, e 10 e 15 da Lei nº 12.865, de 9 de outubro de 2013,

\n\n

R E S O L V E :

\n\n

Art. 1º  A Resolução BCB\nnº 85, de 8 de abril de 2021, publicada no Diário Oficial da União de 12 de abril\nde 2021, passa a vigorar com as seguintes alterações:

\n\n

“Art.\n3º  ...................................................................................................................................

\n\n

.................................................................................................................................................

\n\n

§ 2º  Os procedimentos e os controles de que\ntrata o inciso II do caput devem abranger, no mínimo:

\n\n

I - a autenticação;

\n\n

II\n- os mecanismos de criptografia;

\n\n

III\n- os mecanismos de prevenção e detecção de intrusão;

\n\n

IV\n- os mecanismos de prevenção de vazamentos de informações;

\n\n

V\n- os mecanismos de proteção contra softwares maliciosos;

\n\n

VI\n- os mecanismos de rastreabilidade;

\n\n

VII\n- a gestão de cópias de segurança dos dados e das informações;

\n\n

VIII\n- a avaliação e a correção de vulnerabilidades dos recursos computacionais e\ndos sistemas de informação;

\n\n

IX\n- os controles de acesso;

\n\n

X\n- a definição e implementação de perfis de configuração segura de ativos de\ntecnologia;

\n\n

XI\n- os mecanismos de proteção da rede;

\n\n

XII\n- a gestão de certificados digitais;

\n\n

XIII\n- os requisitos de segurança para a integração de sistemas de informação por\nmeio de interfaces eletrônicas; e

\n\n

XIV\n- as ações de inteligência\nno\nambiente cibernético, incluindo o monitoramento de informações de interesse da\ninstituição na internet, na Deep Web e na Dark Web, além de\ngrupos privados de comunicação.

\n\n

§ 3º  Os procedimentos e os controles citados\nno inciso II do caput devem ser aplicados, inclusive:

\n\n

I - no desenvolvimento de sistemas de\ninformação seguros; e

\n\n

II\n- na adoção de novas tecnologias empregadas nas atividades da instituição.

\n\n

.................................................................................................................................................

\n\n

§ 6º  A instituição deve verificar o disposto\nno inciso I do § 3º, no que couber, nos casos de sistemas de informação por ela\nadquiridos ou desenvolvidos por empresas prestadoras de serviços a terceiros,\nexecutados com a utilização de recursos computacionais da própria instituição.

\n\n

§\n7º  Os mecanismos de rastreabilidade de que trata o inciso VI do § 2º devem\nabranger a rastreabilidade de transações e operações, contemplando, no mínimo:

\n\n

I\n- trilhas de auditoria do processamento fim a fim dos dados e das informações,\nincluindo a definição e a geração de logs que possibilitem identificar\nfalhas de processamento ou comportamentos atípicos, bem como subsidiar\nanálises;

\n\n

II\n- definição de tempo de retenção de informações de acordo com o tipo de\nprocessamento realizado; e

\n\n

III\n- retenção segura das trilhas de auditoria.

\n\n

§\n8º  A avaliação e a correção de vulnerabilidades de que trata o inciso VIII do\n§ 2º deve contemplar, no mínimo:

\n\n

I\n- testes e análises periódicos para detecção de vulnerabilidades em sistemas de\ninformação;

\n\n

II\n- varreduras periódicas dos recursos tecnológicos com o objetivo de identificar\ndispositivos indevidamente conectados à rede corporativa que possam estabelecer\nconexão com ativos de tecnologia externos à instituição;

\n\n

III\n- análises periódicas dos recursos tecnológicos com o objetivo de identificar\nvulnerabilidades que possam comprometer a segurança dos ativos de tecnologia da\ninstituição; 

\n\n

IV\n- testes de intrusão; e

\n\n

V\n- correção tempestiva das vulnerabilidades identificadas.

\n\n

§\n9º  Os controles de acesso de que trata o inciso IX do § 2º devem incluir, no\nmínimo:

\n\n

I\n- mecanismos para limitar o acesso à rede corporativa a usuários credenciados e\na dispositivos autorizados;

\n\n

II\n- revisão periódica e tempestiva das permissões de acesso, em especial de\ncolaboradores terceirizados com acesso aos recursos computacionais da\ninstituição; e

\n\n

III\n- implementação de múltiplos fatores de autenticação para acesso à rede\ncorporativa a partir de ambientes externos à instituição.

