Instrução Normativa BCB nº 491, de 23/07/2024

Sumário Executivo

A Instrução Normativa BCB nº 491, de 23 de julho de 2024, publicada no DOU em 24/7/2024, Seção 1, p. 78/79, estabelece diretrizes detalhadas para o cadastramento de dispositivos de acesso utilizados para a iniciação de transações Pix, bem como para o gerenciamento de chaves Pix e a definição de valores máximos permitidos para transações realizadas em dispositivos não cadastrados. A norma foi editada pelo Chefe do Decem e pelo Chefe do Deinf, com base nas atribuições conferidas pelo Regimento Interno do Banco Central do Brasil, anexo à Resolução BCB nº 340, de 21/9/2023, e em conformidade com o art. 89, §§ 7º e 9º, do Regulamento anexo à Resolução BCB nº 1, de 12/8/2020, que trata do Pix.

A norma aplica-se aos participantes do Pix nas modalidades de provedor de conta transacional e iniciador, conforme alteração promovida pela Instrução Normativa BCB nº 594, de 19/3/2025. O escopo abrange transações iniciadas por meio de serviço de iniciação de transação de pagamento, sempre que houver redirecionamento do usuário para o ambiente da instituição detentora de conta. A Instrução Normativa BCB nº 594 também excluiu expressamente o Pix Automático do âmbito de aplicação da norma original.

Entre as principais determinações, destacam-se: a obrigatoriedade de confirmação de identidade do usuário titular da conta; a exigência de uso de códigos de verificação ou autenticação em dois fatores, incluindo smartcards, tokens criptográficos, tokens one-time password (OTP) e acesso biométrico; a possibilidade de o participante estabelecer a quantidade de dispositivos habilitados por cliente; e a obrigação de disponibilizar funcionalidades de inclusão, exclusão e bloqueio de dispositivos, preferencialmente no aplicativo utilizado pelo cliente. A Instrução Normativa BCB nº 594 acrescentou, ainda, a possibilidade de desbloqueio de dispositivo e a exclusão automática de dispositivos não utilizados durante doze meses.

Base Normativa

Norma: Instrução Normativa BCB nº 491, de 23 de julho de 2024, publicada no DOU em 24/7/2024, Seção 1, p. 78/79.

Alterações: A norma foi alterada pela Instrução Normativa BCB nº 594, de 19 de março de 2025, que produziu efeitos a partir de 1º de julho de 2025. As alterações incluem: exclusão do Pix Automático do escopo; inclusão da modalidade iniciador como participante sujeito às diretrizes; revogação de itens do Art. 4º referentes à confirmação de dados pessoais específicos; inclusão de mecanismos seguros como smartcards, tokens criptográficos, tokens OTP e acesso biométrico; inclusão de funcionalidades de bloqueio e desbloqueio de dispositivo; alteração do critério de exclusão automática de dispositivos inativos para 12 meses de não utilização do aplicativo; e inclusão de parágrafo único no Art. 7º sobre impossibilidade de uso de dispositivos excluídos até recadastramento.

Motivação: A motivação regulatória reside na necessidade de fortalecer a segurança e a integridade do Pix, que se consolidou como o principal sistema de pagamentos instantâneos do Brasil. A norma busca garantir a transparência e a proteção dos direitos dos usuários finais, mitigando riscos de fraude, acesso não autorizado e uso indevido de dispositivos. No cenário macroeconômico e prudencial, a medida reflete a preocupação do Banco Central do Brasil em manter a confiança no SPB, assegurando a estabilidade financeira do sistema de pagamentos e a adoção de padrões robustos de autenticação e gerenciamento de dispositivos, alinhados às melhores práticas internacionais de segurança cibernética e proteção de dados.

