Instituições financeiras entram na reta final para cumprir novas exigências de segurança cibernética do Banco Central

As instituições financeiras brasileiras estão na reta final para se adequar às novas exigências de segurança cibernética estabelecidas pelas Resoluções BCB nº 538/2025 e CMN nº 5.274/2025. O prazo determinado pelo Banco Central se encerra em 1º de março de 2026 e eleva o nível mínimo de proteção exigido no Sistema Financeiro Nacional e no Sistema de Pagamentos Brasileiro.

As normas ampliam requisitos técnicos e de governança, com foco especial em infraestruturas consideradas críticas, como Pix, STR e RSFN. Entre as exigências estão autenticação multifator para acessos privilegiados, gestão reforçada de credenciais e certificados, criptografia, monitoramento contínuo de ameaças, retenção estruturada de logs e testes anuais de intrusão realizados por empresas independentes. As instituições também precisam manter documentação e evidências organizadas para eventual fiscalização.

Para especialistas, o momento é decisivo, especialmente para organizações que ainda não concluíram a implementação integral dos controles estruturais exigidos pelo regulador.

Segundo Rodrigo Gava, CTO da VULTUS, consultoria brasileira de cibersegurança, a nova regulação consolida uma mudança estrutural na forma como o Banco Central enxerga a resiliência tecnológica do sistema financeiro.

“A segurança cibernética deixa de ser tratada apenas como diretriz e passa a ser um requisito técnico auditável. Não basta ter políticas formais; é necessário comprovar execução, testes independentes e governança efetiva dos controles implementados”, afirma.

De acordo com o executivo, um dos principais desafios nesta fase final é garantir que os controles já implementados estejam devidamente integrados, testados e documentados.

“O prazo está próximo e a adequação envolve arquitetura, processos e evidências. Instituições que não estruturaram essa agenda com antecedência podem enfrentar pressão operacional e regulatória relevante”, acrescenta.

A expectativa é que a atualização regulatória fortaleça o padrão de proteção do sistema financeiro brasileiro, alinhando-o a práticas internacionais de proteção de infraestrutura crítica e ampliando o nível de resiliência diante do aumento da sofisticação das ameaças digitais.