Resolução CMN nº 4.893, de 26/02/2021

Sumário Executivo

A Resolução CMN nº 4.893, editada em 26 de fevereiro de 2021 e publicada no DOU em 1º de março de 2021, constitui o marco regulatório brasileiro para a política de segurança cibernética das instituições autorizadas a funcionar pelo Banco Central do Brasil. A norma dispõe sobre dois eixos fundamentais: a obrigatoriedade de implementação, manutenção e divulgação de uma política de segurança cibernética estruturada, e a disciplina rigorosa para a contratação de serviços de processamento e armazenamento de dados e de computação em nuvem, tanto no País quanto no exterior. A norma foi alterada pela Resolução CMN nº 5.117 (25/1/2024), que ampliou o escopo de exclusão para administradoras de consórcio e determinadas sociedades corretoras, e pela Resolução CMN nº 5.274 (18/12/2025), que trouxe um conjunto robusto de controles de segurança adicionais, incluindo requisitos específicos para o Pix, o STR e o SPI, além de expandir significativamente os requisitos de rastreabilidade, criptografia, proteção de rede e gestão de vulnerabilidades.

Base Normativa

Norma: Resolução CMN nº 4.893, de 26 de fevereiro de 2021, publicada no DOU em 1º de março de 2021, Seção 1, p. 82/83. Entrada em vigor em 1º de julho de 2021.

Alterações: Foram revogadas a Resolução nº 4.658, de 26 de abril de 2018 e a Resolução nº 4.752, de 26 de setembro de 2019. A norma foi alterada pela Resolução CMN nº 5.117, de 25 de janeiro de 2024 (que excluiu do escopo administradoras de consórcio, instituições de pagamento, sociedades corretoras e distribuidoras de títulos e valores mobiliários e sociedades corretoras de câmbio) e pela Resolução CMN nº 5.274, de 18 de dezembro de 2025 (que ampliou substancialmente os controles de segurança, adicionou o Art. 3º-A com requisitos específicos para o RSFN, o Pix, o STR e o SPI, criou os Arts. 22-A e 22-B, e expandiu os requisitos de relatórios anuais e documentação).

Motivação: A motivação regulatória reside na necessidade de fortalecer a estabilidade financeira do Sistema Financeiro Nacional diante da crescente digitalização dos serviços financeiros e da expansão dos riscos cibernéticos. A norma busca assegurar a confidencialidade, integridade e disponibilidade dos dados e sistemas de informação, protegendo o ecossistema financeiro contra incidentes cibernéticos de grande impacto sistêmico. No cenário macroeconômico, a medida se alinha à tendência global de reforço da resiliência operacional das instituições financeiras, especialmente diante da adoção massiva de computação em nuvem e da dependência crescente de prestadores de serviços terceirizados. A base legal inclui o art. 9º da Lei nº 4.595/1964, arts. 4º, VIII, 9º da Lei nº 4.728/1965, 7º e 23, alínea 'a', da Lei nº 6.099/1974, 1º, inciso II, da Lei nº 10.194/2001, e 1º, § 1º, da Lei Complementar nº 130/2009.

Adequação

O cronograma de adequação prevê as seguintes datas e obrigações: (1) 1º de julho de 2021 — entrada em vigor da norma, data a partir da qual todas as instituições autorizadas pelo BCB devem implementar sua política de segurança cibernética e seu plano de ação e de resposta a incidentes; (2) 31 de dezembro de 2021 — prazo máximo para adequação contratual dos serviços relevantes de processamento, armazenamento de dados e computação em nuvem já contratados anteriormente a 26 de abril de 2018, conforme o Art. 25, parágrafo único; (3) 10 dias após a contratação — prazo para comunicação ao Banco Central do Brasil da contratação de serviços relevantes de nuvem, conforme Art. 15, § 2º; (4) 10 dias após alteração contratual — prazo para comunicação de modificações contratuais relevantes; (5) 60 dias antes da contratação ou alteração — prazo mínimo para solicitação de autorização ao BCB quando não houver convênio de troca de informações com o país de prestação do serviço no exterior, conforme Art. 16, § 1º; (6) 31 de março de cada ano — prazo para apresentação ao conselho de administração ou diretoria do relatório anual sobre a implementação do plano de ação e resposta a incidentes, com data-base em 31 de dezembro do ano anterior, conforme Art. 8º, § 2º; (7) Periodicidade mínima anual — obrigatoriedade de testes de intrusão independentes, conforme Art. 22-A, incluído pela Resolução CMN nº 5.274; (8) Revisão anual mínima — obrigatoriedade de revisão documental da política de segurança cibernética e do plano de ação, conforme Art. 10. A Resolução CMN nº 5.274 (18/12/2025) não estabeleceu prazo de transição específico no texto fornecido, devendo as instituições verificar as disposições transitórias da referida resolução complementar.

