{"navegacao":null,"view":"views/exibenormativo.aspx","conteudo":[{"Titulo":"Resolução CMN N° 4.893","Tipo":"Resolução CMN","Documentos":null,"DOU":"Publicada no DOU de 1º/3/2021, Seção 1, p. 82/83.","Id":51323,"Data":"2021-02-26T17:06:00Z","DataTexto":"26/2/2021 14:06","Numero":4893.0,"VersaoNormativo":3.0,"Assunto":"Dispõe sobre a política de segurança cibernética e sobre os requisitos para a contratação de serviços de processamento e armazenamento de dados e de computação em nuvem a serem observados pelas instituições autorizadas a funcionar pelo Banco Central do Brasil.","NormasVinculadas":"INSTRUÇÃO NORMATIVA BCB;@592;@2025;#INSTRUÇÃO NORMATIVA BCB;@590;@2025;#INSTRUÇÃO NORMATIVA BCB;@305;@2022;#INSTRUÇÃO NORMATIVA BCB;@134;@2021;#INSTRUÇÃO NORMATIVA BCB;@99;@2021;#RESOLUÇÃO BCB;@447;@2024;#RESOLUÇÃO BCB;@306;@2023;#RESOLUÇÃO CMN;@5274;@2025;#RESOLUÇÃO CMN;@5117;@2024;#RESOLUÇÃO;@4752;@2019;#RESOLUÇÃO;@4658;@2018;#INSTRUÇÃO NORMATIVA BCB;@720;@2026;#","Referencias":"Lei nº 4.595/1964, arts. 4º, inciso VIII, e 9º.;#Lei nº 4.728/1965, art. 9º.;# Lei nº 6.099/1974, arts. 7º e 23, alínea \"a\".;#Lei nº 10.194/2001, art. 1º, inciso II.;#Lei Complementar nº 130/2009, art. 1º, § 1º.;#Revoga, a partir de 1º de julho de 2021, Resoluções CMN ns. 4.658/2018 e 4.752/2019.;#","Atualizacoes":"Resolução CMN nº 5.117/2024 - Alteração, a partir de 1º/3/2024 - Nova redação: art. 1º, parágrafo único.;#Resolução CMN nº 5.274/2025 - Nova redação: art. 3º, § 2º e § 3º; art. 8º, § 1º, incisos III e IV; art. 23, incisos VIII e IX; e art. 24, incisos III e IV. Inclusão: art. 3º, § 2º, incisos I a XIV, § 3º, incisos I e II, e §§ 6º a 12; art. 3º-A; art. 8º, § 1º, inciso V; arts. 22-A e 22-B; art. 23, inciso X; e art. 24, inciso V, e §§ 1º e 2º.;#","Revogado":false,"Cancelado":false,"Texto":"
\n\n\n\n\nResolução Nº 4.893\n\n\n\n\n\n\n
\n\n

RESOLUÇÃO CMN\nNº 4.893, DE 26 DE FEVEREIRO DE 2021

Dispõe sobre a política de\nsegurança cibernética e sobre os requisitos para a contratação de serviços de\nprocessamento e armazenamento de dados e de computação em nuvem a serem\nobservados pelas instituições autorizadas a funcionar pelo Banco Central do\nBrasil.

O\nBanco Central do Brasil, na forma do art. 9º da Lei nº 4.595, de 31 de dezembro\nde 1964, torna público que o Conselho Monetário Nacional, em sessão realizada\nem 25 de fevereiro de 2021, com base nos arts. 4º, inciso VIII, da\nreferida Lei, 9º da Lei nº 4.728, de 14 de julho de 1965, 7º e 23, alínea\n"a", da Lei nº 6.099, de 12 de setembro de 1974, 1º, inciso II, da\nLei nº 10.194, de 14 de fevereiro de 2001, e 1º, § 1º, da Lei Complementar nº\n130, de 17 de abril de 2009,

R\nE S O L V E U :

CAPÍTULO\nI
DO\nOBJETO E DO ÂMBITO DE APLICAÇÃO

Art.\n1º  Esta Resolução dispõe sobre a\npolítica de segurança cibernética e sobre os requisitos para a contratação de\nserviços de processamento e armazenamento de dados e de computação em nuvem a\nserem observados pelas instituições autorizadas a funcionar pelo Banco Central\ndo Brasil.

Parágrafo único.  O disposto\nnesta Resolução não se aplica às instituições de pagamento, que devem observar\na regulamentação emanada do Banco Central do Brasil, no exercício de suas\natribuições legais.

Parágrafo\núnico. O disposto nesta Resolução não se aplica às administradoras de consórcio,\nàs instituições de pagamento, às sociedades corretoras de títulos e valores\nmobiliários, às sociedades distribuidoras de títulos e valores mobiliários e às\nsociedades corretoras de câmbio, que devem observar a regulamentação emanada do\nBanco Central do Brasil no exercício de suas atribuições legais. (Redação\ndada, a partir de 1º/3/2024, pela Resolução CMN nº 5.117, de 25/1/2024.)

CAPÍTULO II
DA\nPOLÍTICA DE SEGURANÇA CIBERNÉTICA

Seção I
Da\nImplementação da Política de Segurança Cibernética

Art.\n2º  As instituições referidas no art. 1º\ndevem implementar e manter política de segurança cibernética formulada com base\nem princípios e diretrizes que busquem assegurar a confidencialidade, a\nintegridade e a disponibilidade dos dados e dos sistemas de informação\nutilizados.