\n\n

§\n10.  A definição e implementação de perfis de configuração segura de que trata\no inciso X do § 2º devem prever, no mínimo:

\n\n

I\n- a gestão do ciclo de vida dos recursos computacionais da instituição;

\n\n

II\n- a aplicação regular de correções de segurança;

\n\n

III\n- a configuração adequada dos serviços a serem suportados pelos recursos\ncomputacionais; e

\n\n

IV\n- a alteração de senhas e de outros padrões que possam ser utilizados para\nacessos indevidos aos recursos computacionais.

\n\n

§\n11.  Os mecanismos de proteção da rede de que trata o inciso XI do § 2º devem\ncontemplar, no mínimo:

\n\n

I\n- a segmentação de rede de computadores, resguardando, em especial, o ambiente\nde produção e os recursos computacionais que suportam processos críticos de\nnegócio;

\n\n

II\n- o estabelecimento de regras de firewall, assim como o monitoramento de\nconexões, evitando tentativas de conexão com sistemas de informação\nprovenientes de ativos de tecnologia localizados fora da rede corporativa da\ninstituição;

\n\n

III\n- a definição de critérios para o estabelecimento e o monitoramento de conexões\ncom ambientes externos, em especial em horário noturno e em dias não úteis;

\n\n

IV\n- as medidas para identificar e prevenir conexões indevidas com ambientes\nexternos à instituição oriundas de recursos tecnológicos da instituição;

\n\n

V\n- a implementação e manutenção de processos e ferramentas para identificação,\nanálise, tratamento e controle de eventos atípicos no ambiente de produção da\ninstituição, abrangendo, como exemplos, o estabelecimento de virtual private\nnetworks – VPN e tentativas de acesso privilegiado a recursos\ncomputacionais, especialmente em horário noturno e em dias não úteis; e

\n\n

VI\n- o estabelecimento de medidas para restringir o acesso a redes corporativas\napenas a dispositivos ou ativos de tecnologia devidamente autorizados.

\n\n

§\n12.  A gestão de certificados digitais de que trata o inciso XII do § 2º deve\nprever, no mínimo:

\n\n

I\n- o monitoramento do uso de certificados e assinaturas digitais, contemplando a\nimplementação dos mecanismos de rastreabilidade de que trata o § 7º; 

\n\n

II\n- os procedimentos para a guarda de informações, abrangendo os controles de\nacesso físico e lógico a chaves privadas sob responsabilidade da instituição;

\n\n

III\n- procedimentos e ferramentas para evitar o compartilhamento indevido das\nchaves privadas associadas a certificados digitais da instituição; e

\n\n

IV\n- a validação tempestiva de certificados revogados perante as autoridades\ncertificadoras.” (NR)

\n\n

“Art.\n3º-A  As instituições referidas no art. 1º devem estabelecer os seguintes\nrequisitos de segurança adicionais, como parte integrante dos procedimentos e\ncontroles previstos em sua política de segurança cibernética de que trata o\nart. 3º:

\n\n

I\n- no caso de comunicação eletrônica de dados na Rede do Sistema Financeiro\nNacional – RSFN:

\n\n

a)\nuso de múltiplos fatores de autenticação para o acesso administrativo aos ambientes Pix e\nSistema de Transferência de Reservas – STR;

\n\n

b)\nisolamento físico e lógico do ambiente Pix dos demais sistemas da instituição,\nmantendo instância dedicada e apartada dos demais ambientes nos casos de uso de\nserviços de computação em nuvem contratados;

\n\n

c)\nisolamento físico e lógico do ambiente STR dos demais sistemas da instituição,\nmantendo instância dedicada e apartada dos demais ambientes nos casos de uso de\nserviços de computação em nuvem contratados;

\n\n

d)\nmonitoramento do uso de credenciais e certificados digitais, bem como\nestabelecimento de controles para a guarda dessas informações, especialmente as\nutilizadas no âmbito do Sistema de Pagamentos Instantâneos – SPI;

\n\n

e)\nimplementação de mecanismos de validação da integridade fim a fim das\ntransações pela instituição antes da assinatura digital das mensagens\nassociadas, assegurando que os dados não tenham sido corrompidos ou manipulados\ndurante o processo de geração dessas mensagens; e

\n\n

f)\nvedação do acesso de empresas prestadoras de serviços a terceiros às chaves\nprivadas associadas a certificados digitais utilizados pela instituição para a\nassinatura de mensagens; e

\n\n

II\n- no caso de conexão como participante de Sistemas do Mercado Financeiro – SMF\nautorizados a operar, a implementação de controles de segurança para prevenção,\ndetecção e resposta a fraudes a serem observados pela instituição.

