{"navegacao":null,"view":"views/exibenormativo.aspx","conteudo":[{"Titulo":"Resolução BCB N° 85","Tipo":"Resolução BCB","Documentos":null,"DOU":"Publicada no DOU de 12/4/2021, Seção 1, p. 66/67.","Id":51353,"Data":"2021-04-08T21:00:00Z","DataTexto":"8/4/2021 18:00","Numero":85.0,"VersaoNormativo":4.0,"Assunto":"Dispõe sobre a política de segurança cibernética e sobre os requisitos para a contratação de serviços de processamento e armazenamento de dados e de computação em nuvem a serem observados pelas instituições de pagamento, pelas sociedades corretoras de títulos e valores mobiliários, pelas sociedades distribuidoras de títulos e valores mobiliários e pelas sociedades corretoras de câmbio autorizadas a funcionar pelo Banco Central do Brasil.","NormasVinculadas":"INSTRUÇÃO NORMATIVA BCB;@592;@2025;#INSTRUÇÃO NORMATIVA BCB;@590;@2025;#INSTRUÇÃO NORMATIVA BCB;@305;@2022;#INSTRUÇÃO NORMATIVA BCB;@134;@2021;#INSTRUÇÃO NORMATIVA BCB;@99;@2021;#RESOLUÇÃO BCB;@552;@2026;#RESOLUÇÃO BCB;@548;@2026;#RESOLUÇÃO BCB;@538;@2025;#RESOLUÇÃO BCB;@447;@2024;#RESOLUÇÃO BCB;@368;@2024;#RESOLUÇÃO BCB;@341;@2023;#RESOLUÇÃO BCB;@317;@2023;#RESOLUÇÃO BCB;@306;@2023;#RESOLUÇÃO;@4282;@2013;#CIRCULAR;@3969;@2019;#CIRCULAR;@3909;@2018;#INSTRUÇÃO NORMATIVA BCB;@720;@2026;#","Referencias":"Lei nº 12.865/2013, arts. 9º, 10 e 15.;#Resolução CMN nº 4.282/2013, art. 14.;#Altera, a partir de 1º/8/2021, Circular BCB nº 3.909/2018 - Revoga: arts. 1º a 26. ;#Revoga, a partir de 1º/8/2021, Circular BCB nº 3.969/2019.;#","Atualizacoes":"Resolução BCB nº 368/2024 - Alteração, a partir de 1º/3/2024 - Nova redação: ementa, art. 1º; art. 2º, caput e §§ 2º e 3º; art. 3º, incisos I, II, IV, V, “a” e “b”, VI, “b”, e VII e §§ 1º, 3º e 5º; arts. 4º, 5º, 6º, caput, 7º, caput; art. 8º, caput, § 1º, inciso IV, § 2º; arts. 9º e 11; 12, caput, inciso II, “g” e “h”; art. 13, caput; art. 14; art. 15, caput; art. 16, incisos II, III, IV e §§ 1º e 2º; art. 17, incisos III, IV, “a”, V, VI, VIII e IX e parágrafo único, inciso II, “b”; art. 19, caput e inciso III; art. 20, caput, inciso III e parágrafo único; art. 21, caput; e art. 22, caput. Inclusão: art. 8º, § 2º, incisos I e II. Revogação: art. 24.;#Resolução BCB nº 538/2025 - Nova redação: art. 3º, §§ 2º, 3º; art. 8º, §1º, incisos III e IV; art. 23, incisos VIII e IX. Inclusão: art. 3º, §§ 2º, incisos I a XIV, 3º, incisos I e II, 6º a 12; art. 3º-A; art. 8º, § 1º, inciso V; art. 22-A; art. 22-B; art. 23, inciso X.;#Resolução BCB nº 552/2026 - Nova redação: ementa e art. 1º.;#","Revogado":false,"Cancelado":false,"Texto":"

RESOLUÇÃO BCB Nº 85, DE 8 DE ABRIL DE\n2021

Dispõe sobre a política de\nsegurança cibernética e sobre os requisitos para a contratação de serviços de\nprocessamento e armazenamento de dados e de computação em nuvem a serem\nobservados pelas instituições de pagamento autorizadas a funcionar pelo Banco\nCentral do Brasil.

Dispõe sobre a política de segurança cibernética e sobre os\nrequisitos para a contratação de serviços de processamento e armazenamento de\ndados e de computação em nuvem a serem observados pelas instituições de\npagamento, pelas sociedades corretoras de títulos e valores mobiliários, pelas\nsociedades distribuidoras de títulos e valores mobiliários e pelas sociedades\ncorretoras de câmbio autorizadas a funcionar pelo Banco Central do Brasil. (Redação dada, a partir de 1º/3/2024, pela\nResolução BCB nº 368, de 25/1/2024.)

Dispõe sobre a política de segurança cibernética e sobre os\nrequisitos para a contratação de serviços de processamento e armazenamento de\ndados e de computação em nuvem a serem observados pelas instituições de\npagamento, pelas sociedades corretoras de títulos e valores mobiliários, p​elas\nsociedades distribuidoras de títulos e valores mobiliários, pelas sociedades\ncorretoras de câmbio e pelas sociedades prestadoras de serviços de ativos\nvirtuais autorizadas a funcionar pelo Banco Central do Brasil. (Redação dada pela Resolução BCB nº 552, de\n3/3/2026.)

A Diretoria Colegiada do Banco Central do Brasil, em\nsessão realizada em 8 de abril de 2021, com base nos arts. 9º, 10 e 15 da Lei\nnº 12.865, de 9 de outubro de 2013, e tendo em vista o art. 14 da Resolução nº\n4.282, de 4 de novembro de 2013,

R E S O L V E :

CAPÍTULO I
\nDO OBJETO E DO ÂMBITO DE APLICAÇÃO

Art. 1º  Esta Resolução dispõe sobre a política de\nsegurança cibernética e sobre os requisitos para a contratação de serviços de\nprocessamento e armazenamento de dados e de computação em nuvem a serem\nobservados pelas instituições de pagamento autorizadas a funcionar pelo Banco\nCentral do Brasil.

Art. 1º  Esta\nResolução dispõe sobre a política de segurança cibernética e sobre os\nrequisitos para a contratação de serviços de processamento e armazenamento de\ndados e de computação em nuvem a serem observados pelas instituições de\npagamento, pelas sociedades corretoras de títulos e valores mobiliários, pelas\nsociedades distribuidoras de títulos e valores mobiliários e pelas sociedades\ncorretoras de câmbio autorizadas a funcionar pelo Banco Central do Brasil. (Redação dada, a partir de 1º/3/2024, pela\nResolução BCB nº 368, de 25/1/2024.)

Art. 1º  Esta Resolução dispõe\nsobre a política de segurança cibernética e sobre os requisitos para a\ncontratação de serviços de processamento e armazenamento de dados e de\ncomputação em nuvem a serem observados pelas instituições de pagamento, pelas\nsociedades corretoras de títulos e valores mobiliários, pelas sociedades\ndistribuidoras de títulos e valores mobiliários, pelas sociedades corretoras de\ncâmbio e pelas sociedades prestadoras de serviços de ativos virtuais\nautorizadas a funcionar pelo Banco Central do Brasil. (Redação dada pela Resolução BCB nº 552, de\n3/3/2026.)

CAPÍTULO II
\nDA POLÍTICA DE SEGURANÇA CIBERNÉTICA

Seção I
\nDa Implementação da Política de Segurança Cibernética

Art. 2º  As instituições de pagamento devem implementar\ne manter política de segurança cibernética formulada com base em princípios e\ndiretrizes que busquem assegurar a confidencialidade, a integridade e a\ndisponibilidade dos dados e dos sistemas de informação utilizados.

Art. 2º  As instituições mencionadas no art. 1º devem\nimplementar e manter política de segurança cibernética formulada com base em\nprincípios e diretrizes que busquem assegurar a confidencialidade, a\nintegridade e a disponibilidade dos dados e dos sistemas de informação\nutilizados. (Redação dada, a partir de\n1º/3/2024, pela Resolução BCB nº 368, de 25/1/2024.)