§\n1º  A política mencionada no caput deve ser compatível com:

I\n- o porte, o perfil de risco e o modelo de negócio da instituição;

II\n- a natureza das operações e a complexidade dos produtos, serviços, atividades\ne processos da instituição; e

III\n- a sensibilidade dos dados e das informações sob responsabilidade da\ninstituição.

§\n2º  Admite-se a adoção de política de\nsegurança cibernética única por:

I\n- conglomerado prudencial; e

II\n- sistema cooperativo de crédito.

§\n3º  As instituições que não constituírem\npolítica de segurança cibernética própria em decorrência do disposto no § 2º\ndevem formalizar a opção por essa faculdade em reunião do conselho de\nadministração ou, na sua inexistência, da diretoria da instituição.

Art.\n3º  A política de segurança cibernética\ndeve contemplar, no mínimo:

I\n- os objetivos de segurança cibernética da instituição;

II\n- os procedimentos e os controles adotados para reduzir a vulnerabilidade da\ninstituição a incidentes e atender aos demais objetivos de segurança\ncibernética;

III\n- os controles específicos, incluindo os voltados para a rastreabilidade da\ninformação, que busquem garantir a segurança das informações sensíveis;

IV\n- o registro, a análise da causa e do impacto, bem como o controle dos efeitos\nde incidentes relevantes para as atividades da instituição;

V\n- as diretrizes para:

a)\na elaboração de cenários de incidentes considerados nos testes de continuidade\nde negócios;

b)\na definição de procedimentos e de controles voltados à prevenção e ao\ntratamento dos incidentes a serem adotados por empresas prestadoras de serviços\na terceiros que manuseiem dados ou informações sensíveis ou que sejam\nrelevantes para a condução das atividades operacionais da instituição;

c)\na classificação dos dados e das informações quanto à relevância; e

d)\na definição dos parâmetros a serem utilizados na avaliação da relevância dos\nincidentes;

VI\n- os mecanismos para disseminação da cultura de segurança cibernética na\ninstituição, incluindo:

a)\na implementação de programas de capacitação e de avaliação periódica de\npessoal;

b)\na prestação de informações a clientes e usuários sobre precauções na utilização\nde produtos e serviços financeiros; e

c)\no comprometimento da alta administração com a melhoria contínua dos\nprocedimentos relacionados com a segurança cibernética; e

VII\n- as iniciativas para compartilhamento de informações sobre os incidentes\nrelevantes, mencionados no inciso IV, com as demais instituições referidas no\nart. 1º.

§\n1º  Na definição dos objetivos de\nsegurança cibernética referidos no inciso I do caput, deve ser contemplada a capacidade da instituição para\nprevenir, detectar e reduzir a vulnerabilidade a incidentes relacionados com o\nambiente cibernético.

§ 2º  Os procedimentos e os\ncontroles de que trata o inciso II do caput\ndevem abranger, no mínimo, a autenticação, a criptografia, a prevenção e a\ndetecção de intrusão, a prevenção de vazamento de informações, a realização\nperiódica de testes e varreduras para detecção de vulnerabilidades, a proteção\ncontra softwares maliciosos, o\nestabelecimento de mecanismos de rastreabilidade, os controles de acesso e de\nsegmentação da rede de computadores e a manutenção de cópias de segurança dos\ndados e das informações.

§\n2º  Os procedimentos e os controles de\nque trata o inciso II do caput devem abranger, no mínimo: (Redação\ndada pela Resolução CMN nº 5.274, de 18/12/2025.)

I - a autenticação; (Incluído pela Resolução CMN nº 5.274, de 18/12/2025.)

II - os mecanismos de criptografia; (Incluído pela Resolução CMN nº 5.274, de 18/12/2025.)

III - os mecanismos de prevenção e detecção de intrusão; (Incluído pela Resolução CMN nº 5.274, de 18/12/2025.)

IV - os mecanismos de prevenção de vazamentos de informações; (Incluído pela Resolução CMN nº 5.274, de 18/12/2025.)

V - os mecanismos de proteção contra softwares maliciosos; (Incluído pela Resolução CMN nº 5.274, de 18/12/2025.)

VI - os mecanismos de rastreabilidade; (Incluído pela Resolução CMN nº 5.274, de 18/12/2025.)

VII - a gestão de cópias de segurança dos dados e das informações;\n(Incluído pela Resolução CMN nº 5.274, de 18/12/2025.)

VIII - a avaliação e a correção de vulnerabilidades dos recursos\ncomputacionais e dos sistemas de informação; (Incluído pela Resolução CMN nº 5.274, de 18/12/2025.)

IX - os controles de acesso; (Incluído pela Resolução CMN nº 5.274, de 18/12/2025.)

X - a definição e implementação de perfis de configuração segura\nde ativos de tecnologia; (Incluído pela Resolução CMN nº 5.274, de 18/12/2025.)

XI - os mecanismos de proteção da rede; (Incluído pela Resolução CMN nº 5.274, de 18/12/2025.)

XII - a gestão de certificados digitais; (Incluído pela Resolução CMN nº 5.274, de 18/12/2025.)

XIII - os requisitos de segurança para a integração de sistemas de\ninformação por meio de interfaces eletrônicas; e (Incluído pela Resolução CMN nº 5.274, de 18/12/2025.)

XIV - as ações de inteligência no ambiente\ncibernético, incluindo o monitoramento de informações de interesse da\ninstituição na internet, na Deep Web e na Dark Web, além de\ngrupos privados de comunicação. (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

§ 3º  Os procedimentos e os\ncontroles citados no inciso II do caput\ndevem ser aplicados, inclusive, no desenvolvimento de sistemas de informação\nseguros e na adoção de novas tecnologias empregadas nas atividades da\ninstituição.