Adequação

A Instrução Normativa BCB nº 491 entrou em vigor na data de sua publicação, 23 de julho de 2024, com efeitos produzidos a partir de 1º de novembro de 2024 (Art. 10). Isso significa que todas as instituições participantes do Pix deveriam estar em conformidade com as diretrizes de cadastramento de dispositivos, gestão de chaves e limites para dispositivos não cadastrados a partir dessa data. Posteriormente, a Instrução Normativa BCB nº 594, de 19/3/2025, introduziu alterações significativas com efeitos a partir de 1º de julho de 2025, incluindo: (1) exclusão do Pix Automático do escopo; (2) ampliação do alcance para a modalidade iniciador; (3) novas exigências de autenticação com smartcards, tokens criptográficos, tokens OTP e acesso biométrico; (4) inclusão de funcionalidades de bloqueio e desbloqueio de dispositivo; (5) alteração do critério de exclusão automática para 12 meses de não utilização do aplicativo; e (6) novas regras de limites e exceções para transações via serviço de iniciação de transação de pagamento. Assim, o cronograma de adequação compreende duas fases principais: a primeira, com deadline em 1º/11/2024, e a segunda, com deadline em 1º/7/2025, ambas exigindo atualização de sistemas, processos internos e treinamento de equipes.

Impacto Operacional

A norma gera impacto operacional significativo para todas as instituições participantes do Pix. Em termos de trabalho e custo, destacam-se: (1) necessidade de desenvolvimento e integração de novos módulos de cadastramento de dispositivo nos aplicativos e sistemas bancários; (2) implementação de mecanismos robustos de autenticação em dois fatores, incluindo a integração com smartcards, tokens criptográficos, tokens OTP e sistemas de acesso biométrico; (3) criação ou adaptação de interfaces de gerenciamento de dispositivos com funcionalidades de inclusão, exclusão, bloqueio e desbloqueio; (4) configuração de regras de negócio para limites de R$ 200,00 por transação e R$ 1.000,00 por dia em dispositivos não cadastrados; (5) implementação de processos de exclusão automática de dispositivos inativos há doze meses; (6) revisão de procedimentos de conformidade (Compliance) e de análise de impacto regulatório para assegurar a aderência contínua; (7) treinamento de equipes operacionais, de suporte ao cliente e de segurança da informação; e (8) possíveis custos com auditorias e certificações de segurança dos sistemas modificados. Além disso, a Instrução Normativa BCB nº 594 exigiu adaptações adicionais nos prazos, ampliando o escopo para a modalidade iniciador e excluindo o Pix Automático, o que demandou replanejamento e retrabalho em projetos já em andamento.

Alterações de Layout

Não há menção explícita a qualquer CADOC (código numérico de 4 dígitos) no texto da norma fornecida. Portanto, não há alteração direta de CADOC especificada no texto. As referências normativas explicitamente mencionadas são: Resolução BCB nº 340, de 21/9/2023 (Regimento Interno do BCB); Resolução BCB nº 1, de 12/8/2020 (Regulamento do Pix); Resolução Conjunta nº 1, de 4/5/2020; Resolução BCB nº 406, de 2/8/2024; e Instrução Normativa BCB nº 594, de 19/3/2025 (alteração). Do ponto de vista técnico, as alterações exigidas para desenvolvimento e sustentação de sistemas incluem: (1) implementação de fluxos de cadastramento de dispositivo com confirmação de identidade do titular da conta; (2) integração de mecanismos de autenticação em dois fatores contemplando smartcards, tokens criptográficos, tokens OTP e acesso biométrico; (3) funcionalidades de inclusão, exclusão, bloqueio e desbloqueio de dispositivos no aplicativo do cliente; (4) implementação de regras de exclusão automática após 12 meses de inatividade; (5) configuração de limites de R$ 200,00 por transação e R$ 1.000,00 por dia para dispositivos não cadastrados; (6) tratamento de exceções para transações validadas por dispositivo cadastrado conforme o art. 8º, parágrafo único; e (7) adaptação para o serviço de iniciação de transação de pagamento com redirecionamento para ambiente da instituição detentora de conta.