§ 1º  A\npolítica mencionada no caput deve ser compatível com:

I - o porte, o perfil de risco e o modelo de negócio\nda instituição;

II - a natureza das atividades da instituição e a\ncomplexidade dos produtos e serviços oferecidos; e

III - a sensibilidade dos dados e das informações\nsob responsabilidade da instituição.

§ 2º  As instituições de pagamento\nintegrantes de conglomerado prudencial podem adotar política de segurança\ncibernética única do conglomerado prudencial, nos termos da regulamentação em\nvigor, desde que compatível com o disposto neste Capítulo.

§ 2º  As instituições integrantes de conglomerado\nprudencial podem adotar política de segurança cibernética única do conglomerado\nprudencial, nos termos da regulamentação em vigor, desde que compatível com o\ndisposto neste Capítulo. (Redação dada, a partir de\n1º/3/2024, pela Resolução BCB nº 368, de 25/1/2024.)

§ 3º  As instituições de pagamento\nque não constituírem política de segurança cibernética própria em decorrência\ndo disposto no § 2º devem formalizar a opção por essa faculdade em reunião do\nconselho de administração ou, na sua inexistência, da diretoria da instituição.

§ 3º  As instituições que não constituírem política\nde segurança cibernética própria em decorrência do disposto no § 2º devem\nformalizar a opção por essa faculdade em reunião do conselho de administração\nou, na sua inexistência, da diretoria da instituição. (Redação dada, a partir de\n1º/3/2024, pela Resolução BCB nº 368, de 25/1/2024.)

Art. 3º  A\npolítica de segurança cibernética deve especificar, no mínimo:

I - os objetivos de segurança cibernética da instituição de pagamento;

I - os objetivos de segurança\ncibernética da instituição; (Redação dada, a partir de\n1º/3/2024, pela Resolução BCB nº 368, de 25/1/2024.)

II - os procedimentos e os controles adotados para reduzir a\nvulnerabilidade da instituição de pagamento a incidentes e atender aos demais\nobjetivos de segurança cibernética;

II - os procedimentos e os\ncontroles adotados para reduzir a vulnerabilidade da instituição a incidentes e\natender aos demais objetivos de segurança cibernética; (Redação dada, a partir de\n1º/3/2024, pela Resolução BCB nº 368, de 25/1/2024.)

III - os controles específicos, incluindo os\nvoltados para a rastreabilidade da informação, que busquem garantir a segurança\ndas informações sensíveis;

IV - o registro, a análise da causa e do impacto, bem como o controle dos\nefeitos de incidentes relevantes para as atividades da instituição de\npagamento;

IV - o registro, a análise da\ncausa e do impacto, bem como o controle dos efeitos de incidentes relevantes\npara as atividades da instituição; (Redação dada, a partir de\n1º/3/2024, pela Resolução BCB nº 368, de 25/1/2024.)

V - as diretrizes para:

a) a elaboração de cenários de incidentes considerados nos testes de\ncontinuidade dos serviços de pagamento prestados;

a)\na elaboração de cenários de incidentes considerados nos testes de continuidade\nde negócios; (Redação\ndada, a partir de 1º/3/2024, pela Resolução BCB nº 368, de 25/1/2024.)

b) a definição de procedimentos e de controles voltados à prevenção e ao tratamento\ndos incidentes a serem adotados por empresas prestadoras de serviços a\nterceiros que manuseiem dados ou informações sensíveis ou que sejam relevantes\npara a condução das atividades operacionais da instituição de pagamento;

b) a definição de procedimentos e\nde controles voltados à prevenção e ao tratamento dos incidentes a serem\nadotados por empresas prestadoras de serviços a terceiros que manuseiem dados\nou informações sensíveis ou que sejam relevantes para a condução das atividades\noperacionais da instituição; (Redação dada, a partir de\n1º/3/2024, pela Resolução BCB nº 368, de 25/1/2024.)

c) a classificação dos dados e das informações\nquanto à relevância; e

d) a definição dos parâmetros a serem utilizados na\navaliação da relevância dos incidentes;

VI - os mecanismos para disseminação da cultura de segurança cibernética\nna instituição de pagamento, incluindo:

VI - os mecanismos para\ndisseminação da cultura de segurança cibernética na instituição, incluindo: (Redação dada, a partir de\n1º/3/2024, pela Resolução BCB nº 368, de 25/1/2024.)

a) a implementação de programas de capacitação e de\navaliação periódica de pessoal;

b) a prestação de informações a usuários finais sobre precauções na\nutilização de produtos e serviços oferecidos; e

b) a prestação de informações a\nclientes e a usuários finais sobre precauções na utilização de produtos e\nserviços oferecidos; e (Redação dada, a partir de\n1º/3/2024, pela Resolução BCB nº 368, de 25/1/2024.)

c) o comprometimento da alta administração com a\nmelhoria contínua dos procedimentos relacionados com a segurança cibernética; e

VII - as iniciativas para compartilhamento de informações sobre os\nincidentes relevantes, mencionados no inciso IV, com as instituições de\npagamento e com as demais instituições autorizadas a funcionar pelo Banco\nCentral do Brasil.

VII - as iniciativas para\ncompartilhamento de informações sobre os incidentes relevantes, mencionados no\ninciso IV, com as instituições mencionadas no art. 1º e com as demais\ninstituições autorizadas a funcionar pelo Banco Central do Brasil. (Redação dada, a partir de\n1º/3/2024, pela Resolução BCB nº 368, de 25/1/2024.)

§ 1º  Na definição dos objetivos de\nsegurança cibernética referidos no inciso I do caput, deve ser\ncontemplada a capacidade da instituição de pagamento para prevenir, detectar e reduzir\na vulnerabilidade a incidentes relacionados com o ambiente cibernético.

§ 1º  Na definição dos objetivos de segurança\ncibernética referidos no inciso I do caput, deve ser contemplada a\ncapacidade de a instituição prevenir, detectar e reduzir a vulnerabilidade a\nincidentes relacionados com o ambiente cibernético. (Redação dada, a partir de\n1º/3/2024, pela Resolução BCB nº 368, de 25/1/2024.)

§ 2º  Os procedimentos e os\ncontroles de que trata o inciso II do caput devem abranger a\nautenticação, a criptografia, a prevenção e a detecção de intrusão, a prevenção\nde vazamento de informações, a realização periódica de testes e varreduras para\ndetecção de vulnerabilidades, a proteção contra softwares maliciosos, o\nestabelecimento de mecanismos de rastreabilidade, os controles de acesso e de\nsegmentação da rede de computadores e a manutenção de cópias de segurança dos\ndados e das informações.

§ 2º  Os\nprocedimentos e os controles de que trata o inciso II do caput devem\nabranger, no mínimo: (Redação dada pela Resolução BCB\nnº 538, de 18/12/2025.)

I\n- a autenticação; (Incluído pela Resolução BCB nº\n538, de 18/12/2025.)

II\n- os mecanismos de criptografia; (Incluído pela Resolução BCB nº\n538, de 18/12/2025.)

III\n- os mecanismos de prevenção e detecção de intrusão; (Incluído pela Resolução BCB nº\n538, de 18/12/2025.)

IV\n- os mecanismos de prevenção de vazamentos de informações; (Incluído pela Resolução BCB nº\n538, de 18/12/2025.)

V\n- os mecanismos de proteção contra softwares maliciosos; (Incluído pela Resolução BCB nº\n538, de 18/12/2025.)

VI\n- os mecanismos de rastreabilidade; (Incluído pela Resolução BCB nº\n538, de 18/12/2025.)

VII\n- a gestão de cópias de segurança dos dados e das informações; (Incluído pela Resolução BCB nº\n538, de 18/12/2025.)