§\n3º  Os procedimentos e os controles\ncitados no inciso II do caput devem ser aplicados, inclusive: (Redação\ndada pela Resolução CMN nº 5.274, de 18/12/2025.)

I\n- no desenvolvimento de sistemas de informação seguros; e (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

II\n- na adoção de novas tecnologias empregadas nas atividades da instituição. (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

§\n4º  O registro, a análise da causa e do\nimpacto, bem como o controle dos efeitos de incidentes, citados no inciso IV do\ncaput, devem abranger inclusive\ninformações recebidas de empresas prestadoras de serviços a terceiros.

§\n5º  As diretrizes de que trata o inciso\nV, alínea "b", do caput, devem contemplar procedimentos e\ncontroles em níveis de complexidade, abrangência e precisão compatíveis com os\nutilizados pela própria instituição.

§\n6º  A instituição deve verificar o\ndisposto no inciso I do § 3º, no que couber, nos casos de sistemas de\ninformação por ela adquiridos ou desenvolvidos por empresas prestadoras de\nserviços a terceiros, executados com a utilização de recursos computacionais da\nprópria instituição. (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

§\n7º  Os mecanismos de rastreabilidade de\nque trata o inciso VI do § 2º devem abranger a rastreabilidade de transações e\noperações, contemplando, no mínimo: (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

I\n- trilhas de auditoria do processamento fim a fim dos dados e das informações,\nincluindo a definição e a geração de logs que possibilitem identificar\nfalhas de processamento ou comportamentos atípicos, bem como subsidiar\nanálises; (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

II\n- definição de tempo de retenção de informações de acordo com o tipo de\nprocessamento realizado; e (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

III\n- retenção segura das trilhas de auditoria. (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

§\n8º  A avaliação e a correção de\nvulnerabilidades de que trata o inciso VIII do § 2º deve contemplar, no\nmínimo: (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

I\n- testes e análises periódicos para detecção de vulnerabilidades em sistemas de\ninformação;  (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

II\n- varreduras periódicas dos recursos tecnológicos com o objetivo de identificar\ndispositivos indevidamente conectados à rede corporativa que possam estabelecer\nconexão com ativos de tecnologia externos à instituição; (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

III\n- análises periódicas dos recursos tecnológicos com o objetivo de identificar\nvulnerabilidades que possam comprometer a segurança dos ativos de tecnologia da\ninstituição;  (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

IV\n- testes de intrusão; e (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

V\n- correção tempestiva das vulnerabilidades identificadas. (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

§\n9º  Os controles de acesso de que trata o\ninciso IX do § 2º devem incluir, no mínimo: (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

I\n- mecanismos para limitar o acesso à rede corporativa a usuários credenciados e\na dispositivos autorizados; (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

II\n- revisão periódica e tempestiva das permissões de acesso, em especial de\ncolaboradores terceirizados com acesso aos recursos computacionais da\ninstituição; e (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

III\n- implementação de múltiplos fatores de autenticação para acesso à rede\ncorporativa a partir de ambientes externos à instituição. (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

§\n10.  A definição e implementação de\nperfis de configuração segura de que trata o inciso X do § 2º devem prever, no\nmínimo: (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

I\n- a gestão do ciclo de vida dos recursos computacionais da instituição; (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

II\n- a aplicação regular de correções de segurança; (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

III\n- a configuração adequada dos serviços a serem suportados pelos recursos\ncomputacionais; e (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

IV\n- a alteração de senhas e de outros padrões que possam ser utilizados para\nacessos indevidos aos recursos computacionais. (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

§\n11.  Os mecanismos de proteção da rede de\nque trata o inciso XI do § 2º devem contemplar, no mínimo: (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

I\n- a segmentação de rede de computadores, resguardando, em especial, o ambiente\nde produção e os recursos computacionais que suportam processos críticos de\nnegócio; (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

II\n- o estabelecimento de regras de firewall, assim como o monitoramento de\nconexões, evitando tentativas de conexão com sistemas de informação\nprovenientes de ativos de tecnologia localizados fora da rede corporativa da\ninstituição; (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

III\n- a definição de critérios para o estabelecimento e o monitoramento de conexões\ncom ambientes externos, em especial em horário noturno e em dias não úteis;  (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

IV\n- as medidas para identificar e prevenir conexões indevidas com ambientes\nexternos à instituição oriundas de recursos tecnológicos da instituição; (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

V\n- a implementação e manutenção de processos e ferramentas para identificação,\nanálise, tratamento e controle de eventos atípicos no ambiente de produção da\ninstituição, abrangendo, como exemplos, o estabelecimento de virtual private\nnetworks – VPN e tentativas de acesso privilegiado a recursos\ncomputacionais, especialmente em horário noturno e em dias não úteis; e (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

VI - o estabelecimento de medidas para restringir o acesso a redes\ncorporativas apenas a dispositivos ou ativos de tecnologia devidamente\nautorizados. (Incluído pela Resolução CMN nº 5.274, de 18/12/2025.)