Impacto Operacional

A norma gera impacto operacional significativo e multidimensional para todas as instituições reguladas. Em termos de custo e trabalho, as instituições devem: (1) constituir ou atualizar sua política de segurança cibernética, aprovada pelo conselho de administração ou diretoria, contemplando objetivos, controles, procedimentos de rastreabilidade e diretrizes de cultura de segurança; (2) elaborar e manter um plano de ação e de resposta a incidentes com rotinas de prevenção, resposta e áreas responsáveis designadas; (3) designar um diretor responsável pela política de segurança cibernética e pelo plano de resposta a incidentes; (4) implementar controles técnicos avançados, incluindo autenticação multifator, criptografia, segmentação de rede, gestão de vulnerabilidades, proteção contra softwares maliciosos, rastreabilidade de transações e gestão de certificados digitais; (5) realizar testes de intrusão anuais com independência e imparcialidade, documentando vulnerabilidades e planos de correção; (6) estabelecer processos rigorosos de due diligence e governança para contratação de serviços de computação em nuvem, incluindo verificação de capacidade do prestador, acesso a relatórios de auditoria independente e segregação de dados dos clientes; (7) comunicar ao BCB toda contratação ou alteração de serviços relevantes de nuvem no prazo de 10 dias; (8) para serviços no exterior, assegurar existência de convênios de troca de informações ou solicitar autorização prévia com 60 dias de antecedência; (9) revisar contratos para incluir cláusulas de acesso ao BCB, notificação de subcontratação, transferência de dados e continuidade de negócios em caso de regime de resolução; (10) produzir relatório anual com data-base em 31 de dezembro, apresentado até 31 de março do ano seguinte, abordando efetividade da implementação, incidentes relevantes, resultados de testes de continuidade de negócios e de intrusão; (11) manter toda a documentação disponível ao BCB pelo prazo de cinco anos; (12) implementar mecanismos de compartilhamento de informações sobre incidentes com outras instituições e disponibilidade ao BCB; e (13) estabelecer critérios documentados para configuração de situação de crise e comunicação tempestiva ao regulador. Os processos de terceirização, gestão de riscos, continuidade de negócios, auditoria interna e conformidade regulatória (Compliance) devem ser revisados e integrados aos novos requisitos.

Alterações de Layout

O texto da norma não menciona explicitamente nenhum código de CADOC ou documento regulatório numerado com quatro dígitos (como 3040, 2160, 4010, etc.). Portanto, não há menção a alteração direta de CADOC especificada no texto fornecido. A norma faz referência a publicações do Banco Central do Brasil como o Catálogo de Serviços do SFN, o Manual de Redes do SFN e o Manual de Segurança do SFN, mas estas não são identificadas por código numérico de CADOC no texto. Do ponto de vista técnico, as alterações introduzidas pela Resolução CMN nº 5.274 (18/12/2025) impactam diretamente os sistemas das instituições nos seguintes aspectos: (1) implementação de múltiplos fatores de autenticação para acesso administrativo aos ambientes Pix e STR; (2) isolamento físico e lógico dos ambientes Pix e STR dos demais sistemas, com instâncias dedicadas, especialmente em cenários de computação em nuvem; (3) monitoramento de credenciais e certificados digitais no âmbito do SPI; (4) implementação de validação de integridade fim a fim das transações antes da assinatura digital; (5) segmentação de rede com regras de firewall, monitoramento de conexões e VPNs; (6) gestão do ciclo de vida de recursos computacionais, incluindo configurações seguras, correções regulares e rotação de senhas; (7) rastreabilidade de transações com trilhas de auditoria fim a fim, logs identificáveis e retenção segura; (8) testes de intrusão com periodicidade mínima anual, realizados por entidade independente; (9) gestão de certificados digitais com monitoramento de revogação e controle de chaves privadas; e (10) inteligência de ameaças incluindo monitoramento da Deep Web e Dark Web. As alterações contratuais para serviços de nuvem devem prever cláusulas específicas de acesso do BCB, notificação de subcontratação, transferência de dados em caso de extinção contratual e notificação prévia de 30 dias para interrupção de serviços em regime de resolução.