VIII\n- a avaliação e a correção de vulnerabilidades dos recursos computacionais e\ndos sistemas de informação; (Incluído pela Resolução BCB nº\n538, de 18/12/2025.)

IX\n- os controles de acesso; (Incluído pela Resolução BCB nº\n538, de 18/12/2025.)

X\n- a definição e implementação de perfis de configuração segura de ativos de\ntecnologia; (Incluído pela Resolução BCB nº\n538, de 18/12/2025.)

XI\n- os mecanismos de proteção da rede; (Incluído pela Resolução BCB nº\n538, de 18/12/2025.)

XII\n- a gestão de certificados digitais; (Incluído pela Resolução BCB nº\n538, de 18/12/2025.)

XIII\n- os requisitos de segurança para a integração de sistemas de informação por\nmeio de interfaces eletrônicas; e (Incluído pela Resolução BCB nº\n538, de 18/12/2025.)

XIV - as ações de inteligência no ambiente cibernético, incluindo\no monitoramento de informações de interesse da instituição na internet, na Deep\nWeb e na Dark Web, além de grupos privados de comunicação. (Incluído pela Resolução BCB nº\n538, de 18/12/2025.)

§ 3º  Os procedimentos e os\ncontroles citados no inciso II do caput devem ser aplicados, inclusive,\nno desenvolvimento de sistemas de informação seguros e na adoção de novas\ntecnologias empregadas nas atividades da instituição de pagamento.

§ 3º  Os procedimentos e os controles citados no\ninciso II do caput devem ser aplicados, inclusive, no desenvolvimento de\nsistemas de informação seguros e na adoção de novas tecnologias empregadas nas\natividades da instituição. (Redação dada, a partir\nde 1º/3/2024, pela Resolução BCB nº 368, de 25/1/2024.)

§ 3º  Os\nprocedimentos e os controles citados no inciso II do caput devem ser\naplicados, inclusive: (Redação dada pela\nResolução BCB nº 538, de 18/12/2025.)

I - no\ndesenvolvimento de sistemas de informação seguros; e (Incluído pela Resolução\nBCB nº 538, de 18/12/2025.)

II - na adoção de novas tecnologias empregadas\nnas atividades da instituição. (Incluído pela Resolução\nBCB nº 538, de 18/12/2025.)

§ 4º  O\nregistro, a análise da causa e do impacto, bem como o controle dos efeitos de\nincidentes, citados no inciso IV do caput, devem abranger inclusive\ninformações recebidas de empresas prestadoras de serviços a terceiros.

§ 5º  As diretrizes de que trata a alínea\n"b" do inciso V do caput devem contemplar procedimentos e\ncontroles em níveis de complexidade, abrangência e precisão compatíveis com os\nutilizados pela própria instituição de pagamento.

§ 5º  As diretrizes de que trata a alínea “b” do\ninciso V do caput devem contemplar procedimentos e controles em níveis\nde complexidade, abrangência e precisão compatíveis com os utilizados pela\nprópria instituição. (Redação dada, a partir\nde 1º/3/2024, pela Resolução BCB nº 368, de 25/1/2024.)

§\n6º  A instituição deve verificar o\ndisposto no inciso I do § 3º, no que couber, nos casos de sistemas de\ninformação por ela adquiridos ou desenvolvidos por empresas prestadoras de\nserviços a terceiros, executados com a utilização de recursos computacionais da\nprópria instituição. (Incluído pela Resolução\nBCB nº 538, de 18/12/2025.)

§\n7º  Os mecanismos de rastreabilidade de\nque trata o inciso VI do § 2º devem abranger a rastreabilidade de transações e\noperações, contemplando, no mínimo: (Incluído pela Resolução\nBCB nº 538, de 18/12/2025.)

I -\ntrilhas de auditoria do processamento fim a fim dos dados e das informações,\nincluindo a definição e a geração de logs que possibilitem identificar\nfalhas de processamento ou comportamentos atípicos, bem como subsidiar\nanálises; (Incluído pela Resolução\nBCB nº 538, de 18/12/2025.)

II -\ndefinição de tempo de retenção de informações de acordo com o tipo de\nprocessamento realizado; e (Incluído pela Resolução\nBCB nº 538, de 18/12/2025.)

III -\nretenção segura das trilhas de auditoria. (Incluído pela Resolução\nBCB nº 538, de 18/12/2025.)

§\n8º  A avaliação e a correção de\nvulnerabilidades de que trata o inciso VIII do § 2º deve contemplar, no mínimo:\n(Incluído pela Resolução\nBCB nº 538, de 18/12/2025.)

I -\ntestes e análises periódicos para detecção de vulnerabilidades em sistemas de\ninformação; (Incluído pela Resolução\nBCB nº 538, de 18/12/2025.)

II -\nvarreduras periódicas dos recursos tecnológicos com o objetivo de identificar\ndispositivos indevidamente conectados à rede corporativa que possam estabelecer\nconexão com ativos de tecnologia externos à instituição; (Incluído pela Resolução\nBCB nº 538, de 18/12/2025.)

III -\nanálises periódicas dos recursos tecnológicos com o objetivo de identificar\nvulnerabilidades que possam comprometer a segurança dos ativos de tecnologia da\ninstituição; (Incluído pela Resolução\nBCB nº 538, de 18/12/2025.)

IV -\ntestes de intrusão; e (Incluído pela Resolução\nBCB nº 538, de 18/12/2025.)

V -\ncorreção tempestiva das vulnerabilidades identificadas. (Incluído pela Resolução\nBCB nº 538, de 18/12/2025.)

§\n9º  Os controles de acesso de que trata o\ninciso IX do § 2º devem incluir, no mínimo: (Incluído pela Resolução\nBCB nº 538, de 18/12/2025.)

I -\nmecanismos para limitar o acesso à rede corporativa a usuários credenciados e a\ndispositivos autorizados; (Incluído pela Resolução\nBCB nº 538, de 18/12/2025.)

II -\nrevisão periódica e tempestiva das permissões de acesso, em especial de\ncolaboradores terceirizados com acesso aos recursos computacionais da\ninstituição; e (Incluído pela Resolução\nBCB nº 538, de 18/12/2025.)

III -\nimplementação de múltiplos fatores de autenticação para acesso à rede\ncorporativa a partir de ambientes externos à instituição. (Incluído pela Resolução\nBCB nº 538, de 18/12/2025.)

§\n10.  A definição e implementação de\nperfis de configuração segura de que trata o inciso X do § 2º devem prever, no\nmínimo: (Incluído pela Resolução\nBCB nº 538, de 18/12/2025.)

I - a\ngestão do ciclo de vida dos recursos computacionais da instituição; (Incluído pela Resolução\nBCB nº 538, de 18/12/2025.)

II - a\naplicação regular de correções de segurança; (Incluído pela Resolução\nBCB nº 538, de 18/12/2025.)

III - a\nconfiguração adequada dos serviços a serem suportados pelos recursos\ncomputacionais; e (Incluído pela Resolução\nBCB nº 538, de 18/12/2025.)

IV - a\nalteração de senhas e de outros padrões que possam ser utilizados para acessos\nindevidos aos recursos computacionais. (Incluído pela Resolução\nBCB nº 538, de 18/12/2025.)

§\n11.  Os mecanismos de proteção da rede de\nque trata o inciso XI do § 2º devem contemplar, no mínimo: (Incluído pela Resolução\nBCB nº 538, de 18/12/2025.)

I - a\nsegmentação de rede de computadores, resguardando, em especial, o ambiente de\nprodução e os recursos computacionais que suportam processos críticos de\nnegócio; (Incluído pela Resolução\nBCB nº 538, de 18/12/2025.)

II - o\nestabelecimento de regras de firewall, assim como o monitoramento de\nconexões, evitando tentativas de conexão com sistemas de informação\nprovenientes de ativos de tecnologia localizados fora da rede corporativa da\ninstituição; (Incluído pela Resolução\nBCB nº 538, de 18/12/2025.)