§\n12.  A gestão de certificados digitais de\nque trata o inciso XII do § 2º deve prever, no mínimo: (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

I\n- o monitoramento do uso de certificados e assinaturas digitais, contemplando a implementação dos mecanismos de\nrastreabilidade de que trata o § 7º; \n(Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

II\n- os procedimentos para a guarda de informações, abrangendo os controles de\nacesso físico e lógico a chaves privadas sob responsabilidade da instituição; (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

III\n- procedimentos e ferramentas para evitar o compartilhamento indevido das\nchaves privadas associadas a certificados digitais da instituição; e (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

IV\n- a validação tempestiva de certificados revogados perante as autoridades\ncertificadoras. (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

Art.\n3º-A  As instituições referidas no art.\n1º devem estabelecer os seguintes requisitos de segurança adicionais, como parte integrante dos procedimentos e controles\nprevistos em sua política de segurança cibernética de que trata o art. 3º: (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

I\n- no caso de comunicação eletrônica de dados na Rede do Sistema Financeiro\nNacional – RSFN: (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

a)\nuso de múltiplos fatores de autenticação para o acesso administrativo aos\nambientes Pix e Sistema de Transferência de Reservas – STR; (Incluída\npela Resolução CMN nº 5.274, de 18/12/2025.)

b)\nisolamento físico e lógico do ambiente Pix dos demais sistemas da instituição,\nmantendo instância dedicada e apartada dos demais ambientes nos casos de uso de\nserviços de computação em nuvem contratados; (Incluída\npela Resolução CMN nº 5.274, de 18/12/2025.)

c)\nisolamento físico e lógico do ambiente STR dos demais sistemas da instituição,\nmantendo instância dedicada e apartada dos demais ambientes nos casos de uso de\nserviços de computação em nuvem contratados; (Incluída\npela Resolução CMN nº 5.274, de 18/12/2025.)

d)\nmonitoramento do uso de credenciais e certificados digitais, bem como\nestabelecimento de controles para a guarda dessas informações, especialmente as\nutilizadas no âmbito do Sistema de Pagamentos Instantâneos – SPI; (Incluída\npela Resolução CMN nº 5.274, de 18/12/2025.)

e)\nimplementação de mecanismos de validação da\nintegridade fim a fim das transações pela instituição antes da assinatura digital das mensagens associadas, assegurando que os\ndados não tenham sido corrompidos ou manipulados durante o processo de geração\ndessas mensagens; e (Incluída\npela Resolução CMN nº 5.274, de 18/12/2025.)

f)\nvedação do acesso de empresas prestadoras de serviços a\nterceiros às chaves privadas associadas a certificados digitais utilizados pela\ninstituição para a assinatura de mensagens; e (Incluída\npela Resolução CMN nº 5.274, de 18/12/2025.)

II\n- no caso de conexão como participante de Sistemas do Mercado Financeiro – SMF\nautorizados a operar, a implementação de controles de segurança para prevenção,\ndetecção e resposta a fraudes, a serem observados pela instituição. (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

Parágrafo\núnico.  As instituições devem observar\neste artigo de forma compatível com o disposto: (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

I\n- nesta Resolução; (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

II\n- na regulamentação em vigor; e (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

III\n- em todos os requisitos técnicos da RSFN previstos no Catálogo de Serviços do\nSFN, no Manual de Redes do SFN e no Manual de Segurança do SFN, publicados pelo\nBanco Central do Brasil. (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

Seção II
Da\nDivulgação da Política de Segurança Cibernética

Art.\n4º  A política de segurança cibernética\ndeve ser divulgada aos funcionários da instituição e às empresas prestadoras de\nserviços a terceiros, mediante linguagem clara, acessível e em nível de\ndetalhamento compatível com as funções desempenhadas e com a sensibilidade das\ninformações.

Art.\n5º  As instituições devem divulgar ao\npúblico resumo contendo as linhas gerais da política de segurança cibernética.

Seção III
Do\nPlano de Ação e de Resposta a Incidentes

Art.\n6º  As instituições referidas no art. 1º\ndevem estabelecer plano de ação e de resposta a incidentes visando à\nimplementação da política de segurança cibernética.

Parágrafo\núnico.  O plano mencionado no caput deve abranger, no mínimo:

I\n- as ações a serem desenvolvidas pela instituição para adequar suas estruturas\norganizacional e operacional aos princípios e às diretrizes da política de\nsegurança cibernética;

II\n- as rotinas, os procedimentos, os controles e as tecnologias a serem\nutilizados na prevenção e na resposta a incidentes, em conformidade com as\ndiretrizes da política de segurança cibernética; e

III\n- a área responsável pelo registro e controle dos efeitos de incidentes\nrelevantes.

Art.\n7º  As instituições referidas no art. 1º\ndevem designar diretor responsável pela política de segurança cibernética e\npela execução do plano de ação e de resposta a incidentes.

Parágrafo\núnico.  O diretor mencionado no caput pode desempenhar outras funções\nna instituição, desde que não haja conflito de interesses.

Art.\n8º  As instituições referidas no art. 1º\ndevem elaborar relatório anual sobre a implementação do plano de ação e de\nresposta a incidentes, mencionado no art. 6º, com data-base de 31 de dezembro.

§\n1º  O relatório de que trata o caput deve abordar, no mínimo:

I\n- a efetividade da implementação das ações descritas no art. 6º, parágrafo\núnico, inciso I;

II\n- o resumo dos resultados obtidos na implementação das rotinas, dos\nprocedimentos, dos controles e das tecnologias a serem utilizados na prevenção\ne na resposta a incidentes descritos no art. 6º, parágrafo único, inciso II;

III - os incidentes relevantes relacionados com o ambiente\ncibernético ocorridos no período; e

III\n- os incidentes relevantes relacionados com o ambiente cibernético ocorridos no\nperíodo; (Redação\ndada pela Resolução CMN nº 5.274, de 18/12/2025.)

IV - os resultados dos testes de continuidade de negócios,\nconsiderando cenários de indisponibilidade ocasionada por incidentes.

