Resolução CMN nº 4.658, de 26/04/2018

Sumário Executivo

A Resolução CMN n° 4.658, de 26 de abril de 2018, publicada no DOU em 30/4/2018, Seção 1, páginas 26-28, constituiu um marco regulatório ao disporem sobre a política de segurança cibernética e sobre os requisitos para a contratação de serviços de processamento e armazenamento de dados e de computação em nuvem a serem observados pelas instituições financeiras e demais instituições autorizadas a funcionar pelo Banco Central do Brasil. A norma nasceu da necessidade de fortalecer a resiliência operacional e a proteção de dados no Sistema Financeiro Nacional (SFN), em um contexto de crescente digitalização dos serviços financeiros e expansão do uso de tecnologias de nuvem e de terceirização de processamento de dados. A base legal da norma fundamenta-se na Lei nº 4.595/1964, Lei nº 4.728/1965, Lei nº 6.099/1974, Lei nº 10.194/2001 e Lei Complementar nº 130/2009, reforçando a competência do Conselho Monetário Nacional (CMN) para disciplinar a segurança da infraestrutura financeira.

Ao longo de sua vigência, a norma passou por atualizações significativas. A Resolução CMN nº 4.752/2019 alterou a redação dos artigos 15 (caput e §§ 2º e 3º) e 16 (§ 1º), além de incluir o art. 16, § 1º, incisos I e II, ampliando o escopo regulatório. Posteriormente, a Resolução CMN nº 4.893/2021 promoveu a revogação total da norma a partir de 1º de julho de 2021, consolidando um novo modelo regulatório que substituiu integralmente o anterior. Essa evolução normativa demonstra a postura proativa do BCB e do CMN em adaptar o marco de segurança cibernética às rápidas transformações tecnológicas e aos riscos emergentes no ecossistema financeiro.

A norma vinculou-se ainda a outros instrumentos regulatórios complementares, como a Resolução Conjunta nº 1/2020, a Instrução Normativa BCB nº 37/2020, a Instrução Normativa BCB nº 99/2021, e as Circulares nº 3.978/2020 e 3.979/2020, formando um ecossistema integrado de normas voltadas à segurança cibernética e à proteção de dados no SFN. Essa articulação normativa assegurava que as instituições financeiras dispusessem de um referencial claro para gestão de riscos tecnológicos, governança de dados e escolha de provedores de serviços em nuvem, reforçando a estabilidade financeira do sistema como um todo.

Base Normativa

Norma: Resolução CMN n° 4.658, de 26 de abril de 2018 (REVOGADA pela Resolução CMN nº 4.893/2021, a partir de 1º/7/2021)

Alterações: Foram alteradas pela Resolução CMN nº 4.752/2019, que promoveu nova redação do art. 15 (caput e §§ 2º e 3º), do art. 16 (§ 1º) e incluiu o art. 16, § 1º, incisos I e II. A norma foi revogada integralmente pela Resolução CMN nº 4.893/2021, com efeitos a partir de 1º de julho de 2021.

Motivação: A motivação regulatória centrou-se na necessidade de fortalecer a segurança cibernética do Sistema Financeiro Nacional, mitigar riscos associados à terceirização de processamento e armazenamento de dados e à adoção de computação em nuvem, e garantir a estabilidade financeira e a proteção de dados das instituições e de seus clientes. No cenário macroeconômico e prudencial, a norma respondeu à crescente digitalização dos serviços financeiros e à expansão dos riscos cibernéticos, alinhando-se às diretrizes internacionais de resiliência operacional e governança de tecnologia no setor financeiro.

Adequação

A Resolução CMN n° 4.658/2018 foi publicada em 26 de abril de 2018, com divulgação no DOU em 30/4/2018, Seção 1, páginas 26-28. A Resolução CMN nº 4.752/2019 promoveu alterações na norma, devendo ser observadas pelas instituições a partir de sua publicação. A Resolução CMN nº 4.893/2021 estabeleceu a revogação total da norma a partir de 1º de julho de 2021, data a partir da qual todas as instituições financeiras e entidades autorizadas pelo BCB deveram estar em conformidade com o novo marco regulatório que substituiu a Resolução CMN n° 4.658. Assim, o cronograma de adequação compreende: (1) período de vigência original a partir de abril/2018; (2) atualizações da Resolução CMN 4.752/2019; e (3) transição para o novo regime regulatório até 1º/7/2021, quando da revogação total.

Impacto Operacional

A norma gerou demanda significativa de trabalho e custo para as instituições, exigindo a revisão de políticas de segurança cibernética, gestão de riscos operacionais e tecnológicos, contratos e acordos com provedores de serviços de processamento e armazenamento de dados e de computação em nuvem, além de programas de governança de TI e continuidade de negócios. As equipes de Compliance, Tecnologia da Informação, Jurídico e Gestão de Riscos precisaram se reorganizar para atender aos requisitos regulatórios, incluindo a avaliação de riscos em terceirização de serviços, a implementação de controles de segurança da informação e a adequação de processos de due diligence para contratação de serviços em nuvem. A revogação pela Resolução CMN 4.893/2021 exigiu nova rodada de adequação normativa e operacional, demandando atualização de políticas internas, manuais de procedimentos e sistemas de monitoramento e auditoria.

Alterações de Layout

Não há menção explícita a qualquer CADOC ou código numérico de 4 dígitos de documento regulatório no texto fornecido. Portanto, conforme a regra vigente, não há alteração direta de CADOC especificada no texto da norma. As alterações técnicas mencionadas referem-se a atualizações em artigos da própria Resolução CMN n° 4.658/2018 promovidas pela Resolução CMN nº 4.752/2019, sem referência a mudanças em tabelas de domínios, dicionários de dados, tags XML ou protocolos de transmissão explicitamente detalhadas no conteúdo fornecido. Os documentos regulatórios vinculados mencionados são: Resolução CMN 4.752/2019, Resolução CMN 4.893/2021, Resolução Conjunta 1/2020, Instrução Normativa BCB 37/2020, Instrução Normativa BCB 99/2021, Circular 3.978/2020 e Circular 3.979/2020 — todos identificados como normas vinculadas, não como CADOCs.