III - a\ndefinição de critérios para o estabelecimento e o monitoramento de conexões com\nambientes externos, em especial em horário noturno e em dias não úteis; (Incluído pela Resolução\nBCB nº 538, de 18/12/2025.)

IV - as\nmedidas para identificar e prevenir conexões indevidas com ambientes externos à\ninstituição oriundas de recursos tecnológicos da instituição; (Incluído pela Resolução\nBCB nº 538, de 18/12/2025.)

V - a\nimplementação e manutenção de processos e ferramentas para identificação,\nanálise, tratamento e controle de eventos atípicos no ambiente de produção da\ninstituição, abrangendo, como exemplos, o estabelecimento de virtual private\nnetworks – VPN e tentativas de acesso privilegiado a recursos\ncomputacionais, especialmente em horário noturno e em dias não úteis; e (Incluído pela Resolução\nBCB nº 538, de 18/12/2025.)

VI - o\nestabelecimento de medidas para restringir o acesso a redes corporativas apenas\na dispositivos ou ativos de tecnologia devidamente autorizados. (Incluído pela Resolução\nBCB nº 538, de 18/12/2025.)

§\n12.  A gestão de certificados digitais de\nque trata o inciso XII do § 2º deve prever, no mínimo: (Incluído pela Resolução\nBCB nº 538, de 18/12/2025.)

I - o\nmonitoramento do uso de certificados e assinaturas digitais, contemplando a\nimplementação dos mecanismos de rastreabilidade de que trata o § 7º; (Incluído pela Resolução\nBCB nº 538, de 18/12/2025.)

II - os\nprocedimentos para a guarda de informações, abrangendo os controles de acesso\nfísico e lógico a chaves privadas sob responsabilidade da instituição; (Incluído pela Resolução\nBCB nº 538, de 18/12/2025.)

III -\nprocedimentos e ferramentas para evitar o compartilhamento indevido das chaves\nprivadas associadas a certificados digitais da instituição; e (Incluído pela Resolução\nBCB nº 538, de 18/12/2025.)

IV - a\nvalidação tempestiva de certificados revogados perante as autoridades\ncertificadoras. (Incluído pela Resolução\nBCB nº 538, de 18/12/2025.)

Art.\n3º-A  As instituições referidas no art.\n1º devem estabelecer os seguintes requisitos de segurança adicionais, como\nparte integrante dos procedimentos e controles previstos em sua política de\nsegurança cibernética de que trata o art. 3º: (Incluído pela Resolução\nBCB nº 538, de 18/12/2025.)

I - no\ncaso de comunicação eletrônica de dados na Rede do Sistema Financeiro Nacional\n– RSFN: (Incluído pela Resolução\nBCB nº 538, de 18/12/2025.)

a) uso\nde múltiplos fatores de autenticação para o acesso administrativo aos ambientes\nPix e Sistema de Transferência de Reservas – STR; (Incluída pela Resolução\nBCB nº 538, de 18/12/2025.)

b)\nisolamento físico e lógico do ambiente Pix dos demais sistemas da instituição,\nmantendo instância dedicada e apartada dos demais ambientes nos casos de uso de\nserviços de computação em nuvem contratados; (Incluída pela Resolução\nBCB nº 538, de 18/12/2025.)

c)\nisolamento físico e lógico do ambiente STR dos demais sistemas da instituição,\nmantendo instância dedicada e apartada dos demais ambientes nos casos de uso de\nserviços de computação em nuvem contratados; (Incluída pela Resolução\nBCB nº 538, de 18/12/2025.)

d)\nmonitoramento do uso de credenciais e certificados digitais, bem como\nestabelecimento de controles para a guarda dessas informações, especialmente as\nutilizadas no âmbito do Sistema de Pagamentos Instantâneos – SPI; (Incluída pela Resolução\nBCB nº 538, de 18/12/2025.)

e)\nimplementação de mecanismos de validação da integridade fim a fim das\ntransações pela instituição antes da assinatura digital das mensagens\nassociadas, assegurando que os dados não tenham sido corrompidos ou manipulados\ndurante o processo de geração dessas mensagens; e (Incluída pela Resolução\nBCB nº 538, de 18/12/2025.)

f)\nvedação do acesso de empresas prestadoras de serviços a terceiros às chaves\nprivadas associadas a certificados digitais utilizados pela instituição para a\nassinatura de mensagens; e (Incluída pela Resolução\nBCB nº 538, de 18/12/2025.)

II - no\ncaso de conexão como participante de Sistemas do Mercado Financeiro – SMF\nautorizados a operar, a implementação de controles de segurança para prevenção,\ndetecção e resposta a fraudes a serem observados pela instituição. (Incluído pela Resolução\nBCB nº 538, de 18/12/2025.)

Parágrafo\núnico.  As instituições devem observar\neste artigo de forma compatível com o disposto: (Incluído pela Resolução\nBCB nº 538, de 18/12/2025.)

I -\nnesta Resolução; (Incluído pela Resolução\nBCB nº 538, de 18/12/2025.)

II - na\nregulamentação em vigor; e (Incluído pela Resolução\nBCB nº 538, de 18/12/2025.)

III - em todos os requisitos técnicos da RSFN\nprevistos no Catálogo de Serviços do SFN, no Manual de Redes do SFN e no Manual\nde Segurança do SFN, publicados pelo Banco Central do Brasil. (Incluído pela Resolução\nBCB nº 538, de 18/12/2025.)

Seção II
\nDa Divulgação da Política de Segurança Cibernética

Art. 4º  A política de segurança cibernética deve ser\ndivulgada aos funcionários da instituição de pagamento e às empresas\nprestadoras de serviços a terceiros, mediante linguagem clara, acessível e em\nnível de detalhamento compatível com as funções desempenhadas e com a\nsensibilidade das informações.

Art. 4º  A política de segurança cibernética deve ser\ndivulgada aos funcionários da instituição mencionada no art. 1º e às empresas\nprestadoras de serviços a terceiros, mediante linguagem clara, acessível e em\nnível de detalhamento compatível com as funções desempenhadas e com a\nsensibilidade das informações. (Redação dada, a partir de\n1º/3/2024, pela Resolução BCB nº 368, de 25/1/2024.)

Art. 5º  As instituições de\npagamento devem divulgar ao público resumo contendo as linhas gerais da\npolítica de segurança cibernética.

Art. 5º  As instituições mencionadas no art. 1º devem\ndivulgar ao público resumo contendo as linhas gerais da política de segurança\ncibernética. (Redação dada, a partir de\n1º/3/2024, pela Resolução BCB nº 368, de 25/1/2024.)

Seção III
\nDo Plano de Ação e de Resposta a Incidentes

Art. 6º  As instituições de pagamento devem estabelecer\nplano de ação e de resposta a incidentes visando à implementação da política de\nsegurança cibernética.

Art. 6º  As instituições mencionadas no art. 1º devem\nestabelecer plano de ação e de resposta a incidentes visando à implementação da\npolítica de segurança cibernética. (Redação dada, a partir de\n1º/3/2024, pela Resolução BCB nº 368, de 25/1/2024.)

Parágrafo único.  O plano mencionado no caput deve\nabranger, no mínimo:

I - as ações a serem desenvolvidas pela instituição\npara adequar suas estruturas organizacional e operacional aos princípios e às\ndiretrizes da política de segurança cibernética;

II - as rotinas, os procedimentos, os controles e as\ntecnologias a serem utilizados na prevenção e na resposta a incidentes, em\nconformidade com as diretrizes da política de segurança cibernética; e

III - a área responsável pelo registro e controle\ndos efeitos de incidentes relevantes.

Art. 7º  As instituições de\npagamento devem designar diretor responsável pela política de segurança\ncibernética e pela execução do plano de ação e de resposta a incidentes.

Art. 7º  As instituições mencionadas no art. 1º devem\ndesignar diretor responsável pela política de segurança cibernética e pela\nexecução do plano de ação e de resposta a incidentes. (Redação dada, a partir de\n1º/3/2024, pela Resolução BCB nº 368, de 25/1/2024.)