IV\n- os resultados dos testes de continuidade de negócios, considerando cenários\nde indisponibilidade ocasionada por incidentes; e (Redação\ndada pela Resolução CMN nº 5.274, de 18/12/2025.)

V\n- os resultados dos testes de intrusão e dos testes, varreduras e análises\nperiódicas para detecção de vulnerabilidades de que\ntrata o art. 3º, § 8º, e os planos de ação estabelecidos para as suas\ncorreções, observado o disposto no art. 22-A, caput, inciso III.  (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

§\n2º  O relatório mencionado no caput deve ser:

I\n- submetido ao comitê de risco, quando existente; e

II\n- apresentado ao conselho de administração ou, na sua inexistência, à diretoria\nda instituição até 31 de março do ano seguinte ao da data-base.

Art.\n9º  A política de segurança cibernética\nreferida no art. 2º e o plano de ação e de resposta a incidentes mencionado no\nart. 6º devem ser aprovados pelo conselho de administração ou, na sua\ninexistência, pela diretoria da instituição.

Art.\n10.  A política de segurança cibernética\ne o plano de ação e de resposta a incidentes devem ser documentados e\nrevisados, no mínimo, anualmente.

CAPÍTULO III
DA\nCONTRATAÇÃO DE SERVIÇOS DE PROCESSAMENTO E ARMAZENAMENTO DE DADOS E DE COMPUTAÇÃO\nEM NUVEM

Art.\n11.  As instituições referidas no art. 1º\ndevem assegurar que suas políticas, estratégias e estruturas para gerenciamento\nde riscos previstas na regulamentação em vigor, especificamente no tocante aos\ncritérios de decisão quanto à terceirização de serviços, contemplem a\ncontratação de serviços relevantes de processamento e armazenamento de dados e\nde computação em nuvem, no País ou no exterior.

Art.\n12.  As instituições mencionadas no art.\n1º, previamente à contratação de serviços relevantes de processamento e\narmazenamento de dados e de computação em nuvem, devem adotar procedimentos que\ncontemplem:

I\n- a adoção de práticas de governança corporativa e de gestão proporcionais à\nrelevância do serviço a ser contratado e aos riscos a que estejam expostas; e

II\n- a verificação da capacidade do potencial prestador de serviço de assegurar:

a)\no cumprimento da legislação e da regulamentação em vigor;

b)\no acesso da instituição aos dados e às informações a serem processados ou\narmazenados pelo prestador de serviço;

c)\na confidencialidade, a integridade, a disponibilidade e a recuperação dos dados\ne das informações processados ou armazenados pelo prestador de serviço;

d)\na sua aderência a certificações exigidas pela instituição para a prestação do\nserviço a ser contratado;

e)\no acesso da instituição contratante aos relatórios elaborados por empresa de\nauditoria especializada independente contratada pelo prestador de serviço,\nrelativos aos procedimentos e aos controles utilizados na prestação dos\nserviços a serem contratados;

f)\no provimento de informações e de recursos de gestão adequados ao monitoramento\ndos serviços a serem prestados;

g)\na identificação e a segregação dos dados dos clientes da instituição por meio\nde controles físicos ou lógicos; e

h)\na qualidade dos controles de acesso voltados à proteção dos dados e das informações\ndos clientes da instituição.

§\n1º  Na avaliação da relevância do serviço\na ser contratado, mencionada no inciso I do caput, a instituição contratante deve considerar a criticidade do\nserviço e a sensibilidade dos dados e das informações a serem processados,\narmazenados e gerenciados pelo contratado, levando em conta, inclusive, a\nclassificação realizada nos termos do art. 3º, inciso V, alínea "c".

§\n2º  Os procedimentos de que trata o caput, inclusive as informações\nrelativas à verificação mencionada no inciso II, devem ser documentados.

§\n3º  No caso da execução de aplicativos\npor meio da internet, referidos no inciso III do art. 13, a instituição deve\nassegurar que o potencial prestador dos serviços adote controles que mitiguem\nos efeitos de eventuais vulnerabilidades na liberação de novas versões do\naplicativo.

§\n4º  A instituição deve possuir recursos e\ncompetências necessários para a adequada gestão dos serviços a serem\ncontratados, inclusive para análise de informações e uso de recursos providos\nnos termos da alínea "f" do inciso II do caput.

Art.\n13.  Para os fins do disposto nesta\nResolução, os serviços de computação em nuvem abrangem a disponibilidade à\ninstituição contratante, sob demanda e de maneira virtual, de ao menos um dos\nseguintes serviços:

I\n- processamento de dados, armazenamento de dados, infraestrutura de redes e\noutros recursos computacionais que permitam à instituição contratante implantar\nou executar softwares, que podem\nincluir sistemas operacionais e aplicativos desenvolvidos pela instituição ou\npor ela adquiridos;

II\n- implantação ou execução de aplicativos desenvolvidos pela instituição\ncontratante, ou por ela adquiridos, utilizando recursos computacionais do\nprestador de serviços; ou

III\n- execução, por meio da internet, de aplicativos implantados ou desenvolvidos\npelo prestador de serviço, com a utilização de recursos computacionais do\npróprio prestador de serviços.

Art.\n14.  A instituição contratante dos\nserviços mencionados no art. 12 é responsável pela confiabilidade, pela\nintegridade, pela disponibilidade, pela segurança e pelo sigilo em relação aos\nserviços contratados, bem como pelo cumprimento da legislação e da regulamentação\nem vigor.

