Em 18 de dezembro de 2025, o Banco Central e o Conselho Monetário Nacional aprovaram um novo conjunto de exigências de segurança cibernética para instituições financeiras, de pagamento e fintechs. As Resoluções BCB nº 538/2025 e CMN nº 5.274/2025 atualizam normas de 2021 e estabeleceram prazo até 1º de março de 2026 para adequação — data já vencida, o que torna o tema uma questão de conformidade imediata para quem ainda não se adaptou.

Ao todo, as novas regras tornam mandatórios 14 controles mínimos de segurança, incluindo autenticação multifator para acessos administrativos, criptografia e proteção rigorosa de certificados digitais e chaves privadas, mecanismos de prevenção e detecção de intrusões, testes de invasão periódicos com correção tempestiva de vulnerabilidades, segmentação e isolamento de ambientes críticos — como Pix e o Sistema de Transferência de Reservas —, além de rastreabilidade completa das transações, com trilhas de auditoria e retenção segura de logs.

Um ponto de especial atenção para instituições que terceirizam infraestrutura é a extensão desses controles à cadeia de fornecedores: a norma veda que a instituição transfira o risco cibernético a terceiros, exigindo contratos mais robustos, direitos de auditoria e comprovação recorrente de testes de segurança também em ambientes de nuvem e prestadores de serviços de tecnologia. Na prática, isso significa revisar contratos vigentes com provedores de processamento e armazenamento de dados.

O Banco Central também tem reforçado, em eventos do setor, que a segurança cibernética deixou de ser tema exclusivo da área de TI e passou a integrar a governança corporativa das instituições — com a Instrução Normativa nº 9 do GSI exigindo, inclusive, que o gestor de segurança da informação não acumule funções com a área técnica, para preservar independência na gestão de riscos.