Parágrafo único.  O diretor mencionado no caput pode\ndesempenhar outras funções na instituição, desde que não haja conflito de\ninteresses.

Art. 8º  As instituições de\npagamento devem elaborar relatório anual sobre a implementação do plano de ação\ne de resposta a incidentes, mencionado no art. 6º, com data-base de 31 de\ndezembro.

Art. 8º  As instituições mencionadas no art. 1º devem\nelaborar relatório anual sobre a implementação do plano de ação e de resposta a\nincidentes, mencionado no art. 6º, com data-base de 31 de dezembro. (Redação dada, a partir de\n1º/3/2024, pela Resolução BCB nº 368, de 25/1/2024.)

§ 1º  O relatório de que trata o caput deve\nabordar, no mínimo:

I - a efetividade da implementação das ações\ndescritas no art. 6º, parágrafo único, inciso I;

II - o resumo dos resultados obtidos na\nimplementação das rotinas, dos procedimentos, dos controles e das tecnologias a\nserem utilizados na prevenção e na resposta a incidentes descritos no art. 6º,\nparágrafo único, inciso II;

III - os incidentes relevantes relacionados com o ambiente cibernético\nocorridos no período; e

III - os incidentes relevantes relacionados com o\nambiente cibernético ocorridos no período; (Redação dada pela Resolução BCB\nnº 538, de 18/12/2025.)

IV - os resultados dos testes de continuidade dos serviços de pagamento\nprestados, considerando cenários de indisponibilidade ocasionada por\nincidentes.

IV - os resultados dos\ntestes de continuidade de negócios, considerando cenários de indisponibilidade\nocasionada por incidentes. (Redação dada, a partir de\n1º/3/2024, pela Resolução BCB nº 368, de 25/1/2024.)

IV - os resultados dos testes de\ncontinuidade de negócios, considerando cenários de indisponibilidade ocasionada\npor incidentes; e (Redação dada pela Resolução BCB\nnº 538, de 18/12/2025.)

V - os resultados dos testes de\nintrusão e dos testes, varreduras e análises periódicas para detecção de\nvulnerabilidades de que trata o art. 3º, § 8º, e os planos de ação\nestabelecidos para as suas correções, observado o disposto no art. 22-A, caput,\ninciso III. (Incluído pela Resolução BCB nº\n538, de 18/12/2025.)

§ 2º  O relatório mencionado no caput\ndeve ser apresentado ao conselho de administração ou, na sua inexistência, à\ndiretoria da instituição até 31 de março do ano seguinte ao da data-base.

§ 2º  O relatório mencionado no caput deve\nser: (Redação dada, a partir de\n1º/3/2024, pela Resolução BCB nº 368, de 25/1/2024.)

I - submetido ao comitê de risco,\nquando existente; e (Incluído, a partir de 1º/3/2024,\npela Resolução BCB nº 368, de 25/1/2024.)

II - apresentado ao conselho de\nadministração ou, na sua inexistência, à diretoria da instituição até 31 de\nmarço do ano seguinte ao da data-base. (Incluído, a partir de 1º/3/2024,\npela Resolução BCB nº 368, de 25/1/2024.)

Art. 9º  A política de segurança\ncibernética referida no art. 2º e o plano de ação e de resposta a incidentes\nmencionado no art. 6º devem ser aprovados pelo conselho de administração ou, na\nsua inexistência, pela diretoria da instituição de pagamento.

Art. 9º  A política de segurança cibernética referida\nno art. 2º e o plano de ação e de resposta a incidentes mencionado no art. 6º\ndevem ser aprovados pelo conselho de administração ou, na sua inexistência,\npela diretoria da instituição mencionada no art. 1º. (Redação dada, a partir de\n1º/3/2024, pela Resolução BCB nº 368, de 25/1/2024.)

Art. 10.  A\npolítica de segurança cibernética e o plano de ação e de resposta a incidentes\ndevem ser documentados e revisados, no mínimo, anualmente.

CAPÍTULO\nIII
\nDA CONTRATAÇÃO DE SERVIÇOS DE PROCESSAMENTO E ARMAZENAMENTO DE DADOS E DE\nCOMPUTAÇÃO EM NUVEM

Art. 11.  As instituições de pagamento devem assegurar\nque suas políticas, estratégias e estruturas para gerenciamento de riscos\nprevistas na regulamentação em vigor, especificamente no tocante aos critérios\nde decisão quanto à terceirização de serviços, contemplem a contratação de\nserviços relevantes de processamento e armazenamento de dados e de computação\nem nuvem, no País ou no exterior.

Art. 11.  As instituições mencionadas no art. 1º devem\nassegurar que suas políticas, estratégias e estruturas para gerenciamento de\nriscos previstas na regulamentação em vigor, especificamente no tocante aos\ncritérios de decisão quanto à terceirização de serviços, contemplem a\ncontratação de serviços relevantes de processamento e armazenamento de dados e\nde computação em nuvem, no país ou no exterior. (Redação dada, a partir de\n1º/3/2024, pela Resolução BCB nº 368, de 25/1/2024.)

Art. 12.  As instituições de\npagamento, previamente à contratação de serviços relevantes de processamento e\narmazenamento de dados e de computação em nuvem, devem adotar procedimentos que\ncontemplem:

Art. 12.  As instituições mencionadas no art. 1º,\npreviamente à contratação de serviços relevantes de processamento e\narmazenamento de dados e de computação em nuvem, devem adotar procedimentos que\ncontemplem: (Redação dada, a partir de\n1º/3/2024, pela Resolução BCB nº 368, de 25/1/2024.)

I - a adoção de práticas de governança corporativa e\nde gestão proporcionais à relevância do serviço a ser contratado e aos riscos a\nque estejam expostas; e

II - a verificação da capacidade do potencial\nprestador de serviço de assegurar:

a) o cumprimento da legislação e da regulamentação\nem vigor;

b) o acesso da instituição aos dados e às\ninformações a serem processados ou armazenados pelo prestador de serviço;

c) a confidencialidade, a integridade, a\ndisponibilidade e a recuperação dos dados e das informações processados ou\narmazenados pelo prestador de serviço;

d) a sua aderência a certificações exigidas pela\ninstituição para a prestação do serviço a ser contratado;

e) o acesso da instituição contratante aos\nrelatórios elaborados por empresa de auditoria especializada independente\ncontratada pelo prestador de serviço, relativos aos procedimentos e aos\ncontroles utilizados na prestação dos serviços a serem contratados;

f) o provimento de informações e de recursos de\ngestão adequados ao monitoramento dos serviços a serem prestados;

g) a identificação e a segregação dos dados dos usuários finais da\ninstituição por meio de controles físicos ou lógicos; e

g) a identificação e a segregação\ndos dados dos clientes e dos usuários finais da instituição por meio de\ncontroles físicos ou lógicos; e (Redação dada, a partir de\n1º/3/2024, pela Resolução BCB nº 368, de 25/1/2024.)

h) a qualidade dos controles de acesso voltados à proteção dos dados e\ndas informações dos usuários finais da instituição.

h) a qualidade dos controles de\nacesso voltados à proteção dos dados e das informações dos clientes e dos\nusuários finais da instituição. (Redação dada, a partir de\n1º/3/2024, pela Resolução BCB nº 368, de 25/1/2024.)

§ 1º  Na\navaliação da relevância do serviço a ser contratado, mencionada no inciso I do caput,\na instituição contratante deve considerar a criticidade do serviço e a\nsensibilidade dos dados e das informações a serem processados, armazenados e\ngerenciados pelo contratado, levando em conta, inclusive, a classificação\nrealizada nos termos do art. 3º, inciso V, alínea "c".

§ 2º  Os\nprocedimentos de que trata o caput, inclusive as informações relativas à\nverificação mencionada no inciso II, devem ser documentados.