Art.\n15.  A contratação de serviços relevantes\nde processamento, armazenamento de dados e de computação em nuvem deve ser\ncomunicada pelas instituições referidas no art. 1º ao Banco Central do Brasil.

§\n1º  A comunicação mencionada no caput deve conter as seguintes\ninformações:

I\n- a denominação da empresa contratada;

II\n- os serviços relevantes contratados; e

III\n- a indicação dos países e das regiões em cada país onde os serviços poderão\nser prestados e os dados poderão ser armazenados, processados e gerenciados,\ndefinida nos termos do inciso III do art. 16, no caso de contratação no\nexterior.

§\n2º  A comunicação de que trata o caput deve ser realizada até dez dias\napós a contratação dos serviços.

§\n3º  As alterações contratuais que\nimpliquem modificação das informações de que trata o § 1º devem ser comunicadas\nao Banco Central do Brasil até dez dias após a alteração contratual.

Art.\n16.  A contratação de serviços relevantes\nde processamento, armazenamento de dados e de computação em nuvem prestados no\nexterior deve observar os seguintes requisitos:

I\n- a existência de convênio para troca de informações entre o Banco Central do\nBrasil e as autoridades supervisoras dos países onde os serviços poderão ser\nprestados;

II\n- a instituição contratante deve assegurar que a prestação dos serviços\nreferidos no caput não cause\nprejuízos ao seu regular funcionamento nem embaraço à atuação do Banco Central\ndo Brasil;

III\n- a instituição contratante deve definir, previamente à contratação, os países\ne as regiões em cada país onde os serviços poderão ser prestados e os dados\npoderão ser armazenados, processados e gerenciados; e

IV\n- a instituição contratante deve prever alternativas para a continuidade dos\nnegócios, no caso de impossibilidade de manutenção ou extinção do contrato de\nprestação de serviços.

§\n1º  No caso de inexistência de convênio\nnos termos do inciso I do caput, a\ninstituição contratante deverá solicitar autorização do Banco Central do Brasil\npara:

I\n- a contratação do serviço, no prazo mínimo de sessenta dias antes da\ncontratação, observado o disposto no art. 15, § 1º, desta Resolução; e

II\n- as alterações contratuais que impliquem modificação das informações de que\ntrata o art. 15, § 1º, observando o prazo mínimo de sessenta dias antes da\nalteração contratual.

§\n2º  Para atendimento aos incisos II e III\ndo caput, as instituições deverão assegurar que a legislação e a\nregulamentação nos países e nas regiões em cada país onde os serviços poderão\nser prestados não restringem nem impedem o acesso das instituições contratantes\ne do Banco Central do Brasil aos dados e às informações.

§\n3º  A comprovação do atendimento aos\nrequisitos de que tratam os incisos I a IV do caput e o cumprimento da\nexigência de que trata o § 2º devem ser documentados.

Art.\n17.  Os contratos para prestação de\nserviços relevantes de processamento, armazenamento de dados e computação em\nnuvem devem prever:

I\n- a indicação dos países e da região em cada país onde os serviços poderão ser\nprestados e os dados poderão ser armazenados, processados e gerenciados;

II\n- a adoção de medidas de segurança para a transmissão e armazenamento dos dados\ncitados no inciso I do caput;

III\n- a manutenção, enquanto o contrato estiver vigente, da segregação dos dados e\ndos controles de acesso para proteção das informações dos clientes;

IV\n- a obrigatoriedade, em caso de extinção do contrato, de:

a)\ntransferência dos dados citados no inciso I do caput ao novo prestador\nde serviços ou à instituição contratante; e

b)\nexclusão dos dados citados no inciso I do caput pela empresa contratada\nsubstituída, após a transferência dos dados prevista na alínea "a" e\na confirmação da integridade e da disponibilidade dos dados recebidos;

V\n- o acesso da instituição contratante a:

a)\ninformações fornecidas pela empresa contratada, visando a verificar o\ncumprimento do disposto nos incisos I a III do caput;

b)\ninformações relativas às certificações e aos relatórios de auditoria\nespecializada, citados no art. 12, inciso II, alíneas "d" e\n"e"; e

c)\ninformações e recursos de gestão adequados ao monitoramento dos serviços a\nserem prestados, citados no art. 12, inciso II, alínea "f";

VI\n- a obrigação de a empresa contratada notificar a instituição contratante sobre\na subcontratação de serviços relevantes para a instituição;

VII\n- a permissão de acesso do Banco Central do Brasil aos contratos e aos acordos\nfirmados para a prestação de serviços, à documentação e às informações\nreferentes aos serviços prestados, aos dados armazenados e às informações sobre\nseus processamentos, às cópias de segurança dos dados e das informações, bem\ncomo aos códigos de acesso aos dados e às informações;

VIII\n- a adoção de medidas pela instituição contratante, em decorrência de\ndeterminação do Banco Central do Brasil; e

IX\n- a obrigação de a empresa contratada manter a instituição contratante\npermanentemente informada sobre eventuais limitações que possam afetar a\nprestação dos serviços ou o cumprimento da legislação e da regulamentação em\nvigor.