\n\n

Parágrafo\núnico.  As instituições devem observar este artigo de forma compatível com o\ndisposto:

\n\n

I\n- nesta Resolução;

\n\n

II\n- na regulamentação em vigor; e

\n\n

III\n- em todos os requisitos técnicos da RSFN previstos no Catálogo de Serviços do\nSFN, no Manual de Redes do SFN e no Manual de Segurança do SFN, publicados pelo\nBanco Central do Brasil.”\n(NR)

\n\n

“Art.\n8º  ...................................................................................................................................

\n\n

§\n1º  .........................................................................................................................................

\n\n

.................................................................................................................................................

\n\n

III - os incidentes relevantes relacionados\ncom o ambiente cibernético ocorridos no período;

\n\n

IV - os resultados dos testes de continuidade\nde negócios, considerando cenários de indisponibilidade ocasionada por\nincidentes; e

\n\n

V - os resultados dos testes de intrusão e\ndos testes, varreduras e análises periódicas para detecção de vulnerabilidades de\nque trata o art. 3º, § 8º, e os planos de ação estabelecidos para as suas correções,\nobservado o disposto no art. 22-A, caput, inciso III.

\n\n

......................................................................................................................................\n” (NR)

\n\n

“Art. 22-A.  As instituições devem assegurar que os testes\nde intrusão mencionados no art. 3º, § 8º, inciso IV, devem:

\n\n

I\n- ter periodicidade mínima anual;

\n\n

II\n- ser realizados com independência e imparcialidade por pessoa natural ou\nempresa especializada contratada pela instituição para essa finalidade, sem\nprejuízo da realização de testes por equipes da própria instituição; e

\n\n

III\n- ter os resultados de sua execução documentados, especialmente as eventuais\nvulnerabilidades que forem identificadas e os planos de ação estabelecidos para\nsuas correções.” (NR)

\n\n

“Art.\n22-B.  O serviço prestado para a comunicação eletrônica de dados na RSFN, de que\ntrata o art. 3º-A, caput, inciso I, é considerado relevante para fins da\naplicação do disposto nesta Resolução sobre a contratação de serviços de\nprocessamento, armazenamento de dados e computação em nuvem.

\n\n

§\n1º  Aplica-se o disposto no caput independente da forma de conexão com a\nRSFN.

\n\n

§\n2º  O serviço de que trata o caput inclui os casos em que o prestador de\nserviços fornece serviço de processamento de mensagens no âmbito do SFN e do\nSistema de Pagamentos Brasileiro – SPB.” (NR)

\n\n

“Art.\n23.  ..................................................................................................................................

\n\n

.................................................................................................................................................

\n\n

VIII - os dados, os registros e as\ninformações relativas aos mecanismos de acompanhamento e de controle de que\ntrata o art. 21, contado o prazo a partir da implementação dos citados\nmecanismos; \n

\n\n

IX - a documentação com os critérios que\nconfigurem uma situação de crise de que trata o art. 20, parágrafo único; e

\n\n

X - a documentação com os resultados da\nexecução de testes de intrusão e os planos de ação estabelecidos para as correções\nde vulnerabilidades identificadas de que trata o art. 22-A, caput, inciso\nIII, contado o prazo a partir da data de execução dos testes.” (NR)

\n\n

Art. 2º As instituições\nem funcionamento na data da entrada em vigor desta Resolução devem promover as\nadaptações necessárias à adequação ao disposto nesta Resolução até 1º de março\nde 2026.

\n\n

Art. 3º  Esta\nResolução entra em vigor na data de sua publicação.

\n\n

GILNEU FRANCISCO\nASTOLFI VIVAN

\n\n

Diretor de Regulação

\n\n
\n\n\n\n\n
","Voto":"186/2025-BCB"}]}