§ 3º  No caso\nda execução de aplicativos por meio da internet, referidos no art. 13, inciso\nIII, a instituição deve assegurar que o potencial prestador dos serviços adote\ncontroles que mitiguem os efeitos de eventuais vulnerabilidades na liberação de\nnovas versões do aplicativo.

§ 4º  A\ninstituição deve possuir recursos e competências necessários para a adequada\ngestão dos serviços a serem contratados, inclusive para análise de informações\ne uso de recursos providos nos termos da alínea "f" do inciso II do caput.

Art. 13.  Para os fins do disposto\nnesta Resolução, os serviços de computação em nuvem abrangem a disponibilidade\nà instituição de pagamento contratante, sob demanda e de maneira virtual, de ao\nmenos um dos seguintes serviços:

Art. 13.  Para os fins do disposto nesta Resolução, os\nserviços de computação em nuvem abrangem a disponibilidade à instituição\ncontratante, sob demanda e de maneira virtual, de ao menos um dos seguintes\nserviços: (Redação dada, a partir de\n1º/3/2024, pela Resolução BCB nº 368, de 25/1/2024.)

I - processamento de dados, armazenamento de dados,\ninfraestrutura de redes e outros recursos computacionais que permitam à\ninstituição contratante implantar ou executar softwares, que podem incluir sistemas operacionais e\naplicativos desenvolvidos pela instituição ou por ela adquiridos;

II - implantação ou execução de aplicativos\ndesenvolvidos pela instituição contratante, ou por ela adquiridos, utilizando\nrecursos computacionais do prestador de serviços; ou

III - execução, por meio da internet, de aplicativos\nimplantados ou desenvolvidos pelo prestador de serviço, com a utilização de\nrecursos computacionais do próprio prestador de serviços.

Art. 14.  A instituição de\npagamento contratante dos serviços mencionados no art. 12 é responsável pela\nconfiabilidade, pela integridade, pela disponibilidade, pela segurança e pelo\nsigilo em relação aos serviços contratados, bem como pelo cumprimento da\nlegislação e da regulamentação em vigor.

Art. 14.  A instituição contratante dos serviços\nmencionados no art. 12 é responsável pela confiabilidade, pela integridade,\npela disponibilidade, pela segurança e pelo sigilo em relação aos serviços\ncontratados, bem como pelo cumprimento da legislação e da regulamentação em\nvigor. (Redação dada, a partir de\n1º/3/2024, pela Resolução BCB nº 368, de 25/1/2024.)

Art. 15.  A contratação de serviços\nrelevantes de processamento, armazenamento de dados e de computação em nuvem\ndeve ser comunicada pelas instituições de pagamento ao Banco Central do Brasil.

Art. 15.  A contratação de serviços relevantes de\nprocessamento, armazenamento de dados e de computação em nuvem deve ser\ncomunicada pelas instituições mencionadas no art. 1º ao Banco Central do\nBrasil. (Redação dada, a partir de\n1º/3/2024, pela Resolução BCB nº 368, de 25/1/2024.)

§ 1º  A\ncomunicação mencionada no caput deve conter as seguintes informações:

I - a denominação da empresa contratada;

II - os serviços relevantes contratados; e

III - a indicação dos países e das regiões em cada\npaís onde os serviços poderão ser prestados e os dados poderão ser armazenados,\nprocessados e gerenciados, definida nos termos do inciso III do art. 16, no\ncaso de contratação no exterior.

§ 2º  A\ncomunicação de que trata o caput deve ser realizada até dez dias após a\ncontratação dos serviços.

§ 3º  As\nalterações contratuais que impliquem modificação das informações de que trata o\n§ 1º devem ser comunicadas ao Banco Central do Brasil até dez dias após a\nalteração contratual.

Art. 16.  A\ncontratação de serviços relevantes de processamento, armazenamento de dados e\nde computação em nuvem prestados no exterior deve observar os seguintes\nrequisitos:

I - a existência de convênio para troca de\ninformações entre o Banco Central do Brasil e as autoridades supervisoras dos\npaíses onde os serviços poderão ser prestados;

II - a instituição de pagamento contratante deve assegurar que a\nprestação dos serviços referidos no caput não cause prejuízos ao seu\nregular funcionamento nem embaraço à atuação do Banco Central do Brasil;

II - a instituição contratante\ndeve assegurar que a prestação dos serviços referidos no caput não cause\nprejuízos ao seu regular funcionamento nem embaraço à atuação do Banco Central\ndo Brasil; (Redação dada, a partir de\n1º/3/2024, pela Resolução BCB nº 368, de 25/1/2024.)

III - a instituição de pagamento contratante deve definir, previamente à\ncontratação, os países e as regiões em cada país onde os serviços poderão ser\nprestados e os dados poderão ser armazenados, processados e gerenciados; e

III - a instituição contratante\ndeve definir, previamente à contratação, os países e as regiões em cada país\nonde os serviços poderão ser prestados e os dados poderão ser armazenados,\nprocessados e gerenciados; e (Redação dada, a partir de\n1º/3/2024, pela Resolução BCB nº 368, de 25/1/2024.)

IV - a instituição de pagamento contratante deve prever alternativas para\na continuidade dos serviços de pagamento prestados, no caso de impossibilidade\nde manutenção ou extinção do contrato de prestação de serviços.

IV - a instituição contratante\ndeve prever alternativas para a continuidade dos negócios, no caso de\nimpossibilidade de manutenção ou extinção do contrato de prestação de serviços.\n(Redação dada, a partir de\n1º/3/2024, pela Resolução BCB nº 368, de 25/1/2024.)

§ 1º  No caso de inexistência de\nconvênio nos termos do inciso I do caput, a instituição de pagamento\ncontratante deverá solicitar autorização do Banco Central do Brasil para:

§ 1º  No caso de inexistência de convênio nos\ntermos do inciso I do caput, a instituição contratante deverá solicitar\nautorização do Banco Central do Brasil para: (Redação dada, a partir de\n1º/3/2024, pela Resolução BCB nº 368, de 25/1/2024.)

I - a contratação do serviço, no prazo mínimo de\nsessenta dias antes da contratação, observado o disposto no art. 15, § 1º; e

II - as alterações contratuais que impliquem\nmodificação das informações de que trata o art. 15, § 1º, observando o prazo\nmínimo de sessenta dias antes da alteração contratual.

§ 2º  Para atendimento aos incisos\nII e III do caput, as instituições deverão assegurar que a legislação e\na regulamentação nos países e nas regiões em cada país onde os serviços poderão\nser prestados não restringem nem impedem o acesso das instituições de pagamento\ncontratantes e do Banco Central do Brasil aos dados e às informações.

§ 2º  Para atendimento aos incisos II e III do caput,\nas instituições deverão assegurar que a legislação e a regulamentação nos\npaíses e nas regiões em cada país onde os serviços poderão ser prestados não\nrestringem nem impedem o acesso das instituições contratantes e do Banco\nCentral do Brasil aos dados e às informações. (Redação dada, a partir de\n1º/3/2024, pela Resolução BCB nº 368, de 25/1/2024.)

§ 3º  A\ncomprovação do atendimento aos requisitos de que tratam os incisos I a IV do caput\ne o cumprimento da exigência de que trata o § 2º devem ser documentados.

Art. 17.  Os\ncontratos para prestação de serviços relevantes de processamento, armazenamento\nde dados e computação em nuvem devem conter cláusulas dispondo sobre:

I - a indicação dos países e da região em cada país\nonde os serviços poderão ser prestados e os dados poderão ser armazenados,\nprocessados e gerenciados;

II - a adoção de medidas de segurança para a\ntransmissão e armazenamento dos dados citados no inciso I;

III - a manutenção, enquanto o contrato estiver vigente, da segregação\ndos dados e dos controles de acesso para proteção das informações dos usuários\nfinais;

III - a manutenção, enquanto o\ncontrato estiver vigente, da segregação dos dados e dos controles de acesso\npara proteção das informações dos clientes e dos usuários finais; (Redação dada, a partir de\n1º/3/2024, pela Resolução BCB nº 368, de 25/1/2024.)