Parágrafo\núnico.  Os contratos mencionados no caput devem prever, para o caso da\ndecretação de regime de resolução da instituição contratante pelo Banco Central\ndo Brasil:

I\n- a obrigação de a empresa contratada conceder pleno e irrestrito acesso do\nresponsável pelo regime de resolução aos contratos, aos acordos, à documentação\ne às informações referentes aos serviços prestados, aos dados armazenados e às\ninformações sobre seus processamentos, às cópias de segurança dos dados e das\ninformações, bem como aos códigos de acesso citados no inciso VII do caput que estejam em poder da empresa\ncontratada; e

II\n- a obrigação de notificação prévia do responsável pelo regime de resolução sobre\na intenção de a empresa contratada interromper a prestação de serviços, com\npelo menos trinta dias de antecedência da data prevista para a interrupção,\nobservado que:

a)\na empresa contratada obriga-se a aceitar eventual pedido de prazo adicional de trinta\ndias para a interrupção do serviço, feito pelo responsável pelo regime de\nresolução; e

b)\na notificação prévia deverá ocorrer também na situação em que a interrupção for\nmotivada por inadimplência da contratante.

Art.\n18.  O disposto nos arts. 11 a 17 não se\naplica à contratação de sistemas operados por câmaras, por prestadores de\nserviços de compensação e de liquidação ou por entidades que exerçam atividades\nde registro ou de depósito centralizado.

CAPÍTULO IV
DISPOSIÇÕES\nGERAIS

Art.\n19.  As instituições referidas no art. 1º\ndevem assegurar que suas políticas para gerenciamento de riscos previstas na\nregulamentação em vigor disponham, no tocante à continuidade de negócios,\nsobre:

I\n- o tratamento dos incidentes relevantes relacionados com o ambiente\ncibernético de que trata o art. 3º, inciso IV;

II\n- os procedimentos a serem seguidos no caso da interrupção de serviços\nrelevantes de processamento e armazenamento de dados e de computação em nuvem\ncontratados, abrangendo cenários que considerem a substituição da empresa\ncontratada e o reestabelecimento da operação normal da instituição; e

III\n- os cenários de incidentes considerados nos testes de continuidade de negócios\nde que trata o art. 3º, inciso V, alínea "a".

Art.\n20.  Os procedimentos adotados pelas\ninstituições para gerenciamento de riscos previstos na regulamentação em vigor\ndevem contemplar, no tocante à continuidade de negócios:

I\n- o tratamento previsto para mitigar os efeitos dos incidentes relevantes de\nque trata o inciso IV do art. 3º e da interrupção dos serviços relevantes de\nprocessamento, armazenamento de dados e de computação em nuvem contratados;

II\n- o prazo estipulado para reinício ou normalização das suas atividades ou dos\nserviços relevantes interrompidos, citados no inciso I do caput; e

III\n- a comunicação tempestiva ao Banco Central do Brasil das ocorrências de\nincidentes relevantes e das interrupções dos serviços relevantes citados no\ninciso I do caput que configurem uma situação de crise pela instituição\nfinanceira, bem como das providências para o reinício das suas atividades.

Parágrafo\núnico.  As instituições devem estabelecer\ne documentar os critérios que configurem uma situação de crise de que trata o\ninciso III do caput.

Art.\n21.  As instituições de que trata o art.\n1º devem instituir mecanismos de acompanhamento e de controle com vistas a\nassegurar a implementação e a efetividade da política de segurança cibernética,\ndo plano de ação e de resposta a incidentes e dos requisitos para contratação\nde serviços de processamento e armazenamento de dados e de computação em nuvem,\nincluindo:

I\n- a definição de processos, testes e trilhas de auditoria;

II\n- a definição de métricas e indicadores adequados; e

III\n- a identificação e a correção de eventuais deficiências.

§\n1º  As notificações recebidas sobre a\nsubcontratação de serviços relevantes descritas no art. 17, inciso VI, devem\nser consideradas na definição dos mecanismos de que trata o caput.

§\n2º  Os mecanismos de que trata o caput devem ser submetidos a testes\nperiódicos pela auditoria interna, quando aplicável, compatíveis com os\ncontroles internos da instituição.

Art.\n22.  Sem prejuízo do dever de sigilo e da\nlivre concorrência, as instituições mencionadas no art. 1º devem desenvolver\niniciativas para o compartilhamento de informações sobre os incidentes\nrelevantes de que trata o art. 3º, inciso IV.

§\n1º  O compartilhamento de que trata o caput deve abranger informações sobre\nincidentes relevantes recebidas de empresas prestadoras de serviços a\nterceiros.

§\n2º  As informações compartilhadas devem\nestar disponíveis ao Banco Central do Brasil.

Art.\n22-A.  As instituições devem assegurar\nque os testes de intrusão mencionados no art. 3º, § 8º, inciso IV, devem: (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

I\n- ter periodicidade mínima anual; (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

II\n- ser realizados com independência e imparcialidade por pessoa natural ou\nempresa especializada contratada pela instituição para essa finalidade, sem prejuízo da realização de testes por equipes da\nprópria instituição; e (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

III\n- ter os resultados de sua execução documentados, especialmente as eventuais vulnerabilidades\nque forem identificadas e os planos de ação estabelecidos para suas correções. (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

Art.\n22-B.  O serviço prestado para a\ncomunicação eletrônica de dados na RSFN, de que trata o art. 3º-A, caput, inciso I, é considerado relevante para\nfins da aplicação do disposto nesta Resolução sobre a contratação de serviços\nde processamento, armazenamento de dados e computação em nuvem. (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

§\n1º  Aplica-se o disposto no caput\nindependente da forma de conexão com a RSFN. (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

§ 2º  O\nserviço de que trata o caput inclui os casos em que o prestador de\nserviços fornece serviço de processamento de mensagens no âmbito do SFN e do Sistema\nde Pagamentos Brasileiro – SPB. (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

CAPÍTULO V
DISPOSIÇÕES\nFINAIS

Art.\n23.  Devem ficar à disposição do Banco\nCentral do Brasil pelo prazo de cinco anos:

I\n- o documento relativo à política de segurança cibernética, de que trata o art.\n2º;

II\n- a ata de reunião do conselho de administração ou, na sua inexistência, da\ndiretoria da instituição, no caso de ser formalizada a opção de que trata o\nart. 2º, § 2º;

III\n- o documento relativo ao plano de ação e de resposta a incidentes, de que\ntrata o art. 6º;

IV\n- o relatório anual, de que trata o art. 8º;

V\n- a documentação sobre os procedimentos de que trata o art. 12, § 2º;

VI\n- a documentação de que trata o art. 16, § 3º, no caso de serviços prestados no\nexterior;

VII\n- os contratos de que trata o art. 17, contado o prazo referido no caput a partir da extinção do contrato;

VIII - os dados, os registros e as informações relativas aos\nmecanismos de acompanhamento e de controle de que trata o art. 21, contado o\nprazo referido no caput a partir da implementação dos citados mecanismos;\ne

VIII\n- os dados, os registros e as informações relativas aos mecanismos de\nacompanhamento e de controle de que trata o art. 21, contado o prazo referido\nno caput a partir da implementação dos citados mecanismos;  (Redação\ndada pela Resolução CMN nº 5.274, de 18/12/2025.)

IX - a documentação com os critérios que configurem uma situação de\ncrise de que trata o art. 20, Parágrafo único.

IX\n- a documentação com os critérios que configurem uma situação de crise de que\ntrata o art. 20, parágrafo único; e (Redação\ndada pela Resolução CMN nº 5.274, de 18/12/2025.)

X\n- a documentação com os resultados da execução de\ntestes de intrusão e os planos de ação estabelecidos para as correções de\nvulnerabilidades identificadas de que trata o art. 22-A, caput, inciso\nIII, contado o prazo a partir da data de execução dos testes. (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

Art.\n24.  O Banco Central do Brasil poderá\nadotar as medidas necessárias para cumprimento do disposto nesta Resolução, bem\ncomo estabelecer:

I\n- os requisitos e os procedimentos para o compartilhamento de informações, nos\ntermos do art. 22;

II\n- a exigência de certificações e outros requisitos técnicos a serem requeridos\ndas empresas contratadas, pela instituição financeira contratante, na prestação\ndos serviços de que trata o art. 12;

III - os prazos máximos de que trata o art. 20, inciso II para\nreinício ou normalização das atividades ou dos serviços relevantes\ninterrompidos; e

III\n- os prazos máximos de que trata o art. 20, caput, inciso II, para\nreinício ou normalização das atividades ou dos serviços relevantes\ninterrompidos; (Redação\ndada pela Resolução CMN nº 5.274, de 18/12/2025.)

IV - os requisitos técnicos e procedimentos operacionais a serem\nobservados pelas instituições para o cumprimento desta Resolução.

IV - a especificação dos requisitos de\nsegurança para integração de sistemas de informação por meio de interfaces\neletrônicas, de que trata o art. 3º, § 2º, inciso XIII; e (Redação dada pela Resolução CMN nº 5.274, de 18/12/2025.)

V\n- os requisitos técnicos e procedimentos operacionais a serem observados pelas\ninstituições para o cumprimento desta Resolução. (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

§\n1º   Na regulamentação de que trata\no caput, o Banco Central do Brasil deverá observar os princípios e\ndiretrizes referidos no art. 2º, caput. (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

§\n2º   Na regulamentação de que trata\no inciso IV do caput, o Banco Central do Brasil deverá observar,\ntambém, as seguintes diretrizes gerais: (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

I\n- os requisitos a serem especificados serão aqueles necessários e adequados\npara subsidiar a integração dos sistemas referida no art. 3º, § 2º, inciso XIII;\ne (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

II\n- o conteúdo dispondo sobre os requisitos deverá acompanhar as inovações\ntecnológicas, a fim de manter sua aptidão como um dos procedimentos e controles\npara implementação da política de segurança cibernética em cenários futuros. (Incluído\npela Resolução CMN nº 5.274, de 18/12/2025.)

Art.\n25.  As instituições referidas no art. 1º\nque, em 26 de abril de 2018, já tinham contratado a prestação de serviços\nrelevantes de processamento, armazenamento de dados e de computação em nuvem\ndevem adequar o contrato para a prestação de tais serviços:

I\n- ao cumprimento do disposto no art. 16, incisos I, II, IV e § 2º, no caso de\nserviços prestados no exterior; e

II\n- ao disposto nos arts. 15, § 1º, e 17.

Parágrafo\núnico.  O prazo previsto para adequação ao\ndisposto no caput não pode\nultrapassar 31 de dezembro 2021.

Art.\n26.  O Banco Central do Brasil poderá\nvetar ou impor restrições para a contratação de serviços de processamento e\narmazenamento de dados e de computação em nuvem quando constatar, a qualquer\ntempo, a inobservância do disposto nesta Resolução, bem como a limitação à\natuação do Banco Central do Brasil, estabelecendo prazo para a adequação dos\nreferidos serviços.

Art.\n27.  Ficam revogadas:

I\n- a Resolução nº 4.658, de 26 de abril de 2018; e

II\n- a Resolução nº 4.752, de 26 de setembro de 2019.

Art. 28.  Esta Resolução entra em vigor em 1º de julho de\n2021.

Roberto\nde Oliveira Campos Neto
Presidente\ndo Banco Central do Brasil

\n\n\n\n\n
","Voto":"9/2021-CMN","DataAssinatura":null,"DataAssinaturaTexto":""}]}