IV - a obrigatoriedade, em caso de extinção do\ncontrato, de:

a) transferência dos dados citados no inciso I ao novo prestador de\nserviços ou à instituição de pagamento contratante; e

a) transferência dos dados citados\nno inciso I ao novo prestador de serviços ou à instituição contratante; e (Redação dada, a partir de\n1º/3/2024, pela Resolução BCB nº 368, de 25/1/2024.)

b) exclusão dos dados citados no inciso I pela\nempresa contratada substituída, após a transferência dos dados prevista na\nalínea "a" e a confirmação da integridade e da disponibilidade dos\ndados recebidos;

V - o acesso da instituição de pagamento contratante a:

V - o acesso da instituição\ncontratante a: (Redação dada, a partir de\n1º/3/2024, pela Resolução BCB nº 368, de 25/1/2024.)

a) informações fornecidas pela empresa contratada,\nvisando a verificar o cumprimento do disposto nos incisos I a III;

b) informações relativas às certificações e aos\nrelatórios de auditoria especializada, citados no art. 12, inciso II, alíneas\n"d" e "e"; e

c) informações e recursos de gestão adequados ao\nmonitoramento dos serviços a serem prestados, citados no art. 12, inciso II,\nalínea "f";

VI - a obrigação de a empresa contratada notificar a instituição de\npagamento contratante sobre a subcontratação de serviços relevantes para a\ninstituição;

VI - a obrigação de a empresa\ncontratada notificar a instituição contratante sobre a subcontratação de\nserviços relevantes para a instituição; (Redação dada, a partir de\n1º/3/2024, pela Resolução BCB nº 368, de 25/1/2024.)

VII - a permissão de acesso do Banco Central do\nBrasil aos contratos e aos acordos firmados para a prestação de serviços, à\ndocumentação e às informações referentes aos serviços prestados, aos dados\narmazenados e às informações sobre seus processamentos, às cópias de segurança\ndos dados e das informações, bem como aos códigos de acesso aos dados e às\ninformações;

VIII - a adoção de medidas pela instituição de pagamento contratante, em\ndecorrência de determinação do Banco Central do Brasil; e

VIII - a adoção de medidas pela\ninstituição contratante, em decorrência de determinação do Banco Central do\nBrasil; e (Redação dada, a partir de\n1º/3/2024, pela Resolução BCB nº 368, de 25/1/2024.)

IX - a obrigação de a empresa contratada manter a instituição de\npagamento contratante permanentemente informada sobre eventuais limitações que\npossam afetar a prestação dos serviços ou o cumprimento da legislação e da\nregulamentação em vigor.

IX - a obrigação de a empresa\ncontratada manter a instituição contratante permanentemente informada sobre\neventuais limitações que possam afetar a prestação dos serviços ou o\ncumprimento da legislação e da regulamentação em vigor. (Redação dada, a partir de\n1º/3/2024, pela Resolução BCB nº 368, de 25/1/2024.)

Parágrafo único.  Os contratos\nmencionados no caput devem prever, para o caso da decretação de regime\nde resolução da instituição de pagamento contratante pelo Banco Central do\nBrasil:

Parágrafo único.  Os contratos mencionados no caput\ndevem prever, para o caso da decretação de regime de resolução da instituição\ncontratante pelo Banco Central do Brasil: (Redação dada, a partir de\n1º/3/2024, pela Resolução BCB nº 368, de 25/1/2024.)

I - a obrigação de a empresa contratada conceder\npleno e irrestrito acesso do responsável pelo regime de resolução aos\ncontratos, aos acordos, à documentação e às informações referentes aos serviços\nprestados, aos dados armazenados e às informações sobre seus processamentos, às\ncópias de segurança dos dados e das informações, bem como aos códigos de\nacesso, citados no inciso VII do caput, que estejam em poder da empresa\ncontratada; e

II - a obrigação de notificação prévia do\nresponsável pelo regime de resolução sobre a intenção de a empresa contratada\ninterromper a prestação de serviços, com pelo menos trinta dias de antecedência\nda data prevista para a interrupção, observado que:

a) a empresa contratada obriga-se a aceitar eventual\npedido de prazo adicional de trinta dias para a interrupção do serviço, feito\npelo responsável pelo regime de resolução; e

b) a notificação prévia deverá ocorrer também na situação em que a\ninterrupção for motivada por inadimplência da instituição de pagamento\ncontratante.

b) a notificação prévia deverá\nocorrer também na situação em que a interrupção for motivada por inadimplência\nda instituição contratante. (Redação dada, a partir de\n1º/3/2024, pela Resolução BCB nº 368, de 25/1/2024.)

Art. 18.  O\ndisposto nos arts. 11 a 17 não se aplica à contratação de sistemas operados por\ncâmaras, por prestadores de serviços de compensação e de liquidação ou por\nentidades que exerçam atividades de registro ou de depósito centralizado.

CAPÍTULO\nIV
\nDISPOSIÇÕES GERAIS

Art. 19.  As instituições de pagamento devem assegurar\nque suas políticas previstas na estrutura de gerenciamento de riscos, nos\ntermos da regulamentação em vigor, disponham, no tocante à continuidade dos\nserviços de pagamento prestados, sobre:

Art. 19.  As instituições mencionadas no art. 1º devem\nassegurar que suas políticas previstas na estrutura de gerenciamento de riscos,\nnos termos da regulamentação em vigor, disponham, no tocante à continuidade dos\nnegócios, sobre: (Redação dada, a partir de\n1º/3/2024, pela Resolução BCB nº 368, de 25/1/2024.)

I - o tratamento dos incidentes relevantes\nrelacionados com o ambiente cibernético de que trata o art. 3º, inciso IV;

II - os procedimentos a serem seguidos no caso da\ninterrupção de serviços relevantes de processamento e armazenamento de dados e\nde computação em nuvem contratados, abrangendo cenários que considerem a\nsubstituição da empresa contratada e o reestabelecimento da operação normal da\ninstituição; e

III - os cenários de incidentes considerados nos testes de continuidade\nde serviços de pagamento prestados de que trata o art. 3º, inciso V, alínea\n"a".

III - os cenários de incidentes\nconsiderados nos testes de continuidade de negócios de que trata o art. 3º,\ninciso V, alínea "a". (Redação dada, a partir de\n1º/3/2024, pela Resolução BCB nº 368, de 25/1/2024.)

Art. 20.  Os procedimentos adotados\npelas instituições de pagamento para gerenciamento de riscos previstos na\nregulamentação em vigor devem especificar, no tocante à continuidade dos\nserviços de pagamento prestados:

Art. 20.  Os procedimentos adotados pelas instituições\nmencionadas no art. 1º para gerenciamento de riscos previstos na regulamentação\nem vigor devem especificar, no tocante à continuidade dos negócios: (Redação dada, a partir de\n1º/3/2024, pela Resolução BCB nº 368, de 25/1/2024.)

I - o tratamento previsto para mitigar os efeitos\ndos incidentes relevantes de que trata o art. 3º, inciso IV, e da interrupção\ndos serviços relevantes de processamento, armazenamento de dados e de\ncomputação em nuvem contratados;

II - o prazo estipulado para reinício ou\nnormalização das suas atividades ou dos serviços relevantes interrompidos,\ncitados no inciso I; e

III - a comunicação tempestiva ao Banco Central do Brasil das ocorrências\nde incidentes relevantes e das interrupções dos serviços relevantes, citados no\ninciso I, que configurem situação de crise pela instituição de pagamento, bem\ncomo das providências para o reinício das suas atividades.

III - a comunicação tempestiva ao\nBanco Central do Brasil das ocorrências de incidentes relevantes e das\ninterrupções dos serviços relevantes, citados no inciso I, que configurem\nsituação de crise pela instituição mencionada no art. 1º, bem como das providências\npara o reinício das suas atividades. (Redação dada, a partir de\n1º/3/2024, pela Resolução BCB nº 368, de 25/1/2024.)

Parágrafo único.  As instituições de pagamento devem estabelecer\ne documentar os critérios que configurem a situação de crise de que trata o\ninciso III do caput.

Parágrafo único.  As instituições mencionadas no art. 1º devem\nestabelecer e documentar os critérios que configurem a situação de crise de que\ntrata o inciso III do caput. (Redação\ndada, a partir de 1º/3/2024, pela Resolução BCB nº 368, de 25/1/2024.)

Art. 21.  As instituições de\npagamento devem instituir mecanismos de acompanhamento e de controle com vistas\na assegurar a implementação e a efetividade da política de segurança\ncibernética, do plano de ação e de resposta a incidentes e dos requisitos para contratação\nde serviços de processamento e armazenamento de dados e de computação em nuvem,\nincluindo:

Art. 21.  As instituições mencionadas no art. 1º devem\ninstituir mecanismos de acompanhamento e de controle com vistas a assegurar a\nimplementação e a efetividade da política de segurança cibernética, do plano de\nação e de resposta a incidentes e dos requisitos para contratação de serviços\nde processamento e armazenamento de dados e de computação em nuvem, incluindo: (Redação dada, a partir de\n1º/3/2024, pela Resolução BCB nº 368, de 25/1/2024.)

I - a definição de processos, testes e trilhas de\nauditoria;

II - a definição de métricas e indicadores\nadequados; e

III - a identificação e a correção de eventuais\ndeficiências.

§ 1º  As\nnotificações recebidas sobre a subcontratação de serviços relevantes descritas\nno art. 17, inciso VI, devem ser consideradas na definição dos mecanismos de\nque trata o caput.

§ 2º  Os\nmecanismos de que trata o caput devem ser submetidos a testes periódicos\npela auditoria interna compatíveis com os controles internos da instituição.

Art. 22.  Sem prejuízo do dever de\nsigilo e da livre concorrência, as instituições de pagamento devem desenvolver\niniciativas para o compartilhamento de informações sobre os incidentes\nrelevantes de que trata o art. 3º, inciso IV.

Art. 22.  Sem\nprejuízo do dever de sigilo e da livre concorrência, as instituições\nmencionadas no art. 1º devem desenvolver iniciativas para o compartilhamento de\ninformações sobre os incidentes relevantes de que trata o art. 3º, inciso IV. (Redação dada, a partir de 1º/3/2024, pela Resolução BCB\nnº 368, de 25/1/2024.)

§ 1º  O compartilhamento de que\ntrata o caput deve abranger informações sobre incidentes relevantes\nrecebidas de empresas prestadoras de serviços a terceiros.

§ 2º  As informações compartilhadas\ndevem estar disponíveis ao Banco Central do Brasil.

Art. 22-A.  As instituições devem assegurar que os testes\nde intrusão mencionados no art. 3º, § 8º, inciso IV, devem: (Incluído pela Resolução BCB nº 538, de 18/12/2025.)

I - ter periodicidade mínima\nanual; (Incluído pela Resolução BCB nº 538, de 18/12/2025.)

II - ser realizados com\nindependência e imparcialidade por pessoa natural ou empresa especializada\ncontratada pela instituição para essa finalidade, sem prejuízo da realização de\ntestes por equipes da própria instituição; e (Incluído pela Resolução BCB nº 538, de 18/12/2025.)

III - ter os resultados de sua\nexecução documentados, especialmente as eventuais vulnerabilidades que forem\nidentificadas e os planos de ação estabelecidos para suas correções. (Incluído pela Resolução BCB nº 538, de 18/12/2025.)

Art. 22-B.  O serviço prestado para a comunicação\neletrônica de dados na RSFN, de que trata o art. 3º-A, caput, inciso I,\né considerado relevante para fins da aplicação do disposto nesta Resolução\nsobre a contratação de serviços de processamento, armazenamento de dados e\ncomputação em nuvem. (Incluído pela Resolução BCB nº 538, de 18/12/2025.)

§ 1º  Aplica-se o disposto no caput\nindependente da forma de conexão com a RSFN. (Incluído pela Resolução BCB nº 538, de 18/12/2025.)

§ 2º  O serviço de que trata o caput\ninclui os casos em que o prestador de serviços fornece serviço de\nprocessamento de mensagens no âmbito do SFN e do Sistema de Pagamentos\nBrasileiro – SPB. (Incluído pela Resolução BCB nº 538, de 18/12/2025.)

CAPÍTULO\nV
\nDISPOSIÇÕES FINAIS

Art. 23.  Devem\nficar à disposição do Banco Central do Brasil pelo prazo de cinco anos:

I - o documento relativo à política de segurança\ncibernética, de que trata o art. 2º;

II - a ata de reunião do conselho de administração\nou, na sua inexistência, da diretoria da instituição, no caso de ser\nformalizada a opção de que trata o art. 2º, § 2º;

III - o documento relativo ao plano de ação e de\nresposta a incidentes, de que trata o art. 6º;

IV - o relatório anual, de que trata o art. 8º;

V - a documentação sobre os procedimentos de que\ntrata o art. 12, § 2º;

VI - a documentação de que trata o art. 16, § 3º, no\ncaso de serviços prestados no exterior;

VII - os contratos de que trata o art. 17, contado o\nprazo referido no caput a partir da extinção do contrato;

VIII - os dados, os registros e as informações relativas aos mecanismos\nde acompanhamento e de controle de que trata o art. 21, contado o prazo\nreferido no caput a partir da implementação dos citados mecanismos; e

VIII - os dados, os\nregistros e as informações relativas aos mecanismos de acompanhamento e de\ncontrole de que trata o art. 21, contado o prazo a partir da implementação dos\ncitados mecanismos; (Redação dada pela\nResolução BCB nº 538, de 18/12/2025.)

IX - a documentação com os critérios que configurem a situação de crise\nde que trata o art. 20, parágrafo único.

IX - a documentação\ncom os critérios que configurem uma situação de crise de que trata o art. 20,\nparágrafo único; e (Redação dada pela\nResolução BCB nº 538, de 18/12/2025.)

X - a documentação\ncom os resultados da execução de testes de intrusão e os planos de ação\nestabelecidos para as correções de vulnerabilidades identificadas de que trata\no art. 22-A, caput, inciso III, contado o prazo a partir da data de\nexecução dos testes. (Incluído pela\nResolução BCB nº 538, de 18/12/2025.)

Art. 24.  As instituições de\npagamento que em 1º de setembro de 2019 já tinham contratado a prestação de\nserviços relevantes de processamento, armazenamento de dados e de computação em\nnuvem devem adequar o contrato para a prestação de tais serviços:

I - ao cumprimento do disposto no art. 16, incisos I, II, IV e § 2º, no\ncaso de serviços prestados no exterior; e

II - ao disposto nos arts. 15, § 1º, e 17.

Parágrafo único.  A adequação ao\ndisposto no caput deve ocorrer até 31 de dezembro de 2021.

Art. 24.  (Revogado, a partir de\n1º/3/2024, pela Resolução BCB nº 368, de 25/1/2024.)

Art. 25.  O\nBanco Central do Brasil poderá vetar ou impor restrições para a contratação de\nserviços de processamento e armazenamento de dados e de computação em nuvem\nquando constatar, a qualquer tempo, a inobservância do disposto nesta Resolução,\nbem como a limitação à atuação do Banco Central do Brasil, estabelecendo prazo\npara a adequação dos referidos serviços e dos contratos correspondentes.

Art. 26.  Ficam revogados:

I - os arts. 1º a 26 da Circular nº 3.909, de\n16 de agosto de 2018; e

II - a Circular nº 3.969, de 13 de novembro\nde 2019.

Art. 27. \nEsta Resolução entra em vigor em 1º de agosto de 2021.

Otávio Ribeiro Damaso
Diretor de Regulação

","Voto":"74/2021-BCB","DataAssinatura":null,"DataAssinaturaTexto":""}]}